关于WAP安全的常见问答 - 角王女

【角王女】 maiweb

http://www.maiweb.net/cgi-bin/blog.cgi?action=showrj&no2=1

Search

Blog

角王女

发表文章

blog图册

RSS订阅

Dec 2005

日一二三四五六

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

20

21

22

23

24

25

26

27

28

29

30

31

9 7 8 :

一起走过的日子

展开列表 >>

公告

无论有多少苦，终究有所属。

Blog分类

・首页 (314)
・原创 (8)
・转载 (36)
・图片 (169)
・软件 (0)
・影音 (0)
・手机软件 (24)
・手机游戏 (38)
・教程 (1)
・电子书 (0)

日志更新

最新评论

站点最新文章

链接

Blog信息

博客主人：maiweb
博客名称：角王女
总计访问：10183 次
总计博客：2 篇
博客评论：112 篇
建立时间：2005年12月05日

[技术] 关于WAP安全的常见问答

[ 2005年12月16日星期五 ] maiweb

Yes 7 No 7

1. WAP提供怎样的安全性？+@/8{
WAP 1.1支持无线传输安全协议（Wireless Transport Layer Security）。WTSL和Internet的SSL类似，具有许多重要的加密功能，但在客户端只需要较低的运行能力。[N*
WAP网关能从网上接收SSL加密的消息并把这些消息转换成WTSL加密的信息传给移动设备，这种转换消耗的时间按毫秒计算。WAP网关的主要作用就是在两种协议之间建立一个虚拟的安全转换连接。c>#(-U
移动设备和服务器之间存在有两个安全问题：一个是从移动设备到网关；另一个是从网关到服务器。WTSL是保证前者的安全通讯，SSL是保证后者的安全通讯。如果移动设备使用了不具有加密功能的SIM卡，即使在URL中申请使用SSL接口，在从移动设备到网关的过程中URL的申请仍然是显式的，也就是说是不安全的，窃听者可以通过截获空间散发的无线电波来窃取用户的口令和密码。nH9G
2. 通过WAP的传输安全吗？}{6\O
当然。在移动电话和WAP网关之间使用WTLS（Wireless Transport Layer Security），网关和Web Server之间使用SSL（Secured Sockets Layer）就可以。3Q)ncl
3. WAP如何同SSL与WTLS工作？od=}jv
SSL（Secure Sockets Layer）在“web”中广泛用来在浏览器和服务器之间加密数据流。这同样也适用于WAP环境，但是SSL只用在Web Server和WAP网关之间。在WAP网关和WAP设备之间，有一个类似系统叫做WTLS（ Wireless Transaction Layer Security）。WTLS是专门适合于无线环境的。@us
安全是一个非常敏感的问题，虽然没有任何一个系统是绝对安全的，但笔者认为SSL和WTSL对于很多应用是足够安全的。这两个协议在WAP网关中相互转换。?
SSL并不直接兼容WTLS，因此WAP网关要解密从Web Server过来的SSL保护数据流，然后使用WTLS加密发送给WAP设备。在WAP网关中，数据是没有保护的。z|F[zy
模型如下：EBw!A8
　　　　　　　　　　　　　　　 |　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |:
　 [WAP device]------------[WAP gateway]-----------[Content server]IN*;
　　　　　　　　　　　　　 <---WTLS--->{unprotected}<---SLL--->Q
　　　　　　　　　　　　　　　 |　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |9`
　　　　 (Firewall) |　　　　　　　　　　　　　　　　　　　　　　　　　　　　　 | (Firewall)l3l
　©麦网 -- Blog　　PIE&__
想象一下如果银行或者其他机构使用公开的WAP设备，处理一些敏感的数据。当数据离开用户的系统和网络的时候，它们是受到保护的。但是在进入WAP网关之后（网关是由第三方操纵的，例如：移动营运商）数据被解密。虽不能说所有的移动营运商都是危险的，但是将敏感数据暴露给不知道的第三方是很不让人放心的。任何一个营运商的问题将是所有营运商的问题。=O&EY
主要的WAP公司都在开发一种称做“WAP Server”或者是具有WAP网关的Web服务器来解决端到端的问题。因为数据离开服务器（“WAP Server”）的时候就已经是WTLS加密。"
模型如下：iBMm.
　　　　　　　　　　　　　　　 |　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |rX$j
　 [WAP device]------------------------------------["WAP server" (acting as WAP gateway)]*,q6&
　　　　　　　　　　　　　 <---------------WTLS--------------->S
　　　　　　　　　　　　　　　　 |　　　　　　　　　　　　　　　　　　　　　　　　　　　　 |(z|E.
　　　　 (Firewall) |　　　　　　　　　　　　　　　　　　　　　　　　　　　　 | (Firewall)@
这样WAP网关就不再是整个过程中的一个环节。那么用户必须重新配置它们的WAP设备来指向“WAP Server”来建立相应WAP会话。当用户想访问其他地方的时候，又必须配置来指向其他的网关。虽然有的WAP设备比较好配置，但是有些却非常困难，这多少有点烦人。.H[4N
除了以上的问题，实际上许多移动营运商将端到端的服务器放在用户拨号到Internet的地方。他们的WAP网关具有同样的私有的IP地址，通常是在一个防火墙后面。这个防火墙通常只允许使用HTTP协议的80端口。WAP网关使用这个端口来接受从内容服务器来的数据，那也是他的真正需求。当WAP设备试图访问其他的网关的时候，那么防火墙就将停止他们的操作，要么因为是WAP设备IP是不允许在Internet上访问其他的设备，要么是无法打开所需求的端口。这样移动营运商就有效地阻止了用户使用其他的网关。f
有一些关于WAP安全方面的内容，请看：Za|
Wapforum's WTLS 协议 CN
Baltimore Telepathy安全讲解 '/
Tantau关于安全的文章：《An Introduction to WML Programming and Third-Party WAP Toolkits》 iGdg<^
Phone.com关于无线安全的文章：《Understanding Security on the Wireless Internet》 ZY/
©麦网 -- Blog　　0w
©麦网 -- Blog　　g;
©麦网 -- Blog　　Ph
本帖来源：http://www.maiweb.net/cgi-bin/topic.cgi?forum=12&topic=9#1kdu1:S

阅读(73) 评论(0)引用

1 (总共: 1 篇，每页 20 篇)

博客首页

个性设置

发表文章

我的博客

论坛首页

TOP↑

Sitemap

麦网--搜索 Help

Template For Web Site. All content on this website is © Copyright 2000-2010 - All Rights Reserved
Website template powered by VooWeb.com Template For Web Site
The content on this site may not be reused or republished. Template For Web Site