|
摘 要 移动商务是企业信息化的一个新亮点，在未来几年将得到广泛的应用。目前，由于消费者对移动网络的安全问题缺乏信心，成了移动商务发展的最大挑战。本文首先介绍了应用于移动商务的新技术，并分析了其应用前景。从移动网络本身、移动ad hoc应用、漫游以及物理安全等方面给出了移动商务所面临的安全威胁。本文还分析了移动商务的发展带来的一些隐私和法律问题。
关键字 信息安全 移动商务 自组网 隐私 法律
一、企业信息化的新亮点－移动商务 互联网的商用，促进了信息化与经济全球化两大全球性趋势的合流。世界第一家网上书店Amazon在1995年开业，被看作电子商务的起点。标志着人类开始使用互联网从事经济活动。10年来，互联网已发展成为信息技术的典型代表，基于互联网的电子商务集中体现了“新经济”三高一低的发展趋势。而移动通信技术的发展和移动设备的广泛应用,给电子商务的发展注入了新活力。伴随着移动增殖业务的发展和商业的驱动，移动设备的功能不再只局限于记录电话信息、短信息、游戏、MP3、收发Email和浏览网页等功能，而是把市场和技术推广到金融和商业的各个应用领域。从而给移动通信业务带来了新的商机--移动商务。移动商务可定义为依靠移动通信技术进行的商业和金融交易。移动商务并不局限于使用移动电话进行交易，还包括其他的一些移动设备：PDA；移动计算机；Smartphone。移动商务的发展需要依靠制度和技术创新，是企业运作理念和商业模式的新变革。不能把移动商务看作是将互联网上的服务内容进行拼凑，简单地搬到移动网络上。要使移动商务带来真正的商业机会，就必须采用优良的商业策略，充分发挥移动设备的时间敏感性、位置敏感性，以及如何提供方便快捷的交易和查询服务。例如移动用户可以利用手机动态收取股票或飞机票价格到达一定价位的提示信息，以决定是否通过移动设备购买股票或飞机票。同时，我们需要用新的眼光来审视传统的B2B和B2C商业模式。由于移动电话、PDA是移动商务的主要通信工具，移动商务发展会向P2P（Person to Person）的商务模式转变。
任何通过无线网路（如：GSM网路）进行金融交易的用户，安全和隐私问题无疑是其关注的焦点[1-2]。随着美国千万信用卡泄密和国内明星电话在网路上被公布等事件的报道，人们对在网路上从事商业交易活动的安全性感到怀疑。尤其对于有线电子商务用户来说，通常认为物理线缆能带来更好的安全性，从而排斥使用移动商务。移动商务是一个系统工程，本文从技术、安全、隐私和法制等方面讨论了移动商务的发展所面临的种种问题，并指出这些问题的有效解决是建设健康、安全的移动商务的重要保证。
二、移动通信新技术的驱动1、无线应用协议（WAP）
无线应用协议WAP是无线通信和互联网技术发展的产物，它不仅为无线设备提供丰富的互联网资源，也提供了开发各种无线网路应用的途径。1998年，WAP论坛公布了WAP1.0版本，制定了一套专门为移动互联网而设计的应用协议，具有良好的开放性和互通性。随着移动通信网传输速率的显著提高，WAP论坛于2001年颁布了WAP2.0版本，该版本增加了对HTTP、TLS和TCP等互联网协议的支持，WAP代理的工作大大简化。WAP2.0模式有利于实现电子商务所需的端到端安全性，可以提供TLS隧道。目前，许多电信公司已经推出了多种WAP产品，包括WAP网关、应用开发工具和WAP移动设备，向用户提供网上资讯、查账、付费、转帐、机票订购、网上娱乐、购物等服务。
2、移动IP技术
移动IP技术，是指移动用户可在跨网络随意移动和漫游中，使用基于TCP/IP协议的网络时，不用修改计算机原来的IP地址，同时，也不必中断正在进行的通信。移动IP通过AAA（Authentication, Authorization, Accounting ）机制，实现网络全方位的安全移动或者漫游功能。移动IP在一定程度上能够很好地支持移动商务的应用。
3、第三代（3G）移动通信系统
第三代移动通信系统，简称3G，是指将无线通信与互联网等多媒体通信结合的移动通信系统。它能够处理图像、话音、视频流等多种媒体形式，提供包括网页浏览、电话会议、电子商务等多种信息服务。与2G相比，3G产品可提供数据速率高达2Mbps的多媒体业务。在我国，以TD-SCDMA技术为基础的3G基础设施和产品的建设和研制发展迅速，我国发展3G的条件已经基本具备。由于3G带来的高速率、移动性和高安全性等特点，必然会给移动商务的应用带来巨大商机。
4、无线局域网（WLAN）技术
美国电子电器工程师协会IEEE在1991年就启动了WLAN标准工作组，称为IEEE802.11，并在1997年产生了WLAN标准－IEEE802.11，后来又相继推出了IEEE 802.11a, IEEE 802.11b和IEEE802.11g等一系列新的标准。802.11WLAN标准自公布之日起，安全问题一直是其被关注的焦点问题。802.11b采用了基于RC4算法的有线对等保密（WEP）机制，为网络业务流提供安全保障，但其加密和认证机制都存在安全漏洞。802.11i是2004年6月批准的WLAN标准，其目的是解决802.11标准中存在的安全问题。802.11i应用TKIP（Temporal key integrity protocol）加密算法和基于AES高级加密标准的CBC-MAC Protocol(CCMP)。其中TKIP仍然采用RC4作为其加密算法，可以向后兼容802.11a/b/g等硬件设备。中国宽带无线IP标准工作组制订了WLAN国家标准GB15629.11，定义了无线局域网鉴别与保密基础结构WAPI，大大减少了WLAN中的安全隐患。
5、新一代移动通信－WiMAX无线城域网
IEEE 802.16工作组旨在制定新的宽带无线标准－微波接入全球互通WiMAX，被看作是3G系统的主要竞争对手。WiMAX的工作频段是覆盖5.8GHz开放频段的系统、覆盖3.5GHz的需执照频段的系统以及覆盖2.5GHz的需执照频段的系统。WiMAX将为用户提供更高速率、一定范围的移动性、互操作性和高可靠性，使得用户在任何时间、任何地点、以任何方式都可以进行无线接入。从时间上分析，IEEE802.16大概需要五、六年才能在发达城市得到应用。
三、移动商务面临的安全威胁 尽管移动商务给工作效率的提高带来了诸多优势（如：减少了服务时间，降低了成本和增加了收入），但安全问题仍是移动商务推广应用的瓶颈。有线网络安全的技术手段不完全适用于无线设备，由于无线设备的内存和计算能力有限而不能承载大部分的病毒扫描和入侵检测的程序。例如：目前还没有有效抵制手机病毒的防护软件。
1、网络本身的威胁
无线通信网络可以不像有线网络那样受地理环境和通信电缆的限制就可以实现开放性的通信。无线信道是一个开放性的信道，它给无线用户带来通信自由和灵活性的同时，也带来了诸多不安全因素：如通信内容容易被窃听、通信双方的身份容易被假冒，以及通信内容容易被篡改等。在无线通信过程中，所有通信内容（如：通话信息，身份信息，数据信息等）都是通过无线信道开放传送的。任何拥有一定频率接收设备的人均可以获取无线信道上传输的内容。对于无线局域网和个人网用户，其通信内容更容易被窃听。因为这些网络通信工作在全球统一开放的工业、科学和医疗频带（2.5GHz和5GHz频带）。任何团体和个人都不需要申请就可以免费使用该频段进行通信。无线窃听可以导致通信信息和数据的泄漏，而移动用户身份和位置信息的泄漏可以导致移动用户被无线追踪。这对于无线用户的信息安全、个人安全和个人隐私都构成了潜在的威胁。
2、无线ad hoc应用的威胁
除了互联网在线应用带来的威胁外，无线装置给其移动性和通信媒体带来了新的安全问题。考虑无线装置可以组成ad hoc网路。Ad hoc网络和传统的移动网络有着许多不同，其中一个主要的区别就是Ad Hoc网络不依赖于任何固定的网络设施，而是通过移动节点间的相互协作来进行网络互联[3]。Ad Hoc网络也正在逐步应用于商业环境中，比如传感器网络、虚拟会议和家庭网络。由于其网络的结构特点，使得Ad Hoc网络的安全问题尤为突出。Ad hoc网路的一个重要特点是网络决策是分散的，网络协议依赖于所有参与者之间的协作。敌手可以基于该种假设的信任关系入侵协作的节点。例如，入侵一个节点的敌手可以给网路散布错误的路由信息，甚至使所有的路由信息都流向被入侵的节点。同样，移动用户会漫游到许多不同的小区和安全域。通信由一个小区切换到另一个小区时，恶意的或被侵害的域可以通过恶意下载、恶意消息和拒绝服务来侵害无线装置。
3、网路漫游的威胁
无线网路中的攻击者不需要寻找攻击目标，攻击目标会漫游到攻击者所在的小区。在终端用户不知情的情况下，信息可能被窃取和篡改。服务也可被经意或不经意地拒绝。交易会中途打断而没有重新认证的机制。由刷新引起连接的重新建立会给系统引入风险，没有再认证机制的交易和连接的重新建立是危险的。连接一旦建立，使用SSL和WTLS的多数站点不需要进行重新认证和重新检查证书。攻击者可以利用该漏洞来获利。
无线媒体为恶意用户提供了很好的藏匿机会。由于无线设备没有固定的地理位置，它们可以在不同区域间进行漫游，可以随时上线或下线，因此它们很难被追踪。因此，对无线网路发起攻击会是敌手对固定网路发起攻击的首选，尤其随着这些设备数量的增长。
4、物理安全
无线设备另一个特有的威胁就是容易丢失和被窃。因为没有建筑、门锁和看管保证的物理边界安全和其小的体积，无线设备很容易丢失和被盗窃。对个人来说，移动设备的丢失意味着别人将会看到电话上的数字证书，以及其他一些重要数据。利用存储的数据，拿到无线设备的人就可以访问企业内部网络，包括Email服务器和文件系统。目前手持移动设备最大的问题就是缺少对特定用户的实体认证机制。
四、移动商务面临的隐私和法律问题1、垃圾短信息
在移动通信给人们带来便利和效率的同时，也带来了很多烦恼，遍地而来的垃圾短信广告打扰着我们的生活。在移动用户进行商业交易时，会把手机号码留给对方。通过街头的社会调查时，也往往需要被调查者填入手机号码。甚至有的用户把手机号码公布在网上。这些都是公司获取手机号码的渠道。垃圾短信使得人们对移动商务充满恐惧，而不敢在网络上使用自己的移动设备从事商务活动。目前，还没有相关的法律法规来规范短信广告，运营商还只是在技术层面来限制垃圾短信的群发。目前，信息产业部正在起草手机短信的规章制度，相信不久的将来会还手机短信一片绿色的空间。
2、定位新业务的隐私威胁
定位是移动业务的新应用，其技术包括：全球定位系统GPS（Global Positioning System），该种技术利用3颗以上GPS卫星来精确（误差在几米之内）定位地面上的人和车辆；基于手机的定位技术TOA，该技术根据从GPS返回响应信号的时间信息定位手机所处的位置。定位在受到欢迎的同时，也暴露了其不利的一面――隐私问题。移动酒吧就是一个典型的例子，当你在路上时，这种服务可以在你的PDA上列出离你最近的5个酒吧的位置和其特色。或者当你途经一个商店时，会自动向你的手机发送广告信息。定位服务在给我们带来便利的同时，也影响到了个人隐私。利用这种技术，执法部门和政府可以监听信道上的数据，并能够跟踪一个人的物理位置。如果定位技术被恐怖分子利用，他们通过定位通信用户的位置，可以对其抢劫和绑架而实施犯罪活动。
3、移动商务的法律保障
电子商务的迅猛发展推动了相关的立法工作。目前，已经有60多个国家就电子商务和数字签名发布了相关的法规。美国1995年犹他州颁布的电子签名法则是全球最早的电子商务领域的立法。
2005年4月1日，中国首部真正意义上的信息化法律《电子签名法》正式实施，电子签名与传统的手写签名和盖章将具有同等的法律效力，标志着我国电子商务向诚信发展迈出了第一步。《电子签名法》立法的重要目的是为了促进电子商务和电子政务的发展，增强交易的安全性。
移动商务的另一个应用就是娱乐行业。据IDC公司的研究报告，2006年移动游戏的总产值将高达50亿美元，其消费者将达到1亿人。随着生活水平的提高，越来越多的青少年拥有手机、PDA等移动设备。游戏对青少年具有较大的诱惑力，而在什么类型的游戏适合青少年有着不同的法律规定，在移动游戏领域也出现了相应的隐私和法律问题。在美国，游戏是实行分级制度。那一级的游戏适合儿童玩都有着详细的规定。在法国、韩国和日本，对于限制儿童接触不良网络游戏方面都通过技术屏蔽、税收和家庭公约等途径进行法律和制度上的管制。为了引导未成年人的网上娱乐活动，我国相关部门鼓励社会各方面“积极创作、开发和推荐”适合未成年人的网络游戏产品，净化网络文化环境。2005年8月5日，文化部游戏产品内容审查委员会正式公布了第一批适合未成年人的网络游戏产品。
随着移动网络从2.5G到3G的演进和移动数据速率的提高，面向移动商务的领域快速发展。本文讨论了移动商务发展中面临的安全、隐私和法律问题。移动商务是一个系统工程，移动商务的发展不仅依赖于技术的成熟，也受法律、社会和管理等诸多因素的制约。在我国，随着计算机、互联网及电信技术的发展和人们生活水平的提高，移动商务为企业信息化创造了巨大的市场空间。目前我国已经拥有近8000万手机用户和数目众多的PDA，这些移动终端构成了移动电子商务巨大的潜在市场。
2005年7月6日，中国国际电子商务中心旗下的“中国无线电子商务应用平台”正式开通，我国移动商务即将进入了快速发展的黄金时期。
参考文献：
[1] A.F. Salam, L.Lyer, P. Palvia et al. Trust in e-commerce. Communication of The ACM, 48(2), 2005,73-77.
[2] A.K. Ghosh, T.M. Swaminatha. Software security and privacy risks in mobile e-commerce. Communication of The ACM, 44(2), 2001, 51-57.
[3] Y.G Zhang, W. Lee. Intrusion Detection in Wireless Ad-Hoc Networks. MOBICOM 2000, ACM, 275-283. |