安全模式 J2EE、Web服务和身份管理最佳实践和策略2025|PDF|Epub|mobi|kindle电子书版本百度云盘下载

安全模式 J2EE、Web服务和身份管理最佳实践和策略PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第1章 默认安全1

第一部分　引言1

1.1　围绕安全的业务挑战2

1.2　哪些环节是最薄弱的3

1.2.1　网络服务3

1.2.2　主机操作系统3

1.2.3　应用或服务4

1.3　应用安全的影响4

1.4　安全四问8

1.4.1　要保护哪些应用8

1.4.2　保护应用时应防范哪些人8

1.5.2　设计模式9

1.5.4　可行性检查9

1.5.3　最佳实践9

1.5　构建健壮安全的策略9

1.5.1　安全设计统一过程9

1.4.4　为什么要保护它们9

1.4.3　应该在哪里保护这些应用9

1.5.5　主动评估10

1.5.6　剖析10

1.5.7　防御性策略10

1.5.8　恢复和持续性策略10

1.6　主动安全措施和被动安全措施10

1.7　遵守安全法规的重要性10

1.7.1　萨班斯－奥克斯莱法案10

1.7.2　格雷姆－里奇－比利雷法11

1.7.5　欧盟资料数据保护指引12

1.7.3　HIPPA12

1.7.4　儿童在线隐私保护法案12

1.7.6　加利福尼亚州安全攻击通知13

1.7.7　其他国家的安全法规13

1.8　身份管理的重要性13

1.8.1　身份供应服务13

1.8.2　身份数据同步服务13

1.8.3　访问管理服务13

1.9　安全的身份识别14

1.9.1　身份识别和认证14

1.9.2　智能卡识别14

1.8.6　审计和报告服务14

1.8.5 目录服务14

1.8.4　联合服务14

1.9.3　生物特征识别15

1.9.4　基于RFID的识别17

1.10　Java技术的重要性18

1.11　让安全成为“业务助推器”19

1.11.1　案例1：说明身份和访问管理的必要性19

1.11.2　案例2：说明主动安全措施的必要性19

1.11.3　案例3：说明遵守安全法规的必要性21

1.12　小结21

参考文献21

第2章 安全基本知识25

2.1　安全需求和目标25

2.1.1　机密性25

2.1.3　认证26

2.1.4　授权26

2.1.2　完整性26

2.1.5　不可抵赖性27

2.2　加密技术在安全中的作用27

2.3　安全套接字层的作用36

2.4　LDAP在安全中的重要性和作用39

2.5　加密算法的常见挑战40

2.5.1　随机数的生成40

2.5.2　密钥管理42

2.5.3　证书撤销问题42

2.5.4　信任模型42

2.6　威胁建模44

2.7　身份管理45

2.7.1　单点登录46

2.7.2　联合单点登录47

2.8　小结48

参考文献48

第二部分　Java安全架构与技术51

第3章　Java 2平台安全51

3.1　Java安全架构52

3.1.1　Java虚拟机52

3.1.2　Java语言52

3.1.3　Java内置的安全模型53

3.2　Java Applet安全59

3.3　Java Web Start安全63

3.4　Java安全管理工具64

3.4.1　Java密钥库65

3.4.2　Keytool65

3.5　J2ME安全架构69

3.4.4　Jarsigner69

3.4.3　Policytool69

3.5.1　J2ME配置70

3.5.2　J2ME概要72

3.5.3　MIDlet安全73

3.6　Java Card安全架构75

3.6.1　了解智能卡75

3.6.2　智能卡中的JavaCard技术76

3.6.3　JavaCard平台的安全模型76

3.6.4　Java Card Applet77

3.7　保护Java代码的安全78

3.7.1　逆向工程：反汇编和反编译78

3.7.2　代码混淆79

3.8　小结79

参考文献80

第4章 Java可扩展安全架构与API81

4.1　Java可扩展安全架构81

4.2　Java加密架构82

4.2.1　JCA加密服务83

4.2.2　理解JCP API编程模型84

4.3　Java加密扩展87

4.3.1　JCE加密服务提供者87

4.3.2　理解JCE API编程模型89

4.3.3　JCE对硬件加速和智能卡的支持97

4.3.4　将智能卡用作Java密钥库97

4.4　Java证书路径API99

4.4.1　Java CertPath类和接口100

4.4.2　Java CartPath API编程模型100

4.5.1　JSSE提供者102

4.5　Java安全套接字扩展102

4.5.2　JSSE类和接口103

4.5.3　理解JSSEAPI编程模型103

4.6　Java认证和授权服务111

4.6.1　JAAS类和接口112

4.6.2　理解JAAS API编程模型112

4.7　Java通用安全服务122

4.8　简单认证和安全层123

4.9　小结125

参考文献126

第5章 J2EE安全架构127

5.1　J2EE架构及其逻辑层127

5.2　J2EE安全定义128

5.4.1　声明型安全129

5.4　基于容器的J2EE安全129

5.3　J2EE安全基础设施129

5.4.2　编程型安全130

5.4.3　J2EE认证130

5.4.4　保护域131

5.4.5　J2EE授权132

5.4.6　Java客户端容器授权合同132

5.4.7　传输层安全133

5.5　J2EE组件级／层级安全133

5.5.1　用户、组、角色和域133

5.5.2　Web层或表示层安全134

5.6　J2EE客户端安全143

5.6.1　HTTPS连接143

5.7　EJB层或业务组件安全145

5.6.2　保护J2ME客户端的安全145

5.7.1　EJB声明型授权146

5.7.2　EJB编程型授权147

5.7.3　匿名或未保护的EJB资源147

5.7.4　EJB中的主体角色委派148

5.8　EIS集成层概述150

5.8.1　保护J2EE连接器和EIS的安全150

5.8.2　保护JMS的安全152

5.8.3　保护JDBC的安全153

5.9　J2EE架构——网络拓扑153

5.9.1　具备水平可扩展性的安全设计154

5.9.2　具备垂直可扩展性的安全设计155

5.10　J2EE Web服务安全概述156

参考文献157

5.11　小结157

第三部分　Web服务安全与身份管理158

第6章　Web服务安全标准与技术158

6.1　Web服务架构及其构件159

6.1.1　Web服务的操作模型160

6.1.2　核心Web服务标准160

6.1.3　Web服务的通信方式162

6.2　Web服务安全的核心问题162

6.3　Web服务安全的需求164

6.3.1　认证164

6.3.2　授权与权限164

6.3.8　单点登录和委派165

6.3.7　可用性和服务持续性165

6.3.9　身份和策略管理165

6.3.10　安全互操作性165

6.3.5　数据机密性165

6.3.6　不可抵赖性165

6.3.4　数据完整性165

6.3.3　审计和跟踪165

6.4　Web服务安全标准166

6.5　XML签名166

6.5.1　XML签名的动机166

6.5.2　剖析XML签名166

6.5.3　算法169

6.5.4　XML签名示例171

6.5.5　创建XML签名174

6.5.6　核实和验证XML签名174

6.6.2　剖析XML加密175

6.6.1　XML加密的动机175

6.6　XML加密175

6.6.3　XML加密算法178

6.6.4　XML加密应用示例180

6.7　XML密钥管理系统183

6.7.1　XKMS的动机183

6.7.2　XKMS规范概述184

6.7.3　XML密钥信息服务184

6.7.4　XML密钥注册服务186

6.7.5 X-BULK188

6.8　OASIS Web服务安全190

6.8.1　WS-Security的动机190

6.8.5　在WS-Security中使用安全令牌191

6.8.4　在WS-Security中使用加密191

6.8.3　在WS-Security中使用数字签名191

6.8.2　WS-Security的定义191

6.8.6　WS-Security：剖析SOAP消息安全192

6.9　WS-I基本安全概要197

6.10　基于Java的Web服务安全提供者198

6.10.1　Sun公司的JWSDP198

6.10.2　Sun Java系统访问管理器198

6.10.3　VeriSign TSIK和XKMS服务198

6.10.4　 RSA BSAFE Secure-WS199

6.11　支持XML的安全设备199

6.12　小结199

参考文献200

7.1　身份管理核心问题201

第7章 身份管理标准与技术201

7.2　理解网络身份和联合身份202

7.3　SAML简介203

7.3.1　SAML的动机203

7.3.2　SAML在单点登录中的作用204

7.3.3　SAML1.0204

7.3.4　SAML1.1204

7.3.5　SAML2.0204

7.3.6　SAML概要205

7.4　SAML架构206

7.4.1　SAML断言207

7.4.2　SAML域模型207

7.4.3　SAML架构208

7.4.5　策略管理点209

7.4.6　SAML请求－应答模型209

7.4.4　策略实施点209

7.4.7　SAML认证断言211

7.4.8　SAML属性断言212

7.4.9　SAML授权决策断言213

7.4.10　SAML中的XML签名215

7.5　SAML应用场景215

7.6　SAML在基于J2EE的应用和Web服务中的作用217

7.7　LibertyAlliance简介及其目标217

7.7.1　Liberry Phase 1218

7.7.2　Liberty Phase 2219

7.8　Liberty Alliance架构219

7.8.1　关系219

7.8.4　元数据和模式220

7.8.2　Web重定向220

7.8.3　Web服务220

7.8.5　安全机制221

7.9　Liberty应用场景221

7.9.1　联合管理222

7.9.2　Liberty单点登录223

7.9.3　联合单点登录224

7.9.4　全局注销224

7.9.5　使用Sun Java系统访问管理器的SAML和Liberty的示例224

7.10　访问控制和策略管理规范简介226

7.10.1　IETF策略管理工作组226

7.10.3　Parlay Group227

7.10.4　企业隐私授权语言227

7.10.2　分布式管理任务组227

7.10.5　Web服务策略：WS-Policy和WSPL228

7.11　XACML简介230

7.12　XACML流程与架构234

7.13　XACML应用场景236

7.13.1　策略存储236

7.13.2　集中管理Web服务安全策略236

7.13.3　与SAML协作236

7.13.4　ebXML注册器236

7.13.5　使用Sun公司的XACML工具包的XACML的示例237

7.13.6　应用场景示例237

7.13.7　请求示例237

7.13.8　策略示例238

7.13.9　结合使用SAML 2.0和XACML 2.0242

7.14　小结243

参考文献244

第四部分　安全设计方法、模式和可行性检查247

第8章 安全设计点金术：方法、模式和可行性检查247

8.1　基本原理248

8.2　安全统一过程249

8.2.1　安全统一过程工件253

8.2.2　风险分析254

8.2.3　权衡分析255

8.3　安全模式256

8.4　用于J2EE、Web服务、身份管理和服务供应的安全模式260

8.4.1　安全模式模板260

8.4.2　安全模式目录260

8.4.3　安全模式及其关系264

8.4.4　模式驱动的安全设计271

8.4.5　安全设计过程272

8.4.6　策略设计275

8.4.7　分类275

8.4.8　应用安全评估模型276

8.5　可行性检查277

8.6　安全测试284

8.6.1　黑盒测试284

8.6.2　白盒测试285

8.7　采用安全框架285

8.8　重构安全设计287

8.9　服务的持续性和恢复287

8.10　小结288

参考文献288

9.1　Web层安全模式291

9.1.1　认证实施器291

第五部分　设计策略与最佳实践291

第9章 确保Web层安全：设计策略与最佳实践291

9.1.2　授权实施器300

9.1.3　拦截验证器307

9.1.4　SecureBaseAction314

9.1.5　安全日志器318

9.1.6　安全管道327

9.1.7　安全服务代理332

9.1.8　拦截Web代理337

9.2　最佳实践与陷阱343

9.2.1　基础设施343

9.2.2　通信344

参考文献345

9.2.3　应用345

10.1　业务层的安全考虑因素347

10.2　业务层安全模式347

10.2.1　审计拦截器347

第10章 确保业务层安全：设计策略与最佳实践347

10.2.2　容器管理的安全354

10.2.3　动态服务管理360

10.2.4　混淆传输对象370

10.2.5　策略代理376

10.2.6　安全服务门面382

10.2.7　安全会话对象388

10.3.1　基础设施392

10.3.2　架构392

10.3　最佳实践与陷阱392

10.3.3　策略393

10.3.4　陷阱393

参考文献393

第11章 确保Web服务安全：设计策略与最佳实践394

11.1　Web服务安全协议栈394

11.1.1　网络层安全395

11.1.2　传输层安全395

11.1.3　消息层安全395

11.2　Web服务安全基础设施395

11.2.1　网络外围安全395

11.2.2　XML防火墙396

11.2.3　Web服务基础设施396

11.3　Web服务安全模式397

11.3.1　消息拦截器网关397

11.2.4　身份提供者397

11.2.5　目录服务397

11.3.2　消息检查器403

11.3.3　安全消息路由器414

11.4　最佳实践与陷阱421

11.4.1　最佳实践421

11.4.2　陷阱424

参考文献424

第12章 确保身份安全：设计策略与最佳实践426

12.1　身份管理安全模式426

12.1.1　断言构造器模式426

12.1.2　单点登录代理439

12.1.3　凭证令牌化器模式456

12.2.1　最佳实践463

12.2　最佳实践与陷阱463

12.2.2　陷阱464

参考文献464

第13章 安全服务供应：设计策略与最佳实践465

13.1　业务挑战465

13.1.1　服务供应的范围465

13.1.2　服务供应与身份管理的关系466

13.1.3　典型的用户账号供应场景466

13.1.4　当前用户账号供应方法467

13.2　用户账号供应架构468

13.2.1　集中模型和分散模型468

13.2.2　逻辑架构469

13.2.3　门户集成471

13.2.5　其他集成能力472

13.2.4　与身份提供者基础设施集成472

13.3　SPML简介473

13.3.1　服务供应操作473

13.2.6　服务供应产品的评价标准473

13.3.2　SPML的特点474

13.3.3　采用SAML实现475

13.4　服务供应安全模式477

13.5　最佳实践与陷阱512

13.5.1　应用设计512

13.5.2　服务质量512

13.5.3　服务器规模513

13.5.4　降低安全风险513

13.6　小结513

参考文献513

14.1　概述517

第六部分　综合应用517

第14章 构建端到端安全架构：案例研究517

14.1.1　理解安全挑战518

14.1.2　假设519

14.2　用例场景519

14.2.1　选择正确的方法519

14.2.2　确定需求520

14.2.3　确定安全需求520

14.2.4　系统约束521

14.2.5　安全用例521

14.2.6　用例图521

14.3　应用架构523

14.4　安全架构525

14.4.1　风险分析与降低527

14.4.2　权衡分析528

14.4.3　使用安全模式529

14.4.4　安全架构：详细组件531

14.5　设计533

14.5.1　策略设计533

14.5.2　要素分析534

14.5.3　安全基础设施535

14.5.4　层分析535

14.5.5　信任模型537

14.5.6　威胁剖析537

14.5.7　安全设计538

14.7　测试546

14.7.1　白盒测试546

14.6　开发546

14.7.2　黑盒测试547

14.8　部署547

14.8.1　配置547

14.8.2　监控547

14.8.3　审计548

14.9　小结548

14.10　经验教训548

14.11　陷阱548

14.12　结论549

参考文献549

第七部分　使用智能卡和生物特征的身份识别551

第15章 使用智能卡和生物特征的安全身份识别策略551

15.1　物理和逻辑访问控制551

15.2　支持技术552

15.1.2　生物特征技术在访问控制中的作用552

15.1.1　智能卡在访问控制中的作用552

15.2.1　Java Card API553

15.2.2　Global Platform553

15.2.3　PC/SC框架553

15.2.4　OpenCard框架554

15.2.5　OpenSC554

15.2.6　BioAPI554

15.2.7　可插入的认证模块554

15.2.8　图形识别和认证555

15.2.9　Java认证和授权服务555

15.3　基于智能卡的身份识别和认证556

15.3.1　架构和实现模型556

15.3.2　操作模型558

15.3.3　将智能卡用于物理访问控制560

15.4　生物特征身份识别和认证561

15.4.1　理解生物特征验证过程561

15.4.2　生物特征验证的准确性562

15.4.3　架构和实现563

15.4.4　操作模型565

15.4.5　生物特征SSO策略567

15.5　使用智能卡和生物特征的多重认证569

15.5.1　生物特征卡内匹配策略569

15.5.2　生物特征离卡匹配策略569

15.6　最佳实践与陷阱569

15.6.1　使用智能卡569

15.6.2　使用生物特征技术570

15.6.3　陷阱570

参考文献571