談?wù)勚袊鴈rp系統(tǒng)免費(fèi)下載行業(yè)存在安全隱患

申請免費(fèi)試用、咨詢電話：400-8352-114

SOA 應(yīng)用程序的重點(diǎn)在于業(yè)務(wù)邏輯、委派安全策略的實(shí)現(xiàn)，以及處理基礎(chǔ)設(shè)施的信任關(guān)系。而基于 Web 服務(wù)安全規(guī)范的Web服務(wù)安全模型和方法有助于解決保護(hù)面向服務(wù)的應(yīng)用程序的難題。

　　1.1 跨技術(shù)、身份和管理邊界的身份轉(zhuǎn)換和傳播

　　一套完整的業(yè)務(wù)流程可能由不同廠商的基于異構(gòu)平臺的多種服務(wù)組合而成，每個(gè)服務(wù)都具有各自獨(dú)立的安全域。這些安全域可能由不同企業(yè)的不同部門負(fù)責(zé)管理和維護(hù)，這要求必須在SOA架構(gòu)范圍內(nèi)建立統(tǒng)一的信任體系，使得請求者(人或程序)能夠在服務(wù)間自由流動，系統(tǒng)能夠自動地將請求者身份隨著邊界的不同而轉(zhuǎn)換。

　　1.2 與合作伙伴建立信任

　　借助Web服務(wù)的強(qiáng)大能力，企業(yè)往往需要與合作伙伴建立緊密地服務(wù)和數(shù)據(jù)交換，發(fā)揮各自的優(yōu)勢來共同組成一個(gè)完整的一站式服務(wù)。比如一個(gè)旅行服務(wù)系統(tǒng)，機(jī)票訂購由專門的機(jī)票代理公司提供，旅游線路設(shè)計(jì)和行程服務(wù)則由旅行社負(fù)責(zé)，而食宿則由當(dāng)?shù)芈玫晏峁榱吮ＷC客戶信息能夠在多個(gè)系統(tǒng)安全完整地流動，并及時(shí)地反映客戶實(shí)時(shí)的旅行狀態(tài)，必須在企業(yè)與合作伙伴之間建立可靠、安全的信任關(guān)系。

　　1.3 跨多個(gè)應(yīng)用程序統(tǒng)一、重用和共享公共安全性

　　SOA具備來自異構(gòu)系統(tǒng)的多樣性，要求建立一個(gè)統(tǒng)一的安全基礎(chǔ)設(shè)施和標(biāo)準(zhǔn)。每個(gè)應(yīng)用系統(tǒng)可以使用共享安全組件，比如CA認(rèn)證中心、信道加密方式和SOA安全網(wǎng)關(guān)等。此外，統(tǒng)一的安全標(biāo)準(zhǔn)遵從對于SOA整體安全性而言至關(guān)重要。

　　1.4 政府和行業(yè)規(guī)范要求的可追究性和可跟蹤性

　　在業(yè)務(wù)合作伙伴之間交換敏感信息時(shí)，敏感信息必須受到保護(hù)，同時(shí)可能還需要用安全的方式在一定時(shí)期內(nèi)保存敏感信息。在啟用驗(yàn)證、審核和許可之前，必須保證消息源的完整性(如通過公證服務(wù))。消息的完整性和保密性可以通過對敏感信息進(jìn)行加密和數(shù)字簽名來實(shí)現(xiàn)。完整的 SOA 設(shè)計(jì)必須不但涵蓋消息級和傳輸級安全性，而且還要滿足保存保護(hù)的內(nèi)容以遵守政府規(guī)章制度和業(yè)界最佳實(shí)踐的需要。企業(yè)需要對其提供的服務(wù)進(jìn)行擔(dān)保，確保服務(wù)僅執(zhí)行其公開申明的操作，同時(shí)有義務(wù)為用戶提供足夠的安全保障。因此，企業(yè)必須保存系統(tǒng)操作記錄，以此來跟蹤其用戶或消息，也就是說企業(yè)必須具有很強(qiáng)的服務(wù)審計(jì)能力。

　　1.5 SOA強(qiáng)調(diào)機(jī)器與機(jī)器的交互，而大多數(shù)IT安全性都是基于人與機(jī)器的交互

　　身份驗(yàn)證和授權(quán)在這個(gè)環(huán)境中變得更加富于挑戰(zhàn)性。在未受保護(hù)的SOA中，想要阻止Web服務(wù)的未授權(quán)使用實(shí)際上是不可能的。未授權(quán)用戶可以非常輕松地訪問Web服務(wù)，而Web服務(wù)往往不具備跟蹤誰在使用它們或者誰被允許使用它們的固有功能。傳統(tǒng)的安全防御對象主要是針對人，而SOA更多地強(qiáng)調(diào)了機(jī)器與機(jī)器的交互，即所謂服務(wù)的互操作性，如何應(yīng)對來自合作伙伴或第三方服務(wù)交互請求的威脅(大多數(shù)情況下，這些請求被人惡意利用和操縱)將是SOA安全防御的一項(xiàng)重要課題。

　　2 SOA面臨的安全挑戰(zhàn)

　　2.1 XML通信協(xié)議消耗大量帶寬，引發(fā)安全問題

　　與傳統(tǒng)的二進(jìn)制通信協(xié)議相比，XML最高可以消耗高達(dá)50倍的帶寬，這不僅會導(dǎo)致交互系統(tǒng)性能下降，而且會為分布式拒絕服務(wù)攻擊提供可趁之機(jī)。因此，未經(jīng)優(yōu)化的XML通信將導(dǎo)致嚴(yán)重的安全問題。

　　由于SOA架構(gòu)的開放性本質(zhì)，您很難控制SOA中未知的第三方，比如您的合作伙伴，它們可以間接訪問未受保護(hù)的Web服務(wù)。因此，未受保護(hù)的Web服務(wù)很容易超負(fù)荷運(yùn)轉(zhuǎn)，如果沒有訪問控制，未受保護(hù)的Web服務(wù)很容易被來自黑客的大量SOAP消息所“淹沒”，結(jié)果可能導(dǎo)致拒絕式攻擊從而損害系統(tǒng)的正常功能。

　　為了解決這類問題，市場上已出現(xiàn)了專門的XML加速器。利用基于64位平臺架構(gòu)的語法分析器，該設(shè)備可以用來加速XML/SOAP的解析、XML模式的確認(rèn)、XPath的處理以及 XSLT的功能轉(zhuǎn)換。據(jù)公開的產(chǎn)品測試報(bào)告稱，這種XML加速器能夠達(dá)到每秒處理1萬多條XML消息的能力。

　　2.2 基于XML的服務(wù)間通信易受到監(jiān)聽和竊取

　　由于XML的純文本的本質(zhì)，未經(jīng)保護(hù)的XML在互聯(lián)網(wǎng)傳輸過程中很容易被監(jiān)聽和竊取。為了保障基于XML的通信安全，我們需要從傳輸層和消息層兩個(gè)層面進(jìn)行保護(hù)。通過傳輸安全，可以保證只允許授權(quán)用戶可以訪問基于XML的Web服務(wù)，目前可擴(kuò)展訪問控制標(biāo)記語言(Extensible Access Control Markup Language，XACML)和Web服務(wù)策略(WS-Policy)是專門用來解決這個(gè)問題的兩個(gè)標(biāo)準(zhǔn);通過消息安全，可以保證Web服務(wù)環(huán)境中交換的XML消息的完整性和保密性，Web服務(wù)安全(Web Service Security，WSS)和安全聲明標(biāo)記語言(Security Assertion Markup Language，SAML)則用來解決這方面的問題。

原文地址:http://cio.zol.com.cn/275/2752389.html