用SSO保护web service安全

haidong

<p >事实已经充分证明，Web Service是目前最典型的异构分布技术。一个典型的Web service设置将会充分利用多种不同的技术、对象模型和编程语言，其中或许会包含简单的Perl脚本和使用C++ 或 Java实现单个Web service，可能还会有建立在J2EE应用程序服务器之上的复杂应用。Web service的一个明显优势就是能够在不同环境下实现相互作用。但是要做到这一点，需要付出一定的代价：很难保证这些系统的安全性。为所有相关的技术找到一个公共的安全标准也是非常困难的。现在，我们将要谈论single sign-on——以一种灵活而又可互操作的方式实现异构系统的安全性。 <p ><center><font color="#000099"><strong>基本概念</strong></font></center><p >Web service中使用公共的安全体系结构所带来的主要问题在于安全体系结构具有典型的分布特征，并且这些体系结构通常要求系统中的所有部分都要实现关键性的功能和算法。所有安全系统都有一个令人遗憾的事实，这就是整个系统的安全级别与系统中最脆弱部分的安全级别相同。因此，我们要么避免使用某些技术，要么就对整个系统的安全性进行折衷。很明显，这极易出现不灵活性。避免使用某些技术通常是不切合实际的，而且还会与Web service（它们可以在任何技术之间架起联系的桥梁）背道而驰。有关这个问题的一个可能解决方案就是single sign-on(SSO)体系结构。<p >single sign-on 安全体系结构的基本想法就是将安全体系结构的复杂性迁移到所谓的SSO服务，因而使得系统的其他部分无须承担任何的安全职责。<p >在SSO体系结构中，在单个SSO服务器上可以找到所有的安全算法，该服务器是对所定义域进行鉴别的唯一场所。因此，SSO的鉴别/注册方法还有另外一个优点：即便一个用户在一个特定域中同许多不同的安全元素相互作用，他只需要进行一次sign-on。SSO 服务器其本身可能就是一个Web service，可以起到现有安全体系结构周围的外包装的作用，并提供诸如鉴别和授权之类不同类型的安全功能。 本文中，我们将主要关注SSO环境中的鉴别。实际上，SSO具有两种情形，我们首先介绍最简单的情形。 <p ><center><font color="#000099"><strong>SSO的简单情形</strong></font></center><p >在SSO的简单情形中，被鉴别的一方首先调用SSO服务器并且请求得到一个能够在特定域中标识其自身的鉴别符号。为了能够获得这个符号，被鉴别的一方首先必须提供正确的鉴别资格信息。鉴别资格信息具有多种不同的形式：例如，可以是简单的用户名/口令或者证书，但是也可以采用别的方法。SSO服务器使用底层潜在的安全体系结构对用户的资格信息进行验证。然后才能发布一个入场券，供调用的应用程序鉴别，从而区别于其他的应用程序。在SSO的简单情形中，这个符号并不会强加任何特定的信息，它仅仅只是用户在特定场合和地点中的唯一标识。被调用的应用程序收到该符号之后，通过把符号传递给SSO服务器对其进行验证。其中由SSO服务器进行实际的检验。下面这张图就很好的说明了这个概念： <p ><center><img  src="http://www.hh010.com/upload_files/article/244/9_fr9wuf32971.gif"></center><p ><center>图 1: SSO的简单情形</center><p >SSO方法的主要优势是很明显的： <p >● 对SSO 服务器中底层潜在的安全体系结构，实现、配置和维护也变得容易许多。分布式系统中的所有通信实体就没有必要单独实现所有的安全功能和机制。<p >● SOAP对于SSO服务器的接口使SSO体系结构变得非常通用。正如我们在前面所提到的，SSO本身也是一个Web service。如果SSO服务器能够显示其接口的WSDL， SSO API 就可以即刻产生并加以利用。<p >● 由于不必到处传递安全信用信息，SSO服务器增强了整个系统的安全性。SSO 服务器成为唯一可以接受安全信用信息的场所。而且，SSO的解决方案经常将联合性考虑在内，所以就可以在一个广阔的范围里进行鉴别（超出特定的安全域），而安全信用信息却仍然位于特定的安全域中。                                 <p align="center"><font color="FF0000" >1</font>234<span class="content01">下一页&gt;&gt;</span></p></p>