二、Web Service 統一安全服務(wù)體系結構
統一安全服務(wù)體系結構的基本想法就是將系統的安全體系結構的復雜性遷移到所謂的統一安全服務(wù)層，因而使得系統的其他部分無(wú)須承擔任何的安全職責。
在統一安全體系結構中，由一個(gè)單獨的服務(wù)器來(lái)實(shí)現統一安全服務(wù)，在此服務(wù)器上可以找到所有的安全算法，該服務(wù)器是對所定義域進(jìn)行鑒別的唯一場(chǎng)所。因此，統一安全的鑒別/注冊方法還有另外一個(gè)優(yōu)點(diǎn)：即便一個(gè)用戶(hù)在一個(gè)特定域中同許多不同的安全元素相互作用，它只需要進(jìn)行一次登錄。統一安全服務(wù)其本身可能就是一個(gè)Web service，這樣可以使得系統中其它子系統可以很方便的進(jìn)行安全功能的集成。
被鑒別方首先調用統一安全服務(wù)來(lái)請求得到一個(gè)能夠在特定域中標識其自身的身份ID。為了能夠獲得這個(gè)身份ID，被鑒別的一方首先必須提供正確的鑒別資格信息。鑒別資格信息具有多種不同的形式：例如，可以是簡(jiǎn)單的用戶(hù)名/口令或者證書(shū)，但是也可以采用別的方法。統一安全服務(wù)使用底層潛在的安全體系結構對用戶(hù)的資格信息進(jìn)行驗證，然后才賦予用戶(hù)一個(gè)身份ID。
具體過(guò)程如下：
1：被鑒別方向統一安全服務(wù)發(fā)出登陸請求
2：統一安全服務(wù)返回被鑒別方身份ID
3：被鑒別方將應用請求與身份ID發(fā)往應用服務(wù)器
4：應用服務(wù)器將身份ID發(fā)往統一安全服務(wù)進(jìn)行認證以及判權
5：統一安全服務(wù)返回認證以及判權結果
6：應用服務(wù)器根據返回的信息做出特定回應。
三、基于WS-Security實(shí)現傳輸信息安全
電子商務(wù)環(huán)境中，除了對交易者的身份信息需要認證和判權外，還對傳輸的內容的絕密性、完整性、不可否認性有很高的要求。由于web service 傳輸的是基于Soap協(xié)議的XML文本消息，為保證傳輸信息的絕密性、完整性、不可否認性，可以利用Web service security擴展機制來(lái)實(shí)現。
WS-Security 主要是一個(gè)用于基于 XML 的安全性元數據容器的規范。業(yè)界已經(jīng)對網(wǎng)絡(luò )傳輸信息安全提出了許多解決方案。例如 Kerberos 和 X.509 用于身份驗證；X.509 還使用現有的 PKI 進(jìn)行密鑰管理；XML 加密和 XML 簽名描述了 XML 消息內容的加密和簽名方法；XML 標準描述了為簽名和加密而準備 XML 的方法。WS-Security通過(guò)在現有規范中添加了一個(gè)架構，用于將這些機制嵌入到 SOAP 消息中。實(shí)現了一種與傳輸無(wú)關(guān)的安全擴展方式。
WS-Security 定義了一個(gè)用于攜帶安全性相關(guān)數據的 SOAP 標頭元素。如果使用 XML 簽名，此標頭可以包含由 XML 簽名定義的信息，其中包括消息的簽名方法、使用的密鑰以及得出的簽名值。同樣，如果消息中的某個(gè)元素被加密，則 WS-Security 標頭中還可以包含加密信息（例如由 XML 加密定義的加密信息）。WS-Security 并不指定簽名或加密的格式，而是指定如何在 SOAP 消息中嵌入由其他規范定義的安全性信息。
在基于WS-Security 擴展的Web Service中，Soap傳輸的不再是簡(jiǎn)單的XML文本消息，而是實(shí)現了WS-Security擴展的XML文件，身份證書(shū)作為XML header中的一個(gè)屬性被用戶(hù)私鑰加密，傳輸的XML BODY內容也進(jìn)行了數字簽名。應用端對客戶(hù)傳輸來(lái)的信息根據客戶(hù)用戶(hù)解密進(jìn)行驗證，這樣就保證了信息來(lái)源的準確以及信息完整性、保密性。下面就是一個(gè)使用了WS-Security擴展的SOAP消息，里面使用了用戶(hù)令牌與數字簽名。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
