访问控制的安全策略以及实施原则_对Web的安全策略和访问控制技术热点问题探讨

　　摘要：随着Internet中事务性业务的应用，许多业务的访问能力大大提高，这时，完整性又开始起作用，因为在这些领域出现欺*的可能性很大，因此信任也就极为重要。在很多时候，当合同签署方在地理上相距很远时，实时延迟可能会阻碍该过程。在Web服务环境中，联机合同都可能变成联机事务，他们都需要能够进行验证，这样才能承担起它所应有的权威性。基于此，本文对Web的安全策略和访问控制技术做出一番探讨。
　　关键词：Web 安全策略 访问控制
　　1、Web安全策略
　　Web服务使用的是Web技术，许多针对Web站点的潜在攻击都与Web服务有关。Web服务所面临的更为关键的问题是XML消息以明文形式包含一系列压缩的数据，而敌手则有可能对这些数据感兴趣。SOAP 消息集中了许多事物数据，这使得他们在传输时变得更为重要。Web服务必须在标识和身份验证级别上集成基本的Web站点安全，此外，在Web服务和客户之间的交互作用中还添加其他级别的安全。需要应用安全的Web服务可分成3个领域：身份验证/授权、传输层和应用层安全。
　　(1) 身分验证/授权
　　与常规的 Web 站点一样，要是Web服务开始工作，首先必须通过特定的身份验证模式来表示用户。
　　(2) 传输层
　　当敏感的信息通过不安全的Internet传输时，传输层安全对 Web 服务至关重要。传输层安全的目标是确保事务独立于Web服务的编程，并预防黑客使用各种工具和方法访问数据，因为它位于Web 服务器和客户之间的Internet 管道中，我们可以使用各种方法，包括IPSec、防火墙，以及限制对已知IP的访问，从而在管道的端点实现传输层安全。在数据通过管道时我们可以使用SSL和其他方式来保护传输层。
　　(3) 应用层
　　应用层安全在Web服务身份验证以及XML事务单个部分的验证中扮演了关键性的角色。由于Web服务在本质上具有事务性，您肯定希望获取用户的标识，并在事务处理的过程中重新执行验证和标识。我们可以使用PKI构架，对照数字证书和签名验证消息的各个部分。
　　Web 服务如何才能使用公钥体系结构所提供的服务呢？有以下几个要研究的方面：
　　(1) 客户证书
　　当前大多数的Web服务都要求（或者至少接受）客户端证书以进行用户身份验证。在Web服务中使用客户证书的实例有，控制对某个提供银行信息的应用程序的访问。在此方案中PKI必须要可以用来颁发、维护和取消用户证书。如果驻留服务的服务器使用了SSL，则该PKI还必须要能够维护服务器证书。
　　(2) 集成PKI的应用程序
　　在此，SSL被概括地称为内部资源——Web服务在本质上未意识到SSL，并且仅当添加服务器证书时才能由它受益。PKI提供了在Web服务应用程序中实现集成的安全构架的可能性，它将数字证书和数字签名结合使用，从而能够提供身份验证、标识和消息的完整性。
　　举例来说，某个Web服务可能被设计为能够接受以数字方式签署的工资单。假如所需的数据库能够随同代理程序一起安装，则应用程序的客户端代理可能会配置为能够使用数字签名算法。更新为这样的应用程序可能会使代理程序所用的算法被替换，尽管在进行客户端部署时复杂性的增加是Web服务努力想要减轻负面影响。
　　在某些平台上，证书被存储在系统配置文件中某个安全的位置，并且只有在登记时才被复制到本地用户的目录结构。在其它情况下不可获得。与此相反的是，有些系统可能将所有的证书都在本地存储。
　　(3) 内部和委托PKI
　　企业在创建公钥体系结构时有两种方式可选。第一种是创建一个完全内部的体系结构，证书将只是在公司内部进行管理。另一种是将功能委托给现有的外部PKI提供者以进行密钥和证书的管理。每种方式都有其优缺点：后者的成本可能较低，因为它基于已经执行该方式的公司，所以早已拥有在处理时所必需的服务器、结构以及过程。对外部的PKI解决方案来说，可能的缺点在于密钥撤销和到期所带来的问题，以及公司可能会被来自同一公司其他客户的类似请求所迷惑的危险。除此之外，我们还必须考虑以下事项：公司所提供的密钥和证书应该仅限于公司内部，还是应该广泛地为公司以外拥有此类标识的人所拥有——这样将使公/私钥对被泄露或者证书撤销滞后的风险变得更大。
　　2、访问控制技术
　　自主访问控制基于对主体或主体所属的主体组的识别来限制对客体的访问。自主是指主体能够自主地(也可能是间接的)将访问权或访问权的某个子集授予其它主体。为实现完备的自主访问控制，由访问控制矩阵提供的信息必须以某种形式保存在系统中。访问控制矩阵中的每行表示一个主体，每列则表示一个受保护的客体。
　　DAC的基本思想是基于访问者身份或访问者所属工作组进行权限的控制。信息资源的拥有者可以自主的将对该资源的访问权限授予其他用户以及回收这些权限(Owner controlled)，系统中一般利用访问控制矩阵来实现对访问者的权限控制，因为存取矩阵一般都是稀疏矩阵，浪费存储空间，在实际应用中，通常采取另外一种存取控制列表的方式来实现，如对系统中每一项资源，分别列出对它具有操作权限的主体;或者对每一个用户，分别列出他拥有操作权限的客体。
　　DAC的自主性对用户提供了灵活易用的数据访问方式，但同时带来的是安全性较低。自主访问控制能够通过授权机制有效地控制其他用户对敏感数据的存取。这种方法能够控制主体对客体的直接访问，但不能控制主体对客体的间接访问(利用访问的传递性，即A可访问B，B可访问C，于是A可访问C)。由于用户对数据的存取权限是“自主”的，用户可以自由地决定将数据的访问权限授予何人、决定是否也将“授权”的权限授予别人，而系统对此无法控制。在这种授权机制下，就可能存在数据的“无意泄漏”。
　　本文归纳了安全Web的特点，就Web服务和PKI的关系进行了说明。最后通过对访问控制技术探讨，介绍了强制访问控制，希望对Web的安全访问控制技术起到一定的参考作用。
　　参考文献：
　　[1]王婷,陈性元等. 基于GAA-API的Web网页细粒度访问控制方法研究[J].计算机应用,2010，27(5)：1274-1276.
　　[2](美)那什等著,张玉清等译.公钥基础设施(PKI)：实现和管理电子安全[M].北京：清华大学出版社，2010，57-85.