慧点安全解决方案白皮书模板.doc

慧点安全处理方案白皮书慧点安全处理方案白皮书 二十一世纪是信息化世纪,伴随网络技术发展,尤其是Internet全球化,信息共享程度深入提升。数字信息越来越深入影响着社会生活各个方面,多种基于互联网技术网上应用,如电子政务、电子商务等也得到了迅猛发展。网络正逐步成为大家工作、生活中不可分割一部分。因为互联网开放性和通用性,网上全部信息对全部些人全部是公开,所以网络上信息安全问题也日益突出。目前政府部门、金融部门、企机关和个人全部日益重视这一关键问题。大、中型企业怎样保护信息安全和网络安全,最大程度降低或避免因信息泄密、破坏等安全问题所造成经济损失及对企业形象影响,是摆在我们面前亟需妥善处理一项含有重大战略意义课题。网络飞速发展推进社会发展,大批用户借助网络极大地提升了工作效率,发明了部分全新工作方法,尤其是因特网出现更给用户带来了巨大方便。但其次,网络,尤其是因特网存在着极大安全隐患。多年来,因特网上安全事故屡有发生。连入因特网用户面临很多安全风险:拒绝服务、信息泄密、信息篡改、资源盗用、声誉损害等等。类似风险也存在于其它互联网络中。这些安全风险存在阻碍了计算机网络应用和发展。在网络化、信息化进程不可逆转形势下,建立安全可靠网络信息系统是一个肯定选择。为此,慧点科技以PKI为关键,配合PMI能够有效地处理信息安全问题,从而确保网上信息保密性、完整性、防抵赖性,和信息起源可靠性,为各企机关信息化建设和实施提供了卓有成效安全防护。一.慧点产品总体框架慧点科技致力于为企机关提供完整电子政务、电子商务关键处理方案,构建平台统一、系统安全、投资合理、运行高效系统平台,提供服务于应用集成、数据集成和表现集成全线产品,为企机关信息化构建动态协同基础设施。慧点科技办公系统满足企机关日常办公多种业务需要,是政府、企业信息化基础应用系统;数据交换平台提供各系统间业务集成,是企机关实施全方位信息化和数据共享基础中间件平台;一站式服务平台实现政府跨部门网上行政、网上办公和网上审批,是实现阳光行政、高效行政、依法行政关键平台;统一信息门户提供丰富内容表现方法、全方位访问接入方法和个性化服务,是企机关信息化统一入口,是领导决议信息起源,是政府、企业形象集中表现。慧点安全处理方案是慧点全线产品安全基础。安全中间件作为PKI关键组成部分是连接CA和各应用系统桥梁,使得各应用系统和CA之间实现松散连接。安全中间件是以公钥基础设施(PKI)为关键、建立在一系列相关国际安全标准之上一个开放式应用开发平台,并对PKI基础功效如对称加密和解密、非对称加密和解密、信息摘要、单向散列、数字署名、署名验证、证书从证,和密钥生成、存放、销毁等深入扩充,进而形成系统安全服务器接口,和通信安全服务接口。安全中间件能够跨平台操作,为不一样操作系统上应用软件集成提供方便,满足用户对系统伸缩性和可扩展性要求。在频繁改变企业计算机环境中,安全中间件能够将不一样应用程序无缝地融合在一起,使用户业务不会因计算环境改变遭受损失。同时,安全中间件屏蔽了安全技术复杂性,使设计开发人员无须含有专业安全知识背景就能够结构高安全性应用。慧点科技全线产品建立在PKI、PMI、安全中间件基础上,是一个经典安全应用集成平台。二.安全需求2.1应用集成和政务集成中安全需求伴随网络技术发展,尤其是Internet全球化,多种基于互联网技术网上应用,如电子政务、电子商务等得到了迅猛发展。应用需求越来越复杂,迫切需要多种独立异构分布式应用之间能够进行协同互操作,传统分布式构件方案如DCOM和CORBA难以满足应用开发需要,于是因为XML技术逐步成熟,出现了一个新分布式、松耦合、自描述分布式组件服务Web Service。因为Web Service含有跨平台、易开发优良特征,所以在应用系统集成领域和网络服务领域成为了一个广泛应用标准。慧点DCI产品框架平台就是这一个完全基于J2EE平台和Web Service完整企业应用和电子政务应用集成平台。可是因为Web Service开放性和通用性,为了能够保护信息系统安全,对Web Service安全性提出了很高要求。Web Service迫切需要一个完整安全服务框架,来为上层应用开发提供全方面安全服务。构建Web Service安全框架困难在于:web service是很分布式,而且关键安全实现和算法全部是由不一样提供商实现。将各分散业务部门和它们原先异构安全系统和架构统一集成到Web Service安全和业务平台上,而且能够以一个信任关系在各部门应用之间共享用户信息、描述和权限是一个摆在面前巨大挑战。为何需要安全可信Web Services和过去十年中用户/服务器和基于Web应用一样,XML Web Services给应用开发和信息系统构建带来了革命性影响。经过使用标准协议,如XML、SOAP、WSDL和UDDI,应用能够更轻易相互通讯,而且愈加快、更廉价进行应用集成,供给链集成,实现分布式服务模型。XML Web Service接口是基于XML和松耦合。XML和SOAP许可任意系统间进行相互通讯,不管它是一个Office XP桌面还是一个大型主机系统。伴随自动化业务步骤集成越来越普及,越来越多各式各样系统经过Web Service加入到一个广泛Web Service集成环境中去,所以出现了以下部分问题:非集中架构非集中管理用异构技术实现多个部门间相互连接多个企业间相互连接天然对等架构有可能对Internet开放上面每一个问题全部是对系统安全严峻挑战。怎样跨越多个异构系统在整个环境中实施一个安全策略?怎样为一个不了解安全系统外部提供商提供安全服务?怎样监视和审计跨越多个异构系统安全活动事件?要处理上述问题,仅依靠于传统防火墙和入侵监测系统是不足够,即使加上了SSL和VPN也只是处理了数据在网络中安全传输问题,并没有处理跨系统认证和访问授权问题,也没能处理面向Internet服务安全问题。要处理这些问题,需要提供一个完整基于Web Service安全和企业应用集成架构。慧点DCI架构和产品系列提供了对上述问题完整处理方案(完整架构说明请看另文)。2.2 OA产品安全需求1安全电子邮件电子邮件已经是现在最常使用文本通讯手段,是OA系统中关键功效之一。为了确保电子邮件安全,需要能够使用数字证书对邮件进行数字署名和数字加密。安全电子邮件是在原有MIME邮件规范基础上,新增了很多强有力安全功效。经过基于?S/MIME?协议来实现,能够和多种支持相同协议常见邮件程序(如OutLook系列、Netscape系列)兼容互通。2电子签章在办公和文档管理中,需要将传统印章、署名方法同现代数字署名技术相结合,用电子数据安全来支持用户传统使用习惯,使整个系统含有愈加好易用性,同时又含有完善安全性。这种结合被称为电子签章。在电子签章系统中需要PKI提供数字证书和数字署名服务,并结合智能卡或其它身份识别技术,实现多种常见应用文档编写程序签署插件,并经过OA系统进行公文文档工作流传输。同时伴随Web化办公兴起,迫切需要用户能够安全经过浏览器来传输数据,同时能够验明自己身份,所以需要有能够对网页上用户提交数据进行数字署名和加密能力。3数字水印因为多媒体信息很轻易被未授权用户复制,尤其是图片性文档,所以采取传统密码方法并不能完全处理以上问题,于是大家开始经过永久性数字水印来处理这一难题。数字水印技术是指用信号处理方法在数字化多媒体数据中嵌入隐含标识。数字水印(Digital Watermarking)广泛应用于数字作品版权保护、隐蔽通讯、电子商务等领域。经过在OA系统中应用数字水印技术,对发给不一样用户需要保密图片文档使用该用户印章进行水印加注,以后一旦图片原本泄漏,能够追查图片泄漏起源,进而得到防范和威慑效果。4防拷屏一些秘密文档需要特定人于特定机器才能进行浏览,为了预防用户用拷屏手段复制屏幕上已经解密秘密信息并泄密,需要提供部分辅助软件工具来阻止用户进行拷屏操作。5安全加密文档在办公系统中,一些秘密文档不许可以解密后明文文档方法存在,要求必需在存放时,文档必需是加密。这就需要办公系统中提供部分文档目录加解密用户端工具。这些加解密用户端工具软件能够自动加解密整个文件目录。2.3慧点产品方案中处理安全问题和需求身份认证通常我们在Web应用中使用口令、证书、Kerberos、LDAP等不一样验证方法来认证服务请求者,而且在更高安全级,要需要请求者经过SmartCard或生物指纹技术进行验证。一样服务请求者也需要认证服务提供者。授权/访问控制Web Service很轻易进行访问,所以授权并限制外部对该Web Service访问是相当关键。不仅要能够控制应用/用户能够访问哪些信息,还要控制应用或用户有权实施哪些操作。另外能够对管理权进行委托,以能够管理大型组织结构跨应用访问授权。尤其对于不一样域之间,如B2B场景中,系统间需要能够相互认证并能够交换授权断言。单点登录(Single Sign On)在Web Service环境中,单点登录饰演着很关键角色。在Web Service环境中,各式各样系统间需要相互通讯,但要求每个系统全部维护相互之间访问控制列表是不实际。用户也需要愈加好体验以不需要繁琐数次登录和身份验证来使用一个业务过程中包含到不一样系统。在Web Service单点登录环境下,还包含这么部分系统,它们有着自己认证和授权实现,所以需要处理用户信任状在不一样系统间进行映射问题,而且需要确保一旦一个用户被删除,则该用户将不能访问全部参与系统。SAML是一个将认证和授权信息以XML格式编码标准。一个Web Service所以能够从一个SAML兼容认证和授权服务中请求并收到SAML断言,并据此验证和授权一个服务请求者。SAML能够用来在多个系统间传输信任状,并所以被用于单点登录方案中。数据加密标准安全通信协议,如使用SSL来实现端到端数据加密。可是在Web Service环境很多情形下,一个消息不一样部分可能会被多个Web Service消息中介进行处理,所以需要XML Encryption加密标准来许可对一个消息不一样部分进行加密,同时能够不对路由目标消息头进行加密,以降低敏感加密性能损失。数字署名和预防否认在系统间消息通讯中,尤其是对那些跨越企业或不一样行政单位消息,需要确保消息完整性、防篡改,还要确保该消息确定来自于所期望源。这一切全部能够经过数字署名来实现。XML Signature标准提供了署名XML文档一部分方法,它提供了跨越多个系统端到端数据完整性。同时数字署名和时间戳还能预防对已发生交易否认。重放攻击为了预防网络截听者拦截并拷贝有效消息,尤其是身份验证消息,并在随即时间重放该消息,以取得非法利益情况发生,必需实现两次握手身份验证过程,并确保身份信息数据是机密传输。这么验证过程能够是基于SSL,也能够是自定义。恶意和拒绝服务攻击Web Service是如此轻易进行调用,通常来说Web Service全部是经过HTTP和HTTPS协议进行调用,而大多数防火墙又开放80和443端口以作为标准Web消息通道。防火墙通常不会检验在通道上传输SOAP消息正当性。这就需要Web Service基础设施是稳固可靠,不会因为消息中非法错误数据而出现内部错误,从而拒绝服务,也不会因为不正当超长消息而造成系统资源耗尽而拒绝服务。入侵检测要整理出全部对庞大Web Service方法误用是一个很困难任务。经过安全策略和访问控制管理能够降低对系统非法入侵。要预防系统入侵,需要很好智能化分析手段,并借助于教授系统来帮助检测恶意行为。安全系统管理怎样对在Web Services环境中各个异构系统安全配置进行管理,并能够监控其安全状态是一个需要处理问题。这就需要各个系统能够根据统一系统管理标准进行远程管理并提供系统安全状态信息。三.慧点PKI方案 3.1 PKI介绍PKI是Public Key Infrastructure (公共密钥体系)缩写,是一个使用非对称密钥加密原理和相关技术实现安全基础设施。PKI为组织机构建立和维护一个可信赖安全环境,为应用系统提供对身份认证、数据保密性和完整性、不可否认等特征支持,以满足应用系统对安全性需求。在基于Internet技术电子政务和电子商务场景下,应用系统对安全性需求在技术上最终全部归于以下四个方面:(1)提供用户身份正当性验证机制身份认证(Authentication)是分布式布署信息系统首先面临安全问题。举一个简单例子,当用户B接收到一封来自用户A关键文件,那么用户B首先需要确定是该文件确实是由用户A本人发出,而不是第三者以用户A名义发出,假如这一点无法确保,那么即使能够确定文件本身数据完整性和保密性,也没有任何意义。在分布式布署企业信息系统中,用户交互往往是非面对面,所以提供一个可靠身份认证过程将是讨论一切安全方法前提条件。传统用户名+密码身份认证方法在安全性方面存在多种缺点,应用系统需要采取其它更为有效身份验证机制。(2)确保敏感数据经过公用网络传输时保密性保密性(Confidentiality)需求是指应用系统需要能够确保敏感数据只被特定用户查看。以前面例子为例,用户A需要确保所发出文件内容只有用户B才能查看。很多时候,用户A经过公共网络,比如以电子邮件形式将文件发给用户B,这时,确保文件内容不被第三者查看变得尤为关键。(3)确保数据完整性确保数据完整性(Integrity)就是确定我们所接收到来自某一用户数据是完整和未被篡改。以上面例子为例,用户B除了需要确定该文件确实是由用户A发出以外,还需要确定这封文件在传输过程中没有被有意或无意篡改,即用户B接收到文件和用户A发出文件是完全一致。(4)提供不可否认性支持安全信息系统常常要求实现用户在系统中行为不可否认性(Non-Repudiation)。以前面例子为例,当用户A发出该文件以后,用户A将再不能否认曾经发出该文件这一事实。在需要用户对自己在系统中行为负担责任场所,不可否认性显得很关键。PKI为从技术上实现以上需求提供了原理上确保,我们对此在下一小节中加以简单介绍。3.2非对称密钥加密技术介绍PKI基于非对称密钥加密技术来实现应用系统对身份认证、数据保密性和完整性、不可否认性支持。了解非对称密钥加密技术基础原理是了解PKI为何安全基础前提,也只有在对PKI原理有一定程度了解以后,才能有效布署和实施PKI。在传统加密算法中,接收密文一方使用和加密密钥相同密钥作为解密密钥,这种加密技术所以被称为对称密钥加密技术。对称密钥加密算法本身是很安全,问题出在怎样传输加密所使用密钥上。为了处理这一问题,提出了非对称加密技术。非对称加密在加密时和解密时使用不一样密钥,设为密钥p和q。使用密钥p加密数据必需使用密钥q才能解密,而使用密钥q加密数据必需使用密钥p才能解密。可是从密钥p本身计算出密钥q是不可行。PKI使用了非对称加密技术,其中一个密钥称为私钥,由证书持有者妥善保管,必需严格保密,另一个密钥称为公钥,经过CA公布,无须保密。当用户A需要将数据以加密方法传输给用户B时,用户A使用用户B公钥加密数据,加密后数据必需使用用户B私钥才能解密,所以能够确保数据传输过程保密性。为了验证数据真实性,用户A使用自己私钥对数据哈希值加密,用户B使用用户A公钥对哈希值解密,并和接收到数据哈希值进行对比。因为私钥不在公共网络上传输,所以PKI有很高安全性。CA和RA相互配合,负责PKI系统中数字证书申请、审核、签发和管理。密钥管理中心和IT系统中用户管理中心协同工作,负责PKI中密钥正确生成、备份和恢复。IT系统中应用系统经过安全中间件使用PKI系统提供多种安全服务。PKI中加密服务组件负责驱动系统底层加密软件和硬件。安全中间件为应用系统隔离了PKI系统中复杂技术细节,而加密服务组件实现了PKI系统和来自第三方加密软件和硬件集成能力。PKI系统中能够配置多套加密服务组件,以驱动不一样加软件和硬件。安全中间件和加密服务组件组合方法经过安全策略管理中心配置,而不由应用系统控制,所以确保了PKI方案可扩展能力和可定制能力。3.3.1认证和注册审核机构(CA/RA)认证机构CA是PKI信任基础,它管理公钥整个生命周期,其作用包含签发证书、要求证书使用期和经过公布证书废除列表(CRL)来确保必需时能够废除证书。注册审核机构RA提供用户和CA之间接口,关键完成搜集用户信息和确定用户身份功效。这里指用户,是指将要向认证机构(即CA)申请数字证书用户,能够是个人,也能够是集团或团体、某政府机构等。RA接收用户注册申请,审查用户申请资格,并决定是否同意CA给其签发数字证书。注册机构并不给用户签发证书,而只是对用户进行资格审查。所以,RA能够设置在直接面对用户业务部门。对于一个规模较小PKI应用系统来说,可把注册管理职能由认证中心CA来完成,而不设置独立运行RA。但这并不是取消了PKI注册功效,而只是将其作为CA一项功效而已。慧点PKI方案推荐由一个独立RA来完成注册管理任务,经过确保CA和IT系统其它部分物理隔绝,能够增强应用系统安全。CA签发数字证书通常由RA经过LDAP服务器公布,供PKI系统中用户需要时进行检索和获取。CA/RA服务器使用数据库服务器保留相关数据。3.3.2密钥管理中心密钥管理也是PKI (关键指CA)中一个关键问题,关键是指密钥正确安全管理,包含密钥产生、密钥备份和密钥恢复等。密钥正确产生是证书申请过程中关键一步,其中产生私钥由用户保留,公钥和其它信息则经过RA交于CA中心进行署名,供生成数字证书使用。在一个PKI系统中,维护密钥正确备份至关关键。假如没有这种方法,当密钥丢失后,将意味着加密数据完全丢失,对于部分关键数据,这将是灾难性。使用PKI企业和组织必需能够得到确定:即使密钥丢失,受密钥加密保护关键信息也必需能够恢复,而且不能让一个独立个人完全控制最关键主密钥,不然将引发严重后果。在一些情况下用户可能有多对密钥,最少应该有两对密钥:一对用于加密,一对用于署名。署名密钥不需要备份,因为用于验证署名公钥(或公钥证书)广泛公布,即使署名私钥丢失,任何用于对应公钥人全部能够对已署名文档进行验证。PKI系统需要备份用于加密密钥对,并许可用户进行恢复。所以,企业级PKI产品最少应该支持用于加密安全密钥存放、备份和恢复。密钥备份通常见口令进行保护,而口令丢失则是管理员最常见安全疏漏之一。即使口令丢失,使用密钥管理中心提供密钥恢复功效,也能够让用户在一定条件下恢复该密钥,并设置新口令。当用户私钥被泄漏时,用户应该更新私钥。这时用户能够废除证书,产生新密钥对,申请新证书。密钥管理中心需要和PKI系统中其它加密软件系统和硬件设备协同工作。3.3.3安全中间件安全中间件是慧点PKI方案一个关键组成部分,是PKI系统和应用系统桥梁。各个应用系统经过安全中间件和底层PKI服务组件相互作用,协同工作,从而确保整个IT系统安全性。安全中间件实现以下功效:为应用系统提供一致安全应用程序编程接口(API)经过加密服务组件驱动不一样CA服务器产品、加密软件和硬件安全中间件和相关组件之间关系图3-4所表示。安全中间件包含以下部分:安全应用程序编程接口安全应用程序编程接口屏蔽了PKI系统复杂技术细节,将PKI系统和具体应用系统有机集成在一起,从而组成结构良好企业分布式安全应用环境。当PKI系统中具体CA服务器、加密软件和加密硬件发生改变时,基于安全中间件应用系统不需要进行修改,只需要使用安全配置和管理组件对安全中间件行为重新进行配置即可。安全实体映射组件安全实体映射组件维护IT系统中用户和PKI系统中安全实体之间映射关系。当用户采取不一样PKI技术方案时,PKI系统中安全实体和IT系统中用户之间映射关系可能会发生改变,这种情况在当用户采取专用加密算法和非标准证书系统时尤其显著。由安全中间件集中维护IT系统中用户和PKI系统中安全实体之间映射关系能够有效简化应用系统开发和实施。加密服务组件在安全中间件中,加密服务组件负责驱动PKI中第三方软件系统和硬件设备,向安全中间件提供用户身份验证、数据加密和解密底层实现。用户经过安全应用程序编程接口发出数据加密和解密请求实际上由加密服务组件负责具体实现。加密服务组件是慧点PKI方案实现和来自第三方CA服务器产品、加密软件、加密硬件集成路径。慧点PKI方案含有集成来自不一样厂商CA服务器产品、加密软件和加密硬件能力,这种能力是经过布署不一样加密服务组件来实现。加密服务组件向安全中间件提供支持,在加密服务组件之上安全中间件为应用系统屏蔽了底层复杂PKI组件。安全配置和管理组件安全应用程序编程接口提供了完成独立于具体PKI系统组件选型接口,然后,伴随用户对CA服务器及相关软件、加密软件和硬件选择不一样,应用系统在使用PKI系统提供安全服务也会有所不一样。这也即是为何目前大多数安全中间件实际上无法实现底层平台无关性最关键原因。慧点科技PKI方案经过提供独立于安全应用程序编程接口安全配置和管理组件来处理这一问题。当用户选择不一样CA服务器及相关软件、加密软件和硬件时,PKI系统仍然需要进行新配置,这是经过安全配置和管理组件实现,应用系统不需要进行配置,安全中间件和安全配置和管理组件协同工作,真正实现了PKI方案可扩展能力、可定制能力、可开发能力和可集成能力。 四. PMI部分4.1什么是PMIPMI是Privilege Management Infrastructures英文缩写,意为授权管理基础设施。PMI建立在PKI基础上,和PKI相结合,提供实体身份到应用权限映射,实现对系统资源访问统一管理。PKI证实实体身份正当性;PMI证实实体含有什么权限,能以何种方法访问什么资源。经典场景中,以下面图41所表示,假如某个用户或应用需要在某一个资源上行使某个操作。用户将向实际保护该资源系统(如一个文件系统或一个Web Server)发出请求,该提供保护系统称为策略实施点PEP(PolicyEnforcement Point)。随即PEP将基于请求者属性、所请求资源和所要行使操作和其它信息,来形成一个请求并发送到一个策略决议点PDP(PolicyDecision Point)。在PDP,将查看该请求,并计算将有哪些策略应用到该请求,从而计算得出是否许可访问。决议结果将会返回给PEP,并由PEP来实施对该访问请求许可或拒绝。需要注意是PEP和PDP是逻辑上概念,它们能够就包含在一个单独应用中,也能够分布在不一样服务器上。4.2为何需要PMI1.控制和降低商业渠道扩展时所包含费用,并提供更灵活通道。这就要求无需考虑最终用户位置(比如用户,供给商,伙伴,或雇员),用户能够动态使用多个交互方法(浏览器、PDA、无线设备等)来使用系统并取得相同信息内容和质量。为实现这些不一样渠道和交互方法而采取反复复制框架和应用做法将大大提升建设和维护费用,并因为一个实际用户在多个系统中全部拥有用户帐号,所以难以识别一个唯一用户标识,并提供愈加好关联服务。2.需要加紧对系统访问并能够安全有效地保护个人信息隐私,从而提升用户对企业信任3.在基于Internet方案中,能够经过多个访问点来访问机密信息。假如没有一个合适安全策略和高级安全控制,机密信息泄漏和数据保护被破坏可能性将大大增加。4.需要一个设备和应用独立灵活而标准用户标识(identity)管理方案。其实现必需支持多个技术和设备,并含相关键任务级伸缩性和可靠性。5.需要提升操作效率而不降低安全性,需要提升个性化程度并能有效地进行活动用户管理。4.3 PMI发展多个阶段依据对身份认证和授权处理方法不一样,和技术发展提供条件,身份验证和授权实现经历了以下多个阶段,在第一个阶段,即原始阶段,一个用户在多个用户系统中全部有各自账号,并需要分别登录验证。整个企业系统环境中,安全问题往往出现在最微弱系统中,因为需要确保和维护多个系统不一样安全等级,大大增加了维护费用和成本,而且出现安全漏洞机会也大大增加。在第二个阶段,为处理后台系统间互操作问题,需要在各应用系统间建立信任连接。建立该信任连接往往是在应用系统开发时就进行决议。这么方案首先受到开发约束,其次,存在着比较大安全隐患。在第三阶段,整个企业已经建立起PMI架构,各应用间包含传统应用能够经过统一架构服务实现集中身份验证和授权管理,所以大大降低了管理和维护成本。同时能够集中提升全部应用在身份验证和授权管理上安全性。整个企业环境实现了Single Sign On。在第四个阶段,PMI扩展到了更大架构,不一样企业,不一样地域间应用和用户能够实现相互认证和授权。有多个用户标识管理和验证授权中心存在,相互间能够实现远程委托身份验证和授权。经过该架构为用户提供了唯一可信网络身份标识并为企业间B2B实现提供坚强安全确保。4.4慧点PMI安全体系模型在可信赖Web Service安全架构中,完全需要集中地对用户身份进行认证而且能够集中地进行授权管理和授权决议。Single Sign On能提升和加强Web Service参与各系统安全,并简化企业中各个异构系统安全管理和维护。所以实现一个完整,优异PMI(Privilege Management Infrastructures)是实现可信赖Web Service安全架构关键基础。慧点Trusted Web Service PMI就是这么一个优异PMI架构。在慧点PMI框架实现中,对于身份验证和授权服务全部提供了基于SAML, XACMLWeb Service访问方法。慧点PMI框架还可提供对Legacy Application和Web application支持,并实现对这些应用Single Sign On。在慧点PMI框架软件产品中,提供1目录服务使用LDAP协议进行访问。提供对系统元数据目录、用户身份和属性信息、用户授权信息、资源和服务信息、组织和角色信息、系统安全策略等关键信息层次化存放和查询服务。LDAP目录服务能够进行分布式布署,并经过群集实现负载均衡和高可用性2管理服务(提供JMX管理接口)提供对系统元数据目录、用户身份和属性信息、用户授权信息、资源和服务信息、组织和角色信息、系统安全策略等关键信息创建管理和维护工作。在整个管理服务中,还实现了JavaManagement Extension(Java管理扩展接口),能够和整个慧点安全应用集成框架顶层管理相集成。3策略服务提供单点登录、身份验证、授权决议、和会话管理和审核日志服务。在策略服务中,为应用系统授权决议请求提供决议服务。4Policy Agent Policy Agent充当受保护Web服务器和应用服务器和应用程序安全策略代理。它能安装在多种类型Web Server,如Apache、IIS、Domino等服务器上,截听用户访问请求,并经过访问Policy Server策略服务,来确定用户是否具许可该访问。Policy Agent还能为参与Single Sign On场景中原有遗留应用提供Single Sign On支持。在PMI Policy Server策略服务中包含Single Sign On提供对单点登录支持身份认证服务经过Plugable方法提供对多个验证机制身份认证服务授权和访问控制服务判定和决议用户对应用访问是否含有所需权限。Session服务维护用户Session信息和使用期。该Session信息被用于校验Single Sign On令牌。Logging服务将多种安全事件记入日志,并提供对日志浏览和分析服务。SmartDot PMIPolicy Server经过Policy中ACL来保护一个组织机构数据和Web资源受到未被授权访问。假如一个用户想要访问这些资源,它必需先提交起信任状并经过Policy ServerAuthentication服务进行身份验证。该用户经过验证后,Policy Server将会依据应用于该用户一系列policy来确定用户对该资源访问授权。Policy Server还给用户提供了Single Sign On能力,经过Session服务和SSOToken来统计和证实用户已经在一个站点/应用登录验证过,该用户在访问其它站点/应用时无需再次认证。在PMI Policy Server管理服务中包含Policy管理是用来为组织或用户创建和维护访问控制规则(rule)和策略,授予或拒绝用户对资源访问。Identity管理是用来创建和维护用户,角色,用户组,组织和组织单元。Config管理用来配置和管理Policy Server本身元数据。Resource管理是用来注册维护应用服务信息,方便在第一层能够控制用户对应用访问。同时Resource还能够管理和维护一些需要保护资源(如Web页面)。在慧点PMI中,身份标识,属性,权限等信息全部在一个基于策略可信WebService网络框架中维护。经过提供PMI软件框架,来管理这些信息生命周期和其属性,权限使用。经过PMI,能提供对分离网络应用单点登录能力,并确保在用户管理中,用户和身份一对一关系。身份管理和目录服务、策略控制、访问管理一起组成了慧点可信基于Web ServicePMI框架基础,而且和PKI安全平台一起,经过提供数字证书、身份识别、基于角色授权服务组成PMI服务体系。慧点PMI还可和外部基于Liberty标准身份服务互操作。从而建立联邦方法网络身份管理服务4.5慧点PMISingle Sign On实现Single Sing On(单点登录)就是要实现经过一次登录自动访问全部授权应用软件系统,从而提升整体安全性,而且无需记忆多个登录过程、ID或口令。经过单点登录能即时访问最终用户实施任务所需资源,从而提升生产效率。从管理角度看,Single Sing-on有利于降低口令反复设置请求,使技术人员有时间去集中精力实施更关键任务。4.5.1为何需要Single Sign On口令越多,安全风险越大在当今分布式计算环境中,用户天天全部要登录到很多不一样应用软件和系绕,包含电子邮件、网络、数据库和Web服务器。每个系统通常全部要求遵照一定安全程序,即要求用户输入用户ID和口令。用户漫游系统越多,犯错可能性就越大,安全性对应地也就越低。假如用户忘记了口令,就不能实施任务,从而降低生产效率。最终用户必需请求管理员帮助,在重新取得口令之前只能等候,这么造成了系统和安全管理员资源浪费。为切记登录信息,用户通常会简化密码,为多个系统使用相同口令,或创建一个口令?列表?a?a这是会危及企业信息保密性多个常见做法。而经过Single Sign On,用户能够设置并仅需要记住一个复杂口令,而且能够依据策略能够定时更换该口令,从而提升了用户口令安全性。需要简化用户访问借助慧点PMI Single Sing-On,用户只需一个用户ID和口令。一旦认证结束,用户能够立即访问全部被授权系统和应用软件。在此条件下,管理员无需修改或干涉用户登录就能实施期望得到安全控制。需要简化用户帐号和口令系统管理假如没有使用Single Sign On,则各个系统将存在各自独立用户和授权管理。这么就出现了在企业中,假如增加一个用户,则每个应用系统全部要添加;删除一个用户,则每个应用系统全部要删除。伴随这些独立应用系统增加,用户帐号管理将会带来很大管理负担,并由此可能造成系统安全漏洞。而且因为系统间用户信息没有措施相互共享或信任,一个系统用户无法直接访问另一个系统。使用Single Sign On能够集中地提升整个系统安全性能够对Single Sign On定义多个认证和安全等级,经过配置或用户访问敏感应用时,Single Sign On会要求用户经过严格认证机制进行认证,如基于智能卡、指纹识别等,系统能依据被保护资源密级制订和加强登录过程并结合数字证书对用户身份进行有效验证。这么就统一提升了原本只经过简单用户名和口令方法进行用户验证安全性弱应用安全性,并为整个系统应用统一提供了可靠安全服务,而不需要每个应用程序单独开发复杂高难度登录和验证程序。慧点PMI Single Sing On支持多个第三方用户认证和应用授权方法。4.5.2 Single Sign On实现慧点PMI Single Sign On采取了灵活可插式(Plugable)框架,支持多个单点登录实现方法,可依据系统实施中应用类型和应用分布实际情况来灵活进行布署和使用。4.5.2.1访问方法慧点PMI Single Sign On支持基于统一认证方法Single Sign On和基于代理认证方法Single Sign On:对于统一认证方法Single Sign On存在一个集中用户登录域,用户在该域上登录,验证经过后,系统将会生成一个访问令牌。在随即访问中,这个访问令牌将会直接传输到要访问应用系统中。应用系统信任该令牌并依据该令牌提供用户信息决议用户授权。对参与统一认证方法应用系统,称这些应用系统为SingleSign OnPartner(伙伴)。要成为Single Sign OnPartner,应用系统需要使用慧点PMI用户端组件或能够处理SAML。所以对于Partner,通常全部是新开发应用或能够进行改造应用。能够经过Java GSS-API使用Kerberos来实现统一认证方法Single SignOn。基于代理访问方法Single Sign On在一个基于代理Single Sign On中,有一个自动地为不一样应用程序认证用户身份代理程序。这个代理程序需要设计有不一样功效。比如,它能够使用口令表或加密密钥来自动地将认证负担从用户移开。代理也能被放在服务器上面,在服务器认证系统和用户端认证方法之间充当一个翻译。用户单点登录提供认证信息被代理用来获取对应应用程序映射用户认证和授权信息。当用户经过Web Portal访问非Partner应用系统时,能够经过Portal提供Proxy Portlet来自动地登录这些应用系统,并经过Proxy Portlet访问这些应用系统。4.5.2.2 JAAS(Java Authentication and Authorization Service)慧点PMI使用JAAS来为java应用实现Single Sign On。JAAS实现了一个Plugable验证和授权框架。能够将现有安全服务作为插件插入。因为JAAS对于授权检验组成了一个检验堆栈,所以经过JAAS验证和授权框架能够全方面保护Java应用程序每一部分,而不仅仅是只能在应用程序用户访问接口上。JAAS支持层次化,基于角色访问控制,并全方面支持Java2权限模型。利用LDAP方法JAAS实现,能够集中管理用户和访问控制策略,并能够有很好