WebService安全知识讲解.pptVIP

Web Service 安全 技术交流 安全 安全 通道安全 对登录方进行通道限制 经过授权，登录验证后，方可使用通道通讯 实例 VPN，Https 数据安全 对通讯数据的安全处理 安全 数据安全 消息摘要 是原始数据的指纹 是对原始数据按照一定算法进行计算得到的结果 是用于检测原始数据是否被修改过。 不等同于加密 保证数据没有经过改变，但接收者还无法确定数据是否确实是某个人发来（被拦截，获取后重发） 数字签名 就是附加在数据单元上的一些数据,或是对数据单元所作的密码变换。 这种数据或变换允许数据单元的接收者用以确认数据单元的来源和数据单元的完整性并保护数据,防止被人进行伪造。 安全 数据加密 量子加密 对称加密技术简介 数据加密标准（DES） 对称密钥加密系统是国际数据加密算法（IDEA） 非对称加密技术简介 公开密钥与私有密钥是一对，如果用公开密钥对数据进行加密，只有用对应的私有密钥才能解密；如果用私有密钥对数据进行加密，那么只有用对应的公开密钥才能解密。因为加密和解密使用的是两个不同的密钥，所以这种算法叫作非对称加密算法 Web Service安全 Web Service 展示Demo /WebSrvs/testclient.html 为什么需求安全 消息被修改 未授权者访问 消息传递的中间代理的攻击 XML Parameter Tampering (非法脚本注入) 其他很多未了解的情况 Web services 安全实践 基于 Windows 安全 Web services 安全实践 基于 HTTP Basic Authentication - 1 是 Authentication( 认证 ) 中最简单的方法。 如果你正在使用 Internet Explorer 或者 Mozilla Firefox 这样的可视化浏览器来访问需要认证的资源，浏览器会弹出一个窗口，让你输入用户名和密码，如果所输入的用户名在资源使用者的验证列表，并且密码完全正确， 用户才可以访问受限的资源 Web services 的 endpoint 被列为受限资源，需要使用这些资源，必须提供相应的认证信息。如服务器无法获得认证信息，就返回了 401 Unauthorized 错误。 认证流程 认证流程 Web services 安全实践 基于 HTTP Basic Authentication -2 Project PHW2-01-SecWebSrv role rolename=WsInvokerRole“ user username=wsaxis password=wsaxis roles=WsInvokerRole“ 发布App 验证 Web services 安全实践 基于传输层（Transport-Level）安全机制 SSL（https） 理论上说，基于 SOAP 规范的 web services 消息可以与任何传输协议进行绑定，如 JMS、FTP 等。但由于传输层安全机制 SSL 仅适用于 HTTP 协议，因而极大地限制了 web services 传输协议透明性的优势。 传输层的安全机制是对整个传输信道进行保护，而无法对 SOAP 消息的具体部件（如 SOAP Header、SOAP BODY）做出细粒度的加密、认证、签名等操作。 SOAP –安全内容 soapenv:Envelope soapenv:Header wsse:Security soapenv:mustUnderstand=1 wsu:Timestamp wsu:Id=Timestamp wsu:Created2008-02-06T13:39:50.943Z/wsu:Created wsu:Expires2008-02-06T13:44:50.943Z/wsu:Expires /wsu:Timestamp wsse:UsernameToken wsu:Id=UsernameToken wsse:Usernameapache/wsse:Username wsse:Password Type=http://...#PasswordTextpassword/wsse:Password /wsse:UsernameToken /wsse:Security /soapenv:Header soapenv:Body ns1:a