Web Services Secure Conversation
Web Services Secure Conversation (WS-SecureConversation) 提供了用于长时间运行的消息交换和利用对称密码算法的受保护会话。
WS-SecureConversation 提供基于会话的安全性。基于会话的安全性可优化长时间运行的消息交换,因为可使用对称密码术来签署和加密消息。与非对称密码术相比,对称密码算法的 CPU 使用率通常低一些。与非对称密码算法相比,对称密码算法应提供更好的性能和吞吐量。
对称密码算法还提供保护其他基于会话的协议和交换模式(例如 Web Services Reliable Messaging (WS-ReliableMessaging))的方法。
用于安全对话的安全上下文令牌
Web Services 安全规范定义了基本机制以提供安全消息传递。Web Services Trust (WS-Trust) 规范定义了对 Web Service 安全性的扩展,这些扩展提供在两方之间建立和代理信任关系的方法。WS-Trust 协议定义了可发送给安全性令牌服务的请求的语法以及安全性令牌服务的相应或后续响应。WebSphere® Application Server 提供的安全性令牌服务称为信任服务。
通过使用 WS-Trust 协议,某一方可请求信任服务发出安全上下文令牌 (SCT)。 然后,此令牌可用于建立安全对话 (WS-SecureConversation)。安全性令牌的请求发送给应用程序端点。WebSphere Application Server 截取请求并将其发送到信任服务。
可将策略定义为所有信任发出操作、更新操作、验证操作或取消操作的缺省值。另外,可将策略附加至一对特定的 URL 和操作。
WS-SecureConversation 定义扩展,以允许安全上下文的建立和分享,以及会话密钥的派生,这允许建立上下文并潜在地交换更有效的密钥或新密钥材料。 对于 WS-Trust 和 WS-SecureConversation 的WebSphere Application Server 支持主要集中在分发、更新、验证和取消安全对话的安全上下文令牌。
策略集和引导策略
除了描述这些功能,OASIS WS-SecureConversation 草稿提交版还描述建立 SOAP 消息发起方和接收方之间安全对话的多种方法。
引导安全策略是一种安全策略,供发起方通过使用发出令牌的 WS-Trust 或 WS-SecureConversation 协议消息从信任服务获取安全对话的安全性令牌。策略集配置包含与应用程序服务通信的安全策略,以及与信任服务通信的引导程序策略。
如果共享包含安全对话引导程序策略的策略配置(使用 WS-Policy)失败,那么可能是由引导程序请求和响应策略不一致造成。请求和响应引导程序消息的引导程序策略消息部分保护必须相同,因为为请求和响应发布的是单一策略。
Web Service 安全对话支持的内容
- 在发起方与接收方之间建立的安全上下文令牌 (SCT)。
- 对于安全上下文令牌 (SCT) 受支持的 WS-SecureConversation 操作,例如发出令牌、更新令牌和取消令牌。支持使用 WS-Trust 协议验证令牌。
- 派生的密钥(显式的或隐式的)
Web Service 安全对话不支持的内容
下表着重强调 WebSphere Application Server 中不支持的一些关键功能。该列表并没有全部列举。
- WS-SecureConversation 不支持通过外部安全性令牌服务(信任组件)创建的安全上下文令牌建立安全上下文。但是,WebSphere Application Server 支持内部的安全性令牌服务。
- WebSphere Application Server 不支持通过由某一通信方创建且使用消息传播的安全上下文令牌,建立安全上下文。
- WebSphere Application Server 不支持修改安全上下文令牌。
- WebSphere Application Server 不支持创建安全上下文令牌的客户机。
- WebSphere Application Server 不支持交换和协商。
安全对话方案
- WS-SecureConversation
此方案基于与接收方建立安全上下文令牌以及使用派生的密钥来签署和加密消息。它描述如何使用基于会话的安全性建立安全上下文。基于会话的安全性就是发起方通过使用 WS-SecureConversation 协议与接收方建立安全上下文令牌的流。
- WS-SecureConversation 与
WS-ReliableMessaging 配合使用
此方案是一种组合方案,它包括 Web Service 可靠消息传递 (WS-ReliableMessaging)、WS-SecureConversation 和 WS-Trust 的组合方案所需的功能。此方案描述如何将 WS-SecureConversation 与 WS-ReliableMessaging 配合使用,在其中,流类似于前一个方案,但它来自安全对话预期。但是,主要差别是 WS-ReliableMessaging 序列用安全上下文令牌保护并且将 WS-ReliableMessaging 序列的范围确定为安全上下文令牌。此描述着重于在总体流中使用安全上下文令牌的消息交换。