新的安全標(biāo)準(zhǔn)正在建立

作者: Colleen Frye, 　出處:TechTarget  2005-08-09

        IBM/Microsoft Web Services (WS-*) Security Roadmap中又有三個(gè)新的規(guī)范將提交給OASIS，并且還將提交一項(xiàng)涉及到多聯(lián)盟標(biāo)識(shí)協(xié)議的成功的互操作的demo。該消息的宣布，標(biāo)志著業(yè)界在Web服務(wù)中的安全方面的合作在最近往前邁出了好幾步。

        在9月，IBM/Microsoft Web Services (WS-*) Security Roadmap中又有三個(gè)新的規(guī)范將提交給OASIS，并且還將提交一項(xiàng)涉及到多聯(lián)盟標(biāo)識(shí)協(xié)議的成功的互操作的demo。這是上個(gè)月在Burton Group's Catalyst Conference上發(fā)生的。隨著該消息的宣布，標(biāo)志著業(yè)界在Web服務(wù)中的安全方面的合作在最近往前邁出了好幾步。

　　WS-Trust, WS-SecurityPolicy and WS-SecureConversation建立在2004年被OASIS批準(zhǔn)的WS- Security的基礎(chǔ)之上的。WS-Trust和WS-SecureConversation是有類似Actional Corp., BEA Systems Inc., Computer Associates International Inc., Oracle Corp., RSA Security Inc., VeriSign Inc和其他的提供商共同著作的。WS-SecurityPolicy是為RSA Security和VeriSign共同著作的。

　　“WS-Security定義了提供安全信號(hào)的基本機(jī)制的同時(shí)，WS-Trust 定義了WS-Security的擴(kuò)展，而這些擴(kuò)展將提供建立的方法和個(gè)個(gè)組織之間的商業(yè)信賴的關(guān)系。” Ari Bixhorn說(shuō)，他是微軟的Web服務(wù)戰(zhàn)略部門的主管:“它通過(guò)提供一個(gè)在不同的安全標(biāo)識(shí)類型(包括Kerberos, X.509和SAML [Security Assertion Markup Language])之間移動(dòng)的機(jī)制來(lái)完成這個(gè)。通常的它是通過(guò)使用安全標(biāo)識(shí)服務(wù)[STS]來(lái)完成這個(gè)的。安全標(biāo)識(shí)服務(wù)是一個(gè)可以處理可以被一個(gè)服務(wù)消息的發(fā)送者和接受者都信任的安全標(biāo)識(shí)的Web服務(wù)。”

　　在一個(gè)Web服務(wù)環(huán)境中，“新的的供應(yīng)鏈被建立起來(lái)在不同系統(tǒng)之間工作;這個(gè)生態(tài)系統(tǒng)可以通訊和安全的把使用開(kāi)放協(xié)議結(jié)合起來(lái)。” IBM Tivoli的Security, Policy 和 Compliance程序主管， Venkat Raghavan說(shuō):“挑戰(zhàn)是在于我們?nèi)绾蝸?lái)得到一個(gè)一般的想法來(lái)標(biāo)識(shí)和確保在不同的平臺(tái)，技術(shù)，中間件——跨越整個(gè)價(jià)值鏈的安全。WS-Trust給你一種使得異質(zhì)系統(tǒng)均勻的一種方法。”

　　各種組織已經(jīng)在不同的地方有不同的技術(shù)來(lái)驗(yàn)證用戶，Raghavan說(shuō):“目標(biāo)不是替代現(xiàn)有的安全技術(shù)，而是去平衡調(diào)節(jié)現(xiàn)有的各種安全技術(shù)，以運(yùn)行商務(wù)過(guò)程的集成。”

　　在Utah的 Midvale 的Burton Group的高級(jí)分析員Gerry Gebel說(shuō)WS-Trust是一個(gè)有重大意義的特別的混合環(huán)境。“你可以給一種標(biāo)示然后要求以另外一種標(biāo)識(shí)返回。”

　　第二個(gè)說(shuō)明，WS-SecurityPolicy，定義了一般的應(yīng)用于Web服務(wù)安全的安全策略的聲明。例如，據(jù)IBM Software Group 的著名的工程師和安全架構(gòu)師Anthony Nadalin 說(shuō)，WS-SecurityPolicy將被用來(lái)實(shí)現(xiàn)Web服務(wù)互操作性基本規(guī)范(WS-I BSP)。“其他的例子包括了能夠描述一個(gè)Web服務(wù)的安全能力和不安全性。”

        同時(shí)，WS-SecureConversation“定義了一些擴(kuò)展，這些擴(kuò)展允許安全環(huán)境的建立共享和引出session關(guān)鍵字。” Nadalin說(shuō):“這樣就允許環(huán)境的建立和可能的更有效的關(guān)鍵字或者新的關(guān)鍵字材料的交換，從而提高并發(fā)的交換的整體性能和安全。”

　　WS-Trust ，WS-Federation和WS-*路線圖中其他的部分，是該會(huì)議中的操作性示范的一部分。該demo設(shè)定了三個(gè)圍繞自動(dòng)供應(yīng)鏈的場(chǎng)景:多協(xié)議hub，多協(xié)議translator hubs和使用WS-Trust STS的協(xié)議轉(zhuǎn)換。標(biāo)示符是安全管理的，并由SAML 1.0, SAML 2.0, Liberty Alliance WS-Federation 和 WS-Trust協(xié)議交換。

　　“以前的demo關(guān)注于單獨(dú)的協(xié)議和一個(gè)協(xié)議的單獨(dú)的一個(gè)版本。”Gebel說(shuō):“這是聯(lián)盟協(xié)議的成熟的標(biāo)志。”

　　這個(gè)demo顯示了“如果你作為一個(gè)汽車經(jīng)銷商，同時(shí)你買進(jìn)了一個(gè)Hewlett-Packard的產(chǎn)品和另外一個(gè)廠商的不同的產(chǎn)品，而這兩個(gè)產(chǎn)品可以合得來(lái)。” Cambridge. Mass. 的DataPower Technology Inc.的產(chǎn)品市場(chǎng)經(jīng)理 Rebecca Xiong說(shuō)。 DataPower Technology是14個(gè)參加到這個(gè)demo的開(kāi)發(fā)的廠商之一。“越多的廠商支持協(xié)議，消費(fèi)者就能更簡(jiǎn)單的構(gòu)件他們的Web 站點(diǎn)以及和合作伙伴協(xié)同工作。”

　　Nadalin說(shuō)，一旦OASIS 有了WS-Trust, WS-SecurityPolicy, 和WS-SecureConversation規(guī)范，一個(gè)技術(shù)委員會(huì)會(huì)被組建，同時(shí)標(biāo)準(zhǔn)化的過(guò)程將會(huì)啟動(dòng)。在計(jì)劃圖剩下的說(shuō)明——WS-Federation, WS-Privacy 和 WS-Authorization“IBM 已經(jīng)提交了所有WS Security 計(jì)劃圖中的規(guī)范給標(biāo)準(zhǔn)化組織。我不能說(shuō)什么時(shí)候和什么地點(diǎn)這些規(guī)范將會(huì)被發(fā)布。” Nadalin說(shuō)。在WS-Federation已經(jīng)融入幾個(gè)互操作的demo的同時(shí)，WS-Privacy和WS-Authorization“在這個(gè)時(shí)候仍然沒(méi)有發(fā)表。”

　　Microsoft'的Bixhorn指出這個(gè)過(guò)程如此之長(zhǎng)。“關(guān)于WS-Trust, WS-SecurityPolicy 和 WS-SecureConversation的宣布也是業(yè)界在基于SOAP的Web服務(wù)的互操作性的一個(gè)漫長(zhǎng)歷程的另一個(gè)暗示。”

 

Author: orangelizq
email: orangelizq@163.com