WAP網(wǎng)關(guān)

　　如同TLS對(duì)于Internet作用一樣，多數(shù)情況下WTLS已足以確保WAP的安全。但是對(duì)于WAP有一個(gè)不安全的例外，該例外只發(fā)生在WAP會(huì)話中，而且與WAP網(wǎng)關(guān)有關(guān)。WAP需要將WML與WMLScript翻譯為二進(jìn)制代碼，以適合于在低帶寬的網(wǎng)絡(luò)上傳輸，并且使得資源貧乏的終端設(shè)備易于處理。WAP網(wǎng)關(guān)負(fù)責(zé)這種轉(zhuǎn)換，這里存在2點(diǎn)暗示：

　　WTLS安全會(huì)話建立在手機(jī)與WAP網(wǎng)關(guān)之間，而與終端服務(wù)器無(wú)關(guān)。這意味著數(shù)據(jù)只在WAP手機(jī)與網(wǎng)關(guān)之間加密，網(wǎng)關(guān)將數(shù)據(jù)解密后，利用其它方法將數(shù)據(jù)再次加密，然后經(jīng)過(guò)TLS連接發(fā)送給終端服務(wù)器。

　　WAP網(wǎng)關(guān)可以看見(jiàn)所有的數(shù)據(jù)明文，而該WAP網(wǎng)關(guān)可能并不為服務(wù)器所有者所擁有，這樣，潛在的第3方可能獲得所有的傳輸數(shù)據(jù)，而該數(shù)據(jù)卻被認(rèn)為是安全傳輸?shù)摹?br>
　　在有線互聯(lián)網(wǎng)世界里與WEB服務(wù)器建立安全連接，通常會(huì)假設(shè)您與Internet有一條不為第3方干預(yù)的直接連接。如果您從公司網(wǎng)絡(luò)訪問(wèn)Internet，則數(shù)據(jù)包在達(dá)到Internet之前往往會(huì)經(jīng)過(guò)代理服務(wù)器。這種情況下，訪問(wèn)Internet的安全性就依賴于所使用的代理服務(wù)器的配置情況。一些ISP提供緩存服務(wù)，其中包括了代理服務(wù)器，您可以配置瀏覽器以通過(guò)這些代理進(jìn)行網(wǎng)上沖浪。另外還有一種透明的代理服務(wù)器，使您無(wú)需配置本地瀏覽器就可以直接使用它。這似乎與介于設(shè)備和服務(wù)器之間的WAP網(wǎng)關(guān)很相似，但其實(shí)它們有著本質(zhì)的不同。代理服務(wù)器為SSL/TLS會(huì)話建立了"隧道"，它有些像路由器，只是進(jìn)行包的轉(zhuǎn)發(fā)，而不會(huì)對(duì)數(shù)據(jù)進(jìn)行解密進(jìn)而獲得數(shù)據(jù)明文。

　　當(dāng)然，你可能會(huì)說(shuō)WEB服務(wù)器會(huì)在其后方的應(yīng)用程序之前先獲得數(shù)據(jù)明文，但是，對(duì)于多數(shù)有較高安全需求的公司來(lái)說(shuō)，他們一般擁有這些WEB服務(wù)器以及連接WEB服務(wù)器和終端應(yīng)用程序的網(wǎng)絡(luò)。這意味著他們可以控制誰(shuí)有權(quán)發(fā)現(xiàn)WEB服務(wù)器的位置，WEB服務(wù)器對(duì)誰(shuí)是可見(jiàn)的，誰(shuí)對(duì)WEB服務(wù)器具有管理權(quán)限，何時(shí)對(duì)服務(wù)器進(jìn)行維護(hù)，以及其它與服務(wù)器和網(wǎng)絡(luò)安全相關(guān)的事項(xiàng)。

　　然而讓網(wǎng)絡(luò)運(yùn)營(yíng)商擁有WAP網(wǎng)關(guān)究竟有多大危險(xiǎn)呢？誠(chéng)實(shí)的回答是：危險(xiǎn)很小，但仍然存在。著名的網(wǎng)關(guān)供應(yīng)商和網(wǎng)絡(luò)運(yùn)營(yíng)商都盡力確保他們的WAP網(wǎng)關(guān)安全。很明顯，他們并不愿意他們的業(yè)務(wù)與安全災(zāi)難有任何牽連，所以他們保證數(shù)據(jù)明文不在磁盤(pán)上讀寫(xiě)，而且加密與解密全部在內(nèi)存中以最快的速度進(jìn)行，這些進(jìn)程使用的內(nèi)存空間在釋放前必須被覆蓋，以確保數(shù)據(jù)是絕對(duì)安全的。

　　以上的所有措施都是非�？煽康�，并且或許能夠滿足多數(shù)人的需求。然而仍有不少人持懷疑態(tài)度。我們可以考慮這個(gè)事實(shí)，盡管許多最大的軟件生產(chǎn)商和世界上最好的編程人員都在盡力解決安全問(wèn)題，但是各種產(chǎn)品的安全漏洞卻不斷地被發(fā)現(xiàn)。有些人認(rèn)為，WAP網(wǎng)關(guān)的安全漏洞遲早會(huì)暴露，這或許是由于軟件的脆弱，或許由于配置和管理錯(cuò)誤，或許是由于雇員的蓄意或無(wú)意地操作。

　　對(duì)于那些有著較高安全需求的公司來(lái)說(shuō)，一個(gè)很明顯的可行的解決方案是擁有自己的WAP網(wǎng)關(guān)。許多著名廠商如Nokia等都推出了自己的WAP網(wǎng)關(guān)產(chǎn)品，您可以在自己的站點(diǎn)上安裝它們。另外有一些WEB和應(yīng)用程序服務(wù)器的生產(chǎn)商也在它們的產(chǎn)品中嵌入了WAP網(wǎng)關(guān)，如BEA的WebLogic。如果您決定運(yùn)行自己的WAP網(wǎng)關(guān)，那么需要考慮幾個(gè)問(wèn)題。根據(jù)您的安全需求和環(huán)境配置情況，您可以成為自己的ISP。如果那些移動(dòng)設(shè)備訪問(wèn)的應(yīng)用程序很敏感，而您不希望它們被Internet訪問(wèn)，則您需要建立調(diào)制解調(diào)器堆和RAS服務(wù)器，以允許撥號(hào)訪問(wèn)您的網(wǎng)絡(luò)。您應(yīng)該允許您的用戶連接到WAP網(wǎng)關(guān)及其之后的服務(wù)。除非您同意您的用戶經(jīng)過(guò)您的網(wǎng)絡(luò)訪問(wèn)Internet，否則您必須在您的網(wǎng)絡(luò)上配置Internet網(wǎng)關(guān)，這樣用戶就無(wú)法訪問(wèn)到Internet上的其它WAP服務(wù)。下圖所示是一個(gè)例子。

　　根據(jù)所要提供的服務(wù)，這些可能根本不是問(wèn)題。許多客戶可以輕易地滿足上圖的配置，因?yàn)樗麄円呀?jīng)具備了大而且復(fù)雜的計(jì)算環(huán)境，以支持撥號(hào)連接。他們一般明確地表示不希望Internet能訪問(wèn)到他們的應(yīng)用程序，而且不希望用戶能通過(guò)他們的網(wǎng)絡(luò)訪問(wèn)到Internet。他們通常是大型的投資銀行或基金管理結(jié)構(gòu)，具有迫切的安全需求和充足的資金以建設(shè)這種機(jī)構(gòu)。這種方案一般不適合于小公司。

　　另一種配置方案可以讓您具有自己的WAP網(wǎng)關(guān)，但是無(wú)需額外的資金來(lái)充當(dāng)自己的ISP。這種配置對(duì)你是否足夠安全主要依賴于你的安全需求。一旦WAP網(wǎng)關(guān)可以被Internet訪問(wèn)，那么它將更容易受到攻擊，當(dāng)用戶訪問(wèn)你的系統(tǒng)遇到問(wèn)題時(shí)，你和ISP之間的責(zé)任分界線將不如上個(gè)模型那樣鮮明。但是對(duì)于那些希望向公眾提供服務(wù)而又想擁有自己的WAP網(wǎng)關(guān)的組織來(lái)說(shuō)，這個(gè)模型比較容易實(shí)現(xiàn)。該模型中，用戶撥號(hào)到ISP，接著就可以訪問(wèn)Internet，然后他們使用ISP的RAS服務(wù)器，并且就如同訪問(wèn)Internet上的任何WEB服務(wù)器一樣開(kāi)始訪問(wèn)WAP網(wǎng)關(guān)。這個(gè)模型是安全的，因?yàn)樵谑謾C(jī)與WAP網(wǎng)關(guān)之間使用了WTLS作為"隧道"協(xié)議。

　　雖然在該圖中WAP網(wǎng)關(guān)和WEB服務(wù)器位于同一個(gè)網(wǎng)段內(nèi)，但在實(shí)際中并非一定如此。就如同網(wǎng)絡(luò)運(yùn)營(yíng)商擁有網(wǎng)關(guān)時(shí)一樣，WAP網(wǎng)關(guān)和WEB服務(wù)器可以位于不同的網(wǎng)段，而且WEB服務(wù)器甚至可以位于Internet可以訪問(wèn)的另一個(gè)網(wǎng)絡(luò)中。由于TLS用來(lái)保證網(wǎng)關(guān)和WEB服務(wù)器之間的通信安全，它就同Internet上任何客戶/服務(wù)器連接一樣安全可靠。

　　值得一提的是，一些零售金融機(jī)構(gòu)選擇通過(guò)網(wǎng)絡(luò)運(yùn)營(yíng)商的網(wǎng)關(guān)向用戶提供服務(wù)，因?yàn)樗麄兿Ｍ�用戶能夠便利地訪問(wèn)他們的移動(dòng)銀行服務(wù)。由于在交易環(huán)節(jié)中存在著安全缺陷，那么用戶自然會(huì)考慮是否值得使用這些服務(wù)來(lái)進(jìn)行與帳戶的交易。這種安全問(wèn)題同樣會(huì)影響用戶在移動(dòng)連接上使用信用卡的意愿。

　　考慮到需要將WML和WMLScript轉(zhuǎn)化為二進(jìn)制代碼，如果我們要提供端到端的安全解決方案，就要求應(yīng)用層支持認(rèn)證和數(shù)據(jù)加密。WAP 1。2說(shuō)明中的加密庫(kù)只包含了一個(gè)函數(shù)，用來(lái)為文本串產(chǎn)生簽名，但是該說(shuō)明也指出，在未來(lái)版本的說(shuō)明中，可能加入新的加密功能。當(dāng)支持WIM（WAP Identity Module，WAP身份模塊）的設(shè)備啟動(dòng)時(shí)，它有可能將產(chǎn)生簽名的密鑰保存在智能卡上。WAP討論組已經(jīng)意識(shí)到了端到端安全性的問(wèn)題并且正在尋找解決方案，但至今仍沒(méi)有書(shū)面的標(biāo)準(zhǔn)方案，因此我們只能利用現(xiàn)有的協(xié)議自己設(shè)計(jì)應(yīng)用程序。

［上一頁(yè)］ ［下一頁(yè)］