移动电子商务的WPKI技术原理及工作流程介绍

移动电子商务就是利用手机、PDA及掌上电脑等无线终端进行的B2B、B2C或C2C的电子商务。它将因特网、移动通信技术、短距离通信技术及其它信息处理技术完美的结合，使人们可以在任何时间、任何地点进行各种商贸活动，实现随时随地、线上线下的购物与交易、在线电子支付以及各种交易活动、商务活动、金融活动和相关的综合服务活动等。

在网络安全威胁日益严重的今天，移动商务系统的安全是一个不容忽视的重要问题。实现移动电子商务最重要的一个问题就是如何保证政府和企业网络和信息的安全。由于移动商务要经过运营商的移动网络，这就有可能发生信息泄密或引入黑客攻击的问题。所以移动商务应用必须首先解决好移动接入的安全问题。

在有线通信中，电子商务交易的一个重要安全保障是PKI,即公开密钥体系，PKI的系统概念、安全操作流程、密钥、证书等同样也适用于解决移动电子商务交易的安全问题，但考虑PKI算法的复杂性和移动环境的特殊性，在应用PKI的同时必须要加以改进。WPKI技术，即无线公开密钥体系正是在这样的背景下发展起来，并逐渐在无线数据业务中得到应用。

一、WPKI的技术原理

WPKI即"无线公开密钥体系",它是将互联网电子商务中PKI（PublicKeyInfrastrcture）安全机制引入到无线网络环境中的一套遵循既定标准的密钥及证书管理平台体系，用它来管理在移动网络环境中使用的公开密钥和数字证书，有效建立安全和值得信赖的无线网络环境。WPKI并不是一个全新的PKI标准，它是传统的PKI技术应用于无线环境的优化扩展。它采用了优化的ECC椭圆曲线加密和压缩的X.509数字证书。它同样采用证书管理公钥，通过第三方的可信任机构--认证中心（CA）验证用户的身份，从而实现信息的安全传输。

与PKI系统相似，一个完整的WPKI系统必须具有以下部分：PKI客户端、注册机构（RA）、认证机构（CA）和证书库以及应用接口等基本构成部分，其构建也将围绕着这五大系统进行。

认证机构（CA）CA系统是PKI的信任基础，负责分发和验证数字证书，规定证书的有效期，发布证书废除列表。

注册机构（RA） RA提供用户和CA之间的一个接口。作为认证机构的校验者，在数字证书分发给请求者之前对证书进行验证。

数字证书库：用于存储已签发的数字证书及公钥，用户可由此获得所需的其他用户的证书及公钥。

应用接口：一个完整的WPKI必须提供良好的应用接口系统，使各种各样的应用能够以安全、一致、可信的方式与WPKI交互，确保安全网络环境的完整性和易用性。

PKI和WPKI最主要的区别在于证书的验证和加密算法。WPKI采用了优化的ECC椭圆曲线加密和压缩的X.509数字证书。比如说一个1024位加密算法，手机需要半分钟才能完成，所以传统的PKI X.509就不适合移动计算。WPKI采用的椭圆曲线密码体制，密码长度可以为165位，实际应用和传统PKI的1024位或2048位安全强度一样，但运算量要小，复杂度也随之降低。加密算法越复杂，密钥越长则安全性越高，但执行运算所需的时间也越长（或需要计算能力更强的芯片）。所以，支持RSA算法的智能卡通常需要高性能的具有协处理器的芯片。而ECC使用较短的密钥就可以达到和RSA算法相同的加密强度。由于智能卡受CPU处理能力和RAM大小的限制，因而采用一种运算量小同时能提供高加密强度的公钥密码体制对在智能卡上实现数字签名应用是至关重要的，ECC在这方面具有很大的优势。

二、WPKI的工作流程

在移动商务中，如何实现在线、实时、安全的支付是技术实施的核心，尤其在移动环境下，需要准确地识别人员身份、判别账号真伪，并迅速、安全地实现资金转账处理。使用WPKI进行移动电子商务交易的流程如图所示。

移动终端通过注册机构向证书中心申请数字证书，证书中心经过审核用户身份后签发数字证书给用户，用户将证书、私钥存放在智能卡中，移动终端在无线网络上进行电子商务操作时利用数字证书保证端对端的安全。服务提供商则通过验证用户证书确定用户身份，并提供给用户相应的服务，从而实现电子商务在无线网络上的安全运行。

可见，在WPKI机制下，数字证书非常重要，但是由于无线信道和移动终端的限制，如何安全、便捷地交换用户的数字证书是WPKI所必须解决的问题。可以将标准的一个X.509证书与移动证书标识惟一对应，并且在移动终端中嵌入移动证书标识，用户每次只需要将自己的移动证书标识与签名数据一起提交给对方，对方再根据移动证书标识检索相应的数字证书即可。

三、结语

在使用了基于WPKI的安全服务后，极大的提高了整个移动电子商务体统的安全性。但由于无线信道的资源短缺、处理能力较低、带宽有限，进一步降低WPKI证书的数据长度和处理难度，并且实现WPKI与标准PKI之间的互通性，才能使WPKI在移动电子商务应用中得以真正的普及应用。