WAP網(wǎng)關(guān)

　　如同TLS對于Internet作用一樣，多數(shù)情況下WTLS已足以確保WAP的安全。但是對于WAP有一個不安全的例外，該例外只發(fā)生在WAP會話中，而且與WAP網(wǎng)關(guān)有關(guān)。WAP需要將WML與WMLScript翻譯為二進制代碼，以適合于在低帶寬的網(wǎng)絡(luò)上傳輸，并且使得資源貧乏的終端設(shè)備易于處理。WAP網(wǎng)關(guān)負責這種轉(zhuǎn)換，這里存在2點暗示：

　　WTLS安全會話建立在手機與WAP網(wǎng)關(guān)之間，而與終端服務(wù)器無關(guān)。這意味著數(shù)據(jù)只在WAP手機與網(wǎng)關(guān)之間加密，網(wǎng)關(guān)將數(shù)據(jù)解密后，利用其它方法將數(shù)據(jù)再次加密，然后經(jīng)過TLS連接發(fā)送給終端服務(wù)器。

　　WAP網(wǎng)關(guān)可以看見所有的數(shù)據(jù)明文，而該WAP網(wǎng)關(guān)可能并不為服務(wù)器所有者所擁有，這樣，潛在的第3方可能獲得所有的傳輸數(shù)據(jù)，而該數(shù)據(jù)卻被認為是安全傳輸?shù)摹?br>
　　在有線互聯(lián)網(wǎng)世界里與WEB服務(wù)器建立安全連接，通常會假設(shè)您與Internet有一條不為第3方干預(yù)的直接連接。如果您從公司網(wǎng)絡(luò)訪問Internet，則數(shù)據(jù)包在達到Internet之前往往會經(jīng)過代理服務(wù)器。這種情況下，訪問Internet的安全性就依賴于所使用的代理服務(wù)器的配置情況。一些ISP提供緩存服務(wù)，其中包括了代理服務(wù)器，您可以配置瀏覽器以通過這些代理進行網(wǎng)上沖浪。另外還有一種透明的代理服務(wù)器，使您無需配置本地瀏覽器就可以直接使用它。這似乎與介于設(shè)備和服務(wù)器之間的WAP網(wǎng)關(guān)很相似，但其實它們有著本質(zhì)的不同。代理服務(wù)器為SSL/TLS會話建立了"隧道"，它有些像路由器，只是進行包的轉(zhuǎn)發(fā)，而不會對數(shù)據(jù)進行解密進而獲得數(shù)據(jù)明文。

　　當然，你可能會說WEB服務(wù)器會在其后方的應(yīng)用程序之前先獲得數(shù)據(jù)明文，但是，對于多數(shù)有較高安全需求的公司來說，他們一般擁有這些WEB服務(wù)器以及連接WEB服務(wù)器和終端應(yīng)用程序的網(wǎng)絡(luò)。這意味著他們可以控制誰有權(quán)發(fā)現(xiàn)WEB服務(wù)器的位置，WEB服務(wù)器對誰是可見的，誰對WEB服務(wù)器具有管理權(quán)限，何時對服務(wù)器進行維護，以及其它與服務(wù)器和網(wǎng)絡(luò)安全相關(guān)的事項。

　　然而讓網(wǎng)絡(luò)運營商擁有WAP網(wǎng)關(guān)究竟有多大危險呢？誠實的回答是：危險很小，但仍然存在。著名的網(wǎng)關(guān)供應(yīng)商和網(wǎng)絡(luò)運營商都盡力確保他們的WAP網(wǎng)關(guān)安全。很明顯，他們并不愿意他們的業(yè)務(wù)與安全災(zāi)難有任何牽連，所以他們保證數(shù)據(jù)明文不在磁盤上讀寫，而且加密與解密全部在內(nèi)存中以最快的速度進行，這些進程使用的內(nèi)存空間在釋放前必須被覆蓋，以確保數(shù)據(jù)是絕對安全的。

　　以上的所有措施都是非常可靠的，并且或許能夠滿足多數(shù)人的需求。然而仍有不少人持懷疑態(tài)度。我們可以考慮這個事實，盡管許多最大的軟件生產(chǎn)商和世界上最好的編程人員都在盡力解決安全問題，但是各種產(chǎn)品的安全漏洞卻不斷地被發(fā)現(xiàn)。有些人認為，WAP網(wǎng)關(guān)的安全漏洞遲早會暴露，這或許是由于軟件的脆弱，或許由于配置和管理錯誤，或許是由于雇員的蓄意或無意地操作。

　　對于那些有著較高安全需求的公司來說，一個很明顯的可行的解決方案是擁有自己的WAP網(wǎng)關(guān)。許多著名廠商如Nokia等都推出了自己的WAP網(wǎng)關(guān)產(chǎn)品，您可以在自己的站點上安裝它們。另外有一些WEB和應(yīng)用程序服務(wù)器的生產(chǎn)商也在它們的產(chǎn)品中嵌入了WAP網(wǎng)關(guān)，如BEA的WebLogic。如果您決定運行自己的WAP網(wǎng)關(guān)，那么需要考慮幾個問題。根據(jù)您的安全需求和環(huán)境配置情況，您可以成為自己的ISP。如果那些移動設(shè)備訪問的應(yīng)用程序很敏感，而您不希望它們被Internet訪問，則您需要建立調(diào)制解調(diào)器堆和RAS服務(wù)器，以允許撥號訪問您的網(wǎng)絡(luò)。您應(yīng)該允許您的用戶連接到WAP網(wǎng)關(guān)及其之后的服務(wù)。除非您同意您的用戶經(jīng)過您的網(wǎng)絡(luò)訪問Internet，否則您必須在您的網(wǎng)絡(luò)上配置Internet網(wǎng)關(guān)，這樣用戶就無法訪問到Internet上的其它WAP服務(wù)。下圖所示是一個例子。

　　根據(jù)所要提供的服務(wù)，這些可能根本不是問題。許多客戶可以輕易地滿足上圖的配置，因為他們已經(jīng)具備了大而且復(fù)雜的計算環(huán)境，以支持撥號連接。他們一般明確地表示不希望Internet能訪問到他們的應(yīng)用程序，而且不希望用戶能通過他們的網(wǎng)絡(luò)訪問到Internet。他們通常是大型的投資銀行或基金管理結(jié)構(gòu)，具有迫切的安全需求和充足的資金以建設(shè)這種機構(gòu)。這種方案一般不適合于小公司。

　　另一種配置方案可以讓您具有自己的WAP網(wǎng)關(guān)，但是無需額外的資金來充當自己的ISP。這種配置對你是否足夠安全主要依賴于你的安全需求。一旦WAP網(wǎng)關(guān)可以被Internet訪問，那么它將更容易受到攻擊，當用戶訪問你的系統(tǒng)遇到問題時，你和ISP之間的責任分界線將不如上個模型那樣鮮明。但是對于那些希望向公眾提供服務(wù)而又想擁有自己的WAP網(wǎng)關(guān)的組織來說，這個模型比較容易實現(xiàn)。該模型中，用戶撥號到ISP，接著就可以訪問Internet，然后他們使用ISP的RAS服務(wù)器，并且就如同訪問Internet上的任何WEB服務(wù)器一樣開始訪問WAP網(wǎng)關(guān)。這個模型是安全的，因為在手機與WAP網(wǎng)關(guān)之間使用了WTLS作為"隧道"協(xié)議。

　　雖然在該圖中WAP網(wǎng)關(guān)和WEB服務(wù)器位于同一個網(wǎng)段內(nèi)，但在實際中并非一定如此。就如同網(wǎng)絡(luò)運營商擁有網(wǎng)關(guān)時一樣，WAP網(wǎng)關(guān)和WEB服務(wù)器可以位于不同的網(wǎng)段，而且WEB服務(wù)器甚至可以位于Internet可以訪問的另一個網(wǎng)絡(luò)中。由于TLS用來保證網(wǎng)關(guān)和WEB服務(wù)器之間的通信安全，它就同Internet上任何客戶/服務(wù)器連接一樣安全可靠。

　　值得一提的是，一些零售金融機構(gòu)選擇通過網(wǎng)絡(luò)運營商的網(wǎng)關(guān)向用戶提供服務(wù)，因為他們希望用戶能夠便利地訪問他們的移動銀行服務(wù)。由于在交易環(huán)節(jié)中存在著安全缺陷，那么用戶自然會考慮是否值得使用這些服務(wù)來進行與帳戶的交易。這種安全問題同樣會影響用戶在移動連接上使用信用卡的意愿。

　　考慮到需要將WML和WMLScript轉(zhuǎn)化為二進制代碼，如果我們要提供端到端的安全解決方案，就要求應(yīng)用層支持認證和數(shù)據(jù)加密。WAP 1。2說明中的加密庫只包含了一個函數(shù)，用來為文本串產(chǎn)生簽名，但是該說明也指出，在未來版本的說明中，可能加入新的加密功能。當支持WIM（WAP Identity Module，WAP身份模塊）的設(shè)備啟動時，它有可能將產(chǎn)生簽名的密鑰保存在智能卡上。WAP討論組已經(jīng)意識到了端到端安全性的問題并且正在尋找解決方案，但至今仍沒有書面的標準方案，因此我們只能利用現(xiàn)有的協(xié)議自己設(shè)計應(yīng)用程序。

［上一頁］ ［下一頁］