各种相关信息

　　所有Web服务安全技术均建立在XML加密(XMLEncryption)和XML签名(XMLSignature)的基础之上，W3C标准用于在XML文档和信息内嵌的加密数据和数字签名。由于XML加密技术无需对全部信息进行加密，因此IT部门可自由选择：可对信用卡号码等个人数据进行加密，而敏感度不高的信息和SOA元数据无需加密即可传送。也可给文档的不同部分分配不同的密钥，以使其只能被指定的接收者读取。

　　但这也有不利的一面：由于参与者必须首先就加密数据的位置、加密元素和如何交换密钥等问题达成一致，因此散布于XML信息中的加密数据会导致互操作问题。为解决上述问题，结构信息标准化促进组织(OASIS)建立了WS-Security标准，以在Web服务中应用XML安全(XMLSecurity)和XML加密。

　　WS-Security标准是WS-*系列标准中最成熟的一个，几乎所有Web服务和SOA厂商都支持这一标准。其主要缺点是：与所有的WS-*系列标准一样，也采用简单对象访问协议(SOAP)，因此凡业务依赖于RESTWeb服务的公司，都不适用此标准。REST(RepresentationalStateTransfer)意为具象状态传输，采用这种模式，可对不用SOAP的XMLWeb服务进行描述。

　　选择REST而非SOAP的主要原因在于它的简捷，多数REST用户仍然使用SSL协议。这是由于REST采用HTTP协议，而且往往被用于点对点连接，故而SSL隧道通常已能满足其需求。在应用了REST以后，企业如果希望对消息层进行加密，就需要建立其自己的协议和数据格式。

　　对于多数企业而言，将所有商业合作伙伴组织起来，并为REST设计定制的、安全的XML格式，实属不易，WS-Security标准因此而成为采用SOAP的最强有力依据。尽管如此，亚马逊公司(Amazon.com)和谷歌公司(Google)等大型Web服务提供商纷纷各显神通，使用安全身份标识(SecurityToken)，成功地应用了REST模式。这样做虽然有沦为专有技术的顾虑，但仍然受到了用户的欢迎：亚马逊也提供遵从WS-Security的SOAP接口，但发现客户更青睐REST，使用二者的用户比例为5:1，因为多数亚马逊用户仅仅是访问亚马逊服务，而不是用之建立完整的SOA，所以也就用不着SOAP的复杂功能。

　　统一身份

　　尽管WS-Security标准有助于SOAP信息的加密和签名，但该标准并未涉及任何有关认证、授权和计费(AAA)或者安全策略的内容。这些问题由安全领域的其他标准解决，并且所有这些标准都以WS-Security为基础。(参见边栏《安全标准，过犹不及？》)。

　　虽然目前这些标准由于太新而无法对用户产生足够的影响，但是其中多数最终将得到企业服务总线(ESB)和Web服务管理领域所有厂商的支持。

　　唯一的例外是统一身份的问题，也恰是在这一领域，安全标准新秀WS-Federation和WS-Trust对OASIS组织发布的另一成熟标准SAML2.0发起了挑战。采用统一身份的目的在于：将认证与被访问的资源分隔开来，以实现单点登录。用户登录到某身份提供者的系统，后者为之提供凭证，该用户即可使用此凭证访问多个不同资源。凭证与数字证书近似，在SAML中称之为“断言”，在WS-Trust中唤作“标识”；一般用凭证来担保用户身份，并在认证时添加一些信息，例如用户在何时以什么方式登陆。SAML作用于整个单点登录过程，而对于WS-*来说，这一过程由两个标准共同完成：WS-Trust负责处理内部认证和标识的发放，WS-Federation负责管理用这些标识访问其他资源的操作。

　　实际上，二者的主要差别在于：SAML直接使用XML加密和XML签名，这意味着它与REST兼容；而WS-Federation则采用SOAP。SAML拥有庞大的客户群，但是这实际上意义不大，因为微软一直在全力推进WS-Federation，并表示不会支持SAML。

　　与其他的标准之争不同，在这一案例中，并非是微软与其他所有公司的简单对抗。一方面，微软与国际商业机器公司(IBM)共同开发了WS-Federation标准，而后者同时也是SAML的拥趸；另一方面，SAML阵营中其他所有厂商均已承诺，如果WS-Federation存在市场需求，他们都会支持这一标准。从长远来看，二者将会并存：微软和SOAP环境会选择WS-Federation，而RESTWeb服务则是SAML的天下。

　　防火墙置于何处

　　在互联网的发展过程中，防火墙是最早推动Web服务普及的因素。虽然不同的组织采取不同的安全策略，但是几乎所有组织都需要开放80端口(编者注：Web服务端口)，所以厂商和标准组织纷纷倾向于采用运行在HTTP之上、基于文本的协议。

　　当然，攻击者和恶意软件也持同样的态度。

　　因此，在互联网上发布Web服务的公司传统上往往使用应用安全网关，这些设备可以读取并理解应用层文档，从而能过滤潜在的攻击。虽然好产品的功能不仅限于XML领域，通常仍称这类设备为“XML防火墙”。尽管基于浏览器的富互联网应用(RIA)开发人员往往认为XML过于庞杂，而喜欢用JavaScript对象表示法(JSON)或纯文本格式，但RESTWeb服务仍可在HTTP或URL中对某些信息进行编码。

　　安全网关不仅仅是防火墙，它具备SOA管理套件的所有功能，可以处理认证、授权和计费。当Web服务作为企业SOA的一个接口存在时，安全网关通常需要在Java信息服务(JMS)和HTTP之间进行转换，原因在于多数SOA在其内部并不使用真正的Web服务。

　　除非连接到外部世界，否则能穿越防火墙反而成为一大不利因素。

　　此外，网关需要先对文档进行解码，然后才能对之进行有效审查，因此不管采用SSL、WS-Security或SAML格式，多数网关同时也负责加密和认证。由于识别攻击要用到深度包检测技术并能理解XML，因此XML转换和路由也要用到安全网关，而且由于采用了专业化的SSL或XML加速硬件，安全网关在此方面往往优于管理软件。

　　现在，绝大多数安全网关仍是独立机箱，安装方式与传统防火墙相近，由专业厂商销售(参见图表《网络中的安全网关》)。

　　安全网关厂商的先行者中，有4家已成为他人的囊中之物：Sarvega公司为英特尔公司(Intel)所购；NetScaler公司被思杰公司(Citrix)收至麾下；IBM和思科公司(CiscoSystems)分别买下了DataPower公司和Reactivity公司。除了英特尔之外，其他几家现在仍然销售网关产品。英特尔则利用Sarvega技术帮助其他厂商，围绕标准CPU而不是定制ASIC芯片开发XML软件或设备。

　　思杰的NetScaler设备集成了XML防火墙与应用前端(AFE)。思科也计划将Reactivity集成到其应用控制引擎(ACE)产品线中，以达到同样的集成目标。

　　由于AFE位于网络边缘，而且用于加速SSL，因此，无论对于客户还是期望挺进新市场的AFE厂商而言，AFE与XML防火墙的集成都可谓意义重大。F5网络公司(F5Networks)也宣布将会销售自主研发的XML防火墙，而且其竞争对手很可能会步其后尘。

　　利基网络公司(Layer7Networks)、Vordel公司和Xtradyne公司等其他独立安全网关厂商则与之背道而驰，以软件和虚拟化为发展方向。

　　其中，Vordel公司和Xtradyne公司始终将其网关产品作为软件来销售，运行于专用刀片服务器环境。而且这几家公司都极推崇虚拟设备，利基网络公司和Vordel公司已开始销售运行于VMware系统环境下的软件。

上一页  [1] [2] [3] [4] [5] [6] 下一页