用于建立安全上下文令牌以保护对话的流

此示例方案描述了如何使用 WS-Trust 协议来实现基于会话的安全性,从而在发起方与接收方之间建立安全上下文令牌 (SCT) 的流程。建立安全上下文令牌之后,使用由安全上下文令牌派生的密钥为 SOAP 消息签名和加密,从而在消息级别提供保护。本示例重点描述了在 SOAP 消息的整个传递过程中使用安全上下文令牌来进行消息交换。

结构化信息标准促进组织 (OASIS) Web Services Secure Conversation (WS-SecureConversation) 规范描述了在 SOAP 消息的发起方与接收方之间建立安全会话的方法。WS-SecureConversation 规范还定义了如何使用 Web Services Trust (WS-Trust) 协议来建立安全上下文令牌。该产品支持 WS-SecureConversation 规范 V1.3 和草稿版本。

WebSphere® Application Server 支持端点可以通过对 WS-SecureConversation 发出安全上下文令牌,从而在 SOAP 消息的发起方与接收方之间提供安全会话。

下图描述了创建安全上下文和使用基于会话的安全性所必需的流程。

图 1. 显示客户机、Web Service 与安全性令牌服务之间的流显示客户机、安全性令牌服务与 Web Service 之间的流程

发起方与接收方之间交换消息

下图说明了发起方与接收方之间如何交换消息以建立安全上下文令牌。RequestSecurityToken (RST) 和 RequestSecurityTokenResponse (RSTR) 这两种 WS-Trust 协议用来从接收方端点中请求安全上下文令牌。

引导策略用来保护 RST 和验证 RSTR 请求,此策略通常不同于应用程序安全策略。

图 2. 使用 WS-Trust 协议 RST 和 RSTR 在发起方和接收方之间建立 SCT使用 WS-Trust 协议 RST 和 RSTR 在发起方和接收方之间建立安全上下文令牌

用于描述如何使用安全对话的方案

通常,要使用安全对话,需要执行以下步骤:
  1. 客户机将对安全上下文令牌的 RequestSecurityToken (RST) 信任请求及其密钥(平均信息量和目标密钥大小)发送到应用程序端点并请求目标服务密钥。

    通常,使用在引导策略中定义的非对称 Web Service Security 来保护此请求。

  2. RST 是由信任服务来处理的,如果请求基于安全策略是可信的,那么信任服务将使用 WS-Trust RequestSecurityTokenResponse (RSTR) 来返回安全上下文令牌和目标服务密钥。

    通常,使用非对称 Web Service Security 来保护此请求。客户机根据引导策略来验证 RSTR 是否可信。

  3. 如果 RequestSecurityTokenResponse 是可信的,那么客户机将使用会话密钥来保护后续的应用程序消息(即,为这些消息签名和加密)。

    会话密钥由安全上下文令牌的秘密派生而来,而安全上下文令牌是从在发起方与接收方之间交换的初始 WS-Trust RequestSecurityToken 和 RequestSecurityTokenResponse 消息中获得的。

  4. 规范定义如何根据初始秘密来派生密钥的算法。目标 Web Service 将根据在 SOAP 消息的安全性头中获得的元数据和初始秘密来计算派生密钥。
  5. 目标 Web Service 使用派生的密钥并根据应用程序安全策略来验证消息和对消息加密。
  6. 目标 Web Service 使用从私钥派生的密钥并根据应用程序安全策略为响应签名和对响应加密。
  7. 重复执行步骤 3 到步骤 6,直到完成消息交换过程为止。

使用从安全上下文令牌的秘密派生而来的密钥

在建立安全上下文令牌之后,通过使用从安全上下文令牌的秘密派生而来的密钥来保护消息,从而保护应用程序消息的安全。通过使用派生的密钥为应用程序消息签名和加密来保护应用程序消息的安全。安全上下文令牌中包含 UUID,UUID 被用作共享秘密的标识。可以在 SOAP 消息中使用令牌 UUID 来标识用于交换消息的安全上下文令牌。会话参与者(在本例中为发起方和接收方)必须将秘密保存在内存中并加以保护。泄露秘密将破坏参与者之间的安全对话。

图 3. 使用从安全上下文令牌的秘密派生而来的密钥来保护应用程序消息使用从安全上下文令牌的私钥派生的密钥来保护应用程序消息

WS-SecureConversation 期望可以采用相似的方案(Web Service 可靠消息传递 (WS-ReliableMessaging) 除外)。请参阅有关建立安全上下文令牌来保护可靠消息传递的示例。


指示主题类型的图标 概念主题



时间戳记图标 最近一次更新时间: last_date
http://www14.software.ibm.com/webapp/wsbroker/redirect?version=cord&product=was-nd-mp&topic=cwbs_establishsct_sc
文件名:cwbs_establishsct_sc.html