SOA安全挑戰(zhàn)源自設(shè)備交互
傳統(tǒng)IT安全是基于人與設(shè)備交互，SOA強(qiáng)調(diào)設(shè)備與設(shè)備交互，因此SOA的安全問(wèn)題面臨許多新的挑戰(zhàn)。
面向服務(wù)的架構(gòu)(SOA)是一種松耦合服務(wù)模式，通過(guò)標(biāo)準(zhǔn)化的接口來(lái)聯(lián)系各種形式的服務(wù)，無(wú)論服務(wù)置于何地，均能通過(guò)一種便捷而統(tǒng)一的方式實(shí)現(xiàn)相關(guān)功能，這對(duì)信息資源的二次利用和服務(wù)模式的二次重整具有極大的作用。但由于SOA向基礎(chǔ)架構(gòu)引入了許多連接，在形成一套松耦合連接的基礎(chǔ)上，包含了大量的依賴關(guān)系。因此，SOA也會(huì)面臨多方面的安全挑戰(zhàn)。
設(shè)備與設(shè)備交互
在具體技術(shù)上，SOA是通過(guò)XML/SOAP等幾種系列的標(biāo)準(zhǔn)化技術(shù)來(lái)實(shí)現(xiàn)的。但是圍繞SOA的安全問(wèn)題一直沒(méi)有徹底解決的方法，其原因在于：
不同信任域的信任關(guān)系的轉(zhuǎn)移和認(rèn)同。業(yè)務(wù)流程可能由不同廠商的基于異構(gòu)平臺(tái)的多種服務(wù)組合而成，每個(gè)服務(wù)都具有各自獨(dú)立的安全域。這些安全域可能由不同企業(yè)的不同部門負(fù)責(zé)管理和維護(hù)，這要求必須在SOA架構(gòu)范圍內(nèi)建立統(tǒng)一的信任體系，然而這種努力確實(shí)難度極大。
不同應(yīng)用服務(wù)統(tǒng)一、重用和共享的安全性。SOA具備來(lái)自異構(gòu)系統(tǒng)的多樣性，要求建立一個(gè)統(tǒng)一的安全基礎(chǔ)設(shè)施和標(biāo)準(zhǔn)。但是目前情況是不同的應(yīng)用系統(tǒng)有不同的認(rèn)證、授權(quán)模式，協(xié)調(diào)和統(tǒng)一的難度大。
SOA強(qiáng)調(diào)設(shè)備與設(shè)備的交互，而大多數(shù)IT安全性都是基于人與設(shè)備的交互。傳統(tǒng)的安全防御對(duì)象主要是針對(duì)人，而SOA更多地強(qiáng)調(diào)了設(shè)備與設(shè)備的交互，即所謂服務(wù)的互操作性，如何應(yīng)對(duì)來(lái)自合作伙伴或第三方服務(wù)交互請(qǐng)求的威脅(大多數(shù)情況下，這些請(qǐng)求被人惡意利用和操縱)，將是SOA安全防御的一項(xiàng)重要課題。身份驗(yàn)證和授權(quán)在這個(gè)環(huán)境中變得更加富于挑戰(zhàn)。在未受保護(hù)的SOA中，想要阻止Web服務(wù)的未授權(quán)使用實(shí)際上是不可能的，因?yàn)椋词跈?quán)用戶可以非常輕松地訪問(wèn)Web服務(wù)，而Web服務(wù)往往存在不具備跟蹤誰(shuí)在使用它們或者誰(shuí)被允許使用它們的固有毛病。
SOA整套架構(gòu)在應(yīng)用層與表示層的隔離上做得不***，這會(huì)導(dǎo)致未來(lái)階段，新的代理程序很容易尋找和利用SOA的安全漏洞，僵尸網(wǎng)絡(luò)工具準(zhǔn)確找到應(yīng)用中的安全漏洞的概率很大，而且準(zhǔn)確性比現(xiàn)在的工具高得多。總之，SOA的應(yīng)用畢竟處于起始階段，安全性還存在許多的問(wèn)題。
技術(shù)策略要有針對(duì)性
為了應(yīng)對(duì)SOA面臨的安全問(wèn)題，OASIS國(guó)際標(biāo)準(zhǔn)組織已經(jīng)制定了一系列技術(shù)標(biāo)準(zhǔn)，這些標(biāo)準(zhǔn)從不同的角度匡定了SOA的安全管理規(guī)范。比如說(shuō)，WS-Security，描述如何將XML加密和XML簽名應(yīng)用于SOAP文檔或信息;WS-SecurityPolicy，對(duì)哪些人被允許訪問(wèn)某個(gè)服務(wù)以及訪問(wèn)方式做出規(guī)定，并對(duì)認(rèn)證方式的類型、所需要的加密等級(jí)做出限制。
除了這些技術(shù)規(guī)范外，SOA的安全問(wèn)題還可通過(guò)一些技術(shù)策略來(lái)加以應(yīng)對(duì)。
首先，可在服務(wù)模塊前通過(guò)SOAP解析器來(lái)解決安全問(wèn)題。具體就是在Web服務(wù)消費(fèi)者和Web服務(wù)之間來(lái)回傳遞的SOAP消息的路徑中放入一個(gè)叫做“SOAP攔截器”的特殊軟件塊。因?yàn)槠浞诸悺⒈O(jiān)控、復(fù)制和轉(zhuǎn)發(fā)包含大量數(shù)據(jù)的SOAP消息的能力，SOAP攔截器可以在SOA安全性方面發(fā)揮重大作用。
其次可以整合信任源。不同的信任源有不同的信任基礎(chǔ)，比如通過(guò)用戶名+口令、證書、生物識(shí)別，通過(guò)把這些不同信任源的信任基礎(chǔ)統(tǒng)一整合到一個(gè)完整的信任庫(kù)中，再通過(guò)Security Assertion標(biāo)簽完成信任基礎(chǔ)的定義并明確導(dǎo)向?；谀壳捌髽I(yè)信息化的現(xiàn)狀，整合到CA平臺(tái)上是一個(gè)高效可行的方式，目前的問(wèn)題是CA的認(rèn)證比較復(fù)雜，規(guī)模和流量對(duì)SOA的影響頗大，面向政府的SOA架構(gòu)可能沒(méi)有太多問(wèn)題，但是對(duì)于大型系統(tǒng)(如客票系統(tǒng))可能就會(huì)相對(duì)復(fù)雜。
***，還可以通過(guò)一系列具體的安全產(chǎn)品加強(qiáng)保護(hù)。SOA安全網(wǎng)關(guān)：網(wǎng)關(guān)為進(jìn)入企業(yè)的XML流量提供了一個(gè)代理，并運(yùn)用安全策略來(lái)確保某種形式的請(qǐng)求與驗(yàn)證，主要作用是對(duì)SOAP進(jìn)行解析，如果SOAP中涉及encrypt標(biāo)簽，需指向?qū)ｉT的SOAP加解密設(shè)備來(lái)完成;SOA安全平臺(tái)：主要提供驗(yàn)證和授權(quán)方面的安全支撐;SOA反病毒郵件網(wǎng)關(guān)，目前能夠針對(duì)SOAP病毒的反病毒郵件網(wǎng)關(guān)還比較少，需要增加特定的SOAP協(xié)議支持才能對(duì)SOAP病毒進(jìn)行防范。
總之，在企業(yè)SOA安全架構(gòu)的咨詢過(guò)程中，應(yīng)主要把握三點(diǎn)內(nèi)容：1，分析SOA中對(duì)信息安全性的要求，包括了信息機(jī)密性、完整性和可用性需求，通過(guò)制定表格把信息敏感性確定下來(lái);2，具體描述SOA中的標(biāo)簽，通過(guò)信息的敏感性分別定義不同的SOAP安全標(biāo)簽;3，部署統(tǒng)一的SOA信任域，不同應(yīng)用系統(tǒng)有不同的信任對(duì)象和信任方式，統(tǒng)一納入到CA系統(tǒng)中進(jìn)行信任是必要且可行的。
【編輯推薦】
