23、基于 Java 的集成式 Web 服务安全解决方案与猜秘密问题探讨

基于 Java 的集成式 Web 服务安全解决方案与猜秘密问题探讨

1. 安全 Web 服务目标与覆盖范围

为企业提供一种轻松部署安全 Web 服务的方式是我们的目标。安全 Web 服务需要具备以下特性：
- 可用性 ：Web 服务必须易于调用。
- 认证 ：能够明确识别发送消息的发送者。
- 机密性 ：数据不会被未授权的个人、实体或进程获取。
- 完整性 ：数据未被修改。
- 不可抵赖性 ：数据的发起者不能否认数据是从其系统发出的。

对于安全 Web 服务，需要考虑 SOAP、WSDL 和 UDDI 协议的安全性。但本文仅关注 SOAP 安全，WSDL 和 UDDI 安全不在本文讨论范围内。

2. 提出的 Web 服务安全解决方案

2.1 总体架构

Ty*SecureWS 基于 Web 服务安全标准设计，使用 Apache AXIS 作为 Web 服务引擎。为提供安全的 Web 服务，为该引擎实现了安全处理链。其总体架构如下：

graph LR
    classDef process fill:#E5F6FF,stroke:#73A6FF,stroke-width:2px;

    A(Client):::process -->|Secure Soap Message| B(Server):::proc