移动电子商务安全解决方案
移动电子商务安全问题分析及解决方案
移动电子商务安全问题分析及解决方案随着科学技术水平的发展，人们的生活水平越来越高，因特网的使用已经不再只是局限于有线网络。
现在移动用户越来越多，移动电子商务已经成了我们日常生活中不可缺少的一部分，同时在享受高速度和高效率的生活效率时，移动电子商务的安全问题也成了我们不可避免要面对的问题。
基于此，本文对在面对移动电子商务安全风险时多项问题的科学、有效对策探究。
标签：移动电子商务；安全问题；分析；解决方案一、移动电子商务概述我们通常所说的移动电子商务是电子商务的一种延伸，具体指的是依托于个人数字助理、手机、电脑等手持的移动通信设备同无线上网手段契合起来所形成的完整的电子商务体系，与传统电子商务模式比较来说，这种全新的电子移动商务具有显著的优势，相对而言更加具有灵活性、随时性、快捷性。
可以使使用者不受时间、地点、空间的限制就可以得到自己想要的信息和贴身服务。
并且它可以满足客户的任何需要，且随时可以更改。
二、当前移动电子商务安全所面临的问题与威胁1.移动通信终端的安全威胁因素与传统电子商务模式比较，现代移动电子商务与其最大的不同点在于这种商务模式依托于移动终端上网，所以我们首要考虑的就应该是移动通信终端的安全性。
而这种移动终端的安全威胁是相对复杂的，由于它是移动的，因此很容易被人为破坏亦或是使数据丢失，这样就造成了显而易见的安全问题。
有一些攻击者会窃听你的个人信息获得你终端的数据资源，这就会给人们带来巨大的信息财产威胁，必将会阻碍移动电子商务在我国的发展。
我们在生活中所遇到的SIM卡复制就是其中的威胁之一。
2.商家的欺诈行为和软件病毒所造成的安全问题因素当前，这种全新的移动电子商务是依托于图片和文字的方式进行交易的，购买者并看不到实物。
有一些不良卖家拍一些假的图片和虚假信息，这就会使得消费者对商家失去信任感，从而出现退货、换货等一系列的后续服务问题，而这些矛盾和纠纷则会使得消费者对电子商务逐渐失去信心，因为诸多电子商务网站难以为卖家提供其详细信息。
移动电子商务的安全与隐私问题分析
移动电子商务的安全与隐私问题分析移动电子商务（Mobile E-commerce）已经成为了现代人购物的主要方式之一。
然而，在移动电子商务领域，安全与隐私问题一直是用户和商家最为关注的焦点。
本文将对移动电子商务中的安全与隐私问题进行分析，并提供相应的解决方案。
一、安全问题分析1. 网络攻击：移动设备的开放性和全球化特性使其成为黑客攻击的主要目标。
黑客可以通过网络攻击窃取用户的个人信息、支付信息以及交易记录。
因此，移动电子商务平台需要加强网络安全措施，采用防火墙、加密技术、身份验证等手段，保护用户隐私和交易安全。
2. 信息泄露：移动电子商务平台可能存在数据泄露的风险。
用户在进行购物时，需要提供个人信息和支付信息，一旦这些信息泄露，用户可能遭受财产损失或身份盗窃。
因此，移动电子商务平台应该加强数据加密技术，确保用户数据不被非法获取。
3. 恶意软件：移动应用程序市场存在大量的恶意软件，这些软件可能通过盗取用户信息和操纵支付流程等手段，对用户进行欺诈和侵害。
移动电子商务平台应该加强对移动应用的审核和监管，减少用户下载和使用恶意软件的风险。
4. 假冒网站：移动电子商务平台经常遭受假冒网站的困扰。
黑客通过仿冒合法平台的方式，引诱用户泄露个人信息或进行虚假交易。
为了减少用户受骗的风险，移动电子商务平台应该加强对网站的验证机制，提供用户安全检测工具，警告用户避免访问假冒网站。
二、隐私问题分析1. 个人信息收集：移动电子商务平台为了提供个性化的服务，通常会收集用户的个人信息。
然而，一些平台可能会滥用个人信息，如将其出售给第三方广告商或用于其他商业目的。
为了保护用户隐私，移动电子商务平台应该建立严格的隐私保护政策，明确告知用户个人信息的收集、使用和保护方式，并提供用户选择是否提供个人信息的机制。
2. 交易记录保留：移动电子商务平台通常会保留用户的交易记录，以便用户查询和商家核实。
然而，长期保存这些交易记录可能存在泄露用户隐私的风险。
电子商务安全的解决方案
电子商务安全的解决方案第1篇电子商务安全的解决方案一、背景随着互联网技术的迅速发展和移动终端设备的普及，电子商务已经成为我国经济发展的重要引擎。
然而，电子商务在带来便捷的同时，也面临着诸多安全问题，如信息泄露、网络诈骗、支付风险等。
为了保障电子商务的健康发展，确保用户信息安全，特制定本解决方案。
二、目标1. 确保电子商务平台的合法合规性，遵守国家相关法律法规。
2. 提高电子商务平台的安全防护能力，降低安全风险。
3. 保障用户信息安全，提升用户信任度和满意度。
4. 建立完善的应急预案，提高应对安全事件的能力。
三、解决方案（一）合法合规性保障1. 落实国家相关法律法规，对平台进行合法合规审查。
2. 建立完善的内部管理制度，确保平台运营合规。
3. 加强对入驻商家的审核和管理，杜绝违法经营行为。
（二）技术安全保障1. 采用成熟的安全技术，如SSL加密、防火墙、入侵检测系统等。
2. 定期对平台进行安全评估，及时发现并修复安全漏洞。
3. 加强对用户数据的保护，采用数据加密、访问控制等技术手段。
（三）用户信息安全保障1. 建立用户信息保护制度，明确用户信息的使用、存储、删除等规定。
2. 加强用户身份验证，采用多因素认证方式，确保用户身份真实可靠。
3. 严格保护用户隐私，遵循最小权限原则，避免用户信息泄露。
（四）应急预案及响应1. 制定完善的应急预案，包括网络安全事件、数据泄露、系统故障等情况的处理流程。
2. 建立应急响应团队，定期进行应急演练，提高应对安全事件的能力。
3. 及时向用户和监管部门报告安全事件，确保信息透明。
四、实施与评估1. 成立专门的项目实施小组，负责方案的落实和推进。
2. 设立明确的时间表，分阶段、分步骤实施。
3. 定期对实施效果进行评估，根据实际情况调整优化方案。
4. 加强与行业内的交流合作，借鉴先进经验，不断提升安全水平。
五、总结本解决方案旨在为电子商务平台提供一套合法合规、全面可靠的安全防护措施，确保用户信息安全，促进电子商务行业的健康发展。
电子商务中的移动支付安全问题与解决方案
电子商务中的移动支付安全问题与解决方案随着智能手机的普及和移动互联网的迅猛发展，移动支付在现代社会中扮演着越来越重要的角色。
然而，移动支付的普及也引发了一系列的安全问题。
本文将讨论电子商务中移动支付面临的安全问题，并提出一些解决方案。
一、移动支付面临的安全问题1. 数据泄露在移动支付过程中，用户的敏感数据，如银行卡号、密码等，需要通过移动设备进行传输。
然而，如果传输过程中存在漏洞或未加密的情况，黑客有可能通过技术手段获取用户的个人信息，导致数据泄露。
2. 被篡改或伪造移动支付过程中，数据可能面临被篡改或伪造的风险。
黑客可以通过恶意软件或网络攻击，篡改交易信息，使支付方和收款方都无法获知支付的真实状态，从而导致支付安全问题。
3. 身份验证漏洞移动支付需要进行身份验证，以确保交易的合法性和安全性。
然而，密码被破解、身份信息被盗取或冒用等问题，都可能导致身份验证漏洞，使黑客得以冒充他人进行支付。
二、解决移动支付安全问题的方案1. 强化数据加密技术为了防止数据泄露，移动支付平台应采用强大的数据加密技术，确保用户的个人信息在传输过程中得到充分的保护。
采用SSL（Secure Sockets Layer）或TLS（Transport Layer Security）等安全协议，对数据进行加密，防止黑客窃取用户的敏感信息。
2. 推广双因素认证双因素认证是提升移动支付安全性的一种有效方式。
除了常规的密码验证，移动支付平台可以引入手机短信验证码、指纹识别或人脸识别等技术，增加用户身份验证的难度，提高支付的安全性。
3. 强化账户安全措施移动支付平台应加强对用户账户安全的管理，推动用户设置更复杂的密码，定期要求用户更换密码，避免使用相同的密码在多个平台上。
同时，应建立多层次的账户验证体系，对用户的交易行为进行实时监测，发现异常情况及时采取措施。
4. 指定安全支付设备针对移动支付时设备端的安全性问题，应推广指定安全支付设备。
移动电子商务的安全问题与解决方案探讨
移动电子商务的安全问题与解决方案探讨移动电子商务是指通过移动设备进行商业活动的一种方式，它的兴起使得人们可以随时随地进行购物、支付以及其他商务交易。
然而，随着移动电子商务的快速发展，安全问题也日益凸显。
本文将探讨移动电子商务中存在的安全问题，并提供一些解决方案以增强安全性。
1. 数据泄露与个人信息安全在移动电子商务中，用户的个人信息和交易数据是最重要的资产之一。
然而，由于移动设备的易受攻击性，用户的个人信息很容易受到黑客攻击的威胁。
为了解决这个问题，可以采取以下措施：- 强化用户身份验证：引入多因素身份验证，例如使用指纹识别、人脸识别等技术来确保用户的身份真实性。
- 加密通信与数据存储：使用加密技术来保护数据在传输和存储过程中的安全性，确保数据不被未经授权的人员访问。
2. 支付安全问题移动支付成为了移动电子商务中最常见的支付方式之一。
然而，不安全的移动支付环境可能导致用户的资金和敏感信息被盗窃。
为了提高支付安全性，可以采取以下措施：- 使用安全支付平台：选择可信赖的第三方支付平台，该平台的支付环境应该经过严格的安全审查和认证。
- 加密支付信息：通过使用安全协议和加密技术来保护用户支付信息的传输和存储安全，防止黑客窃取支付信息。
3. 应用程序安全问题移动电子商务主要通过应用程序进行交互和交易。
然而，恶意应用程序和恶意链接的出现使得用户的设备容易受到病毒和其他恶意软件的攻击。
为了解决这个问题，可以采取以下措施：- 下载应用程序时要谨慎：只从官方应用商店下载应用程序，避免下载未经验证的应用程序。
- 更新应用程序和操作系统：及时更新应用程序和操作系统的安全补丁，以修复已知的漏洞和缺陷。
4. 社交工程和网络钓鱼社交工程和网络钓鱼是黑客获取用户敏感信息的常见手段之一。
他们通常通过发送虚假邮件、短信或制造虚假网站来诱骗用户提供个人信息。
为了应对这个问题，可以采取以下措施：- 提高用户的安全意识：教育用户如何辨别虚假信息，不轻易提供个人敏感信息。
电子商务发展所面临的问题与解决方案
电子商务发展所面临的问题与解决方案随着互联网的普及和信息技术的快速发展，电子商务已成为了商业发展的重要手段之一。
然而，电子商务发展所面临的问题也是不容忽视的。
本文将对电子商务发展中面临的问题进行分析，并提出相应的解决方案。
1.安全问题电子商务平台存储了大量的用户个人信息和交易数据，因此安全问题是电子商务发展过程中最重要的问题之一。
黑客攻击、数据泄露、欺诈交易等安全问题可能导致用户信任度下降，进而影响电子商务平台的发展。
为此，电子商务平台需要加强安全防护，包括加强数据加密技术、建立完善的安全监控系统、提高用户账户安全程度等措施。
此外，用户教育也是非常重要的，用户需注意保护自己的账户和个人信息安全。
2.物流配送问题在电子商务发展中，物流配送是一个至关重要的环节。
快速可靠的物流配送是用户对电子商务的基本需求之一，而物流环节中存在的问题包括配送延迟、货品损坏等，这些问题都可能影响用户体验。
为了解决这些问题，电子商务平台需要与可靠的物流公司合作，建立高效的物流配送系统，并不断优化配送流程，提高配送效率和服务质量。
3.信任问题用户对于电子商务平台的信任度是电子商务能否成功发展的关键因素之一。
然而，在电子商务发展的过程中，一些不良商家或者虚假的产品信息可能会影响用户的信任度。
因此，建立信任是电子商务平台需要着重解决的问题之一。
为了提高用户的信任度，电子商务平台需要加强产品质量管理，打击虚假广告和不良商家，增强用户售后服务和消费者保护，提升用户体验。
4.法律法规问题在电子商务发展过程中，各个国家和地区都有各自的法律法规规定，而这些法规对于电子商务平台的经营有着重要的影响。
因此，电子商务平台需要合规经营，遵守各项法律法规的规定，确保经营活动的合法性和合规性，以免触犯法律带来不必要的损失。
为此，电子商务平台需要加强对法律法规的了解，建立法务部门或者与专业法律机构合作，确保经营合法。
5.竞争问题随着电子商务行业的不断发展，竞争也日益激烈。
电子商务移动支付的安全问题与解决方案
电子商务移动支付的安全问题与解决方案随着移动互联网的快速发展，电子商务移动支付已经成为我们生活中不可或缺的一部分。
然而，随之而来的安全问题也越来越引起人们的关注和担忧。
本文将探讨电子商务移动支付面临的安全问题，并提出解决方案。
一、电子商务移动支付的安全问题1.1 非法支付在电子商务移动支付中，非法支付是一种常见的安全问题。
黑客可以通过各种技术手段获取用户的支付信息，从而进行非法支付。
一旦用户的账户被黑客入侵，他们的资金将面临巨大风险。
1.2 信息泄露电子商务移动支付所涉及的个人信息的泄露是另一个严重的安全问题。
如果用户的个人信息被不法分子获取，他们可能受到身份盗窃、钓鱼欺诈等各种欺骗手段的攻击，造成财产和个人隐私的损失。
1.3 系统漏洞电子商务移动支付平台存在着各种系统漏洞，黑客可以利用这些漏洞对系统进行攻击。
这些漏洞可能导致用户支付信息泄露、支付过程中数据的篡改等安全问题。
二、电子商务移动支付的解决方案2.1 强化身份认证为了应对非法支付问题，电子商务移动支付平台应该采取强化身份认证的措施。
比如使用指纹识别、面部识别等生物特征技术，可以有效防止黑客盗取用户支付信息进行非法支付。
2.2 加强数据加密为了防止用户个人信息泄露，电子商务移动支付平台应该加强数据加密的措施。
采用SSL/TLS加密传输协议等技术，确保用户的个人信息在传输过程中得到有效保护。
2.3 完善安全防护机制为了应对系统漏洞的攻击，电子商务移动支付平台需要建立完善的安全防护机制。
定期对系统进行安全检测和漏洞扫描，及时修补系统漏洞，防止黑客入侵和攻击。
2.4 用户教育与安全意识提升除了平台的安全措施，用户自身也应提高对电子商务移动支付安全的重视。
平台可以通过向用户提供安全使用指南、举办安全培训等方式，提高用户的安全意识，减少安全风险。
三、结语随着电子商务移动支付的普及，安全问题是亟待解决的挑战。
通过强化身份认证、加强数据加密、完善安全防护机制以及用户教育与安全意识提升，可以有效降低电子商务移动支付的安全风险。
移动电子商务的安全问题及应对策略
移动电子商务的安全问题及应对策略移动电子商务作为一种新型便捷的电子商务形式越来越受到人们的青昧，但无线网络体系结构的不安全性，使得移动电子商务比传统电子商务存在更多的威胁，如网络中信息窃取、信息篡改、认证身份假冒等。
本文对移动电子商务当前较突出的安全问题进行了分析，并有针对性地给出了解决策略。
一、移动电子商务利用智能手机等可移动无线终端设备，通过移动网络连接Internet，并进行各种类型的电子商务交易活动，称为移动电子商务。
因其快捷方便、随时交易，它已成为电子商务发展的新趋势。
在中国，传统电子商务与移动电子商务共同发展，但移动电子商务所占份额越来越大。
随着3G等其它无线通信技术的发展与移动用户的进一步壮大，中国移动电子商务将会迅速发展。
二、移动电子商务的安全问题(一)无线网络自身的安全问题移动网络自身存在一定的安全性问题，在移动电子商务给使用者带来方便的同时也隐藏着诸多安全问题，如通信被窃听、通信双方身份欺骗与通信内容被篡改等。
由于通信媒介的不同，信息的传输与转换也可能造成不安全的隐患。
(二)通信终端的安全问题目前手持移动设备的安全成胁主要有：移动设备的物理安全，用户身份、账户信息和认证密钥丢失，SIM卡被复制，RFID被解密等方面。
(三)软件病毒造成的安全威胁目前，手机软件病毒呈加速增长的趋势加重了这种安全威胁，软件病毒会传播非法信息，破坏手机软硬件，导致手机无法正常工作。
主要安全问题表现在用户信息、银行账号和密码等被窃等方面。
(四)运营管理漏洞目前有着众多的移动商务平台，而其明显的特点是平台良莠不齐，用户很难甄别这些运营平台的真伪和优劣。
在平台开发过程中一些控制技术缺少论证，在使用过程中往往出现诸多问题，而服务提供者对平台的运营疏于管理，机制不健全，这些都导致了诸多的安全问题。
三、移动电子商务安全策略安全问题是移动电子商务服务提供者首要考虑的问题，在开发的初期及运营过程中都必须注重移动商务的安全性，安全策略的开发可以借鉴传统电子商务，但不可忽视自身的特点，只有二者兼顾才能更好的为用户提供安全的交易环境，才能促进移动商务的快速发展。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
3.3.4 Hash链安全实现机制
• 采用过多公钥签名技术会严重影响系统效率，实际中更 多采用效率更高的Hash函数代替签名，或两者结合 • 基本思想
– 由Lamport提出：由用户选择一个随机数，并对其进行多次 Hash计算，将每次Hash的结果组成一个序列{xn, xn-1, xn-2, …… x2, x1, xn0}，其中 xn-1=h(xn), xn-2=h(xn-1), x1=h(x2), x0=h(x1) x0称为根 – 由于Hash函数的单向性，验证时可通过相反的顺序进行
– （4）认证服务器处理响应
• （i）认证服务器通过查询或计算得到用户的口令，并用该口令对所接受到的响应进行解密 • （ii）认证服务器将解密结果与自己的计算结果（Hash值）进行比较，若相同则通过认证，否 则认证失败
– （5）双方认证结束 2013-8-20
11
• 动态口令的生成
3.3.3 动态口令与挑战机制相结合的 安全实现方法
• 基于口令的安全机制小结：实现简单，安全性较弱
2013-8-20 8
3.3.2 基于挑战响应机制的安全实现方法
• 挑战响应（Challenge/Response）
– 每次认证时，认证服务器给客户端发送一个不 同的“挑战（challenge）”文本，客户端程序 收到这个“挑战”文本后，进行相应的“响应 （response）”
– （3）终端处理响应
• （i）终端将用户名和随机数合并，使用单向Hash函数生成一个字符串 • （ii）终端利用自己的口令对这个字符串进行加密 • （iii）将加密 的结果作为响应返回服务器
– （4）认证服务器处理响应
• （i）认证服务器通过查询或计算得到用户的口令，并用该口令对所接 收到的响应进行解密 • （ii）认证服务器将解密结果与自己的计算结果（Hash值）进行比较， 若相同则通过认证，否则，认证失败 • （iii）认证服务器通知用户认证成功或失败
• 基于Hash链的认证机制包括S/KEY和消息认证等，其中 Hash函数可选用MD5和SHA，也可以使用传统对称算法
2013-8-20
14
3.3.4 Hash链安全实现机制
• 基于Hash链的安全支付模式
经纪人 1.获得授权 用户
•
银行和信 用卡公司
特点 • 安全：可以实现鉴 别性、机密性、完 整性、不可否认性 简单：Hash运算的 速度快，是RSA的一 万倍
Internet 终端 认证系统机制 终端
– 时间同步
• 要求服务器与客户端时间同步（一般由客户端将当前时间进行适当变换传 送给服务器）
– 用户密钥的产生和分配
• （i）当用户注册时，服务器随机产生用户密钥，然后分发给用户，并在自 己的数据库中保存，以供以后产生口令时使用 • （ii）用户可根据需要申请服务器重新产生密钥 2013-8-20 （iii）密钥数据的保存必须经过加密保存 12 •
• 基于WAP的移动电子商务安全实现模型
– 采用端到端的安全模型，即在通信模型中的高层实现安全机制 – WAP屏蔽了下层的各种承载技术（如GSM、短消息、WCDMA等）， 为上层提供统一的应用环境 – WAP协议族中主要是WTLS（无线安全传输层，Wireless Transport Layer Security）协议，其核心是WPKI（无线公开密钥体系， Wireless Public Key Infrastructure） – 目前WAP1.2最为成熟，市场上大多移动终端均支持WAP1.2
服务器 （2） （3） （4） 终端
• （i）认证服务器从用户数据库中查询用户是否是合法用户，若不是则不作进一步处理 • （ii）认证服务器使用单向Hash函数对R1进行运算生成一个字符串，并用于终端共享的秘密信 息对字符串加密，作为响应 • （iii）认证服务器内部产生一个随机数R2，作为“挑战”文本 • （iv）将响应和“挑战”文本发送给终端
• 用户的永久身份（IMIS）不能在无线接入链路上被窃听到 • 用户到达某个位置或某个区域不能通过对无线接入网的窃听而得到
– 用户位置的隐藏
– 用户的不可跟踪性
• 攻击者不能通过在无线接入网上窃听来推断出是不是对某个用户提供了 不同的服务
2013-8-20 2
3.1.2 业务安全需求
• 需要考虑的因素
3.兑现支付
•
商家
2.从商家获得购买信息，进行支付
• 用户初次在经纪人处注册时由后者颁发一个支付证书 • 支付前用户将Hash链的最后结果（根）签名后发送给商家，该签 名结果成为支付承诺，可表示在信用机制下用户支付的可认证性 • 用户在每次支付时都以同计算Hash链相反的顺序向商家提交Hash 序列中的Hash值，每个Hash值代表一个支付单元，商家只需要进 行一次Hash计算即可进行验证，而反向计算在计算上是不可行的 • Hash链一般由用户产生，而前述支付承诺的证书由经纪人颁发。 在进行支付时，用户将自己的证书、支付承诺和Hash链（以Hash 链生成相反的顺序）提交给商家。一定时间后，商家会集中把 Hash链和支付承诺提交给经纪人进行兑现 2013-8-20 • 由于采用了支付承诺的方式，一个Hash链一般都指针对特定商家 15
2013-8-20 5
3.2.2 移动电子商务系统中安全实现模型
• 安全实现模型考虑因素
– 移动电子商务的业务环境复杂（交易双方、移 动运营商、服务提供商、第三方独立实体【如 认证、支付等】） – 移动电子商务的网络环境复杂（无线网络、移 动运营商的核心优选网络、移动服务提供商之 间的互联网或专线连接） – 不同业务有不同的安全需求（对安全性要求高 的需要建立端到端的安全模型）
– 安全模式增加的业务成本 – 业务能够容许的安全强度 – 安全模式对业务流程和效率的影响
• 业务安全需求
– 交易类业务 – 安全商务数据处理类业务 – 安全认证类业务
2013-8-20 3
3.2业务安全实现模型
• 3.2.1 通信安全模型 • 点到点安全模型
– 即链路加密方式，在将数据置于物理通信链路之前 对数据进行加密；可用在物理层或数据链路层 – 优点：易操作，对用户透明（即通过链路传送之前 所有数据都被加密）；每一次链路仅需一组密钥； 因为任何路由信息均被加密因此能够通过安全的通 信序列（保密性强） – 缺点：在中间结点间数据易被暴露；由于每个链路 均需要加密因此开销较大，且网络中每个结点均需 要保护并可信；对主机上的报文不予保护（即各结 点上的报文以明文形式出现）
• 利用此机制可实现单向认证或双向认证
2013-8-20
9
3.3.2 基于挑战响应机制的安全实现方法
• 1. 单向认证（服务器对客户端的认证）
– （1）终端发起认证请求 – （2）认证服务器处理请求
（1） （2） （3） （4） 终端
• （i）认证服务器从用户数据库中查询用户是 服务器 否是合法的用户，若不是则不作进一步处理 •（ii）认证服务器内部产生一个随机数，作为“挑战”文本 •（iii）将“挑战”文本传送给终端
• 基于Hash链安全机制的商务模式
移动终端
3.3.4 Hash链安全实现机制
第三方 SP
Internet 移动运营 商网络 移动终端 移动终端
运营商移动电子商务平台 SP
SP
•
所涉及的三方角色 • 经纪人：可由移动运营商或独立的第三方承担，主要负责向用户颁发证 书，并对商家进行支付的兑现 • 商家：可以由承建了移动电子商务平台的移动运营商或直接由移动电子 商务服务提供商承担，当移动运营商承担时运营商就作为商家的代理对 用户进行收费，同时运营商与商家之间通过其他的信任关系进行收益的 分成 • 用户：要求其终端能够处理证书，并配置有相应的软件来进行相关操作
注：点到点（链路）安全模型不适合移动电子商务业务
2013-8-20 7
3.3 基于非PKI体系的安全实现技术
• 3.3.1 基于口令的安全实现方法 • 软件加密
– 传统加密方法：用软件将口令加密，当接收用户口令时把存储的口令解 密，然后比较判断两个口令是否一致 – 单向函数法：利用单向函数加密容易解密难的特性，对口令加密存储， 当用户输入口令时，口令也被加密，然后比较加密后的口令是否一致
– （3）终端处理响应
• （i）终端用共享的秘密解密响应，将解密结果与自己的计算结果（Hash值）进行对比，若相 同则通过对服务器的认证，否则认证失败 • （ii）终端将用户名和随机数R2合并，使用单向Hash函数生成一个字符串 • （iii）终端利用自己的动态口令对该字符串加密 • （iv）将加密的结果作为响应返回服务器
2013-8-20 6
3.2.2 移动电子商务系统中安全实现模型
端的安全实现模型（因为业务涉及的各个实体之间缺乏 可靠的信任关系），直接在应用层上采取各种安全机制来建立业 务安全模型 – 点对点的安全模型是不适合的（因为底层的加密技术只能保护通 信传输的安全而不能保护上层商务应用业务数据的安全）
移动电子商务安全解决方案
2013年
2013-8-20
1
3.1 移动电子商务安全需求
• 3.1.1 安全需求概述 • 安全因素
– 交易：对交易方和交易数据提供安全保护 – 信息：保护敏感和有价值的用户信息 – 基础设施：保护承载网络不被攻击
• 安全需求
– – – – – 数据机密性 信息的完整性 信息的可认证性 信息的防抵赖性 用户身份的隐藏
• 一次性口令
– 每次登录使用一个口令，然后就将其从列表中删除，同时服务器在比对 口令后也将相应的口令从数据库中删除 – 或用户使用口令卡，该卡每次仅显示一个不同的口令
• 随机口令
– 选取真实世界的自然随机数（如基于半导体内部噪声信号随机性的数字 物理噪声芯片）
• 动态口令