多媒體

移動(dòng)通信

  移動(dòng)通信,你了解嗎
  窮移動(dòng)通信之理
  我國(guó)移動(dòng)通信網(wǎng)
  手機(jī)之魅
  潮流擋不住

計(jì)算機(jī)網(wǎng)絡(luò)

智能網(wǎng)

光通信

微波通信

衛(wèi)星通信

交換網(wǎng)

接入網(wǎng)

電信管理網(wǎng)

 

 

  
  電信博物館 > 移動(dòng)通信 > 潮流擋不住 > 潮流話題――手機(jī)上網(wǎng)


 


WAP網(wǎng)關(guān)

  如同TLS對(duì)于Internet作用一樣,多數(shù)情況下WTLS已足以確保WAP的安全。但是對(duì)于WAP有一個(gè)不安全的例外,該例外只發(fā)生在WAP會(huì)話中,而且與WAP網(wǎng)關(guān)有關(guān)。WAP需要將WML與WMLScript翻譯為二進(jìn)制代碼,以適合于在低帶寬的網(wǎng)絡(luò)上傳輸,并且使得資源貧乏的終端設(shè)備易于處理。WAP網(wǎng)關(guān)負(fù)責(zé)這種轉(zhuǎn)換,這里存在2點(diǎn)暗示:

  WTLS安全會(huì)話建立在手機(jī)與WAP網(wǎng)關(guān)之間,而與終端服務(wù)器無(wú)關(guān)。這意味著數(shù)據(jù)只在WAP手機(jī)與網(wǎng)關(guān)之間加密,網(wǎng)關(guān)將數(shù)據(jù)解密后,利用其它方法將數(shù)據(jù)再次加密,然后經(jīng)過(guò)TLS連接發(fā)送給終端服務(wù)器。

  WAP網(wǎng)關(guān)可以看見(jiàn)所有的數(shù)據(jù)明文,而該WAP網(wǎng)關(guān)可能并不為服務(wù)器所有者所擁有,這樣,潛在的第3方可能獲得所有的傳輸數(shù)據(jù),而該數(shù)據(jù)卻被認(rèn)為是安全傳輸?shù)摹?br>
  在有線互聯(lián)網(wǎng)世界里與WEB服務(wù)器建立安全連接,通常會(huì)假設(shè)您與Internet有一條不為第3方干預(yù)的直接連接。如果您從公司網(wǎng)絡(luò)訪問(wèn)Internet,則數(shù)據(jù)包在達(dá)到Internet之前往往會(huì)經(jīng)過(guò)代理服務(wù)器。這種情況下,訪問(wèn)Internet的安全性就依賴于所使用的代理服務(wù)器的配置情況。一些ISP提供緩存服務(wù),其中包括了代理服務(wù)器,您可以配置瀏覽器以通過(guò)這些代理進(jìn)行網(wǎng)上沖浪。另外還有一種透明的代理服務(wù)器,使您無(wú)需配置本地瀏覽器就可以直接使用它。這似乎與介于設(shè)備和服務(wù)器之間的WAP網(wǎng)關(guān)很相似,但其實(shí)它們有著本質(zhì)的不同。代理服務(wù)器為SSL/TLS會(huì)話建立了"隧道",它有些像路由器,只是進(jìn)行包的轉(zhuǎn)發(fā),而不會(huì)對(duì)數(shù)據(jù)進(jìn)行解密進(jìn)而獲得數(shù)據(jù)明文。

  當(dāng)然,你可能會(huì)說(shuō)WEB服務(wù)器會(huì)在其后方的應(yīng)用程序之前先獲得數(shù)據(jù)明文,但是,對(duì)于多數(shù)有較高安全需求的公司來(lái)說(shuō),他們一般擁有這些WEB服務(wù)器以及連接WEB服務(wù)器和終端應(yīng)用程序的網(wǎng)絡(luò)。這意味著他們可以控制誰(shuí)有權(quán)發(fā)現(xiàn)WEB服務(wù)器的位置,WEB服務(wù)器對(duì)誰(shuí)是可見(jiàn)的,誰(shuí)對(duì)WEB服務(wù)器具有管理權(quán)限,何時(shí)對(duì)服務(wù)器進(jìn)行維護(hù),以及其它與服務(wù)器和網(wǎng)絡(luò)安全相關(guān)的事項(xiàng)。

  然而讓網(wǎng)絡(luò)運(yùn)營(yíng)商擁有WAP網(wǎng)關(guān)究竟有多大危險(xiǎn)呢?誠(chéng)實(shí)的回答是:危險(xiǎn)很小,但仍然存在。著名的網(wǎng)關(guān)供應(yīng)商和網(wǎng)絡(luò)運(yùn)營(yíng)商都盡力確保他們的WAP網(wǎng)關(guān)安全。很明顯,他們并不愿意他們的業(yè)務(wù)與安全災(zāi)難有任何牽連,所以他們保證數(shù)據(jù)明文不在磁盤(pán)上讀寫(xiě),而且加密與解密全部在內(nèi)存中以最快的速度進(jìn)行,這些進(jìn)程使用的內(nèi)存空間在釋放前必須被覆蓋,以確保數(shù)據(jù)是絕對(duì)安全的。

  以上的所有措施都是非?煽康,并且或許能夠滿足多數(shù)人的需求。然而仍有不少人持懷疑態(tài)度。我們可以考慮這個(gè)事實(shí),盡管許多最大的軟件生產(chǎn)商和世界上最好的編程人員都在盡力解決安全問(wèn)題,但是各種產(chǎn)品的安全漏洞卻不斷地被發(fā)現(xiàn)。有些人認(rèn)為,WAP網(wǎng)關(guān)的安全漏洞遲早會(huì)暴露,這或許是由于軟件的脆弱,或許由于配置和管理錯(cuò)誤,或許是由于雇員的蓄意或無(wú)意地操作。

  對(duì)于那些有著較高安全需求的公司來(lái)說(shuō),一個(gè)很明顯的可行的解決方案是擁有自己的WAP網(wǎng)關(guān)。許多著名廠商如Nokia等都推出了自己的WAP網(wǎng)關(guān)產(chǎn)品,您可以在自己的站點(diǎn)上安裝它們。另外有一些WEB和應(yīng)用程序服務(wù)器的生產(chǎn)商也在它們的產(chǎn)品中嵌入了WAP網(wǎng)關(guān),如BEA的WebLogic。如果您決定運(yùn)行自己的WAP網(wǎng)關(guān),那么需要考慮幾個(gè)問(wèn)題。根據(jù)您的安全需求和環(huán)境配置情況,您可以成為自己的ISP。如果那些移動(dòng)設(shè)備訪問(wèn)的應(yīng)用程序很敏感,而您不希望它們被Internet訪問(wèn),則您需要建立調(diào)制解調(diào)器堆和RAS服務(wù)器,以允許撥號(hào)訪問(wèn)您的網(wǎng)絡(luò)。您應(yīng)該允許您的用戶連接到WAP網(wǎng)關(guān)及其之后的服務(wù)。除非您同意您的用戶經(jīng)過(guò)您的網(wǎng)絡(luò)訪問(wèn)Internet,否則您必須在您的網(wǎng)絡(luò)上配置Internet網(wǎng)關(guān),這樣用戶就無(wú)法訪問(wèn)到Internet上的其它WAP服務(wù)。下圖所示是一個(gè)例子。

  根據(jù)所要提供的服務(wù),這些可能根本不是問(wèn)題。許多客戶可以輕易地滿足上圖的配置,因?yàn)樗麄円呀?jīng)具備了大而且復(fù)雜的計(jì)算環(huán)境,以支持撥號(hào)連接。他們一般明確地表示不希望Internet能訪問(wèn)到他們的應(yīng)用程序,而且不希望用戶能通過(guò)他們的網(wǎng)絡(luò)訪問(wèn)到Internet。他們通常是大型的投資銀行或基金管理結(jié)構(gòu),具有迫切的安全需求和充足的資金以建設(shè)這種機(jī)構(gòu)。這種方案一般不適合于小公司。

  另一種配置方案可以讓您具有自己的WAP網(wǎng)關(guān),但是無(wú)需額外的資金來(lái)充當(dāng)自己的ISP。這種配置對(duì)你是否足夠安全主要依賴于你的安全需求。一旦WAP網(wǎng)關(guān)可以被Internet訪問(wèn),那么它將更容易受到攻擊,當(dāng)用戶訪問(wèn)你的系統(tǒng)遇到問(wèn)題時(shí),你和ISP之間的責(zé)任分界線將不如上個(gè)模型那樣鮮明。但是對(duì)于那些希望向公眾提供服務(wù)而又想擁有自己的WAP網(wǎng)關(guān)的組織來(lái)說(shuō),這個(gè)模型比較容易實(shí)現(xiàn)。該模型中,用戶撥號(hào)到ISP,接著就可以訪問(wèn)Internet,然后他們使用ISP的RAS服務(wù)器,并且就如同訪問(wèn)Internet上的任何WEB服務(wù)器一樣開(kāi)始訪問(wèn)WAP網(wǎng)關(guān)。這個(gè)模型是安全的,因?yàn)樵谑謾C(jī)與WAP網(wǎng)關(guān)之間使用了WTLS作為"隧道"協(xié)議。

  雖然在該圖中WAP網(wǎng)關(guān)和WEB服務(wù)器位于同一個(gè)網(wǎng)段內(nèi),但在實(shí)際中并非一定如此。就如同網(wǎng)絡(luò)運(yùn)營(yíng)商擁有網(wǎng)關(guān)時(shí)一樣,WAP網(wǎng)關(guān)和WEB服務(wù)器可以位于不同的網(wǎng)段,而且WEB服務(wù)器甚至可以位于Internet可以訪問(wèn)的另一個(gè)網(wǎng)絡(luò)中。由于TLS用來(lái)保證網(wǎng)關(guān)和WEB服務(wù)器之間的通信安全,它就同Internet上任何客戶/服務(wù)器連接一樣安全可靠。

  值得一提的是,一些零售金融機(jī)構(gòu)選擇通過(guò)網(wǎng)絡(luò)運(yùn)營(yíng)商的網(wǎng)關(guān)向用戶提供服務(wù),因?yàn)樗麄兿M脩裟軌虮憷卦L問(wèn)他們的移動(dòng)銀行服務(wù)。由于在交易環(huán)節(jié)中存在著安全缺陷,那么用戶自然會(huì)考慮是否值得使用這些服務(wù)來(lái)進(jìn)行與帳戶的交易。這種安全問(wèn)題同樣會(huì)影響用戶在移動(dòng)連接上使用信用卡的意愿。

  考慮到需要將WML和WMLScript轉(zhuǎn)化為二進(jìn)制代碼,如果我們要提供端到端的安全解決方案,就要求應(yīng)用層支持認(rèn)證和數(shù)據(jù)加密。WAP 1。2說(shuō)明中的加密庫(kù)只包含了一個(gè)函數(shù),用來(lái)為文本串產(chǎn)生簽名,但是該說(shuō)明也指出,在未來(lái)版本的說(shuō)明中,可能加入新的加密功能。當(dāng)支持WIM(WAP Identity Module,WAP身份模塊)的設(shè)備啟動(dòng)時(shí),它有可能將產(chǎn)生簽名的密鑰保存在智能卡上。WAP討論組已經(jīng)意識(shí)到了端到端安全性的問(wèn)題并且正在尋找解決方案,但至今仍沒(méi)有書(shū)面的標(biāo)準(zhǔn)方案,因此我們只能利用現(xiàn)有的協(xié)議自己設(shè)計(jì)應(yīng)用程序。


[上一頁(yè)] [下一頁(yè)]