訪問(wèn)控制的安全策略以及實(shí)施原則對(duì)Web的安全策略和訪問(wèn)控制技術(shù)熱點(diǎn)問(wèn)題探討

訪問(wèn)控制的安全策略以及實(shí)施原則對(duì)Web的安全策略和訪問(wèn)控制技術(shù)熱點(diǎn)問(wèn)題探討 摘要：隨著Inter中事務(wù)性業(yè)務(wù)的應(yīng)用，許多業(yè)務(wù)的訪問(wèn)能力大大提高，這時(shí)，完整性又開(kāi)始起作用，因?yàn)樵谶@些領(lǐng)域出現(xiàn)欺詐的可能性很大，因此信任也就極為重要。在很多時(shí)候，當(dāng)合同簽署方在地理上相距很遠(yuǎn)時(shí)，實(shí)時(shí)延遲可能會(huì)阻礙該過(guò)程。在Web服務(wù)環(huán)境中，聯(lián)機(jī)合同都可能變成聯(lián)機(jī)事務(wù)，他們都需要能夠進(jìn)行驗(yàn)證，這樣才能承擔(dān)起它所應(yīng)有的權(quán)威性?；诖?，本文對(duì)Web的安全策略和訪問(wèn)控制技術(shù)做出一番探討。 關(guān)鍵詞：Web 安全策略 訪問(wèn)控制 1、Web安全策略 Web服務(wù)使用的是Web技術(shù)，許多針對(duì)Web站點(diǎn)的潛在攻擊都與Web服務(wù)有關(guān)。Web服務(wù)所面臨的更為關(guān)鍵的問(wèn)題是XML消息以明文形式包含一系列壓縮的數(shù)據(jù)，而敵手則有可能對(duì)這些數(shù)據(jù)感興趣。SOAP 消息集中了許多事物數(shù)據(jù)，這使得他們?cè)趥鬏敃r(shí)變得更為重要。Web服務(wù)必須在標(biāo)識(shí)和身份驗(yàn)證級(jí)別上集成基本的Web站點(diǎn)安全，此外，在Web服務(wù)和客戶之間的交互作用中還添加其他級(jí)別的安全。需要應(yīng)用安全的Web服務(wù)可分成3個(gè)領(lǐng)域：身份驗(yàn)證/授權(quán)、傳輸層和應(yīng)用層安全。 (1) 身分驗(yàn)證/授權(quán) 與常規(guī)的 Web 站點(diǎn)一樣，要是Web服務(wù)開(kāi)始工作，首先必須通過(guò)特定的身份驗(yàn)證模式來(lái)表示用戶。 (2) 傳輸層 當(dāng)敏感的信息通過(guò)不安全的Inter傳輸時(shí)，傳輸層安全對(duì) Web 服務(wù)至關(guān)重要。傳輸層安全的目標(biāo)是確保事務(wù)獨(dú)立于Web服務(wù)的編程，并預(yù)防黑客使用各種工具和方法訪問(wèn)數(shù)據(jù)，因?yàn)樗挥赪eb 服務(wù)器和客戶之間的Inter 管道中，我們可以使用各種方法，包括IPSec、防火墻，以及限制對(duì)已知IP的訪問(wèn)，從而在管道的端點(diǎn)實(shí)現(xiàn)傳輸層安全。在數(shù)據(jù)通過(guò)管道時(shí)我們可以使用SSL和其他方式來(lái)保護(hù)傳輸層。 (3) 應(yīng)用層 應(yīng)用層安全在Web服務(wù)身份驗(yàn)證以及XML事務(wù)單個(gè)部分的驗(yàn)證中扮演了關(guān)鍵性的角色。由于Web服務(wù)在本質(zhì)上具有事務(wù)性，您肯定希望獲取用戶的標(biāo)識(shí)，并在事務(wù)處理的過(guò)程中重新執(zhí)行驗(yàn)證和標(biāo)識(shí)。我們可以使用PKI構(gòu)架，對(duì)照數(shù)字證書(shū)和簽名驗(yàn)證消息的各個(gè)部分。 Web 服務(wù)如何才能使用公鑰體系結(jié)構(gòu)所提供的服務(wù)呢？有以下幾個(gè)要研究的方面： (1) 客戶證書(shū) 當(dāng)前大多數(shù)的Web服務(wù)都要求（或者至少接受）客戶端證書(shū)以進(jìn)行用戶身份驗(yàn)證。在Web服務(wù)中使用客戶證書(shū)的實(shí)例有，控制對(duì)某個(gè)提供銀行信息的應(yīng)用程序的訪問(wèn)。在此方案中PKI必須要可以用來(lái)頒發(fā)、維護(hù)和取消用戶證書(shū)。如果駐留服務(wù)的服務(wù)器使用了SSL，則該P(yáng)KI還必須要能夠維護(hù)服務(wù)器證書(shū)。 (2) 集成PKI的應(yīng)用程序 在此，SSL被概括地稱為內(nèi)部資源Web服務(wù)在本質(zhì)上未意識(shí)到SSL，并且僅當(dāng)添加服務(wù)器證書(shū)時(shí)才能由它受益。PKI提供了在Web服務(wù)應(yīng)用程序中實(shí)現(xiàn)集成的安全構(gòu)架的可能性，它將數(shù)字證書(shū)和數(shù)字簽名結(jié)合使用，從而能夠提供身份驗(yàn)證、標(biāo)識(shí)和消息的完整性。 舉例來(lái)說(shuō)，某個(gè)Web服務(wù)可能被設(shè)計(jì)為能夠接受以數(shù)字方式簽署的工資單。假如所需的數(shù)據(jù)庫(kù)能夠隨同代理程序一起安裝，則應(yīng)用程序的客戶端代理可能會(huì)配置為能夠使用數(shù)字簽名算法。更新為這樣的應(yīng)用程序可能會(huì)使代理程序所用的算法被替換，盡管在進(jìn)行客戶端部署時(shí)復(fù)雜性的增加是Web服務(wù)努力想要減輕負(fù)面影響。 在某些平臺(tái)上，證書(shū)被存儲(chǔ)在系統(tǒng)配置文件中某個(gè)安全的位置，并且只有在登記時(shí)才被復(fù)制到本地用戶的目錄結(jié)構(gòu)。在其它情況下不可獲得。與此相反的是，有些系統(tǒng)可能將所有的證書(shū)都在本地存儲(chǔ)。 (3) 內(nèi)部和委托PKI 企業(yè)在創(chuàng)建公鑰體系結(jié)構(gòu)時(shí)有兩種方式可選。第一種是創(chuàng)建一個(gè)完全內(nèi)部的體系結(jié)構(gòu)，證書(shū)將只是在公司內(nèi)部進(jìn)行管理。另一種是將功能委托給現(xiàn)有的外部PKI提供者以進(jìn)行密鑰和證書(shū)的管理。每種方式都有其優(yōu)缺點(diǎn)：后者的成本可能較低，因?yàn)樗谝呀?jīng)執(zhí)行該方式的公司，所以早已擁有在處理時(shí)所必需的服務(wù)器、結(jié)構(gòu)以及過(guò)程。對(duì)外部的PKI解決方案來(lái)說(shuō)，可能的缺點(diǎn)在于密鑰撤銷和到期所帶來(lái)的問(wèn)題，以及公司可能會(huì)被同一公司其他客戶的類似請(qǐng)求所迷惑的危險(xiǎn)。除此之外，我們還必須考慮以下事項(xiàng)：公司所提供的密鑰和證書(shū)應(yīng)該僅限于公司內(nèi)部，還是應(yīng)該廣泛地為公司以外擁有此類標(biāo)識(shí)的人所擁有這樣將使公/私鑰對(duì)被泄露或者證書(shū)撤銷滯后的風(fēng)險(xiǎn)變得更大。 2、訪問(wèn)控制技術(shù) 自主訪問(wèn)控制基于對(duì)主體或主體所屬的主體組的識(shí)別來(lái)限制對(duì)客體的訪問(wèn)。自主是指主體能夠自主地(也可能是間接的)將訪問(wèn)權(quán)或訪問(wèn)權(quán)的某個(gè)子集授予其它主體。為實(shí)現(xiàn)完備的自主訪問(wèn)控制，由訪問(wèn)控制矩陣提供的信息必須以某種形式保存在系統(tǒng)中。訪問(wèn)控制矩陣中的每行表示一個(gè)主體，每列則表示一個(gè)受保護(hù)的客體。 DAC的基本思想是基于訪問(wèn)者身份或訪問(wèn)者所屬工作組進(jìn)行權(quán)限的控制。信息資源的擁有者可以自主的將對(duì)該資源的訪問(wèn)權(quán)限授予其他用戶以及回收這些權(quán)限(Owner controlled)，系統(tǒng)中一般利用訪問(wèn)控制矩陣來(lái)實(shí)現(xiàn)對(duì)訪問(wèn)者的權(quán)限控制，因?yàn)榇嫒【仃囈话愣际窍∈杈仃嚕速M(fèi)存儲(chǔ)空間，在實(shí)際應(yīng)用中，通常采取另外一種存取控制列表的方式來(lái)實(shí)現(xiàn)，如對(duì)系統(tǒng)中每一項(xiàng)資源，分別列出對(duì)它具有操作權(quán)限的主體;或者對(duì)每一個(gè)用戶，分別列出他擁有操作權(quán)限的客體。 DAC的自主性對(duì)用戶提供了靈活易用的數(shù)據(jù)訪問(wèn)方式，但同時(shí)帶來(lái)的是安全性較低。自主訪問(wèn)控制能夠通過(guò)授權(quán)機(jī)制有效地控制其他用戶對(duì)敏感數(shù)據(jù)的存取。這種方法能夠控制主體對(duì)客體的直接訪問(wèn)，但不能控制主體對(duì)客體的間接訪問(wèn)(利用訪問(wèn)的傳遞性，即A可訪問(wèn)B，B可訪問(wèn)C，于是A可訪問(wèn)C)。由于用戶對(duì)數(shù)據(jù)的存取權(quán)限是“自主”的，用戶可 _地決定將數(shù)據(jù)的訪問(wèn)權(quán)限授予何人、決定是否也將“授權(quán)”的權(quán)限授予別人，而系統(tǒng)對(duì)此無(wú)法控制。在這種授權(quán)機(jī)制下，就可能存在數(shù)據(jù)的“無(wú)意泄漏”。 本文歸納了安全Web的特點(diǎn)，就Web服務(wù)和PKI的關(guān)系進(jìn)行了說(shuō)明。最后通過(guò)對(duì)訪問(wèn)控制技術(shù)探討，介紹了強(qiáng)制訪問(wèn)控制，希望對(duì)Web的安全訪問(wèn)控制技術(shù)起到一定的參考作用。 _： 1