SOA安全方面的最大隱患是什么？

申請(qǐng)免費(fèi)試用、咨詢(xún)電話：400-8352-114

“安全”是當(dāng)前信息技術(shù)應(yīng)用領(lǐng)域熱門(mén)話題之一，作為一項(xiàng)重要考量，特別是在商業(yè)應(yīng)用領(lǐng)域，信息安全是業(yè)務(wù)運(yùn)作的基本要求之一。企業(yè)級(jí)SOA在提供價(jià)值鏈上企業(yè)之間信息共享和業(yè)務(wù)流程自動(dòng)化的同時(shí)，也對(duì)信息安全提出新的挑戰(zhàn)。

毋庸諱言，“安全”是當(dāng)前信息技術(shù)應(yīng)用領(lǐng)域熱門(mén)話題之一，無(wú)論是操作系統(tǒng)，還是應(yīng)用軟件，安全總是作為一項(xiàng)重要考量，特別是在商業(yè)應(yīng)用領(lǐng)域，信息安全是業(yè)務(wù)運(yùn)作的基本要求之一。企業(yè)級(jí)SOA在提供價(jià)值鏈上企業(yè)之間信息共享和業(yè)務(wù)流程自動(dòng)化的同時(shí)，也對(duì)信息安全提出新的挑戰(zhàn)。

基于企業(yè)級(jí)SOA更加容易實(shí)現(xiàn)跨越企業(yè)邊界的業(yè)務(wù)系統(tǒng)自動(dòng)化和信息共享，開(kāi)放的數(shù)據(jù)訪問(wèn)和網(wǎng)絡(luò)服務(wù)調(diào)用給商業(yè)運(yùn)作帶來(lái)便利，同時(shí)也更加容易受到攻擊，如果沒(méi)有提供良好的安全防護(hù)機(jī)制，開(kāi)放網(wǎng)絡(luò)服務(wù)無(wú)疑等于打開(kāi)了潘多拉寶盒。

網(wǎng)絡(luò)服務(wù)最常見(jiàn)的安全隱患大概就是信息泄露和欺詐，如果你和你的合作伙伴之間交易的敏感信息被競(jìng)爭(zhēng)對(duì)手獲得，如果有人在網(wǎng)絡(luò)上以你的名義向你的供應(yīng)商發(fā)送訂單，如果來(lái)自合作伙伴的發(fā)貨請(qǐng)求被人篡改，等等，所有這些都是商業(yè)活動(dòng)中不希望發(fā)生的。當(dāng)然，也不用為此因噎廢食，企業(yè)級(jí)SOA在一開(kāi)始就應(yīng)當(dāng)考慮信息安全保證，在技術(shù)手段方面有各種有效的防范措施可選用。

針對(duì)信息泄露的問(wèn)題，防范措施是多層次的。首先，要部署安全的網(wǎng)絡(luò)通訊基礎(chǔ)架構(gòu)，特別是通過(guò)Internet的通訊，例如：采用加密和認(rèn)證技術(shù),在公共網(wǎng)絡(luò)上建立安全專(zhuān)用隧道的網(wǎng)絡(luò)，也就是常說(shuō)的VPN；其次，網(wǎng)絡(luò)服務(wù)的訪問(wèn)大多數(shù)通過(guò)HTTP協(xié)議，HTTP上實(shí)現(xiàn)的安全套接字層 (SecurITy Socket Layer, SSL)也是成熟的安全通訊方式；還有，針對(duì)XML處理專(zhuān)門(mén)制定的消息級(jí)別的XML加密和處理標(biāo)準(zhǔn)，它把消息轉(zhuǎn)換為一段經(jīng)過(guò)加密的XML，消息仍然是XML格式的，但是使用加密算法將內(nèi)容隱藏起。

這樣做的好處在于在獲得了安全性的同時(shí)系統(tǒng)仍然基于開(kāi)放標(biāo)準(zhǔn)編碼XML消息，接收消息的系統(tǒng)可以把它當(dāng)作XML來(lái)接收、解密和處理，而不依賴(lài)于定制或?qū)Ｓ械南鬟f標(biāo)準(zhǔn)。

針對(duì)欺詐問(wèn)題，通過(guò)身份認(rèn)證和消息的數(shù)字簽名來(lái)解決。身份認(rèn)證保證授權(quán)的用戶(hù)能夠進(jìn)行被授權(quán)的資源訪問(wèn)。企業(yè)級(jí)SOA中身份認(rèn)證不局限于單一安全控制域，往往需要實(shí)現(xiàn)跨企業(yè)安全控制域的認(rèn)證活動(dòng)，安全斷言標(biāo)記語(yǔ)言(SecurITy Assertion Markup Language，SAML)標(biāo)準(zhǔn)提供了不同安全域之間認(rèn)證的交互，通過(guò)一個(gè)標(biāo)準(zhǔn)的認(rèn)證過(guò)程，多方可以達(dá)成一致，使用一組給定的標(biāo)準(zhǔn)來(lái)對(duì)一組指定的用戶(hù)進(jìn)行身份驗(yàn)證，參加這個(gè)過(guò)程的安全域組成一個(gè)身份聯(lián)邦(Identity Federation)。

聯(lián)邦身份認(rèn)證結(jié)果以斷言方式加載在消息中，各個(gè)安全域都承認(rèn)認(rèn)證結(jié)果的合法性，所以安全斷言也實(shí)現(xiàn)了單點(diǎn)登錄，消息獲得的安全斷言，在整個(gè)身份聯(lián)邦中都是有效的，無(wú)需重復(fù)認(rèn)證。除此之外，企業(yè)級(jí)SOA還引入網(wǎng)絡(luò)服務(wù)信賴(lài)(Web Service Trust)標(biāo)準(zhǔn)用以交換安全斷言令牌，再加上擴(kuò)展訪問(wèn)控制標(biāo)記語(yǔ)言(eXtensible Access Control Markup Language, XACML)標(biāo)準(zhǔn)用以描述授權(quán)政策和規(guī)范授權(quán)決策處理，這些構(gòu)成了完整的身份認(rèn)證防線。

消息的數(shù)字簽名保證消息真正創(chuàng)建者身份的真實(shí)性以及消息在發(fā)送系統(tǒng)到接受系統(tǒng)之間傳輸時(shí)未被篡改。數(shù)字簽名是一種消息級(jí)的安全措施，它結(jié)合了數(shù)字證書(shū)密鑰和加密等安全方法。數(shù)字簽名是對(duì)身份和消息內(nèi)容進(jìn)行惟一的處理得到的一個(gè)基于密鑰的非常大的數(shù)。

舉一個(gè)簡(jiǎn)單的例子來(lái)說(shuō)明，如果你擁有一對(duì)密鑰(私有密鑰123和公有密鑰456)，要發(fā)送消息ABC，對(duì)消息ABC的數(shù)字簽名就是用密鑰123對(duì)消息運(yùn)行一個(gè)特殊的算法，得到唯一的一個(gè)數(shù)字x。

當(dāng)消息ABC和數(shù)字簽名x到達(dá)接收方后，接收方能夠用你的公有密鑰456來(lái)驗(yàn)證你是消息的真正創(chuàng)建者以及消息在傳輸過(guò)程中沒(méi)有改變。如果消息被改變了，那么惟一的數(shù)字簽名將不再與密鑰和用于創(chuàng)建密鑰的原始消息相匹配。

為此，數(shù)字簽名提供了個(gè)不可否認(rèn)性，例如，數(shù)字簽名可以證明你的供應(yīng)商收到的電子訂單確實(shí)是由你發(fā)出而且在傳輸中沒(méi)有被篡改過(guò)。針對(duì)企業(yè)級(jí)SOA，專(zhuān)門(mén)制定了處理XML消息級(jí)別的XML數(shù)字簽名標(biāo)準(zhǔn)。

上述措施已經(jīng)公布為標(biāo)準(zhǔn)的部分，SAP Net平臺(tái)都能支持，用戶(hù)可以根據(jù)企業(yè)應(yīng)用實(shí)際需要綜合運(yùn)用上述手段為企業(yè)級(jí)SOA的信息安全提供保證。如同所有的安全問(wèn)題一樣，企業(yè)級(jí)SOA的信息安全保證，在依賴(lài)足夠技術(shù)防護(hù)手段之外，最大的保證還是人的問(wèn)題，由專(zhuān)業(yè)的人員制定合理的安全控制策略，配合全員安全意識(shí)提高，再輔以上面提到的種種技術(shù)手段運(yùn)用，才能建立起企業(yè)級(jí)SOA信息安全保證的“萬(wàn)里長(zhǎng)城”。（天極網(wǎng)）