WAP網關

　　如同TLS對于Internet作用一樣，多數情況下WTLS已足以確保WAP的安全。但是對于WAP有一個不安全的例外，該例外只發生在WAP會話中，而且與WAP網關有關。WAP需要將WML與WMLScript翻譯為二進制代碼，以適合于在低帶寬的網絡上傳輸，并且使得資源貧乏的終端設備易于處理。WAP網關負責這種轉換，這里存在2點暗示：

　　WTLS安全會話建立在手機與WAP網關之間，而與終端服務器無關。這意味著數據只在WAP手機與網關之間加密，網關將數據解密后，利用其它方法將數據再次加密，然后經過TLS連接發送給終端服務器。

　　WAP網關可以看見所有的數據明文，而該WAP網關可能并不為服務器所有者所擁有，這樣，潛在的第3方可能獲得所有的傳輸數據，而該數據卻被認為是安全傳輸的。

　　在有線互聯網世界里與WEB服務器建立安全連接，通常會假設您與Internet有一條不為第3方干預的直接連接。如果您從公司網絡訪問Internet，則數據包在達到Internet之前往往會經過代理服務器。這種情況下，訪問Internet的安全性就依賴于所使用的代理服務器的配置情況。一些ISP提供緩存服務，其中包括了代理服務器，您可以配置瀏覽器以通過這些代理進行網上沖浪。另外還有一種透明的代理服務器，使您無需配置本地瀏覽器就可以直接使用它。這似乎與介于設備和服務器之間的WAP網關很相似，但其實它們有著本質的不同。代理服務器為SSL/TLS會話建立了"隧道"，它有些像路由器，只是進行包的轉發，而不會對數據進行解密進而獲得數據明文。

　　當然，你可能會說WEB服務器會在其后方的應用程序之前先獲得數據明文，但是，對于多數有較高安全需求的公司來說，他們一般擁有這些WEB服務器以及連接WEB服務器和終端應用程序的網絡。這意味著他們可以控制誰有權發現WEB服務器的位置，WEB服務器對誰是可見的，誰對WEB服務器具有管理權限，何時對服務器進行維護，以及其它與服務器和網絡安全相關的事項。

　　然而讓網絡運營商擁有WAP網關究竟有多大危險呢？誠實的回答是：危險很小，但仍然存在。著名的網關供應商和網絡運營商都盡力確保他們的WAP網關安全。很明顯，他們并不愿意他們的業務與安全災難有任何牽連，所以他們保證數據明文不在磁盤上讀寫，而且加密與解密全部在內存中以最快的速度進行，這些進程使用的內存空間在釋放前必須被覆蓋，以確保數據是絕對安全的。

　　以上的所有措施都是非常可靠的，并且或許能夠滿足多數人的需求。然而仍有不少人持懷疑態度。我們可以考慮這個事實，盡管許多最大的軟件生產商和世界上最好的編程人員都在盡力解決安全問題，但是各種產品的安全漏洞卻不斷地被發現。有些人認為，WAP網關的安全漏洞遲早會暴露，這或許是由于軟件的脆弱，或許由于配置和管理錯誤，或許是由于雇員的蓄意或無意地操作。

　　對于那些有著較高安全需求的公司來說，一個很明顯的可行的解決方案是擁有自己的WAP網關。許多著名廠商如Nokia等都推出了自己的WAP網關產品，您可以在自己的站點上安裝它們。另外有一些WEB和應用程序服務器的生產商也在它們的產品中嵌入了WAP網關，如BEA的WebLogic。如果您決定運行自己的WAP網關，那么需要考慮幾個問題。根據您的安全需求和環境配置情況，您可以成為自己的ISP。如果那些移動設備訪問的應用程序很敏感，而您不希望它們被Internet訪問，則您需要建立調制解調器堆和RAS服務器，以允許撥號訪問您的網絡。您應該允許您的用戶連接到WAP網關及其之后的服務。除非您同意您的用戶經過您的網絡訪問Internet，否則您必須在您的網絡上配置Internet網關，這樣用戶就無法訪問到Internet上的其它WAP服務。下圖所示是一個例子。

　　根據所要提供的服務，這些可能根本不是問題。許多客戶可以輕易地滿足上圖的配置，因為他們已經具備了大而且復雜的計算環境，以支持撥號連接。他們一般明確地表示不希望Internet能訪問到他們的應用程序，而且不希望用戶能通過他們的網絡訪問到Internet。他們通常是大型的投資銀行或基金管理結構，具有迫切的安全需求和充足的資金以建設這種機構。這種方案一般不適合于小公司。

　　另一種配置方案可以讓您具有自己的WAP網關，但是無需額外的資金來充當自己的ISP。這種配置對你是否足夠安全主要依賴于你的安全需求。一旦WAP網關可以被Internet訪問，那么它將更容易受到攻擊，當用戶訪問你的系統遇到問題時，你和ISP之間的責任分界線將不如上個模型那樣鮮明。但是對于那些希望向公眾提供服務而又想擁有自己的WAP網關的組織來說，這個模型比較容易實現。該模型中，用戶撥號到ISP，接著就可以訪問Internet，然后他們使用ISP的RAS服務器，并且就如同訪問Internet上的任何WEB服務器一樣開始訪問WAP網關。這個模型是安全的，因為在手機與WAP網關之間使用了WTLS作為"隧道"協議。

　　雖然在該圖中WAP網關和WEB服務器位于同一個網段內，但在實際中并非一定如此。就如同網絡運營商擁有網關時一樣，WAP網關和WEB服務器可以位于不同的網段，而且WEB服務器甚至可以位于Internet可以訪問的另一個網絡中。由于TLS用來保證網關和WEB服務器之間的通信安全，它就同Internet上任何客戶/服務器連接一樣安全可靠。

　　值得一提的是，一些零售金融機構選擇通過網絡運營商的網關向用戶提供服務，因為他們希望用戶能夠便利地訪問他們的移動銀行服務。由于在交易環節中存在著安全缺陷，那么用戶自然會考慮是否值得使用這些服務來進行與帳戶的交易。這種安全問題同樣會影響用戶在移動連接上使用信用卡的意愿。

　　考慮到需要將WML和WMLScript轉化為二進制代碼，如果我們要提供端到端的安全解決方案，就要求應用層支持認證和數據加密。WAP 1。2說明中的加密庫只包含了一個函數，用來為文本串產生簽名，但是該說明也指出，在未來版本的說明中，可能加入新的加密功能。當支持WIM（WAP Identity Module，WAP身份模塊）的設備啟動時，它有可能將產生簽名的密鑰保存在智能卡上。WAP討論組已經意識到了端到端安全性的問題并且正在尋找解決方案，但至今仍沒有書面的標準方案，因此我們只能利用現有的協議自己設計應用程序。

［上一頁］ ［下一頁］