日常生活中的类似情况

相关规范

外部链接

WS-Security (Web服务安全) 是一种提供在Web服务上应用安全的方法的网络传输协议。2004年4月19日，OASIS组织发布了WS-Security标准的1.0版本。 2006年2月17日，发布了1.1版本。

WS-Security是最初IBM, 微软, VeriSign和Forum Systems开发的，现在协议由Oasis-Open下的一个委员会开发，官方名称为WSS。

协议包含了关于如何在Web服务消息上保证完整性和机密性的规约。WSS协议包括SAML（安全断言标记语言）、Kerberos和认证证书格式（如X.509）的使用的详细信息。

WS-Security描述了如何将签名和加密头加入SOAP消息。除此以外，还描述了如何在消息中加入安全令牌，包括二进制安全令牌，如X.509认证证书和Kerberos门票（ticket）。

WS-Security将安全特性放入一个SOAP消息的消息头中，在应用层处理。这样协议保证了端到端的安全。

日常生活中的类似情况

要了解 WS-Security 的功能，首先可以看一下现实生活中的类似情况。具体地说，您在日常生活中何时以及如何使用证件？毕竟日常生活中始终离不开各种证件。如果有人要求您证明自己的年龄，您会从钱包中拿出身份证。如果您不用现金支付商品货款，便会使用信用卡向贷方机构证明自己的身份。在跨越边境或在国外时，您需要使用护照证明自己的身份。所有这些都是证件。其作用是说明信用卡、驾驶执照和护照的所有人与证件中的人相符。但是它们并不验证您的身份。验证是一种行为，而证件本身并不能实施这一行为。当使用书面证件时，人是身份验证的执行者。那么验证过程是如何实现的呢？

当您出示驾驶执照或护照时，查看证件的人将执行一些操作来验证证件是否真实，以及您是否是这些证件的合法所有者：

·　这两种证件都包含证件注册持有者的照片和其他身份特征：身高、体重和眼睛的颜色。查看证件的人可以确保您与证件显示和描述的人相符。

·　证件都有一定的有效期限。这样可以确保证件中的描述数据是最新的数据。

·　证件中包含签名，可以与出示证件的人的签名进行比较。准确模仿他人的签名是很困难的，因此通过结合对证件持有者的描述，证件就成为一种合理的身份验证方法。

这些证件还有其他一些重要特征。证件上的标记可以使人快速验证证件的真伪。证件是由我们信任的能够提供有效身份信息的机构签发的：地方或国家政府。上面还提到了信用卡。它与驾驶执照和护照有所不同。

·　它们是由银行而不是政府发放的。

·　它们只包含用于识别持卡者身份的签名和姓名。

·　只有在出示其他支持性证件（如政府签发的 ID）时，它们才能用来验证身份。

那么像信用卡这类证件能够做些什么呢？

信用卡通常只依赖签名进行身份验证。有些信用卡带有照片，以增加身份验证的可靠性。由于信用卡提供的身份验证不够充分，因此许多机构要求随信用卡同时出示政府签发的 ID。就安全性而言，当您出示信用卡时，您就是在声明您有权购买商品和服务，并且向您提供信用卡的机构将向商家支付款项。商家可以通过将政府签发的带照片的 ID 与您本人进行比较，以确认您是有效的持卡者。（当然，如果您通过电话或 Internet 进行交易，则另当别论，但这也说明在这些领域还存在着其他安全机制。）

相关规范

下面的规范草案与WS-Security有关。

· WS-SecureConversation

· WS-Federation

· WS-Authorization

· WS-Policy

· WS-Trust

· WS-Privacy

外部链接

OASIS Web Services Security TC (Contains links to download specification documents)

WS-Security Specification

WS-I Basic Security Profile

Web Services Security Documentation

Web Service Security Patterns

WSS4J (WS-Security Java Implementation from Apache)

WSIT Web Services Interoperability Technologies (WSIT) that enable interoperability between the Java platform and Windows Communication Foundation (WCF)