作者：佚名 文章來源：
不詳 點(diǎn)擊數(shù)： 3 更新時(shí)間：2006-4-29
1 2 3 下一頁
隨著 Web 服務(wù)由技術(shù)概念到實(shí)踐應(yīng)用的不斷發(fā)展，種種跡象表明Web服務(wù)將是未來應(yīng)用架構(gòu)的一個(gè)極為重要的模式。當(dāng) Web 服務(wù)用于試驗(yàn)計(jì)劃和大規(guī)模生產(chǎn)時(shí)，擁有一種松散耦合的、與語言和平臺無關(guān)的、在組織內(nèi)跨企業(yè)、跨因特網(wǎng)鏈接應(yīng)用程序的方法的好處正變得愈發(fā)明顯。我們的客戶、業(yè)界分析家和新聞界確定了當(dāng) Web 服務(wù)日益成為主流時(shí)要解決的關(guān)鍵問題：安全性。這篇文章就是討論如何選擇并實(shí)現(xiàn)基于標(biāo)準(zhǔn)的安全體系架構(gòu)，滿足真實(shí)企業(yè)的 Web 服務(wù)安全需要。
Web 服務(wù)體系架構(gòu)的關(guān)鍵是能夠交付集成的、可互操作的解決方案。通過應(yīng)用這個(gè)安全模型，確保 Web 服務(wù)的完整性、機(jī)密性和安全性，這對軟件商和它們的客戶來說都至關(guān)重要。將會(huì)出臺的Web服務(wù)基本的安全規(guī)范包括：
用于整合的Web服務(wù)描述語言、用于認(rèn)證和授權(quán)的安全性聲明標(biāo)記語言、用于渠道保密的安全槽層（SSL）、用于高度機(jī)密的XML加密標(biāo)準(zhǔn)和用于高級授權(quán)的XML數(shù)字簽名。此外，其他幾項(xiàng)規(guī)范也會(huì)陸續(xù)出臺，包括：
Web服務(wù)安全性規(guī)范（包括XML-加密和XML-數(shù)字簽名）、XML密鑰管理規(guī)范和用于授權(quán)的可擴(kuò)展訪問控制標(biāo)記語言規(guī)范等等。
為Web服務(wù)提供安全功能和組件的模型需要把現(xiàn)有的流程和技術(shù)與將來的應(yīng)用程序的安全性需求集成起來。統(tǒng)一的安全技術(shù)就必須把應(yīng)用程序?qū)Π踩男枨髲奶囟ǖ臋C(jī)制中抽象出來。目的是讓開發(fā)者能夠容易地使用異類系統(tǒng)建立可互操作的安全解決方案。成功的Web服務(wù)安全方法需要一組靈活的、可互操作的基本元素，通過策略和配置，這些安全性基本元素可以使多種安全解決方案成為可行的方案。可行的Web服務(wù)安全性機(jī)制需要滿足和包括下列組件的要求：
網(wǎng)絡(luò)安全性
支持如SSL等提供機(jī)密性和完整性的安全傳輸機(jī)制。
XML消息安全性
1)XML數(shù)字簽名，以便接收方可以證明消息發(fā)送方的身份。
2)XML加密，提供數(shù)據(jù)元素的機(jī)密性使能夠驗(yàn)證交換。W3C發(fā)布XML密鑰管理服務(wù)(XML Key Management Services，簡稱XKMS)的備忘錄，幫助分發(fā)及管理在端點(diǎn)之間進(jìn)行安全通信所需的密鑰。
端點(diǎn)驗(yàn)證及授權(quán)
1)支持在企業(yè)之間交換信息的合同中定義哪些雇員可以使用哪些服務(wù)。中介體負(fù)責(zé)審計(jì)和服務(wù)原始性證明。
2)支持網(wǎng)絡(luò)內(nèi)部的、可信任的第三方驗(yàn)證服務(wù)，例如Kerberos。
安全性服務(wù)描述
1)描述是否支持?jǐn)?shù)字簽名、加密、驗(yàn)證和授權(quán)以及如何支持它們。Web服務(wù)請求者使用服務(wù)描述的安全性元素，來查找符合政策要求及其安全性方法的服務(wù)端點(diǎn)。
2)OASIS成立了一個(gè)技術(shù)委員會(huì)來定義授權(quán)和驗(yàn)證斷言(Authorization and Authentication Assertions，簡稱SAML)，幫助端點(diǎn)接受和決斷訪問控制權(quán)。
3)OASIS同時(shí)成立了另一個(gè)技術(shù)委員會(huì)來標(biāo)準(zhǔn)化訪問控制權(quán)的表達(dá) (eXtensible Access Control Markup Language，簡稱XACML)，幫助端點(diǎn)能夠以一致的方式解析SAML斷言。
XML相關(guān)標(biāo)準(zhǔn)化團(tuán)體"Organization for the Advancement of Structured Information Standards（OASIS）"的加盟企業(yè)成立了制定Web服務(wù)安全標(biāo)準(zhǔn)"Web Services Security（WS-Security）"的技術(shù)委員會(huì)"Web Services Security Technical Committee（WS-Security TC）"。這是OASIS于美國當(dāng)?shù)貢r(shí)間2002年7月23日宣布的。
WS-Security標(biāo)準(zhǔn)的目的是確保Web服務(wù)應(yīng)用軟件處理數(shù)據(jù)的完整性及保密性，規(guī)定了Web服務(wù)協(xié)議SOAP的擴(kuò)展及消息頭（Message Header）。這是由IBM、微軟和VeriSign共同研究制定的。 WS-Security融合了多種安全模式、結(jié)構(gòu)和技術(shù)，是面向Web服務(wù)的標(biāo)準(zhǔn)規(guī)格之一。各種系統(tǒng)可以通過平臺及不依賴語言的方法確保相互兼容。
WS-Security 描述通過消息完整性、消息機(jī)密性和單獨(dú)消息認(rèn)證提供保護(hù)質(zhì)量對 SOAP 消息傳遞的增強(qiáng)。這些機(jī)制可以用于提供多種安全性模型和加密技術(shù)。WS-Security 還提供關(guān)聯(lián)安全性令牌和消息的通用機(jī)制。WS-Security 不需要特定類型的安全性令牌。它在設(shè)計(jì)上就是可擴(kuò)展的（例如支持多安全性令牌格式）。舉例來說，客戶機(jī)可能會(huì)提供身份證明和他們有特定商業(yè)認(rèn)證的證明。
另外，WS-Security 還描述如何對二進(jìn)制安全性令牌編碼。此規(guī)范特別描述如何對 X.509 證書和 Kerberos 票據(jù)編碼以及如何加入難于理解的加密密鑰。它還包括可以用于進(jìn)一步描述消息中包含的憑證特征的擴(kuò)展性機(jī)制。
WS-Security 很靈活，它被設(shè)計(jì)成用來構(gòu)建多種安全性模型（包括 PKI、Kerberos 和 SSL）的基礎(chǔ)。WS-Security 特別為多安全性令牌、多信任域、多簽名格式和多加密技術(shù)提供支持。規(guī)范提供了三種主要的機(jī)制：安全性令牌傳播、消息完整性和消息機(jī)密性。這些機(jī)制本身并不提供完整的安全性解決方案。相反，WS-Security 是一種構(gòu)件，它可以與其它 Web 服務(wù)擴(kuò)展和更高級的特定于應(yīng)用程序的協(xié)議聯(lián)合使用，以適應(yīng)多種安全性模型和加密技術(shù)。這些機(jī)制可以獨(dú)立使用（例如傳送安全性令牌），或以緊密集成的方式使用（例如，對消息簽名和加密，并提供與用于簽名和加密的密鑰相關(guān)的安全性令牌層次結(jié)構(gòu)）。
