第10章–web服务安全性

《第10章–web服务安全性》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第10章–Web服务安全性构建安全的ASP.NET应用程序身份验证、授权和安全通信J.D.Meier、AlexMackman、MichaelDunner和SrinathVasireddyMicrosoftCorporation2002年10月有关构建安全的ASP.NET应用程序的起点和完整概述，请参见“登录页面”。总结本章重点介绍使用IIS和ASP.NET的基础功能的Web服务的平台级安全性。对于消息级安全性，Microsoft正在开发Web服务开发工具包，利用该工具包，您可以构建符合WS-Security规范（全局XML体系结构(GXA)提案的一部分）的安全性解决方案。内容Web服务安全性

2、模型平台/传输安全性体系结构身份验证和授权策略配置安全性将身份验证的凭据传递给Web服务传送原调用方受信任的子系统访问系统资源访问网络资源访问COM对象将客户端证书用于Web服务安全通信总结本章介绍如何开发和应用身份验证、授权和安全通信技术，以保护ASP.NETWeb服务和Web服务消息的安全。它从Web服务的角度说明安全性，并介绍如何对调用方进行身份验证和授权，以及如何通过Web服务传递安全性上下文。本章还从客户端的角度详细说明如何使用凭据和证书调用Web服务，以支持服务器端的身份验证。Web服务安全性模型可以在三个级别应用Web服务安全性：●平台/传输级（点对点）安全性●应用程序级（自定

3、义）安全性●消息级（端对端）安全性每一种方法都具有各自的优缺点，下面将详细阐述这些方法。选择哪一种方法在很大程度上取决于消息交换中所涉及的体系结构和平台的特点。注意：本章着重介绍平台级和应用程序级的安全性。消息级安全性将在全局XMLWeb服务体系结构(GXA)提案中以及专门在WS-Security规范中进行介绍。在编写本指南时，Microsoft刚刚发布了Web服务开发工具包的技术预览版本。它可用于开发符合WS-Security规范的消息级安全性解决方案。有关详细信息，请参见http://msdn.microsoft.com/webservices/building/wsdk/。平台/传输级

4、（点对点）安全性两个终结点（Web服务客户端和Web服务）之间的传输通道可用于提供点对点的安全性。图10.1中说明了这种情况。{Insertfigure:CH10–WebServicesSecurity–TransportLevel.gif}图10.1平台/传输级安全性当您使用平台级安全性时（它假定在公司Intranet上安装了紧密集成的Microsoft®Windows®操作系统环境）：●Web服务器(IIS)提供基本、摘要、集成和证书身份验证。●ASP.NETWeb服务继承了某些ASP.NET身份验证和授权功能。●可以使用SSL和/或IPSec提供消息完整性和机密性。何时使用传输级安全性

5、模型简单明了，并且可用于许多（主要是基于Intranet的）方案；在这些方案中，可以严格地控制传输机制和终结点配置。传输级安全性的主要问题有：●安全性取决于基本平台、传输机制和安全服务提供程序（NTLM、Kerberos等等）并与它们紧密集成。●安全性是在点对点的基础上应用的，无法通过中间应用程序节点提供多个跃点和路由。应用程序级安全性通过使用这种方法，应用程序负责提供安全性并使用自定义的安全功能。例如：●应用程序可以使用自定义的SOAP标头传递用户凭据，以便根据每个Web服务请求对用户进行身份验证。常用的方法是在SOAP标头中传递票（或者用户名或许可证）。●应用程序可以灵活地生成其包含角色

6、的IPrincipal对象。该对象可以是自定义类或.NET框架提供的GenericPrincipal类。●应用程序可以有选择地加密需要保密的内容，但是这需要使用安全密钥存储，并且开发人员必须了解相关加密API的知识。另一种方法是使用SSL提供机密性和完整性，并将它与自定义的SOAP标头结合起来以执行身份验证。何时使用在以下时候使用此方法：●您想要利用在现有应用程序中使用的用户和角色的现有数据库架构。●您想要加密消息的一部分，而不是整个数据流。消息级（端对端）安全性这是一种灵活性最大而且功能最强的方法，GXA提案（特别是在WS-Security规范中）使用的就是这种方法。图10.2说明了消息级

7、安全性。{Insertfigure:CH10-WebServicesSecurityMessageLevel.gif}图10.2消息级安全性WS-Security规范说明了SOAP消息传递的增强功能，这些功能提供了消息完整性、消息机密性以及单次消息身份验证。●身份验证是由在SOAP标头中传递的安全令牌提供的。WS-Security不要求使用任何特定类型的令牌。安全令牌可以包括Kerberos票、X.509证书