Professional Web Services Security

第1章 web服务

1．1 web服务概述

1．1．1 驻留和可订阅

1．1．2 web编程的革命

1．1．3 相关的web服务标准

1．2 需要web服务的原因

1．2．1 internet商务的可靠性和完整性

1．2．2 事务和事务性组件的优点

1．2．3 发挥推动作用的委员会

1．3 web服务的业务推动因素

1．3．1 数据的可靠性

1．3．2 客户访问

1．3．3 本地商务与国际商务

1．3．4 流线型事务的完成

1．3．5 特定于业务的推动因素

1．3．6 web服务请求者

1．3．7 业务的内部推动因素

1．4 web服务的开发、支持和未来

1．4．1 web服务标准

1．4．2 web服务的业务领域

.1．5 业界领袖的参与

1．5．1 ibm

1．5．2 sun

1．5．3 bea

1．5．4 microsoft

1．6 web服务的未来

1．6．1 成本／收益分析

1．6．2 全球internet商务

1．7 小结


第2章 安全

2．1 安全简介

2．1．1 安全性的主要内容

2．1．2 需要安全的原因

2．1．3 实现安全性的注意事项

2．1．4 安全因素

2．2 web服务安全的含义

2．2．1 web安全问题

2．2．2 特别针对web服务的安全性开发

2．2．3 web服务安全性应用

2．3 安全术语和概念

2．3．1 dmz--非军事区

2．3．2 传输层安全

2．3．3 身份验证层安全

2．3．4 应用层安全

2．3．5 安全标准示例

2．3．6 传输层安全示例

2．3．7 身份验证层安全示例

2．3．8 应用层安全示例

2．3．9 身份验证集成示例

2．4 小结


第3章 身份验证机制

3．1 身份验证机制概述

3．1．1 所需功能列表

3．1．2 方案简介

3．2 基本身份验证

3．3 基于ssl的基本身份验证

3．3．1 内部用户的体系结构

3．3．2 外部用户的体系结构

3．3．3 机制的优缺点

3．4 摘要身份验证机制

3．4．1 内部用户的体系结构

3．4．2 外部用户的体系结构

3．4．3 机制的优缺点

3．5 ntlm身份验证机制

3．5．1 内部用户的体系结构

3．5．2 ntlm机制的优缺点

3．6 客户证书机制

3．6．1 内部用户的体系结构

3．6．2 外部用户的体系结构

3．7 情景示例

3．7．1 环境描述

3．7．2 体系结构

3．7．3 用户请求流程图

3．7．4 最后的分析和决策

3．8 liberty项目

3．8．1 web服务的安全

3．8．2 网络标识的含义

3．9 libertyalliartec的含义

3．9．1 liberty规范所提供的服务

3．9．2 规范

3．9．3 体系结构

3．9．4 身份验证上下文机制

3．9．5 liberty工具包

3．9．6 构建liberty应用程序

3．9．7 未来的方向

3．10 小结


第4章 pki

4．1 pki的含义

4．1．1 密码术

4．1．2 标识

4．1．3 快速回顾

4．2 web服务和pki

4．2．1 客户证书

4．2．2 集成pki的应用程序

4．2．3 内部和委托pki

4．2．4 可替换的安全选项

4．3 部署pki

4．3．1 完全服务于内部的pki

4．3．2 委托pki

4．3．3 技术角度

4．3．4 企业角度

4．4 pki和web服务：全面介绍

4．5 小结


第5章 ssl

5．1 ssl概述

5．1．1 起源

5．1．2 ssl提供的内容

5．1．3 ssl没有提供的内容

5．2 需要ssl的原因

5．2．1 http

5．2．2 ssl解决方案

5．3 ssl的工作方式

5．3．1 概述

5．3．2 保持数据的安全性和完整性

5．4 操作概述

5．5 ssl--局限性、警告和后继发展

5．5．1 安全

5．5．2 警告

5．5．3 后继发展

5．6 web服务如何使用ssl

5．6．1 ssl在体系结构上属于外部特性

5．6．2 安全和完整性的成本

5．7 小结


第6章 xml签名

6．1 使用xml签名的原因

6．1．1 多个签名

6．1．2 持久性签名

6．2 web服务和签名

6．2．1 xml

6．2．2 远程引用

6．2．3 多方参与

6．3 xml签名概述

6．3．1 基本的xml签名结构

6．3．2 示例：分离签名

6．3．3 示例：封装签名

6．3．4 示例：被封装的签名

6．3．5 示例：分离签名和外部引用

6．4 xml签名的处理步骤

6．4．1 生成xml签名

6．4．2 xml签名验证

6．5 xml处理的限制

6．5．1 基本xml处理

6．5．2 dom和sax处理

6．5．3 xml命名空间处理

6．5．4 字符编码

6．6 xml签名的语法

6．6．1 核心语法

6．6．2 可选的签名语法

6．6．3 处理指令和注释

6．7 算法

6．8 安全性注意事项

6．8．1 转换操作的注意事项

6．8．2 安全模型注意事项

6．8．3 其他注意事项

6．9 实现方案

6．9．1 xml签名web服务

6．9．2 xml签名工具包

6．10 局限性

6．11 小结


第7章 xml加密

7．1 需要xml加密的原因

7．1．1 对文档的部分内容加密

7．1．2 多重加密

7．1．3 持续性存储

7．1．4 web服务和xml加密

7．2 xml加密概述

7．3 xml加密示例

7．3．1 加密整个xml元素

7．3．2 加密xml元素的内容

7．3．3 加密xml字符

7．3．4 加密xml文档

7．3．5 加密任意内容

7．3．6 加密encrypteddara元素

7．3．7 添加密钥信息

7．3．8 对密钥进行加密

7．4 xml加密语法

7．4．1 encrypteddata元素

7．4．2 encryptedkey元素

7．4．3 cipherreference元素

7．4．4 encryptionproperties元素

7．5 携带密钥信息

7．5．1 使用ds：keylnfo携带密钥信息

7．5．2 使用encryptedkey携带密钥信息

7．5．3 方法的选择

7．6 xml文档的加密指导原则

7．6．1 xml片断串行化的指导原则

7．6．2 任意数据的加密指导原则

7．7 算法

7．7．1 块式加密

7．7．2 密钥传输

7．7．3 密钥协议

7．7．4对称密钥包装

7．7．5 消息摘要

7．7．6 消息验证

7．7．7 规范化

7．7．8 编码

7．8 与xml签名的关系

7．9 安全性注意事项

7．9．1 明文推测攻击

7．9．2 签署所见内容

7．9．3 对称密钥

7．9．4 初始化向量

7．9．5 拒绝服务

7．10 局限性

7．11 发展趋势

7．12 实现方案

7．13 小结


第8章 xkms

8．1 密钥管理问题

8．2 xkms概述

8．2．1 xkms服务

8．2．2 使用xkms服务的示例

8．2．3 xkms的优点

8．2．4 xkms的命名空间

8．2．5 xkiss和xkrss

8．3 xml密钥信息规范

8．3．1 xkiss服务

8．3．2 定位服务

8．3．3 验证服务

8．3．4 确保xkiss服务响应的有效性

8．3．5 xkiss消息规范

8．4 xml密钥注册规范

8．4．1 密钥注册

8．4．2 重发密钥

8．4．3 取消密钥

8．4．4 密钥恢复

8．4．5 请求验证

8．4．6 xkrss消息规范

8．5 soap绑定

8．6 批量操作

8．6．1 批量注册的用途

8．6．2 x-bulk规范

8．7 安全注意事项

8．7．1 重发攻击

8．7．2 拒绝服务

8．7．3 恢复策略

8．7．4 受限使用的共享数据

8．8 xkms的未来

8．9 实现

8．9．1 客户端的技术和选项

8．9．2 服务器端的选项

8．9．3 xkms实现工具

8．10 小结


第9章 saml

9．1 saml简介

9．1．1 saml的背景

9．1．2 使用saml的根本原因

9．1．3 saml规范

9．1．4 saml的优势

9．2 saml规范文档

9．2．1 使用案例

9．2．2 会话管理

9．2．3 核心规范

9．3 有关saml的关键标准和规范

9．4 产品和工具包

9．5 libertyalliance、microsoft passport和saml

9．5．1 libertyalliance概述

9．5．2 liberty alliance的目标

9．5．3 功能需求

9．5．4 libertyalliance规范文档

9．6 saml的前景

9．7 小结


第10章 xacml

10．1 xacml的背景

10．2 xacml的需求

10．3 访问控制列表

10．3．1 aclentry接口

10．3．2 acl接口

10．3．3 group接口

10．4 saml和角色数据库

10．5 xacml规范文档

10．5．1 应用程序案例

10．5．2 委员会工作草案

10．5．3 xacml访问控制xml示例

10．6 xacml的前景

10．7 小结


第11章 ws-security

11．1 ws-security简介

11．2 web服务的安全保护伞

11．2．1 设计准则

11．2．2 安全性的各个方面

11．2．3 消息完整性

11．2．4 利用[timestamp]元素避免重发攻击

11．2．5 安全性令牌传送

11．2．6 消息机密性

11．3 ws-security的优点

11．4 缺陷

11．5 小结


第12章 p3p

12．1 了解隐私

12．1．1 隐私问题

12．1．2 web站点的监控技术

12．1．3 保护隐私的解决方案

12．2 p3p的历史

12．3 了解p3p

12．3．1 p3p的工作原理

12．3．2 了解规范

12．4 p3p工具

12．4．1 internetexplorer6．0

12．4．2 at&tprivacybird

12．4．3 ibmp3p策略编辑器和解析器

12．5 在站点中实现p3p

12．5．1 概述

12．5．2 规划和部署

12．5．3 部署

12．6 p3p和web服务

12．7 p3p部署中的难点

12．7．1 缺乏保护用户隐私的兴趣

12．7．2 缺乏执行机制

12．7．3 eu的建议

12．7．4 维护和实现开销过高

12．8 p3p的前景

12．9 小结


第13章 j2ee web服务：案例分析

13．1 案例分析概述

13．2 0．1版本

13．2．1 应用程序概述

13．2．2 java代码

13．2．3 运行应用程序

13．3 0．2版本

13．3．1 xml签名

13．3．2 运行应用程序

13．4 0．3版本

13．4．1 xml加密

13．4．2 运行应用程序

13．5 小结


第14章 ．net web服务：案例分析

14．1 web服务体系结构

14．1．1 web服务架构的体系结构

14．1．2 web服务安全性体系结构

14．2 案例分析：wrox银行

14．2．1 身份验证和凭证

14．2．2 消息机密性

14．2．3 消息完整性

14．3 openservice web服务

14．3．1 web浏览器中的web服务

14．3．2 用于web服务的soap消息

14．3．3 创建客户应用程序

14．3．4 web服务的缺陷

14．4 在iis中创建并配置启用basichttpauthentication的web服务

14．4．1 iis身份验证

14．4．2 创建basic http authentication服务

14．4．3 创建启用basic http authentication功能的客户程序

14．4．4 basic http authentication的缺点

14．5 创建并配置可启用soap头信息的web服务

14．6 密码术和web服务

14．6．1 ．net中的加密算法

14．6．2 在消息加密中使用密码术

14．6．3 创建soap加密web服务

14．6．4 创建soap加密客户程序代码

14．6．5 注意事项以及预防措施

14．7 对soap消息进行数字签名

14．8 wsdk服务

14．8．1 服务器上的证书存储配置

14．8．2 设置web服务

14．8．3 设置wsdk客户程序

14．9 小结


附录a 工具包

a．1 资源

a．2 标准图表


附录b tomcat／axis的安装

b．1 tomcat的windpws安装程序

b．1．1 nt 服务

b．1．2 jsp development shell extensions

b．1．3 start menu group

b．1．4 tomcat documentation

b．1．5 example web applications

b．1．6 source code

b．1．7 设置环境变量

b．1．8 特定于windows9x和windowsme操作系统的问题

b．1．9 使用zip文件在windows中安装tomcat

b. 2 在linux中安装tomcat

b．3 安装axis


附录c tomcat ssl配置

c．1 生成密钥存储和证书

c．2 tomcat配置