SOA的安全及防御之道

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

SOA的安全問(wèn)題

【計(jì)世獨(dú)家】SOA的應(yīng)用目前尚處于起始階段，還存在許多安全問(wèn)題需要解決。

面向服務(wù)的架構(gòu)（SOA）是一種松耦合服務(wù)模式，通過(guò)標(biāo)準(zhǔn)化的接口來(lái)聯(lián)系各種形式的服務(wù)，這對(duì)信息資源的二次利用和服務(wù)模式的二次重整具有極大的作用。但是，SOA的應(yīng)用目前尚處于起始階段，還存在許多安全問(wèn)題有待解決。

SOA的安全問(wèn)題

SOA是通過(guò)XML/SOAP等幾種標(biāo)準(zhǔn)化技術(shù)來(lái)實(shí)現(xiàn)的。但是，SOA的安全存在以下幾個(gè)難點(diǎn)。

1. 不同信任域的信任關(guān)系如何轉(zhuǎn)移和認(rèn)同

業(yè)務(wù)流程可能由不同廠商的基于異構(gòu)平臺(tái)的多種服務(wù)組合而成，每個(gè)服務(wù)都具有各自獨(dú)立的安全域。這些安全域可能由企業(yè)的不同部門負(fù)責(zé)管理和維護(hù)，這要求必須在SOA的范圍內(nèi)建立統(tǒng)一的信任體系，然而實(shí)施起來(lái)難度極大。

2. 安全標(biāo)準(zhǔn)不統(tǒng)一

SOA具備來(lái)自異構(gòu)系統(tǒng)的多樣性特點(diǎn)，要求建立一個(gè)統(tǒng)一的安全基礎(chǔ)設(shè)施和標(biāo)準(zhǔn)。但是目前情況是: 不同的應(yīng)用系統(tǒng)有不同的認(rèn)證、授權(quán)模式，協(xié)調(diào)和統(tǒng)一難度大。

3. 如何應(yīng)對(duì)第三方服務(wù)交互請(qǐng)求帶來(lái)的威脅

傳統(tǒng)的安全防御對(duì)象主要是針對(duì)人，而SOA更多地強(qiáng)調(diào)了設(shè)備與設(shè)備的交互，即所謂服務(wù)的互操作性，如何應(yīng)對(duì)來(lái)自合作伙伴或第三方服務(wù)交互請(qǐng)求的威脅（大多數(shù)情況下，這些請(qǐng)求可能被人惡意利用和操縱），將是SOA安全防御的一項(xiàng)重要課題。身份驗(yàn)證和授權(quán)在這個(gè)環(huán)境中變得更加富于挑戰(zhàn)性。在未受保護(hù)的SOA中，想要阻止Web服務(wù)的未授權(quán)使用實(shí)際上是不可能的。未授權(quán)用戶可以非常輕松地訪問(wèn)Web服務(wù)，而Web服務(wù)往往不具備跟蹤誰(shuí)在使用它們或者誰(shuí)被允許使用它們的固有毛病。

4. 其他安全問(wèn)題

SOA整套架構(gòu)在應(yīng)用層與表達(dá)層的隔離上做得不完美，這會(huì)導(dǎo)致未來(lái)階段，新的代理程序很容易尋找和利用SOA的安全漏洞; 僵尸網(wǎng)絡(luò)工具準(zhǔn)確找到應(yīng)用中的安全漏洞的概率很大，而且準(zhǔn)確性比現(xiàn)在的工具高得多。

應(yīng)對(duì)SOA安全性問(wèn)題的相關(guān)標(biāo)準(zhǔn)

為了應(yīng)對(duì)上述問(wèn)題，OASIS制定了一系列技術(shù)標(biāo)準(zhǔn)，這些標(biāo)準(zhǔn)包括:

WS-Security。描述如何將XML加密和XML簽名應(yīng)用于SOAP文檔或信息。

WS-SecurityPolicy。 對(duì)哪些人被允許訪問(wèn)某個(gè)服務(wù)以及訪問(wèn)方式做出規(guī)定，并對(duì)認(rèn)證方式的類型和/或所需要的加密等級(jí)做出限制。這是Web服務(wù)策略（WS-Policy）的子集，以更為通用的方式對(duì)服務(wù)的能力和限制進(jìn)行描述。此標(biāo)準(zhǔn)由IBM和微軟公司共同開(kāi)發(fā)，并于2007年7月正式確立。

WS-SecureConversation。 是按照WS-Security標(biāo)準(zhǔn)，實(shí)施WS-SecurityPolicy中所描述的策略的方法。此標(biāo)準(zhǔn)于2007年3月通過(guò)審批，Actional、BEA 、思科、CA公司、利基網(wǎng)絡(luò)、Oracle、Reactivity、RSA等廠商都表示支持此標(biāo)準(zhǔn)。

WS-Trust。應(yīng)用WS-Security標(biāo)準(zhǔn)傳輸密碼、數(shù)字證書以及安全性斷言標(biāo)記語(yǔ)言（SAML）等安全標(biāo)識(shí)。XML密鑰管理規(guī)范 (XKMS)和SAML有部分相同之處。

WS-Federation。根據(jù)WS-SecurityPolicy中描述的服務(wù)規(guī)則，應(yīng)用WS-Trust中提到的被傳輸?shù)陌踩珮?biāo)識(shí)，通過(guò)Web服務(wù)的認(rèn)證。相較SAML，主要優(yōu)勢(shì)在于Windows支持這一標(biāo)準(zhǔn)。

這些標(biāo)準(zhǔn)中需重點(diǎn)關(guān)注WS-Security。