Web Service安全机制

Web Service安全机制

随着 Web 服务由技术概念到实践应用的不断发展，种种迹象表明Web服务将是未来应用架构的一个极为重要的模式。当 Web 服务用于试验计划和大规模生产时，拥有一种松散耦合的、与语言和平台无关的、在组织内跨企业、跨因特网链接应用程序的方法的好处正变得愈发明显。我们的客户、业界分析家和新闻界确定了当 Web 服务日益成为主流时要解决的关键问题：安全性。这篇文章就是讨论如何选择并实现基于标准的安全体系架构，满足真实企业的 Web 服务安全需要。

Web 服务体系架构的关键是能够交付集成的、可互操作的解决方案。通过应用这个安全模型，确保 Web 服务的完整性、机密性和安全性，这对软件商和它们的客户来说都至关重要。将会出台的Web服务基本的安全规范包括：

用于整合的Web服务描述语言、用于认证和授权的安全性声明标记语言、用于渠道保密的安全槽层（SSL）、用于高度机密的XML加密标准和用于高级授权的XML数字签名。此外，其他几项规范也会陆续出台，包括：

Web服务安全性规范（包括XML-加密和XML-数字签名）、XML访问控制标记语言规范等等。

为Web容易地使用异类系统建立可互操作的安全解决方案。成功的Web可互操作的基本元素，通过策略和配置，这些安全性基本元素可以使多种安全解决方案成为可行的方案。可行的Web服务安全性机制需要满足和包括下列组件的要求：

网络安全性

支持如SSL

XML消息安全性

1)XML

2)XMLW3C发布XML密钥管理服务(XML Key Management Services，简称XKMS) 端点验证及授权

1)证明。

2)Kerberos。

1)Web服务请求者使用服务描述的安

(Authorization and Authentication Assertions，简称

(eXtensible Access Control Markup Language，简称XACML)，帮助端点能够以一致的方式解析SAML断言。

XML相关标准化团体"Organization for the Advancement of Structured Information Standards

（OASIS）"的加盟企业成立了制定Web服务安全标准"Web Services Security（WS-Security）"的技术委员会"Web Services Security Technical Committee（WS-Security TC）"。这是OASIS于美国当地时间2002年7月23日宣布的。

WS-Security标准的目的是确保Web服务应用软件处理数据的完整性及保密性，规定了Web服务协议SOAP的扩展及消息头（Message Header）。这是由IBM、微软和VeriSign共同研究制定的。 WS-Security融合了多种安全模式、结构和技术，是面向Web服务的标准规格之一。各种系统可以通过平台及不依赖语言的方法确保相互兼容。

第1页下一页