您现在的位置： IT专家网 > Web服务子站

保障Web服务的安全

作者: Mike Lehmann, 　出处:oracle.com,　责任编辑: 叶江,　

2005-08-03 15:08

　　Web服务已从基于传送的安全转移到基于信息的安全，然而又是如何确保信号的安全，而不不传输的安全？答案在于OASIS标准，一个把三层安全策略加到SOAP信号中去的机制：WS-Security。

　　XML加密:WS-Security被使用在W3C的 XML加密标准，从而使得SOAP信号体和它的组成部分被加密以确保机密性。通常的，不同的加密算法都被支持——在Oracle Application Server 10g Release 10.1.3中，被支持的算法是3DES, AES-128和AES-256。

　　XML数字签名:WS-Security被使用在W3C's XML数字签名标准中，从而使得SOAP消息可以被数字签名确保消息的整体性。通常的，签名时一个有消息本身的内容计算产生的。如果消息在发送途中被更改，数字签名就不可用了。Oracle Application Server支持DSA-SHA1, HMAC-SHA1, RSA-SHA1, 和 RSA-MD5算法。

　　配置Web服务的服务端

　　通常的当开发者看到WS-Security的三个组件，一些关于他们是如何在特定的应用程序中协调处理认证，加密，和数字签名的步骤的疑问也就产生了。

　　幸运的是，绝大多数供应商例如Oracle正在实现WS-Security为一个发布的机制，从而可以把这个机制应用于新的和现有的Web服务。　例如在Oracle JDeveloper 10g Release 10.1.3中，你只需要简单的再Web服务节点上点击，选择安全Web服务，然后跟随走完一个简单的向导。图一是Oracle JDeveloper.中的一个WS-Security的基本工具的运行时候的外观的一个屏幕截图。

　　图一　用Oracle JDeveloper 10g Release 10.1.3保护Web服务的安全