移動商務應用中的認證技術

劉忠

移動商務又稱為下一代電子商務，是指使用移動設備進行電子交易和互動的一種行為。越來越多的商家開始通過用戶的移動設備提供電子交易服務，而這一切如果沒有智能手機的出現是不可能實現的。智能手機為移動商務提供了小型的瀏覽器和相關的安全服務（例如，證書、加密等），而且，手機一般和用戶寸步不離且很少關機，這就使得移動商務對企業而言非常誘人。當今，移動商務已經成為一種商業模式，成為增加企業核心競爭力的手段之一。

近些年推出的很多產品和服務都在使用移動商務，包括從基本的移動營銷到要求高度安全級別的支付類應用。現在很多金融交易都離不開移動支付作為中間環節。愛立信作為電信行業的巨頭同時也是移動支付領域的佼佼者，估計截至2015年移動支付行業會創造20億歐元的利潤和600億歐元的營業額。

移動商務依托智能手機為企業提供了新的機遇，并且為用戶提供了隨時隨地在線交易的途徑。但是，我們不能忽視隨之而來的安全問題。例如，移動商務的認證問題，安全金融交易的實現問題等。

一、移動商務安全現狀分析

移動設備上的病毒和傳統計算機病毒在行為方式上是一致的，都具有傳染性；不同之處是其適應性，移動設備上的病毒在往往專門為某一種運行環境設計的，例如塞班操作系統、IOS等，這些病毒一般通過藍牙或者短信傳播。在過去十年間，有超過200種有關移動設備的安全威脅被發現，這些威脅幾乎都與特定的機器設備有關。例如，塞班操作系統被報道出來的病毒明顯多于其他操作系統。可以肯定的是，安全威脅的數量和移動設備的復雜性成正比。

為了擴大消費群體和提供更大的便捷性，越來越多的商業交易都有了自己的移動平臺，這些平臺或者應用的推出除了吸引更多的用戶外，同時也引起了黑客的注意；可以預見，在未來一段時間內，移動設備遭受攻擊的案例會越來越多。當然，移動設備生產廠商也不會坐以待斃；例如，蘋果公司在其IOS操作系統中通過實施某些安全策略，限制未經許可的程序安裝在它們的平臺上，從而在一定程度上保證用戶系統的安全；但黑客們也已經開發出某些程序，這些程序可以繞過這些安全機制，讓用戶隨心所欲的安裝軟件（這一行為稱之為“越獄”），這些軟件很有可能存在被黑客利用的漏洞。本文接下來將探討移動商務中如何進行訪問控制。

二、移動商務認證技術

1.雙因素認證。簡單來說，雙因素身份認證是通過你所知道再加上你所能擁有的這二個要素組合到一起才能發揮作用的身份認證系統。在移動商務領域，其中一個因素是智能手機，另一個因素是密碼，只有兩者結合才能認證。認證過程需要手機產生一個動態密碼（OTP），或者使用短信獲得一個遠程服務器產生的OTP，然后配合已有密碼同時輸入到系統中，只有兩者皆正確，才能完成認證。這樣的話，即使用戶已知的密碼被泄露也不用擔心系統被入侵了，這比傳統的單因素認證要安全的多。

現如今，雙因素認證系統被廣泛使用。例如，使用中國銀行網銀系統付款時需要同時輸入口令牌中的動態密碼和由短信接收的密碼，兩者缺一不可。有的銀行使用動態令牌卡和動態密碼也可以實現安全交易。

2.單點登錄認證。一般來說，用戶對多個應用會建立若干個賬號來訪問，例如，郵箱賬號、QQ賬號、辦公系統的賬號等。用戶需要記住不同的用戶名和密碼組合才能訪問這些應用。單點登錄機制（SSO）只需要通過用戶的一次性鑒別登錄，即可獲得需訪問系統和應用軟件的授權，也就是說，用戶不需要為每個應用逐一認證，只用認證一個應用即可。至于應用程序之間如何認證，用戶不用介入。這種服務現在也被廣泛的使用，例如現在可以使用QQ帳號登錄很多論壇，用戶只需要授權該論壇有驗證QQ帳號密碼的權限即可。

這種服務雖然方便了用戶，但如果某個帳號被竊取了，單點登錄機制會導致該用戶的多個應用都有被盜用的危險。特別是有些應用程序安全級別較低，黑客可能會通過取得這些程序的權限來達到獲取高安全級別應用權限的目的。

3.強認證。強認證引入了移動電話充當認證的令牌，取代了傳統的硬件令牌。傳統方式下，企業需要維護成百上千個硬件令牌用于認證，這樣付出的代價是相當高的；而且，用戶也需要隨身攜帶一個硬件令牌隨時進行認證，這樣給用戶造成了很大不便。強認證使用手機作為動態密碼的發生器，解決了上述不便；而且，使用手機還可以實現上面描述的雙因素認證。

4.社交認證。加拿大麥吉爾大學的兩位研究員在一份研究報告中建議，在已有的雙因素認證再添加一個社交認證因素可以增加系統的安全性，該因素來源于某個人所屬的社交網絡，比如他所認識的朋友或親人。全球最大的社交網站Facebook實踐了這一應用，當系統接收到從國外發送來的登錄請求時，用戶被要求回答本人相冊中三張照片里某個人的姓名，一般情況下，陌生人是不認識用戶的朋友的，從而系統抵御了這類人的攻擊；但是，如果用戶的系統遭到他朋友的攻擊時，社交認證就難以抵御了，因為他們可能有共同的朋友。

5.基于橢圓曲線密碼的無線本地支付方案。1985年，N.Koblitz和V.Miller分別提出了橢圓曲線密碼體制（ECC），其依據是定義在橢圓曲線點群上的離散對數問題的難解性。這一應用同樣可以使用在無線安全交易領域。例如，用戶通過手機進行支付時，可以使用公鑰基礎設施（PKI）框架，在這一框架下，系統的安全性由一系列的安全密碼原語和協議保證。

這個框架涵蓋了支付方、收款方和他們各自的銀行之間的安全通信。過程大致是這樣的：支付方從發卡行提交支付請求，銀行給他發送一份帶有支付方簽名的電子支票，然后支付方和收款方建立一個安全連接，他們互相交換公鑰證書，并協商好會話密鑰用作認證。支付方收到收款方發送給他的加密收據后，回復一封經過簽名后的電子支票。收款方簽名，然后將該支票發到收單行，由銀行驗證支票的有效性。整個過程基于藍牙協議棧和橢圓曲線密碼原語。

在線支付服務提供商。在線支付服務提供商的代表——貝寶，使用單因素認證，即只使用了密碼驗證用戶的有效性。該系統強制用戶使用強密碼，例如，要求用戶設置的密碼是不同數據類型的組合，限制最小密碼位數等。盡管強密碼難于用具窮法破解，但這種單因素系統仍然較脆弱，尤其是現在密碼破解技術越來越高明，從某種角度上講，該系統仍不夠安全。

Alan D.Smith對這個系統做了深刻的研究。這項研究采訪了來自18個國家的190位工作人員，歷時四個月之久。經過調查，作者指出了使用在線支付服務的某些缺點。

“貝寶不是一家銀行，所以它沒有內部審計，并且所有的資金沒有保證。”

“貝寶在很大程度上依賴于安全性并且它的軟件在過去曾出現漏洞。例如，在2000年，貝寶和其他在線支付系統遭到俄羅斯的黑客攻擊。”但是，研究的最后結果也顯示了，在線支付服務有較大的用戶群體，并且在將來還有很大的發展潛力。

近些年來在認證和支付領域不斷涌現新的研究成果。有些技術是針對某一平臺（操作系統，如IOS、Android等）的認證技術，而有些認證技術與平臺無關，例如，本文提到的多因素驗證或第三方在線支付平臺等，它們都能在一定程度上認證用戶，達到訪問控制、提高系統安全性的目的。但是，如果要保障移動商務的安全，除了應該采取嚴密的認證體系外，還應該加強移動支付系統本身的安全性。

（作者單位：陜西理工學院）