【正文】 Service消息中介進(jìn)行處理，因此需要XML Encryption加密標(biāo)準(zhǔn)來允許對一個消息的不同部分進(jìn)行加密，同時可以不對路由的目的消息頭進(jìn)行加密，以減少敏感的加密性能損失。這一切都可以通過數(shù)字簽名來實現(xiàn)。同時數(shù)字簽名和時間戳還能防止對已發(fā)生交易的否認(rèn)。這樣的驗證過程可以是基于SSL的，也可以是自定義的。防火墻一般不會檢查在通道上傳輸?shù)腟OAP消息的合法性。　　入侵檢測　　要整理出所有對龐大的Web Service方法的誤用是一個非常困難的任務(wù)。要防止系統(tǒng)入侵，需要很好的智能化分析手段，并借助于專家系統(tǒng)來幫助檢測惡意的行為。這就需要各個系統(tǒng)能夠按照統(tǒng)一的系統(tǒng)管理標(biāo)準(zhǔn)進(jìn)行遠(yuǎn)程管理并提供系統(tǒng)的安全狀態(tài)信息。 PKI簡介　　PKI是Public Key Infrastructure (公共密鑰體系)的縮寫，是一個使用非對稱密鑰加密原理和相關(guān)技術(shù)實現(xiàn)的安全基礎(chǔ)設(shè)施。在基于Internet技術(shù)的電子政務(wù)和電子商務(wù)場景下，應(yīng)用系統(tǒng)對安全性的需求在技術(shù)上最終都?xì)w于以下四個方面：　　(1)提供用戶身份合法性驗證機(jī)制　　身份認(rèn)證(Authentication)是分布式部署的信息系統(tǒng)首先面臨的安全問題。　　在分布式部署的企業(yè)信息系統(tǒng)中，用戶的交互往往是非面對面的，因此提供一個可靠的身份認(rèn)證過程將是討論一切安全措施的前提條件。　　(2)保證敏感數(shù)據(jù)通過公用網(wǎng)絡(luò)傳輸時的保密性　　保密性(Confidentiality)需求是指應(yīng)用系統(tǒng)需要能夠確保敏感數(shù)據(jù)只被特定的用戶查看。很多時候，用戶A通過公共網(wǎng)絡(luò)，比如以電子郵件的形式將文件發(fā)給用戶B，這時，保證文件的內(nèi)容不被第三者查看變得尤為重要。以上面的例子為例，用戶B除了需要確認(rèn)該文件的確是由用戶A發(fā)出的以外，還需要確認(rèn)這封文件在傳輸過程中沒有被有意或無意的篡改，即用戶B接收到的文件和用戶A發(fā)出的文件是完全一致的。以前面的例子為例，當(dāng)用戶A發(fā)出該文件之后，用戶A將再不能否認(rèn)曾經(jīng)發(fā)出該文件這一事實。PKI為從技術(shù)上實現(xiàn)以上需求提供了原理上的保證，我們對此在下一小節(jié)中加以簡單的介紹。理解非對稱密鑰加密技術(shù)的基本原理是理解PKI為什么安全的基本前提，也只有在對PKI的原理有一定程度的了解之后，才能有效的部署和實施PKI。對稱密鑰加密算法本身是非常安全的，問題出在如何傳遞加密所使用的密鑰上。非對稱加密在加密時和解密時使用不同的密鑰，設(shè)為密鑰p和q。但是從密鑰p本身計算出密鑰q是不可行的。當(dāng)用戶A需要將數(shù)據(jù)以加密的方式傳遞給用戶B時，用戶A使用用戶B的公鑰加密數(shù)據(jù)，加密后的數(shù)據(jù)必須使用用戶B的私鑰才能解密，因此可以保證數(shù)據(jù)傳輸過程的保密性。由于私鑰不在公共網(wǎng)絡(luò)上傳播，所以PKI有很高的安全性。密鑰管理中心與IT系統(tǒng)中的用戶管理中心協(xié)同工作，負(fù)責(zé)PKI中的密鑰對的生成、備份和恢復(fù)。PKI中的加密服務(wù)組件負(fù)責(zé)驅(qū)動系統(tǒng)底層的加密軟件和硬件。PKI系統(tǒng)中可以配置多套加密服務(wù)組件，以驅(qū)動不同的加軟件和硬件?！　?CA/RA)　　認(rèn)證機(jī)構(gòu)CA是PKI的信任基礎(chǔ)，它管理公鑰的整個生命周期，其作用包括簽發(fā)證書、規(guī)定證書的有效期和通過發(fā)布證書廢除列表(CRL)來確保必要時可以廢除證書。這里指的用戶，是指將要向認(rèn)證機(jī)構(gòu)(即CA)申請數(shù)字證書的客戶，可以是個人，也可以是集團(tuán)或團(tuán)體、某政府機(jī)構(gòu)等。注冊機(jī)構(gòu)并不給用戶簽發(fā)證書，而只是對用戶進(jìn)行資格審查?！　τ谝粋€規(guī)模較小的PKI應(yīng)用系統(tǒng)來說，可把注冊管理的職能由認(rèn)證中心CA來完成，而不設(shè)立獨立運行的RA?；埸c的PKI方案推薦由一個獨立的RA來完成注冊管理的任務(wù)，通過保證CA和IT系統(tǒng)其余部分的物理隔絕，可以增強(qiáng)應(yīng)用系統(tǒng)的安全。　　CA/RA服務(wù)器使用數(shù)據(jù)庫服務(wù)器保存相關(guān)的數(shù)據(jù)?！　∶荑€對的產(chǎn)生是證書申請過程中重要的一步，其中產(chǎn)生的私鑰由用戶保留，公鑰和其他信息則通過RA交于CA中心進(jìn)行簽名，供生成數(shù)字證書使用。如果沒有這種措施，當(dāng)密鑰丟失后，將意味著加密數(shù)據(jù)的完全丟失，對于一些重要數(shù)據(jù)，這將是災(zāi)難性的?！　≡谀承┣闆r下用戶可能有多對密鑰，至少應(yīng)該有兩對密鑰：一對用于加密，一對用于簽名。PKI系統(tǒng)需要備份用于加密的密鑰對，并允許用戶進(jìn)行恢復(fù)。密鑰的備份一般用口令進(jìn)行保護(hù)，而口令丟失則是管理員最常見的安全疏漏之一。　　當(dāng)用戶的私鑰被泄漏時，用戶應(yīng)該更新私鑰。　　密鑰管理中心需要與PKI系統(tǒng)中的其它加密軟件系統(tǒng)和硬件設(shè)備協(xié)同工作。各個應(yīng)用系統(tǒng)通過安全中間件與底層的PKI服務(wù)組件相互作用，協(xié)同工作，從而保證整個IT系統(tǒng)的安全性?！　“踩虚g件包括以下部分：　　安全應(yīng)用程序編程接口安全應(yīng)用程序編程接口屏蔽了PKI系統(tǒng)復(fù)雜的技術(shù)細(xì)節(jié)，將PKI系統(tǒng)與具體的應(yīng)用系統(tǒng)有機(jī)的集成在一起，從而構(gòu)成結(jié)構(gòu)良好的企業(yè)分布式安全應(yīng)用環(huán)境?！　“踩珜嶓w映射組件　　安全實體映射組件維護(hù)IT系統(tǒng)中用戶與PKI系統(tǒng)中的安全實體之間的映射關(guān)系。由安全中間件集中維護(hù)IT系統(tǒng)中的用戶與PKI系統(tǒng)中的安全實體之間的映射關(guān)系能夠有效的簡化應(yīng)用系統(tǒng)的開發(fā)和實施。用戶通過安全應(yīng)用程序編程接口發(fā)出的數(shù)據(jù)加密和解密請求實際上由加密服務(wù)組件負(fù)責(zé)具體的實現(xiàn)?；埸cPKI方案具有集成來自不同廠商的CA服務(wù)器產(chǎn)品、加密軟件和加密硬件的能力，這種能力是通過部署不同的加密服務(wù)組件來實現(xiàn)的。　　　　安全配置和管理組件　　安全應(yīng)用程序編程接口提供了完成獨立于具體的PKI系統(tǒng)組件的選型的接口，然后，隨著用戶對CA服務(wù)器及相關(guān)軟件、加密軟件和硬件的選擇不同，應(yīng)用系統(tǒng)在使用PKI系統(tǒng)提供的安全服務(wù)也會有所不同。慧點科技的PKI方案通過提供獨立于安全應(yīng)用程序編程接口的安全配置和管理組件來解決這一問題。PMI建立在PKI基礎(chǔ)上，與PKI相結(jié)合，提供實體身份到應(yīng)用權(quán)限的映射，實現(xiàn)對系統(tǒng)資源訪問的統(tǒng)一管理?！　〉湫偷膱鼍爸校缦旅鎴D4－1所示，如果某個用戶或應(yīng)用需要在某一個資源上行使某個操作。隨后PEP將基于請求者的屬性、所請求的資源和所要行使的操作以及其它信息，來形成一個請求并發(fā)送到一個策略決策點PDP(PolicyDecision Point)。決策的結(jié)果將會返回給PEP,并由PEP來執(zhí)行對該訪問請求的許可或拒絕。　　　　　　，并提供更靈活的通道。為實現(xiàn)這些不同的渠道和交互方式而采用重復(fù)復(fù)制框架和應(yīng)用的做法將大大提高建設(shè)和維護(hù)費用，并因為一個實際的用戶在多個系統(tǒng)中都擁有用戶帳號，因此難以識別一個唯一的用戶標(biāo)識，并提供更好的關(guān)聯(lián)服務(wù)。如果沒有一個適當(dāng)?shù)陌踩呗院透呒壍陌踩刂?，機(jī)密信息泄漏和數(shù)據(jù)保護(hù)被破壞的可能性將大大增加。其實現(xiàn)必須支持多種技術(shù)和設(shè)備，并具有關(guān)鍵任務(wù)級的伸縮性和可靠性?！　?PMI發(fā)展的幾個階段根據(jù)對身份認(rèn)證和授權(quán)的處理方式的不同，以及技術(shù)發(fā)展提供的條件，身份驗證和授權(quán)的實現(xiàn)經(jīng)歷了如下幾個階段，　　　　在第一個階段，即原始階段，一個用戶在多個用戶系統(tǒng)中都有各自的賬號，并需要分別登錄驗證?！　≡诘诙€階段，為解決后臺系統(tǒng)間互操作的問題，需要在各應(yīng)用系統(tǒng)間建立信任連接。這樣的方案一方面受到開發(fā)約束，另一方面，存在著比較大的安全隱患。同時可以集中的提高所有應(yīng)用在身份驗證和授權(quán)管理上的安全性?！　≡诘谒膫€階段，PMI擴(kuò)展到了更大的架構(gòu)，不同企業(yè)，不同地域間的應(yīng)用和用戶能夠?qū)崿F(xiàn)相互認(rèn)證和授權(quán)。通過該架構(gòu)為用戶提供了唯一可信的網(wǎng)絡(luò)身份標(biāo)識并為企業(yè)間的B2B實現(xiàn)提供堅強(qiáng)的安全保證。Single Sign On能提高和加強(qiáng)Web Service參與的各系統(tǒng)的安全，并簡化企業(yè)中各個異構(gòu)系統(tǒng)的安全管理和維護(hù)。慧點的Trusted Web Service PMI就是這樣一個先進(jìn)的PMI架構(gòu)?；埸c的PMI框架還可提供對Legacy Application和Web application的支持，并實現(xiàn)對這些應(yīng)用的Single Sign On。提供對系統(tǒng)元數(shù)據(jù)目錄、用戶身份和屬性信息、用戶授權(quán)信息、資源和服務(wù)信息、組織和角色信息、系統(tǒng)安全策略等重要信息的層次化存儲和查詢服務(wù)。在整個管理服務(wù)中，還實現(xiàn)了JavaManagement Extension（Java管理擴(kuò)展接口），能夠和整個慧點安全應(yīng)用集成框架的頂層管理相集成。在策略服務(wù)中，為應(yīng)用系統(tǒng)的授權(quán)決策請求提供決策服務(wù)。它能安裝在各種類型的Web Server，如Apache、IIS、Domino等服務(wù)器上，截聽用戶的訪問請求，并通過訪問Policy Server的策略服務(wù)，來確定用戶是否具允許該訪問。　　在PMI Policy Server的策略服務(wù)中包括　　Single Sign On提供對單點登錄的支持　　身份認(rèn)證服務(wù)通過Plugable方式提供對多種驗證機(jī)制的身份認(rèn)證服務(wù)　　授權(quán)和訪問控制服務(wù)判斷和決策用戶對應(yīng)用的訪問是否具有所需的權(quán)限。該Session信息被用于校驗Single Sign On令牌?！　martDot PMI的Policy Server通過Policy中ACL來保護(hù)一個組織機(jī)構(gòu)的數(shù)據(jù)和Web資源受到未被授權(quán)的訪問。該用戶通過驗證后，Policy Server將會根據(jù)應(yīng)用于該用戶的一系列policy來確定用戶對該資源的訪問授權(quán)?！　≡赑MI Policy Server的管理服務(wù)中包括Policy管理是用來為組織或用戶創(chuàng)建和維護(hù)訪問控制規(guī)則（rule）以及策略的，授予或拒絕用戶對資源的訪問?！　onfig管理用來配置和管理Policy Server本身的元數(shù)據(jù)的。同時Resource還能夠管理和維護(hù)某些需要保護(hù)的資源（如Web頁面）。通過提供PMI的軟件框架，來管理這些信息的生命周期以及其屬性，權(quán)限的使用。身份管理和目錄服務(wù)、策略控制、訪問管理一起構(gòu)成了慧點的可信的基于Web Service的PMI框架基礎(chǔ)，并且與PKI安全平臺一起，通過提供數(shù)字證書、身份識別、基于角色的授權(quán)服務(wù)構(gòu)成PMI的服務(wù)體系。 Sign On實現(xiàn)Single Sing On(單點登錄)就是要實現(xiàn)通過一次登錄自動訪問的所有授權(quán)的應(yīng)用軟件系統(tǒng)，從而提高整體安全性，而且無需記憶多種登錄過程、ID或口令。從管理角度看，Single Singon有助于減少口令重復(fù)設(shè)置請求，使技術(shù)人員有時間去集中精力執(zhí)行更重要的任務(wù)。每個系統(tǒng)一般都要求遵照一定的安全程序，即要求用戶輸入用戶ID和口令。如果用戶忘記了口令，就不能執(zhí)行任務(wù)，從而降低生產(chǎn)效率。為牢記登錄信息，用戶一般會簡化密碼，為多個系統(tǒng)使用相同的口令，或創(chuàng)建一個口令?176。?a?a這是會危及公司信息保密性的幾種常用做法?！　⌒枰喕脩粼L問　　借助慧點PMI Single SingOn，用戶只需一個用戶ID和口令。在此條件下，管理員無需修改或干涉用戶登錄就能實施希望得到的安全控制。這樣就出現(xiàn)了在企業(yè)中，如果增加一個用戶，則每個應(yīng)用系統(tǒng)都要添加；刪除一個用戶，則每個應(yīng)用系統(tǒng)都要刪除。并且由于系統(tǒng)間的用戶信息沒有辦法相互共享或信任，一個系統(tǒng)的用戶無法直接訪問另一個系統(tǒng)。這樣就統(tǒng)一提高了原本只通過簡單用戶名和口令方式進(jìn)行用戶驗證的安全性弱的應(yīng)用的安全性，并為整個系統(tǒng)的應(yīng)用統(tǒng)一提供了可靠的安全服務(wù)，而不需要每個應(yīng)用程序單獨開發(fā)復(fù)雜的高難度的登錄和驗證程序。　　 Single Sign On的實現(xiàn)　　慧點PMI Single Sign On采用了靈活的可插式（Plugable）的框架，支持多種單點登錄的實現(xiàn)方式，可根據(jù)系統(tǒng)實施中的應(yīng)用類型和應(yīng)用分布的實際情況來靈活的進(jìn)行部署和使用。在隨后的訪問中，這個訪問令牌將會直接傳遞到要訪問的應(yīng)用系統(tǒng)中。對參加統(tǒng)一認(rèn)證方式的應(yīng)用系統(tǒng)，稱這些應(yīng)用系統(tǒng)為SingleSign On的Partner（伙伴）。因此對于Partner,一般都是新開發(fā)的應(yīng)用或能夠進(jìn)行改造的應(yīng)用?！　　　』诖碓L問方式的Single Sign On　　在一個基于代理Single Sign On中，有一個自動地為不同的應(yīng)用程序認(rèn)證用戶身份的代理程序。比如,它可以使用口令表或加密密鑰來自動地將認(rèn)證的負(fù)擔(dān)從用戶移開。用戶單點登錄提供的認(rèn)證信息被代理用來獲取相應(yīng)應(yīng)用程序的映射用戶認(rèn)證和授權(quán)信息?！　　　?JAAS(Java Authentication and Authorization