鄭　金　黃良瑋　陳楚明　戴曉勉

今天，基于PKI的傳統(tǒng)安全中間件已基本滿(mǎn)足了我們大部分的網(wǎng)絡(luò)安全需求，但這仍是遠(yuǎn)遠(yuǎn)不夠的。本文探討了傳統(tǒng)安全中間件與基于Web Services的安全中間件各自的運(yùn)作模式及區(qū)別，進(jìn)而總結(jié)出基于Web Services的安全中間件的優(yōu)勢(shì)：松耦合性、跨平臺(tái)性與跨編程語(yǔ)言性。緊接著提出基于Web Services的安全中間件的設(shè)計(jì)方案，其突出點(diǎn)在于采用了Web Services實(shí)現(xiàn)應(yīng)用程序與安全中間件之間的通訊，并在最后給出了本系統(tǒng)的部分細(xì)節(jié)實(shí)現(xiàn)方案。

隨著Web Services由技術(shù)概念到實(shí)踐應(yīng)用的不斷發(fā)展，種種跡象表明，Web Services將是未來(lái)應(yīng)用架構(gòu)的一個(gè)極為重要的模式。

安全中間件是中間件的一種，為我們提供了CA認(rèn)證、數(shù)字證書(shū)、數(shù)字簽名等安全相關(guān)的通用編程抽象。應(yīng)用程序人員不必?fù)碛袑?zhuān)業(yè)的安全知識(shí)，即可通過(guò)調(diào)用安全中間件的相關(guān)API方便地使用所需的安全功能，從而使開(kāi)發(fā)人員能夠?qū)Ｗ⒂跇I(yè)務(wù)邏輯的開(kāi)發(fā)。

目前，傳統(tǒng)的基于PKI(Public Key Infrastructure)的安全中間件已經(jīng)可以滿(mǎn)足我們大部分的安全要求，但是這仍然是不夠的，因?yàn)閭鹘y(tǒng)安全中間件基本上都是采用調(diào)用API的方式，從而直接導(dǎo)致了應(yīng)用程序與安全中間件的緊耦合性、平臺(tái)相關(guān)性與編程語(yǔ)言相關(guān)性。

基于Web Services的安全中間件的優(yōu)勢(shì)

具有松耦合性與跨平臺(tái)跨編程語(yǔ)言正是Web Services技術(shù)的最大特性，下面將討論傳統(tǒng)安全中間件與基于Web Services的安全中間件的各自運(yùn)作模式及他們的不同，并總結(jié)出基于Web Services的安全中間件的優(yōu)勢(shì)。

傳統(tǒng)安全中間件產(chǎn)品一般以PKI為基礎(chǔ)，建立在X.509等安全標(biāo)準(zhǔn)之上，為開(kāi)發(fā)人員提供了加密、認(rèn)證、授權(quán)、驗(yàn)證等安全接口。下面是傳統(tǒng)安全中間件與基于Web Services的安全中間件的運(yùn)作模式對(duì)比圖：

由圖1左邊可以看出，應(yīng)用程序是采用API調(diào)用方式使用安全中間件的，即傳統(tǒng)安全中間件是作為函數(shù)庫(kù)與應(yīng)用程序部署在一起的，這些都使得應(yīng)用程序與安全中間件之間產(chǎn)生了緊耦合，導(dǎo)致整個(gè)系統(tǒng)過(guò)于復(fù)雜而不好維護(hù)，喪失了靈活性。另外，安全算法是需要大規(guī)模計(jì)算的，對(duì)于計(jì)算資源寶貴的移動(dòng)設(shè)備來(lái)說(shuō)，以上并不是一個(gè)理想的解決方案。

采用Web Services技術(shù)的安全中間件，通過(guò)SOAP協(xié)議實(shí)現(xiàn)應(yīng)用程序與安全中間件之間的通訊。如圖1右邊所示，在本設(shè)計(jì)中，應(yīng)用程序與安全中間件之間的通訊采用了Web Services技術(shù)，通過(guò)SOAP協(xié)議進(jìn)行通訊。同時(shí)，為了保證應(yīng)用程序與安全中間件之間網(wǎng)絡(luò)通訊的安全，本系統(tǒng)中采用SSL用于保證傳輸層上的點(diǎn)對(duì)點(diǎn)完整性和機(jī)密性，在應(yīng)用層面上則是采用WS-Security規(guī)范保證SOAP消息的安全性。

在以上的對(duì)比分析中我們可以得知，在基于Web Services的安全中間件中，不管是J2EE或.Net編程技術(shù)，都可以通過(guò)標(biāo)準(zhǔn)的SOAP協(xié)議與安全中間件進(jìn)行通信，實(shí)現(xiàn)了編程語(yǔ)言無(wú)關(guān)性。再者，由于Web Services技術(shù)是基于網(wǎng)絡(luò)HTTP協(xié)議通過(guò)網(wǎng)絡(luò)進(jìn)行通信，從而去掉了應(yīng)用程序與安全中間件需要部署在同一操作系統(tǒng)、服務(wù)器上的限制，進(jìn)而實(shí)現(xiàn)了平臺(tái)無(wú)關(guān)性。最后，假設(shè)日后安全中間件內(nèi)部模塊進(jìn)行了更新升級(jí)，也不會(huì)影響到應(yīng)用程序，無(wú)需再編譯、再部署，從而實(shí)現(xiàn)了應(yīng)用程序?qū)优c安全中間件層之間的松耦合性。

由此可得出基于Web Services的安全中間件的優(yōu)勢(shì)有：編程語(yǔ)言無(wú)關(guān)性，平臺(tái)無(wú)關(guān)性與松耦合性。

基于Web Services的安全中間件的總體設(shè)計(jì)

本文將設(shè)計(jì)與實(shí)現(xiàn)一個(gè)基于Web Services的安全中間件，該安全中間件從理論上講，能夠?qū)崿F(xiàn)傳統(tǒng)安全中間件的所有功能，并且是基于SOAP通訊的，實(shí)現(xiàn)了松耦合及跨平臺(tái)跨編程語(yǔ)言性。

本中間件的功能主要分成兩大塊——證書(shū)模塊與密碼模塊。

證書(shū)模塊：證書(shū)申請(qǐng)，即個(gè)人通過(guò)安全中間件向CA申請(qǐng)證書(shū)；查詢(xún)證書(shū)，應(yīng)用程序可以通過(guò)該功能查詢(xún)自己或已收到的他人證書(shū)狀態(tài)；獲取證書(shū)，應(yīng)用程序可通過(guò)安全中間件獲取自己或他人的證書(shū)；撤銷(xiāo)證書(shū)，在個(gè)人丟失私鑰時(shí)，可以申請(qǐng)撤銷(xiāo)證書(shū)；驗(yàn)證證書(shū)，可用于驗(yàn)證他人證書(shū)的有效性。

密碼模塊：加密解密消息，使用各種算法對(duì)消息進(jìn)行加解密操作；生成會(huì)話密鑰，為通信的雙方生成會(huì)話密鑰；數(shù)字簽名，對(duì)消息進(jìn)行數(shù)字簽名；簽名驗(yàn)證，可對(duì)已進(jìn)行數(shù)字簽名的消息進(jìn)行驗(yàn)證其完整性和發(fā)送方身份。

總體框架：

基于Web Services的安全中間件的設(shè)計(jì)目標(biāo)，是為了讓所有類(lèi)型的應(yīng)用程序都能通過(guò)由WS-Security保護(hù)的SOAP協(xié)議來(lái)獲取安全服務(wù)。本中間件總體框架如下圖所示：

如圖2所示，本系統(tǒng)采用分層的設(shè)計(jì)結(jié)構(gòu)。最上層為服務(wù)發(fā)布接口，以Web Services的形式發(fā)布給應(yīng)用程序，而不是傳統(tǒng)的采用API或RPC遠(yuǎn)程調(diào)用接口，消除了應(yīng)用程序?qū)优c安全服務(wù)層之間的耦合性，也使得應(yīng)用程序與安全中間件無(wú)需部署在一起，大大提高了企業(yè)信息系統(tǒng)的整體靈活性。

安全中間件在接收到請(qǐng)求后對(duì)其進(jìn)行解析，然后進(jìn)行相應(yīng)的操作并返回。在應(yīng)用程序接口下面，是兩個(gè)主要模塊接口——證書(shū)服務(wù)與密碼服務(wù)接口，設(shè)計(jì)這兩個(gè)接口的目的是為了日后系統(tǒng)的擴(kuò)展。

在兩個(gè)接口的下面，是兩個(gè)模塊的具體實(shí)現(xiàn)，這里的具體實(shí)現(xiàn)有兩種方式，一是使用各種成熟的組件直接實(shí)現(xiàn)服務(wù)，如Sun提供的JCE、JAAS及JSSE，微軟的CryptAPI或Intel的CDSA等；二是通過(guò)統(tǒng)一的PKI接口調(diào)用現(xiàn)成的PKI設(shè)施，其好處是可以隨以后需求的變更而靈活使用不同的PKI產(chǎn)品。PKI統(tǒng)一接口的下方PKI Provider xx是針對(duì)某一PKI產(chǎn)品所設(shè)計(jì)的專(zhuān)用轉(zhuǎn)換接口，實(shí)現(xiàn)從特定PKI產(chǎn)品自身接口到本系統(tǒng)PKI統(tǒng)一接口的轉(zhuǎn)換。

實(shí)現(xiàn)細(xì)節(jié)：

下面是本系統(tǒng)的服務(wù)接口設(shè)計(jì)，這里的服務(wù)接口是指本安全中間件開(kāi)發(fā)給應(yīng)用程序的服務(wù)接口。本系統(tǒng)的Web Service的實(shí)現(xiàn)采用AXIS2開(kāi)源框架。下面將使用AXIS2的services.xml說(shuō)明服務(wù)接口的設(shè)計(jì)，并結(jié)合使用SOAP消息格式進(jìn)行詳細(xì)說(shuō)明。

如services.xml文件中申請(qǐng)證書(shū)的xml配置如下：

urn:applyCert

本文就傳統(tǒng)安全中間件與基于Web Services的安全中間件進(jìn)行探討比較，進(jìn)而總結(jié)出基于Web Services的安全中間件的優(yōu)勢(shì)之處在于松耦合、跨平臺(tái)與跨編程語(yǔ)言。接著，提出基于Web Services的安全中間件的設(shè)計(jì)方案，并實(shí)現(xiàn)了上述三點(diǎn)優(yōu)勢(shì)。當(dāng)然，本系統(tǒng)目前還存在一些不足之處，在完整性方面，目前僅實(shí)現(xiàn)了基本的安全服務(wù)功能；在標(biāo)準(zhǔn)性方面，目前采用的Web Services安全規(guī)范仍處于草案階段而不是公認(rèn)的標(biāo)準(zhǔn)；最后是實(shí)用性，本系統(tǒng)目前仍處于測(cè)試階段，最終能否勝任安全強(qiáng)度的要求仍需進(jìn)一步的考驗(yàn)。

參考文獻(xiàn)

[1] JP Morgenthal. Web Services for Enterprise Application Integration. [A] Journal, 2002,2(5 ): 14 ~16

[2] 張志擦. 中間件技術(shù). 北京:中國(guó)石化出版社，2002. 122~123

[3] 荊繼武. PKI系統(tǒng)研究：[博士學(xué)位論文]. 北京:中國(guó)科學(xué)院研究生院，2002

[4] 張振興. Web服務(wù)安全性的研究與實(shí)現(xiàn)：[D]. 華北電力大學(xué)碩士論文，2004

[5] 肖軍模，劉軍. 網(wǎng)絡(luò)信息安全. 北京:機(jī)械工業(yè)出版社，2003. 23~24

[6] Markham T. Security at the network edge. Information Survivability Conference, 2001,11. 279~286

[7] Simple Object Access Protocol(SOAP)1 .1.http://www.w3c.org/TR/2000/NOTE-SOAP-20000508

[8] Paul Kearney. Message level security for Web services, Information Security Technical Report, 2005(10): 41-50