Web Services中身份认证技术应用.docVIP

Web Services中身份认证技术应用 　　摘 要:随着网络技术的高速发展,个人和企业将越来越多地把业务活动放到网络上,因此网络的安全问题就更加关键和重要。据统计,在全球范围内,由于信息系统的脆弱性而导致的经济损失,每年达数十亿美元,并且呈逐年上升的趋势。利用数字证书、PKI、对称加密算法、数字签名、数字信封等加密技术,可以建立起安全程度极高的身份认证系统,确保网上信息有效、安全地进行,从而使信息除发送方和接收方外,不被其他方知悉(必威体育官网网址性);保证传输过程中不被篡改(完整性和一致性);发送方确信接收方不是假冒的(身份的真实性和不可伪装性);发送方不能否认自己的发送行为(不可抵赖性)。 　　关键词:Web Services安全数字证书数字签名加密 　　中图分类号:TP39文献标识码:A文章编号:1007-3973 (2010) 06-046-02 　　1Web Services对于安全性的需求 　　Web Services是近两年提出的一种新的面向服务的体系结构,其中定义了一组标准协议,用于接口定义、方法调用、基于Internet的构件注册以及各种应用的实现。同传统的分布式模型相比,Web Services体系的主要优势在于:协议的通用性;完全的平台、语言独立性。 　　满足安全性需求的设计选择和实现通常会对解决方案的性能有不利的影响。这并不意味着用于解决方案的所有安全性技术都将导致低的性能。安全性的需求包括:(a)验证(authentication)、(b)数据完整性(data integrity)和(c)数据机密性(data confidentiality)。 　　2网络安全问题的现状 　　可以从不同角度对网络安全作出不同的解释。一般意义上,网络安全是指信息安全和控制安全两部分。国际标准化组织把信息安全定义为“信息的完整性、可用性、必威体育官网网址性和可靠性”;控制安全则指身份认证、不可否认性、授权和访问控制。 　　互联网与生俱有的开放性、交互性和分散性特征使人类所憧憬的信息共享、开放、灵活和快速等需求得到满足。然而,正是由于互联网的上述特性,产生了许多安全问题: 　　(1)信息泄漏、信息污染、信息不易受控。 　　(2)在网络环境中,一些组织或个人出于某种特殊目的,进行信息泄密、信息破坏、信息侵权和意识形态的信息渗透。 　　(3)网络运用的趋势是全社会广泛参与,随之而??的是控制权分散的管理问题。 　　3Web Services体系结构和关键技术 　　3.1Web Services的介绍 　　Web Services是近两年提出的一种新的面向服务的体系结构,一种新的web应用程序分支,是自包含、自描述、模块化的应用,可以发布、定位、通过web调用。Web Service可以执行从简单的请求到复杂商务处理的任何功能。一旦部署以后,其他Web Service应用程序可以发现并调用它部署的服务。其中定义了一组标准协议,用于接口定义、方法调用、基于Internet的构件注册以及各种应用的实现。 　　3.2Web Services的体系结构 　　在Web services体系中,所有的应用实体都被抽象成三种角色: 　　(1)服务提供者(Service Provider)――从商务角度看它是指服务的所有者,从体系结构上看它是指提供服务的平台。 　　(2)服务请求者(Service Requester)――从商务角度看它是指需要请求特定功能的企业,从体系结构上看它是指查找和调用服务的客户端应用程序。 　　(3)服务代理(ServiceBroker):它是指用来存储服务描述信息的信息库(Repository)。服务提供方在这里发布他们的服务;服务请求方在这里查找服务,获取服务的绑定信息。 　　4Web Services的身份认证技术 　　4.1身份认证技术的解决途径 　　根据身份认证系统的设计原则,系统安全需要解决如下几个方面的问题: 　　(1)数据的必威体育官网网址性。包括数据静态存储的必威体育官网网址性和数据传输过程中的必威体育官网网址性。 　　(2)有效的身份认证和权限控制。系统中的各个授权人员具有其特定级别的权限,可以进行该权限的操作,无法越权操作;操作者事后无法否认其进行的操作;未授权人员无法进入系统。 　　建议利用业界行之有效的高强度的加解密技术和身份认证技术保证身份认证系统的安全,例如上海CA中心的数字身份认证系统可以为用户提供解决办法。身份认证系统主要负责证书管理,保证系统安全不间断地提供证书的申请和作废,提供用户信息和证书的备份和归档,保证系统数据的完整性。 　　4.2身份认证系统的模式 　　身份认证系统的模式主要包括:中心向操作员发放数字证书;用户使用数字证书登陆,经身份验证后,进入身份认证系统,填写或修改表单