Java Web服务: WS-Trust和WS-SecureConversation

了解 WS-SecureConversation 如何能改善 Web 服务的安全性能

简介：WS-Security 为 SOAP 消息交换添加了企业级的安全特性，但却有大量的性能损失。WS-Trust 构建于 WS-Security 基础上，提供了一种交换安全令牌的方式，WS-SecureConversation 构建于 WS-Security 和 WS-Trust 基础上，改善了进行中的消息交换的性能。Dennis Sosnoski 将继续他的 Java Web 服务 专栏系列，本期文章将介绍 WS-Trust 和 WS-SecureConversation。

WS-Security 构建于成熟的密码学以及 XML 加密及签名的行业标准基础上，为 Web 服务应用程序提供了一整套的安全特性。对于很多应用程序，WS-Security 的特性必不可少，但往往要以牺牲性能为代价。本系列之前的文章探讨了常见的 WS-Security 配置是如何影响主要的开源 Java™ Web 服务堆栈（Apache Axis2、Metro 和 Apache CXF）的性能的。

WS-Security 之所以常常伴随性能损失主要是因为大量使用了非对称加密。正如在 “Axis2 WS-Security 签名和加密” 一文中讨论的，非对称加密由于可处理密匙对，因此是一种很有用的工具。密匙对中的一个密匙被用来加密另一个密匙能够解密的消息。密匙对的所有者可以让一个密匙公开可用以便任何人都能使用它来加密发至此所有者的消息，并且还能解密来自此所有者的消息（由此验证发送者的身份）。非对称加密的一个劣势是与对称加密相比，它需要更大的密匙大小以及更多的处理负荷，因为对称加密基于的是只为此次交换中所涉各方所知的单个私密密匙。

WS-SecureConversation 是一种标准，允许对称加密被用于进行中的客户机和服务器之间的消息交换，从而消除了非对称加密增加的负荷。为了保障对称加密所需的私密密匙信息的安全交换，WS-SecureConversation 构建于 WS-Security 和另一种标准 WS-Trust 的基础上。WS-Trust 本身基于的是 WS-Security，定义了对发出并处理安全令牌的 Web 服务的接口。

WS-Trust

WS-Trust 综合了两个相关函数。第一个函数是为了支持对安全令牌的处理 — 具体而言就是发出、更换以及取消安全令牌。第二个函数是为了支持中介信任关系。这两个函数看起来虽然不同，但它们之间是相互关联的，都要求安全令牌必须是可信的，并且信任也必须要以某种形式的令牌表示。

WS-Trust 的核心是一组用来发出、更换、取消以及验证安全令牌的消息。这些消息可以由客户机通过调用一种称为 Security Token Service（STS）的特定类型的 SOAP Web 服务进行交换。它们还可以以其他的方式传递（比如以对另外一个服务的请求的安全头部的形式）。

Java Web服务: WS-Trust和WS-SecureConversation(2)

STS 的基础知识

STS 是一种 Web 服务，可实现一个由 WS-Trust 规范定义的简单接口。这个接口允许客户机使用安全令牌提交对几种类型操作的请求。由于一个 STS 就是一种 Web 服务，因此 WS-Security 可被直接用在请求和响应消息内，而 WS-SecurityPolicy 则可被用来指定由客户机提供的凭证的类型或需要在消息上进行的其他的安全性处理。

最基本的一种操作是发出新令牌。清单 1 显示了为此目的而向一个 STS 发出一个示例请求，这个示例是经过编辑的，其中删除了各种头部，只列出请求主体。（稍后您将看到未删除头部的示例。）清单 1 所请求的是由 WS-SecureConversation 使用的一种称为 Security Context Token (SCT) 的特定令牌：

清单 1. 向 STS 请求一个安全令牌

<soap:Envelope　xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"> 　 <soap:Header> 　　 ... 　

凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢!