Web服务安全性：发展协议栈

IBM、Microsoft 和 Verisign 于四月份联合发布了一个关于 Web 服务安全性（Web Services Security，WS-Security）的规范，该规范提供了一套帮助 Web 服务开发者保护 SOAP 消息交换的机制。这个规范已经被 OASIS 所接受，并且新组建了 Web 服务技术委员会（Web Services Technical Committee，The WSS TC），以促使 WS-Security 成为开放标准。在早些时候的一篇文章 Security in Web Service World: A Proposed Architecture and Roadmap（参阅参考资料）中已经比较详细地阐释了 WS-Security 规范。
　　此外，在四月份，IBM 和 Microsoft 还提供了一个路线图文档，文档中包含有一个概念性协议栈，该概念性协议栈规定了一些对于在 Web 服务中构建安全性来说非常重要的额外元素。

　　该公告的重点是给出路线图中新增的三个部分；策略层中的两个元素和联合层中的一个元素（如图 1 所示）。

　　图 1. 不断发展的 WS-Security 路线图

　　策略

　　路线图中标为 WS-Policy 的策略元素已被进一步细化为包含以下四个文档：

　　·一个策略框架（Policy Framework，WS-Policy）文档，它定义了表达 Web 服务策略的语法。

　　·一个策略附件（Policy Attachment，WS-Policy-Attachment）文档，它定义了如何将这些策略附加到 Web 服务。

　　·一组通用策略断言（WS-Policy-Assertions）。

　　·一组安全性策略断言（WS-Security Policy）。

　　策略框架旨在允许可扩展性。策略是一个宽泛的术语，包含了诸如安全性、可靠性、事务、隐私等一系列学科。类似的，表达策略的能力也不局限于通用策略或安全性策略的表达。目的在于使基本的策略框架能够适应特定于域的策略语言的表达，并且适应的方式是在一个一致的 Web 服务框架中利用不同域的知识。

　　WS-PolicyAttachment 提供了几种使用 Web 服务来宣传策略断言的方式。它构建在现有的 WSDL 规范和 UDDI 规范之上，但同时支持可扩展性。

　　同时，与 Web 服务的公共策略一起存在的还有各种特定于域的策略（例如安全性策略）。一个常见的例子就是这样一个请求服务，它会查找能够以特定人类语言（例如德语）提供处理的服务提供者。这样，这个请求服务就要应用一个策略断言，即需要德语语言支持（German language support）。这个提供者也可以通过声称它能以德语提供服务来作出该断言。WS-Policy 断言语言（WS-Policy Assertions Language）提供了这种类型的公共策略表达。它定义了一组通用的 Web 服务策略断言。

　　安全性是一个域，它旨在说明安全性策略的表达，WS-Security-Policy 这个单独的文档提议了一种语言，用来表达那些传达与支持 WS-Security 规范有关的策略所需的策略。

　　信任

　　在 Web 服务范例中，服务请求者和服务提供者之间的信任是通过双方以一种预期的且可理解的方式交换信息来建立的。WS-Security 规范已经定义了通过使用安全性令牌来安全地交换消息的基本机制。WS-Trust 规范以这个模型为基础进行构建，定义了如何发出和交换这些安全性令牌。

　　WS-Trust 通过定义一组接口开始了定义信任关系的工作，安全性令牌服务将为安全性令牌的发出、交换和验证提供这组接口。它旨在支持创建多种安全性令牌格式，以适应各种认证和授权机制。发出安全性令牌服务接受一个输入请求（通常还有身份证明），然后以指定的身份所请求的令牌（即一个特定的业务证书）作为响应。

　　安全性空间内的这种预期行为的描述也可以称之为信任策略，WS-Policy 框架支持信任伙伴表达和交换他们的信任声明。