基于信任傳遞的移動商務(wù)虛擬身份認證機制研究.pdf

1、移動商務(wù)作為一種以移動網(wǎng)絡(luò)和移動設(shè)備為基礎(chǔ)的電子商務(wù)模式，近年來在龐大用戶群的基礎(chǔ)上和相關(guān)部門的支持下迎來了井噴式的發(fā)展，移動商務(wù)也在人們的日常生活中扮演著越來越重要的角色。移動商務(wù)的靈活性和便捷性更符合新時代電子商務(wù)的需求，但是也帶來了一系列移動環(huán)境下特有的安全問題，而身份認證是解決這些安全問題的最重要也是最直接的手段。通過認證移動商務(wù)參與者的身份，可以確定與該身份相匹配的訪問控制策略和授權(quán)，從而保證移動商務(wù)活動的安全運行。
　

2、　在很多與支付和安全有關(guān)的移動商務(wù)場景下，均涉及“多方”而非“雙方”參與，這些參與方可以是消費者、商家系統(tǒng)、支付平臺或銀行系統(tǒng)。在這種“多方參與”的環(huán)境下，現(xiàn)行的主流身份認證機制是以跳轉(zhuǎn)和多次認證為基礎(chǔ)的，即消費者可能需要連續(xù)多次輸入賬號和口令等認證信息。隨著移動技術(shù)的發(fā)展，移動網(wǎng)絡(luò)和移動終端與普通桌面環(huán)境的性能差距正在逐漸縮小，而輸入輸出方式上的差距仍然存在。復雜的多次認證過程不僅大大地降低了效率，同時也很容易主觀或客觀地降低用戶的風

3、險防范意識而遭受釣魚、仿冒等攻擊和個人隱私信息的泄露。因此，在“多方”參與的移動商務(wù)環(huán)境中，減少敏感信息輸入和交換次數(shù)，是提高身份認證效率和安全性的重要方法。
　　上述問題可以用一種虛擬身份認證即“代理”的形式解決，即消費者事先與支付平臺或銀行達成某種契約并預留安全令牌。在移動商務(wù)網(wǎng)站中進行結(jié)算行為時，消費者無需登錄支付平臺或銀行系統(tǒng)，而是將預留安全令牌通過加密處理發(fā)送給網(wǎng)站，網(wǎng)站作為代理將此安全令牌發(fā)送給支付平臺或銀行系統(tǒng)，經(jīng)過

4、驗證后，移動商務(wù)網(wǎng)站和支付平臺之間即可進行無需消費者參與的結(jié)算活動。利用這種機制，可以使消費者不必在每次交易中登錄支付平臺或網(wǎng)上銀行，整個移動商務(wù)過程會得到精簡，交易效率和交易體驗都會大大提高，受到釣魚和仿冒攻擊的風險則會大大降低。但是，這種機制也帶來了新的安全問題，主要集中在如何防止來自移動商務(wù)網(wǎng)站的冒充重放和如何防止來自消費者的交易抵賴上。因此，本文的主要研究內(nèi)容就是構(gòu)建上述虛擬身份認證機制并解決其帶來的安全問題。
　　本文以

5、多方參與的移動商務(wù)身份認證為研究對象，將著眼點從性能方面的改進轉(zhuǎn)移到流程方面的優(yōu)化，以安全基礎(chǔ)上的便捷輕量化和信任傳遞基礎(chǔ)上的虛擬身份認證機制為研究主線，按照“可行性研究-概念設(shè)計-邏輯設(shè)計-仿真實現(xiàn)”的研究思路，首次提出了“基于信任傳遞的移動商務(wù)虛擬身份認證模型”，并充分考慮移動商務(wù)中的用戶需求和安全需求，在模型的基礎(chǔ)上建立了多種基于當前主流身份認證技術(shù)的可行方案、框架和實現(xiàn)流程，最后進行了仿真系統(tǒng)開發(fā)和結(jié)果分析?；谏鲜龉ぷ鲀?nèi)容，本

6、文的主要貢獻和創(chuàng)新有:
　　(1)系統(tǒng)地研究了移動商務(wù)身份認證的相關(guān)理論和技術(shù)，對典型身份認證機制的問題進行了分析，提出了移動商務(wù)中安全與流程復雜度的關(guān)系，構(gòu)建了移動商務(wù)安全框架，在框架基礎(chǔ)上分析移動商務(wù)的安全需求和面臨的主要威脅，最終提出移動商務(wù)安全策略。
　　(2)首次提出了針對多方參與移動商務(wù)的“基于信任傳遞的虛擬身份認證”概念模型。首先通過問卷調(diào)查獲取一手數(shù)據(jù)，分析模型的用戶接受度，以確定其可行性和應(yīng)用價值，然后定義

7、了信任域、信任聯(lián)盟、契約、安全令牌、直接信任、間接信任等概念，基于概念提出了模型工作原理及各個工作環(huán)節(jié)中的輸入、輸出、存儲和過程，最后根據(jù)信任的傳遞構(gòu)建了虛擬身份認證機制。該模型將多方參與的身份認證過程簡化為雙方參與的身份認證過程，同時提出信任的建立、授權(quán)、存儲和維護規(guī)則，以保證虛擬身份認證過程的安全。
　　(3)從實際應(yīng)用角度對概念模型進行了實例化并形成了多種邏輯設(shè)計方案。邏輯設(shè)計方案分別采用不同的主流身份認證技術(shù)，一方面保證邏