Nghiên cứu kiến trúc hướng dịch vụ và đối tượng - 4

Trang 61 4.2.3.2 Cấu trúc phân tầng của Standard-based Security Info Exchange Platform Hình 4-2 – Cấu trúc phân tầng của Standard-based Security Info Exchange Platform. Tầng Trusted Communication Tầng này được xây dựng dựa trên các đặc tả: SOAP Foundation, WS-Security và WS-SecureConversation. WS-Security là thành phần chính hỗ trợ để xây dựng một tầng liên kết bền vững, đảm bảo các luồng thông tin được trao đổi một cách an toàn. • WS-Security được thiết kế một cách linh hoạt, được sử dụng như là nền tảng trong việc xây dựng nhiều mô hình bảo mật khác nhau, bao gồm Public Key...
Nội dung trích xuất từ tài liệu:
Nghiên cứu kiến trúc hướng dịch vụ và đối tượng - 4 Trang 61 4.2.3.2 Cấu trúc phân tầng của Standard-based Security Info Exchange Platform Hình 4-2 – Cấu trúc phân tầng của Standard-based Security Info Exchange Platform. Tầng Trusted Communication Tầng này được xây dựng dựa trên các đặc tả: SOAP Foundation, WS-Security và WS-SecureConversation. WS-Security là thành phần chính hỗ trợ để xây dựng một tầng liên kết bền vững, đảm bảo các luồng thông tin được trao đổi một cách an toàn. • WS-Security được thiết kế một cách linh hoạt, được sử dụng như là nền tảng trong việc xây dựng nhiều mô hình bảo mật khác nhau, bao gồm Public Key Infrastructure, Kerberos và SSL. Đặc biệt, WS-Security cung cấp hỗ trợ cho nhiều dạng security tokens, nhiều vùng ủy thác (trust domain), nhiều định dạng chứng thực và nhiều thuật toán mã hóa. • WS-Security chỉ định nghĩa thêm cấu trúc mở rộng cho phần đầu của một thông điệp dạng SOAP, nhằm mang các thông tin bảo mật (chữ ký điện tử, security token, mã hoá…) trong quá trình trao đổi thông điệp, với mục đích là phía nhận được thông điệp sẽ tin tưởng vào nội dung mình nhận được cũng như là đối tượng nào đã gửi thông điệp. Trang 62 Với WS-SecureConversation, hai bên có thể tái sử dụng lại được ngữ cảnh bảo mật (security context) trong những lần trao đổi thông điệp (hai bên sẽ không cần phải thực hiện lại những thủ tục như trong lần trao đổi đầu tiên). Tầng Trusted Service Tầng này được thiết kế dựa trên các đặc tả: WS-PolicyAssertion, WS-SecurityPolicy, WS-Authorization, WS-Privacy, WS-PolicyAttachment, WS-Policy. Tầng này cho phép xây dựng cơ chế tạo ra những định nghĩa policy mở rộng và gắn kèm các thông tin này vào phần thông tin mô tả của web service. • WS-Policy : định nghĩa các mô hình cơ bản của policy, policy statement, và cơ chế xác nhận policy. • WS-PolicyAssertion: định nghĩa một vài cơ chế xác nhận policy tổng quát. • WS-PolicyAttachment: định nghĩa cách gắn một policy vào một dịch vụ, hoặc là trực tiếp bằng cách nhúng vào trong thông tin WSDL, hay gián tiếp thông qua UDDI. • WS-SecurityPolicy: định nghĩa các cơ chế xác nhận policy tương ứng cho các thuộc tính trong WS-Security, như là các yêu cầu về toàn vẹn thông điệp, yêu cầu về độ tin cậy của thông điệp, yêu cầy về loại security token…Đối tượng sử dụng dịch vụ phải lấy được các thông tin này để đáp ứng được các yêu cầu về bảo mật mà dịch vụ đưa ra. Tầng Trusted Management Web Tầng này được xây dựng dựa trên các đặc tả: WS-Federation, WS-Trust. Hai tầng Trusted Communication và Trusted Service đảm bảo cho hai đối tượng sử dụng và cung cấp dịch vụ tương tác trực tiếp với nhau trong một môi trường bảo mật và tin cậy. Hai tầng này làm được điều này dựa trên giả thiết rằng: o Cả hai phía đều sử dụng cùng một công nghệ, kỹ thuật bảo mật. o Cả hai phía đều tin tưởng vào cùng một domain (ví dụ: cùng tin tưởng vào cùng một tổ chức chức thực). Trang 63 Điều này có nghĩa là: vấn đề sẽ phát sinh khi các bên tương tác thuộc những domain khác nhau, sử dụng những công nghệ mã hóa khác nhau. Và vai trò của tầng Trust Management Web là giải quyết vấn đề này. WS-Trust ► WS-Trust đưa ra một khái niệm gọi là Security Token Service (STS). Nhiệm vụ của thành phần này là cấp phát, kiểm tra và chuyển đổi giữa các loại security token khác nhau (khi có yêu cầu.) Hình 4-3 – Security Token Service. ► Về cơ bản, vai trò của STS rất giống với một tổ chức chứng thực PKI (PKI Certificate Authority). Tuy nhiên, nó vượt trội hơn với hai đặc điểm nổi bậc: o Nó cấp phát tất cả các loại token (về quyền, vai trò..), chứ không chỉ là token dùng để định danh. STS không chỉ đơn giản là cấp phát và Trang 64 chứng thực các token, mà nó còn có khả năng thực hiện chuyển đổi giữa các loại token với nhau (ví dụ như: X.509 certifate Kerberos ticket). Đây chính là tính năng khiến cho nó có thể đảm trách vai trò làm trung gian trong qui trình tương tác giữa các đối tượng. Và điều đương nhiên rằng, để thực hiện được vai trò chuyển đổi như thế, một STS phải được tin cậy, uỷ thác để có khả năng cấp phát một số loại token nào đó, và bản thân nó cũng phải tin tưởng vào các token do các STS khác cấp phát. ► Vì thế, vai trò của STS là kết nối các hệ thống bảo mật đơn lẻ để tạo thành một “mắc xích” liên kết thống nhất với nhau. Các hệ thống bảo mật đơn này vừa có thể duy trì những chính sách, cơ sở hạ tầng nội bộ của riêng mình, lại vừa có thể thiết lập được cách giao tiếp “đáng tin cậy” với các hệ thống khác trong cùng mắc xích. ► Các STS phải được quản lý sao cho “trong suốt” (transparent) với đối tượng trong quá trình tương tác. Ta gọi mạng các STS này là Trusted Management Web. Và cũng giống như các hệ thống mạng trong môi trường Internet đó là gồm tập hợp các mạng chức năng khác nhau ( ví dụ, mạng các DNS-Domain Name Servers cung cấp dịch vụ phân giải tên miền, mạng các SNMP-Simple Network Management Protocol servers cung cấp các dịch vụ quản lý..) thì Trust Management Web có thể được cấu thành bởi nhiều mạng các STS khác nhau. Mỗi mạng STS cung cấp một dịch vụ tin cậy khác nhau, như là các máy chủ chứng thực sẽ cung cấp khả năng chức thực của một STS trong mạng các STS, hay các máy chủ quản lý về quyền sẽ có nhiệm vụ kiểm tra quyền của nhiều STS. Trang 65 WS-Federation ► Trong khi WS-Trust đã đưa ra một mô hình kiến trúc cơ bản của Trusted Management Web thì vẫn còn một vài vấn đề liên quan đến việc quản trị cá ...