论文部分内容阅读
移动商务作为一种以移动网络和移动设备为基础的电子商务模式,近年来在庞大用户群的基础上和相关部门的支持下迎来了井喷式的发展,移动商务也在人们的日常生活中扮演着越来越重要的角色。移动商务的灵活性和便捷性更符合新时代电子商务的需求,但是也带来了一系列移动环境下特有的安全问题,而身份认证是解决这些安全问题的最重要也是最直接的手段。通过认证移动商务参与者的身份,可以确定与该身份相匹配的访问控制策略和授权,从而保证移动商务活动的安全运行。在很多与支付和安全有关的移动商务场景下,均涉及“多方”而非“双方”参与,这些参与方可以是消费者、商家系统、支付平台或银行系统。在这种“多方参与”的环境下,现行的主流身份认证机制是以跳转和多次认证为基础的,即消费者可能需要连续多次输入账号和口令等认证信息。随着移动技术的发展,移动网络和移动终端与普通桌面环境的性能差距正在逐渐缩小,而输入输出方式上的差距仍然存在。复杂的多次认证过程不仅大大地降低了效率,同时也很容易主观或客观地降低用户的风险防范意识而遭受钓鱼、仿冒等攻击和个人隐私信息的泄露。因此,在“多方”参与的移动商务环境中,减少敏感信息输入和交换次数,是提高身份认证效率和安全性的重要方法。上述问题可以用一种虚拟身份认证即“代理”的形式解决,即消费者事先与支付平台或银行达成某种契约并预留安全令牌。在移动商务网站中进行结算行为时,消费者无需登录支付平台或银行系统,而是将预留安全令牌通过加密处理发送给网站,网站作为代理将此安全令牌发送给支付平台或银行系统,经过验证后,移动商务网站和支付平台之间即可进行无需消费者参与的结算活动。利用这种机制,可以使消费者不必在每次交易中登录支付平台或网上银行,整个移动商务过程会得到精简,交易效率和交易体验都会大大提高,受到钓鱼和仿冒攻击的风险则会大大降低。但是,这种机制也带来了新的安全问题,主要集中在如何防止来自移动商务网站的冒充重放和如何防止来自消费者的交易抵赖上。因此,本文的主要研究内容就是构建上述虚拟身份认证机制并解决其带来的安全问题。本文以多方参与的移动商务身份认证为研究对象,将着眼点从性能方面的改进转移到流程方面的优化,以安全基础上的便捷轻量化和信任传递基础上的虚拟身份认证机制为研究主线,按照“可行性研究-概念设计-逻辑设计-仿真实现”的研究思路,首次提出了“基于信任传递的移动商务虚拟身份认证模型”,并充分考虑移动商务中的用户需求和安全需求,在模型的基础上建立了多种基于当前主流身份认证技术的可行方案、框架和实现流程,最后进行了仿真系统开发和结果分析。基于上述工作内容,本文的主要贡献和创新有：(1)系统地研究了移动商务身份认证的相关理论和技术,对典型身份认证机制的问题进行了分析,提出了移动商务中安全与流程复杂度的关系,构建了移动商务安全框架,在框架基础上分析移动商务的安全需求和面临的主要威胁,最终提出移动商务安全策略。(2)首次提出了针对多方参与移动商务的“基于信任传递的虚拟身份认证”概念模型。首先通过问卷调查获取一手数据,分析模型的用户接受度,以确定其可行性和应用价值,然后定义了信任域、信任联盟、契约、安全令牌、直接信任、间接信任等概念,基于概念提出了模型工作原理及各个工作环节中的输入、输出、存储和过程,最后根据信任的传递构建了虚拟身份认证机制。该模型将多方参与的身份认证过程简化为双方参与的身份认证过程,同时提出信任的建立、授权、存储和维护规则,以保证虚拟身份认证过程的安全。(3)从实际应用角度对概念模型进行了实例化并形成了多种逻辑设计方案。逻辑设计方案分别采用不同的主流身份认证技术,一方面保证逻辑设计方案的可用性和兼容性,另一方面通过对比得出采用不同身份认证技术的逻辑方案的特点和适用环境。包括：基于动态口令的DPVA虚拟身份认证方案、基于数字签名的DSVA虚拟身份认证方案和基于可信第三方认证中心的CAVA虚拟身份认证方案。最后利用信息系统仿真的方法分析、设计和开发了原型系统,用于验证逻辑方案的可实施性、功能和性能。