電商平臺(tái)等
APP開(kāi)發(fā)的安全問(wèn)題有哪些？我國(guó)移動(dòng)電子商務(wù)正處在快速興起階段，安全且便捷的電子商務(wù)平臺(tái)是電子商務(wù)發(fā)展的關(guān)鍵，在行業(yè)整體蓬勃發(fā)展的同時(shí)，許多方面還存在問(wèn)題，其中最核心的問(wèn)題就是移動(dòng)電子商務(wù)平臺(tái)的安全問(wèn)題。開(kāi)展移動(dòng)電子商務(wù)可以由多種平臺(tái)承載，其中，WAP及短消息是實(shí)現(xiàn)移動(dòng)電子商務(wù)最主要的平臺(tái)。
APP開(kāi)發(fā)公司本文主要介紹WAP及短消息的安全問(wèn)題。
電商平臺(tái)等APP開(kāi)發(fā)的安全問(wèn)題之基于WAP平臺(tái)的移動(dòng)商務(wù)安全問(wèn)題
WAP用于把互聯(lián)網(wǎng)的海量信息、多種多樣的業(yè)務(wù)引入移動(dòng)終端中。WAP支持多種無(wú)線網(wǎng)絡(luò)協(xié)議，包括GSM、CDMA、LTE等。這使得用戶不論身處何地，只
要利用WAP終端即可獲取Internet上的豐富資源。WAP自發(fā)展之初至今共包含3個(gè)版本，即WAP1.1、 WAP1.2、WAP2.0，其中，WAP2.0是當(dāng)前的發(fā)展趨勢(shì)，主流終端已能夠支持2.0版本，APP開(kāi)發(fā)公司資深工程師下面分別介紹3個(gè)
APP開(kāi)發(fā)關(guān)于版本的安全問(wèn)題。
WAP1.1
主要基于WTLS協(xié)議保證安全性，該協(xié)議能夠提供針對(duì)傳輸層數(shù)據(jù)機(jī)密性、完整性的保障，并對(duì)通信雙方的身份進(jìn)行認(rèn)證，但不能提供數(shù)字簽名機(jī)
制，對(duì)部分用戶的抵賴行為無(wú)能為力。與WAP1.1相比，WAP1.2優(yōu)勢(shì)在于制定了WIM規(guī)范，該規(guī)范將原先存儲(chǔ)于手機(jī)軟件中的機(jī)密信息(包括私鑰和共享秘密參數(shù)等)改為存于SIM卡或智能卡等防篡改設(shè)備中，進(jìn)一步增強(qiáng)了機(jī)密信息完整性的保護(hù)。同時(shí)，加/解密算法也改為在SIM-卡或智能卡中實(shí)現(xiàn)，可以設(shè)計(jì)專[門的加/解密芯片，保證在不脫離硬件的情況下，完成針對(duì)機(jī)密信息的加/解密過(guò)程。因此，手機(jī)軟件中無(wú)需保存機(jī)密信息，即便手機(jī)丟失，私鑰等重要參數(shù)已固化于智能卡設(shè)備中，可有效避免泄露的風(fēng)險(xiǎn)。同時(shí)，WAP1.2制定了安全API庫(kù)WMI Script。WMLScript中提供數(shù)字簽名機(jī)制以彌補(bǔ)WAP1.1中無(wú)法實(shí)現(xiàn)的缺陷。
WAP1.2
的安全問(wèn)題在于無(wú)法提供端到端的保密通信，由于WAP網(wǎng)關(guān)服務(wù)器接收經(jīng)過(guò)無(wú)線編碼的WAP用戶數(shù)據(jù)后，需先譯碼再進(jìn)行互聯(lián)網(wǎng)編碼，譯碼和重新編碼的時(shí)間間隔不到1s，使得該段時(shí)間內(nèi)用戶信息處于未編碼狀態(tài)。雖然處于未編碼狀態(tài)的時(shí)間極短，但這也是WAP1.x固有的安全隱患。相較WAP1.1，WAP2.0的主要優(yōu)勢(shì)在于，提出使用SSL/TLS保障傳輸層的通信安全，進(jìn)而實(shí)現(xiàn)了傳輸層端到端的保密通信。同時(shí)，在繼承WAP1.1安全性保障的基礎(chǔ)上，WAP2.0根據(jù)WAP1.1中存在的問(wèn)題及當(dāng)前移動(dòng)通信發(fā)展趨勢(shì)，提出了新的安全協(xié)議，包括WPKI。WAP2.0能夠?yàn)橐苿?dòng)電子商務(wù)交易提供較好的安全性保障，這是當(dāng)前移動(dòng)電子商務(wù)的發(fā)展方向。
電商平臺(tái)等APP開(kāi)發(fā)的安全問(wèn)題之基于短消息的移動(dòng)商務(wù)安全問(wèn)題
點(diǎn)到點(diǎn)的短消息服務(wù)提供了一種移動(dòng)電話發(fā)起或終止的長(zhǎng)度受限消息的發(fā)送方式。當(dāng)發(fā)生部分小額商務(wù)交易時(shí)，可利用短消息(SMS)完成移動(dòng)支付，例如彩鈴訂購(gòu)。在利用SMS進(jìn)行移動(dòng)商務(wù)交易過(guò)程中，短消息服務(wù)中心(SMSC)起著存儲(chǔ)轉(zhuǎn)發(fā)短消息的作用，即發(fā)端用戶將短消息發(fā)至SMSC, SMSC進(jìn)行處理后，轉(zhuǎn)發(fā)短消息至接收端用戶。因此，終端和終端之間、終端和服務(wù)器之間的直接交互難以實(shí)現(xiàn)，部分安全機(jī)制不再適用?；诙滔⒌囊苿?dòng)商務(wù)過(guò)程中存在的安全問(wèn)題，深圳APP開(kāi)發(fā)公司下面具體從接入部分、SMSC、業(yè)務(wù)實(shí)體3個(gè)方面分別介紹。
1. SMS接入的安全問(wèn)題
用戶可通過(guò)和基站間的無(wú)線鏈路或者由基站到移動(dòng)交換中心再到SMS網(wǎng)關(guān)的有線網(wǎng)絡(luò)兩種方式接入SMSC。短消息在網(wǎng)絡(luò)中傳輸時(shí)可以使用A5算法加密，然而對(duì)于GSM網(wǎng)絡(luò)而言，內(nèi)部有線鏈路的數(shù)據(jù)、信令消息均未加密，存在被黑客監(jiān)聽(tīng)竊取的安全威脅。黑客甚至可能篡改通信消息，達(dá)到欺騙合法用戶的目的。此外，由于信道中傳送短消息是基于MAP (Mobile Application Part,移動(dòng)應(yīng)用部分)傳輸協(xié)議，該協(xié)議自身并無(wú)任何加密機(jī)制，使得短消息在信道中傳輸時(shí)也未加密。數(shù)據(jù)的機(jī)密性、完整性均無(wú)法保障。
2. SMSC的安全問(wèn)題
SMSC與互聯(lián)網(wǎng)短信網(wǎng)關(guān)(ISMG)之間利用TCP/IP連接，且二者間傳輸?shù)臄?shù)據(jù)并未加密，使得黑客能夠竊聽(tīng)SMSC和ISMG之間的通信。同時(shí)，由于SMSC和ISMG之間采用單向鑒權(quán)，即SMSC對(duì)ISMG進(jìn)行 鑒別，未提供ISMG對(duì)SMSC的鑒權(quán)機(jī)制。黑客在竊聽(tīng)通話獲取重要數(shù)據(jù)后，可能偽裝成短消息中心，發(fā)起與短信網(wǎng)關(guān)的會(huì)話，可達(dá)到欺騙短信網(wǎng)關(guān)的目的。SMSC的另一個(gè)安全問(wèn)題是數(shù)據(jù)庫(kù)的管理問(wèn)題。由于數(shù)據(jù)庫(kù)中存儲(chǔ)著大量用戶的重要信息，對(duì)數(shù)據(jù)庫(kù)的安全管理格外重要。一是要加強(qiáng)對(duì)短消息中心數(shù)據(jù)庫(kù)的訪問(wèn)控制，嚴(yán)格限制第三方人員對(duì)數(shù)據(jù)庫(kù)的訪問(wèn);二是增強(qiáng)對(duì)短消息中心數(shù)據(jù)庫(kù)中數(shù)據(jù)的機(jī)密性保障，防范不法分子竊取數(shù)據(jù)庫(kù)中的機(jī)密信息。
3.業(yè)務(wù)實(shí)體的安全問(wèn)題
互聯(lián)網(wǎng)短信網(wǎng)關(guān)是外部信息資源站實(shí)體(SP)與移動(dòng)網(wǎng)內(nèi)短信中心之間的中介實(shí)體。SP發(fā)送給用戶的消息均經(jīng)互聯(lián)網(wǎng)短信網(wǎng)關(guān)中轉(zhuǎn)，由互聯(lián)網(wǎng)短信網(wǎng)關(guān)發(fā)送至短消息中心。同時(shí)，用戶點(diǎn)播SP業(yè)務(wù)的消息也是先由短消息中心發(fā)送給互聯(lián)網(wǎng)短信網(wǎng)關(guān)，再由互聯(lián)網(wǎng)短信網(wǎng)關(guān)發(fā)給SP?；ヂ?lián)網(wǎng)短信網(wǎng)關(guān)和SP之間利用有線網(wǎng)絡(luò)傳輸數(shù)據(jù)，這部分?jǐn)?shù)據(jù)缺乏可靠的加密機(jī)制保證安全性，為黑客竊取降低了難度。同時(shí)，互聯(lián)網(wǎng)短信網(wǎng)關(guān)對(duì)SP發(fā)送的短消息缺少完整性驗(yàn)證的安全機(jī)制，也沒(méi)有針對(duì)病毒、木馬的檢測(cè)機(jī)制，使得短消息內(nèi)容可能被黑客惡意篡改以欺騙網(wǎng)關(guān)，或者通過(guò)將短消息捆綁木馬以達(dá)到完全控制網(wǎng)關(guān)的目的。好了，
深圳APP開(kāi)發(fā)公司本文關(guān)于“電商平臺(tái)等APP開(kāi)發(fā)的安全問(wèn)題有哪些？”知識(shí)就分享到這里，謝謝關(guān)注，博納網(wǎng)絡(luò)編輯整理。
