安全协议与标准06B-数据库LDAP和应用服务器安全.ppt

安全协议与标准 linfb 2009 9 ToC1 应用服务器安全 WebSphere WeblogicJbossTomcatopenEJBspring struts webwork ToC2 数据库安全 关系数据库MSSQLServer2008 MySQL5OracleDatabase11g IBMDB2v9 7目录服务 LDAP IBM SunDirectoryServerOpenLDAP WebSphere WebSphere是IBM的集成软件平台 它包含了编写 运行和监视全天候的工业强度的随需应变Web应用程序和跨平台 跨产品解决方案所需要的整个中间件基础设施 如服务器 服务和工具 WebSphere提供了可靠 灵活和健壮的集成软件 WebSphere是一个模块化的平台 基于业界支持的开放标准 WebSphere可以在许多平台上运行 包括Intel Linux和z OS WebSphereApplicationServer是该基础设施的基础 其他所有产品都在它之上运行 WebSphereProcessServer基于WebSphereApplicationServer和WebSphereEnterpriseServiceBus 它为面向服务的体系结构 SOA 的模块化应用程序提供了基础 并支持应用业务规则 以驱动支持业务流程的应用程序 其他WebSphere产品提供了广泛的其他服务 WebSphere功能 人员集成 交互功能 流程集成信息集成应用程序集成应用程序基础设施加速器 Websphere安装 创建概要文件管理控制台https 127 0 0 1 9043 ibm console logon jsp样本库http 127 0 0 1 9080 WSsamples SOA WSwithWebSphere 在ServiceOrientedArchitecture SOA 理念开始深入人心的时候 WebServices作为实现SOA的首选技术备受业界关注 随着JavaEE5的出现 WebServices编程模型 标准和规范也不断推新 基于注释的新编程模型JAX WS2 0 JavaAPIforXMLWebServices 简化了WebServices应用的开发 其数据模型JAX B2 0 JavaArchitectureforXMLbinding 所提供的XML和Java数据的绑定规则使得XML到Java对象的转换更加简洁易用 此外 MTOM SAAJ1 3 StAX1 0 SOAP1 2等标准和规范 有效地扩展了WebServices的功能和易用性 Websphere安全体系 认证授权传输平台安全 操作系统安全和网络安全Java安全 J2EE安全体系 JAAS 类级别的安全授权模型WAS安全 认证 授权 传输的实现 对于Web认证由操作系统用户认证方式 JAAS认证模型 以及WAS统一的LTPA等的认证机制 对于Web安全授权分别由JAVA安全层次中的J2EE安全模型 Java2安全模型来完成 对于Web传输则主要SSL传输安全机制来完成 JAAS PAM PluggableAuthenticationModule 是一种认证授权框架 提供了一种认证机制 使得上层业务应用程序的开发使用不依赖于底层的认证授权机制 JavaAuthenticationandAuthorizationService JAAS JAVA认证与授权服务 是PAM的JAVA版应用框架 JAAS的认证机制通过检查Servlet 应用程序 Applet等JAVA代码的执行者身份 确保执行者有足够权限进行相应的操作 WAS控制台的角色 监视员监视员可以查看WAS中的各种配置信息 运行状态 但是不能做任何更改操作员操作员可以触发运行时状态改变 例如启动 停止服务器 但是不能做任何配置的改变配置员配置员可以修改配置信息 但是不能更改运行状态 管理员管理员具有操作员和配置员的权限 除此之外还能修改敏感的安全配置信息和服务器安全策略等 例如服务器ID和密码 启动和禁用管理安全 JAVA2安全等等 WebServices环境的安全 离开安全机制 WebServices便无法成功应用于生产环境 通常 可以由以下两种机制确保WebServices环境的安全 传输层安全性 TLS SSL消息级别安全性 SOAP HTTP SSL HTTP是最常用的SOAP消息传送机制 而SSL HTTPS 可以保证HTTP消息 包含SOAP消息 在传输层的安全性 进而保证SOAP消息的安全性 包括 认证机制 机密性和完整性 但是SSL有以下几点局限性 只适用于HTTP 不适用于JMS SMTP等其他消息传送机制 只提供点对点 Point to Point 的安全性 只能对整个消息进行加密 不能针对消息的某一部分进行加密 WS Security 2002年 IBM与Microsoft联合发布了WS Securityv1 0的草案 后来这一草案被OASIS看好 并进一步修改 2004年发布为正式的WS Security规范 WS Security通过认证 Authentication 加密 Encryption 和数字签名 DigitalSignature 等方式保证了WebServices在消息级别的认证机制 机密性和完整性 并且 跟SSL相比 WS Security具有以下优势提供端到端 End to End 的安全性 独立于传输方式 可用于HTTP JMS SMTP FTP等 支持WS Security WASV6 1支持WS Security 并对其进行了扩展WASV6 1FeaturePackforWebServices对WebServices安全的支持可选安装 扩展了WASV6 1的功能 支持JavaEE5 提供了一些新特性 主要表现在异步性 Asynchronously 可靠性 Reliably 安全性 Securely 及与其他软件产品的交互性 Interoperably 支持基于JAX WS2 0的WebServices 以及WS Security和一系列扩展安全策略 WS SecureConversation WS ReliableMessaging WS Addressing WS Transaction等 WASV7 0对WebServices安全的支持 WebSphere TheWebSphereApplicationServersecuritymodelisbasedontheservicesprovidedintheoperatingsystemandtheJavaEEsecuritymodel WebSphereApplicationServerprovidesimplementationsofuserauthenticationandauthorizationmechanismsprovidingsupportforvarioususerregistries LocaloperatingsystemuserregistryLDAPuserregistryFederateduserregistry asofversion6 1 CustomuserregistryTheauthenticationmechanismssupportedbyWebSphereareLightweightThirdPartyAuthentication LTPA Websphere安全文档 1 WebSphereSecurityFundamentalsredbook2 IBMWebSphereApplicationServerV6 1SecurityHandbook3 WebSphereApplicationServerV7 0SecurityGuide J2EE安全文档 JAVASecurity Weblogic 主要的J2EE应用服务器软件之一OwnedbyOracleCorporation OracleWebLogicconsistsofaJavaEEplatformproductfamilythatincludes aJavaEEapplicationserver WebLogicApplicationServeranenterpriseportal WebLogicPortalanEnterpriseApplicationIntegrationplatformatransactionserverandinfrastructure WebLogicTuxedoatelecommunicationplatform WebLogicCommunicationPlatformanHTTPwebserver JBoss JBossApplicationServer orJBossAS isafreesoftware open sourceJavaEE basedapplicationserver BecauseitisJava based theJBossapplicationserveroperatescross platform usableonanyoperatingsystemthatJavasupports JBossASwasdevelopedbyJBoss nowadivisionofRedHat Tomcat FREETomcat是一个小型的轻量级应用服务器 最新的Servlet和JSP规范总是能在Tomcat中得到体现 Tomcat的Servlet引擎通常与Apache或者其他Web服务器一起工作 OpenEJB OpenEJB是一个嵌入式 轻量级EJB3 0实现 既可以作为单独服务器使用 也可以嵌入到Tomcat JUnit Eclipse Intellij Maven Ant和其它任何IDE与应用程序中OpenEJB被用于Apache的Geronimo IBM的WebSphere Apple的WebObjects应用服务器中 数据库安全 关系数据库RelationalDatabaseManagementSystem数据库安全问题数据丢失 备份 日志入侵 窃取 篡改 删除加密加密技术用于数据库传输期间 SSL VPN存储与备份期间 数据库用户 和操作系统用户对应关系角色与群组口令权限SELECT 读 INSERT 追加 UPDATE 写 DELETE RULE 规则 REFERENCES 外键 和TRIGGER 数据库数据的加密 对数据库数据的加密三个不同层次OS层DBMS内核层 在服务器端 DBMS外层 在客户端 数据库备份技术 备份的层次表 库 文件系统损坏与恢复工具与支持内置工具第三方工具 SQL Standardization MSSQLServer2008 MicrosoftSQLServer是由美国微软公司所推出的关系数据库解决方案 最新的版本是SQLServer2008 已经在2008年8月6日上市 MicrosoftSQLServer数据库的内置语言是由美国标准局 ANSI 和国际标准组织 ISO 所定义的SQL语言 微软公司对它进行了部分扩充而成为作业用SQL Transact SQL MicrosoftSQLServer几个初始版本适用于中小企业的数据库管理 但是近年来它的应用范围有所扩展 已经触及到大型 跨国企业的数据库管理 MSSQLServer2008Security AuthenticationSQLServerAuthenticationprovidesauthenticationfornon Windows basedclientsorforapplicationsusingasimpleconnectionstringcontaininguserIDsandpasswords Whilethislogoniseasytouseandpopularwithapplicationdevelopers itisnotassecureasWindowsauthenticationandisnottherecommendedauthenticationmechanismAuthorization EncryptionandKeyManagement SQLServer2008hasrichsupportforvarioustypesofdataencryptionusingsymmetricandasymmetrickeys anddigitalcertificates EncryptionkeyhierarchyinSQLServer2008 MySQLSecurity MySQL先被Sun收购 又被Oracle收购 LAMP中的M Oracle11g OracleDatabase 又名OracleRDBMS 或简称Oracle 是甲骨文公司的一款关系数据库管理系统 到目前仍在数据库市场上占有主要份额 OracleWalletManager OracleWalletManager是个应用程序 Wallet所有者可以用它管理和编辑OracleWallet中的安全身份证明 生成公共 私有密钥对以及创建提交到认证机构的认证请求 安装实体的证书 配置实体的信任证书 打开Wallet 使其可访问基于PKI的服务 创建Wallet以将身份证明存储在文件系统或硬件安全模块 如智能卡 上 将Wallet上载到LDAP目录 从LDAP目录下载Wallet 导入Wallet 导出Wallet IBMDB2 DB2isoneofthefamiliesofrelationaldatabasemanagementsystem RDBMS softwareproductswithinIBM sbroaderInformationManagementSoftwareline Althoughtherearedifferent editions and versions ofDB2 whichrunondevicesrangingfromhandheldstomainframes mostoftenDB2referstotheDB2EnterpriseServerEdition whichrunsonUnix AIX Windows Linuxandz OSservers DB2alsopowersthedifferentIBMInfoSphereWarehouseeditions AlongsideDB2isanotherRDBMS Informix whichwasacquiredbyIBMin2001 ApacheDirectory ApacheDSisanembeddabledirectoryserverentirelywritteninJava whichhasbeencertifiedLDAPv3compatiblebytheOpenGroup BesidesLDAPitsupportsKerberos5andtheChangePasswordProtocol Ithasbeendesignedtointroducetriggers storedprocedures queuesandviewstotheworldofLDAPwhichhaslackedtheserichconstructs ApacheDirectoryStudio ApacheDirectoryStudioisacompletedirectorytoolingplatformintendedtobeusedwithanyLDAPserverhoweveritisparticularlydesignedforusewiththeApacheDS ItisanEclipseRCPapplication composedofseveralEclipse OSGi plugins thatcanbeeasilyupgradedwithadditionalones ThesepluginscanevenrunwithinEclipseitself OpenLDAP OpenLDAPSoftwareisanopensourceimplementationoftheLightweightDirectoryAccessProtocol Thesuiteincludes slapd stand aloneLDAPdaemon server librariesimplementingtheLDAPprotocol andutilities tools andsampleclients iPlanetDirectoryServer TheDirectoryServercomponentofDirectoryServerEnterpriseEdition DSEE providesthemostscalable high performanceLDAPdatastoreforidentityinformationintheindustryandservesasthefoundationforthenewgenerationofe businessapplicationsandWebservices TheDirectoryServerprovidesmanyadvancedsecurityfeaturestoachievecompliancewithinformationsecuritypoliciesandtoensurethatonlythosewithproperauthorizationhaveacc