Web服務(wù)安全技術(shù)大比拼

申請免費試用、咨詢電話：400-8352-114

Web服務(wù)安全技術(shù)大比拼

本文是構(gòu)筑Web服務(wù)安全體系系列技術(shù)文章的最后一篇。我們在第一篇文章中虛擬了兩家網(wǎng)絡(luò)公司，其中一家提供Web服務(wù)，另一家采用前者提供的服務(wù)，然后我們提出了最簡單的Web服務(wù)安全技術(shù)，這就是所謂的IP阻塞。第二篇文章則對另兩種安全技術(shù)進行了討論：其一是用戶認(rèn)證，其二是數(shù)字證書。本文則對這三種技術(shù)進行比較。

比較

表A對根據(jù)其開發(fā)目標(biāo)對以上兩種安全技術(shù)各自的優(yōu)點和弱點進行了總結(jié)（得分越低表現(xiàn)越好）。

表A

 各種安全技術(shù)的優(yōu)點和缺點

正如你所看到的那樣，以上三種安全技術(shù)都有其各自的優(yōu)點和缺點。在通常的情況下，IP阻塞最易于開發(fā)，但卻帶來了靈活性的喪失問題。IP阻塞既簡單又易于實現(xiàn)，而且最終用戶并不用付出什么精力。這種簡單性所帶來的負(fù)面影響則是只有網(wǎng)站級的授權(quán)才能訪問網(wǎng)站的整體，而被阻塞的用戶則無法訪問整個網(wǎng)站。IP阻塞的易用性還帶來了另一個問題，那就是對用戶很不友好的錯誤消息。由于認(rèn)證/授權(quán)操作是在服務(wù)器端進行的，所以不得訪問Web服務(wù)的用戶將看見的是Web服務(wù)器發(fā)出的錯誤消息（HTTP 403.6）而非定制的、對用戶友好的消息。對用戶和網(wǎng)站業(yè)務(wù)來說是極其有害的。

另一方面，用戶認(rèn)證則更具靈活性，可以讓你創(chuàng)建基于方法的授權(quán)機制。該技術(shù)還能讓用戶從任何地點訪問Web服務(wù)而不阻塞未授權(quán)用戶訪問網(wǎng)站上的其他資源。進而，被阻塞的用戶還能收到定制的錯誤消息，這些消息則能比較詳盡地說明為什么阻塞其訪問的原因，比如“無效的用戶名”之類。由于認(rèn)證/授權(quán)操作發(fā)生在應(yīng)用程序的方法層次，所以這種技術(shù)可以包容更多的檢查跟蹤內(nèi)容。每一種Web方法都能存儲其被訪問的時間和方式方法等信息。不過，這種靈活性也伴隨著更大工作量的開發(fā)成本和可能的最終用戶成本。認(rèn)證/授權(quán)機制的開發(fā)人員不僅必須設(shè)計和實現(xiàn)存儲敏感的用戶名和口令的解決方案，而且還要絞盡腦汁地設(shè)法防范因為存儲這些敏感信息所帶來的安全問題。與此同時，用戶認(rèn)證對最終用戶也帶來了更大的負(fù)擔(dān)，迫使開發(fā)人員在其代碼重加入額外的參數(shù)，結(jié)果可能導(dǎo)致用戶在訪問Web服務(wù)的時候可能不得不多次輸入自己的用戶名和密碼。

以開發(fā)難度和靈活性作為比較的出發(fā)點，數(shù)字簽名大致位于IP阻塞和用戶認(rèn)證兩種技術(shù)中間。由于檢查數(shù)字證書的代碼也是方法層次上的編程，所以這種技術(shù)提供了類同用戶認(rèn)證的靈活性，令開發(fā)人員可以創(chuàng)建出復(fù)雜的授權(quán)方案和對用戶友好的錯誤消息。同用戶認(rèn)證一樣，該技術(shù)還可以實現(xiàn)高級檢查跟蹤機制。證書中可以包含用戶信息，這樣一來，由于消除了最終用戶針對各個方法輸入用戶名或者密碼的必要而令它們對用戶表現(xiàn)友好。但是，在帶來這些益處的同時，它們的部署成本卻是三種方案中最高的，用戶端的安裝最為困難。數(shù)字證書必須安裝在每一部客戶機上，其安裝過程可不是點幾下鼠標(biāo)那么簡單。這一缺點在一般公眾需要訪問Web服務(wù)的情況下代價可太高了。

安全性的比拼

顯然，我們最關(guān)注以上三種技術(shù)的安全性。雖然IP阻塞乍看起來最為安全——阻塞對整個網(wǎng)站的訪問，但是對黑客來說這種方法其實毫無什么安全可言。比方說，黑客完全可以采用假冒特定IP地址的方法攻擊網(wǎng)站，對這幫家伙而言，確定RegalResearch.com的IP地址簡直是小菜一碟，隨后他們即可采用假冒的IP地址獲取Internet Dictionary Company (TIDC) Web服務(wù)的訪問權(quán)限。而且，由于IP阻塞沒有提供詳細(xì)的檢查跟蹤記錄，所以很難確定黑客在什么時間、采用了什么方式非法訪問TIDC服務(wù)。

用戶認(rèn)證從安全性角度來說表現(xiàn)比得比IP阻塞方案更好一些，這主要是因為用戶會考慮自己的密碼設(shè)置以便難以被非法猜解。普通用戶經(jīng)常在各類系統(tǒng)上采用同樣的用戶名和密碼；如果某一系統(tǒng)被非法獲取了用戶信息，那么其他系統(tǒng)也就在劫難逃了。普通用戶還習(xí)慣于采用易于記憶的密碼，比如他們的生日或者配偶的姓名等。這些信息都太容易被黑客猜到了。還有，因為大多數(shù)密碼都是長度較短的字符串，所以黑客如果知道密碼的部分參數(shù)信息就能很容易地測試所有可能的密碼組合。

數(shù)字證書的安全性相對最高，原因在于它們是同用戶一一對應(yīng)的，而且采用了工業(yè)標(biāo)準(zhǔn)的加密技術(shù)很難被復(fù)制。對那些安全性要求特別高的網(wǎng)站，比如安全的內(nèi)聯(lián)網(wǎng)來說采用數(shù)字證書是最佳的選擇。

小結(jié)

現(xiàn)在我們對Web服務(wù)通常采用的三種安全技術(shù)已經(jīng)有了一定的了解，那么我們不妨就兩家虛擬公司的業(yè)務(wù)討論下應(yīng)該選擇的技術(shù)。首先，TIDC需要獲得最高的安全性以防范未授權(quán)的用戶使用同時還必須跟蹤詳盡的使用記錄?？蛻舭雌湎M的Web服務(wù)方法付費，所以保證每一服務(wù)被調(diào)用的準(zhǔn)確記錄并據(jù)此計費尤為重要。比較合理的安全策略是選擇數(shù)字證書或者IP阻塞，但是檢查跟蹤則需要采用用戶認(rèn)證或者數(shù)字證書機制。

綜合以上的分析我們選擇數(shù)字證書方案，這樣TIDC就必須考慮這一技術(shù)所產(chǎn)生的以下兩個問題：

數(shù)字證書安裝困難。不過，這對TIDC來說不成問題。TIDC計劃最初只有一個客戶（Regal Research），預(yù)計每個月平均會增加兩個新客戶。這樣，TIDC可以派出必要的支持人員幫助客戶設(shè)置帶有數(shù)字證書的客戶機。

數(shù)字證書必須安裝在每一部有權(quán)訪問Web服務(wù)的客戶機上。因為Regal Research公司只運行一臺Web服務(wù)器，所以它只需要安裝一份證書。如果Regal Research公司遷移到Web服務(wù)器集群環(huán)境才需要安裝更多的證書。RegalResearch.com的最終用戶則無須安裝證書。

綜合以上考慮，在權(quán)衡了利弊的情況下，TIDC決定采用數(shù)字證書作為自己保護公司W(wǎng)eb 服務(wù)的安全解決方案。