作者：佚名 文章來(lái)源：
不詳 點(diǎn)擊數： 3 更新時(shí)間：2006-4-29
1 2 3 下一頁(yè)
隨著(zhù) Web 服務(wù)由技術(shù)概念到實(shí)踐應用的不斷發(fā)展，種種跡象表明Web服務(wù)將是未來(lái)應用架構的一個(gè)極為重要的模式。當 Web 服務(wù)用于試驗計劃和大規模生產(chǎn)時(shí)，擁有一種松散耦合的、與語(yǔ)言和平臺無(wú)關(guān)的、在組織內跨企業(yè)、跨因特網(wǎng)鏈接應用程序的方法的好處正變得愈發(fā)明顯。我們的客戶(hù)、業(yè)界分析家和新聞界確定了當 Web 服務(wù)日益成為主流時(shí)要解決的關(guān)鍵問(wèn)題：安全性。這篇文章就是討論如何選擇并實(shí)現基于標準的安全體系架構，滿(mǎn)足真實(shí)企業(yè)的 Web 服務(wù)安全需要。
Web 服務(wù)體系架構的關(guān)鍵是能夠交付集成的、可互操作的解決方案。通過(guò)應用這個(gè)安全模型，確保 Web 服務(wù)的完整性、機密性和安全性，這對軟件商和它們的客戶(hù)來(lái)說(shuō)都至關(guān)重要。將會(huì )出臺的Web服務(wù)基本的安全規范包括：
用于整合的Web服務(wù)描述語(yǔ)言、用于認證和授權的安全性聲明標記語(yǔ)言、用于渠道保密的安全槽層（SSL）、用于高度機密的XML加密標準和用于高級授權的XML數字簽名。此外，其他幾項規范也會(huì )陸續出臺，包括：
Web服務(wù)安全性規范（包括XML-加密和XML-數字簽名）、XML密鑰管理規范和用于授權的可擴展訪(fǎng)問(wèn)控制標記語(yǔ)言規范等等。
為Web服務(wù)提供安全功能和組件的模型需要把現有的流程和技術(shù)與將來(lái)的應用程序的安全性需求集成起來(lái)。統一的安全技術(shù)就必須把應用程序對安全的需求從特定的機制中抽象出來(lái)。目的是讓開(kāi)發(fā)者能夠容易地使用異類(lèi)系統建立可互操作的安全解決方案。成功的Web服務(wù)安全方法需要一組靈活的、可互操作的基本元素，通過(guò)策略和配置，這些安全性基本元素可以使多種安全解決方案成為可行的方案?？尚械腤eb服務(wù)安全性機制需要滿(mǎn)足和包括下列組件的要求：
網(wǎng)絡(luò )安全性
支持如SSL等提供機密性和完整性的安全傳輸機制。
XML消息安全性
1)XML數字簽名，以便接收方可以證明消息發(fā)送方的身份。
2)XML加密，提供數據元素的機密性使能夠驗證交換。W3C發(fā)布XML密鑰管理服務(wù)(XML Key Management Services，簡(jiǎn)稱(chēng)XKMS)的備忘錄，幫助分發(fā)及管理在端點(diǎn)之間進(jìn)行安全通信所需的密鑰。
端點(diǎn)驗證及授權
1)支持在企業(yè)之間交換信息的合同中定義哪些雇員可以使用哪些服務(wù)。中介體負責審計和服務(wù)原始性證明。
2)支持網(wǎng)絡(luò )內部的、可信任的第三方驗證服務(wù)，例如Kerberos。
安全性服務(wù)描述
1)描述是否支持數字簽名、加密、驗證和授權以及如何支持它們。Web服務(wù)請求者使用服務(wù)描述的安全性元素，來(lái)查找符合政策要求及其安全性方法的服務(wù)端點(diǎn)。
2)OASIS成立了一個(gè)技術(shù)委員會(huì )來(lái)定義授權和驗證斷言(Authorization and Authentication Assertions，簡(jiǎn)稱(chēng)SAML)，幫助端點(diǎn)接受和決斷訪(fǎng)問(wèn)控制權。
3)OASIS同時(shí)成立了另一個(gè)技術(shù)委員會(huì )來(lái)標準化訪(fǎng)問(wèn)控制權的表達 (eXtensible Access Control Markup Language，簡(jiǎn)稱(chēng)XACML)，幫助端點(diǎn)能夠以一致的方式解析SAML斷言。
XML相關(guān)標準化團體"Organization for the Advancement of Structured Information Standards（OASIS）"的加盟企業(yè)成立了制定Web服務(wù)安全標準"Web Services Security（WS-Security）"的技術(shù)委員會(huì )"Web Services Security Technical Committee（WS-Security TC）"。這是OASIS于美國當地時(shí)間2002年7月23日宣布的。
WS-Security標準的目的是確保Web服務(wù)應用軟件處理數據的完整性及保密性，規定了Web服務(wù)協(xié)議SOAP的擴展及消息頭（Message Header）。這是由IBM、微軟和VeriSign共同研究制定的。 WS-Security融合了多種安全模式、結構和技術(shù)，是面向Web服務(wù)的標準規格之一。各種系統可以通過(guò)平臺及不依賴(lài)語(yǔ)言的方法確保相互兼容。
WS-Security 描述通過(guò)消息完整性、消息機密性和單獨消息認證提供保護質(zhì)量對 SOAP 消息傳遞的增強。這些機制可以用于提供多種安全性模型和加密技術(shù)。WS-Security 還提供關(guān)聯(lián)安全性令牌和消息的通用機制。WS-Security 不需要特定類(lèi)型的安全性令牌。它在設計上就是可擴展的（例如支持多安全性令牌格式）。舉例來(lái)說(shuō)，客戶(hù)機可能會(huì )提供身份證明和他們有特定商業(yè)認證的證明。
另外，WS-Security 還描述如何對二進(jìn)制安全性令牌編碼。此規范特別描述如何對 X.509 證書(shū)和 Kerberos 票據編碼以及如何加入難于理解的加密密鑰。它還包括可以用于進(jìn)一步描述消息中包含的憑證特征的擴展性機制。
WS-Security 很靈活，它被設計成用來(lái)構建多種安全性模型（包括 PKI、Kerberos 和 SSL）的基礎。WS-Security 特別為多安全性令牌、多信任域、多簽名格式和多加密技術(shù)提供支持。規范提供了三種主要的機制：安全性令牌傳播、消息完整性和消息機密性。這些機制本身并不提供完整的安全性解決方案。相反，WS-Security 是一種構件，它可以與其它 Web 服務(wù)擴展和更高級的特定于應用程序的協(xié)議聯(lián)合使用，以適應多種安全性模型和加密技術(shù)。這些機制可以獨立使用（例如傳送安全性令牌），或以緊密集成的方式使用（例如，對消息簽名和加密，并提供與用于簽名和加密的密鑰相關(guān)的安全性令牌層次結構）。
