15、设计安全集成架构与COTS系统协调开发

设计安全集成架构与COTS系统协调开发

1. 安全集成架构的信息流动与问题分析

在软件系统中，通过安全验证点的组件间通信交互能够揭示潜在安全违规的重要信息。我们通过检查信息流动以及识别信息的传播来确定问题，并制定解决方案的要求。识别信息是用户或组件进入系统所需通过的条件。

在安全验证点，如果组件不提供认证或者组件交互绕过验证点，就会出现潜在问题。以PWI示例来说，当Observer查询Provisioning时，查询会被ORB的认证服务拦截，并检查是否有适当的识别信息，这通过Orb接口函数Orb auth user()体现。然而，在日志文件安全验证点存在问题，Observer可以直接调用日志文件，绕过ORB中Provisioning的认证机制，这表明需要额外的认证来保护日志文件免受未授权访问。

此外，Observer没有认证机制，无法检测来自未授权实体的事务或存储用户识别信息。由于Observer验证点的问题，TIBCO验证点也出现了额外问题。当Observer将查询结果转发到消息总线时，既没有进行认证，也没有附加Observer的识别信息。因此，尽管TIBCO有来自Provisioning的识别信息，但没有Observer的条目。这样，通信虽然会被认证，但恶意入侵者可能在Provisioning和TIBCO之间的任何时间破坏通信而不被检测到。TIBCO也可能被实现为期望来自Observer的识别信息，这样就会导致应用程序死锁。最后，工作流验证点和Provisioning的验证点一样，没有认证违规问题，因为通信到达工作流接口时，TIBCO的认证功能会提供正确的识别信息进行认证。

验证点