书籍详情
安全模式-J2EE？Web服务和身份管理最佳实践与策略
作者：（美）斯蒂尔（Steel.C.）,等 著；陈秋萍,等 译
出版社：机械工业出版社
出版时间：2006-09-01
ISBN：9787111195030
定价：¥75.00
购买这本书可以去
内容简介
本书汇集了作者在安全领域的丰富经验，全面阐述Java应用安全的基本知识和结构化安全设计方法。本书介绍如何使用模式驱动和最佳实践构建可靠应用和服务。全书分为两大部分，第一部分介绍用于J2EE应用、Wed服务、身份管理、服务供应和身份识别的安全架构、机制、标准、技术和实现原则，第二部分介绍23种全新的安全模式和101项最佳实践，帮助开发人员构建端到端安全J2EE应用。本书可供从事计算机安全技术工作的开发人员、设计人员和管理人员参考。
作者简介
Christopher Steel（CISSP、ISSAP）现任ForMoon咨询公司的总裁兼CEO，目前是美国财政部Pay.gov项目的首席架构师。他拥有15年的分布式企业计算经验，主要研究应用安全、模式和方法。
目录
第一部分 引 言
第1章 默认安全
1.1 围绕安全的业务挑战
1.2 哪些环节是最薄弱的
1.2.1 网络服务
1.2.2 主机操作系统
1.2.3 应用或服务
1.3 应用安全的影响
1.4 安全四问
1.4.1 要保护哪些应用
1.4.2 保护应用时应防范哪些人
1.4.3 应该在哪里保护这些应用
1.4.4 为什么要保护它们
1.5 构建健壮安全的策略
1.5.1 安全设计统一过程
1.5.2 设计模式
1.5.3 最佳实践
1.5.4 可行性检查
1.5.5 主动评估
1.5.6 剖析
1.5.7 防御性策略
1.5.8 恢复和持续性策略
1.6 主动安全措施和被动安全措施
1.7 遵守安全法规的重要性
1.7.1 萨班斯－奥克斯莱法案
1.7.2 格雷姆－里奇－比利雷法
1.7.3 HIPPA
1.7.4 儿童在线隐私保护法案
1.7.5 欧盟资料数据保护指引
1.7.6 加利福尼亚州安全攻击通知
1.7.7 其他国家的安全法规
1.8 身份管理的重要性
1.8.1 身份供应服务
1.8.2 身份数据同步服务
1.8.3 访问管理服务
1.8.4 联合服务
1.8.5 目录服务
1.8.6 审计和报告服务
1.9 安全的身份识别
1.9.1 身份识别和认证
1.9.2 智能卡识别
1.9.3 生物特征识别
1.9.4 基于RFID的识别
1.10 Java技术的重要性
1.11 让安全成为"业务助推器"
1.11.1 案例1： 说明身份和访问管理的必要性
1.11.2 案例2： 说明主动安全措施的必要性
1.11.3 案例3： 说明遵守安全法规的必要性
1.12 小结
参考文献
第2章 安全基本知识
2.1 安全需求和目标
2.1.1 机密性
2.1.2 完整性
2.1.3 认证
2.1.4 授权
2.1.5 不可抵赖性
2.2 加密技术在安全中的作用
2.3 安全套接字层的作用
2.4 LDAP在安全中的重要性和作用
2.5 加密算法的常见挑战
2.5.1 随机数的生成
2.5.2 密钥管理
2.5.3 证书撤销问题
2.5.4 信任模型
2.6 威胁建模
2.7 身份管理
2.7.1 单点登录
2.7.2 联合单点登录
2.8 小结
参考文献
第二部分 Java安全架构与技术
第3章 Java 2平台安全
3.1 Java安全架构
3.1.1 Java虚拟机
3.1.2 Java语言
3.1.3 Java内置的安全模型
3.2 Java Applet安全
3.3 Java Web Start安全
3.4 Java安全管理工具
3.4.1 Java密钥库
3.4.2 Keytool
3.4.3 Policytool
3.4.4 Jarsigner
3.5 J2ME安全架构
3.5.1 J2ME配置
3.5.2 J2ME概要
3.5.3 MIDlet安全
3.6 Java Card安全架构
3.6.1 了解智能卡
3.6.2 智能卡中的Java Card技术
3.6.3 Java Card平台的安全模型
3.6.4 Java Card Applet
3.7 保护Java代码的安全
3.7.1 逆向工程： 反汇编和反编译
3.7.2 代码混淆
3.8 小结
参考文献
第4章 Java可扩展安全架构与API
4.1 Java可扩展安全架构
4.2 Java加密架构
4.2.1 JCA加密服务
4.2.2 理解JCP API编程模型
4.3 Java加密扩展
4.3.1 JCE加密服务提供者
4.3.2 理解JCE API编程模型
4.3.3 JCE对硬件加速和智能卡的支持
4.3.4 将智能卡用作Java密钥库
4.4 Java证书路径API
4.4.1 Java CertPath类和接口
4.4.2 Java CertPath API编程模型
4.5 Java安全套接字扩展
4.5.1 JSSE提供者
4.5.2 JSSE类和接口
4.5.3 理解JSSE API编程模型
4.6 Java认证和授权服务
4.6.1 JAAS类和接口
4.6.2 理解JAAS API编程模型
4.7 Java通用安全服务
4.8 简单认证和安全层
4.9 小结
参考文献
第5章 J2EE安全架构
5.1 J2EE架构及其逻辑层
5.2 J2EE安全定义
5.3 J2EE安全基础设施
5.4 基于容器的J2EE安全
5.4.1 声明型安全
5.4.2 编程型安全
5.4.3 J2EE认证
5.4.4 保护域
5.4.5 J2EE授权
5.4.6 Java客户端容器授权合同
5.4.7 传输层安全
5.5 J2EE组件级/层级安全
5.5.1 用户、 组、 角色和域
5.5.2 Web层或表示层安全
5.6 J2EE客户端安全
5.6.1 HTTPS连接
5.6.2 保护J2ME客户端的安全
5.7 EJB层或业务组件安全
5.7.1 EJB声明型授权
5.7.2 EJB编程型授权
5.7.3 匿名或未保护的EJB资源
5.7.4 EJB中的主体角色委派
5.8 EIS集成层概述
5.8.1 保护J2EE连接器和EIS的安全
5.8.2 保护JMS的安全
5.8.3 保护JDBC的安全
5.9 J2EE架构--网络拓扑
5.9.1 具备水平可扩展性的安全设计
5.9.2 具备垂直可扩展性的安全设计
5.10 J2EE Web服务安全概述
5.11 小结
参考文献
第三部分 Web服务安全与身份管理
第6章 Web服务安全标准与技术
6.1 Web服务架构及其构件
6.1.1 Web服务的操作模型
6.1.2 核心Web服务标准
6.1.3 Web服务的通信方式
6.2 Web服务安全的核心问题
6.3 Web服务安全的需求
6.3.1 认证
6.3.2 授权与权限
6.3.3 审计和跟踪
6.3.4 数据完整性
6.3.5 数据机密性
6.3.6 不可抵赖性
6.3.7 可用性和服务持续性
6.3.8 单点登录和委派
6.3.9 身份和策略管理
6.3.10 安全互操作性
6.4 Web服务安全标准
6.5 XML签名
6.5.1 XML签名的动机
6.5.2 剖析XML签名
6.5.3 算法
6.5.4 XML签名示例
6.5.5 创建XML签名
6.5.6 核实和验证XML签名
6.6 XML加密
6.6.1 XML加密的动机
6.6.2 剖析XML加密
6.6.3 XML加密算法
6.6.4 XML加密应用示例
6.7 XML密钥管理系统
6.7.1 XKMS的动机
6.7.2 XKMS规范概述
6.7.3 XML密钥信息服务
6.7.4 XML密钥注册服务
6.7.5 XBULK
6.8 OASIS Web服务安全
6.8.1 WSSecurity的动机
6.8.2 WSSecurity的定义
6.8.3 在WSSecurity中使用数字签名
6.8.4 在WSSecurity中使用加密
6.8.5 在WSSecurity中使用安全令牌
6.8.6 WSSecurity： 剖析SOAP消息安全
6.9 WSI基本安全概要
6.10 基于Java的Web服务安全提供者
6.10.1 Sun公司的JWSDP
6.10.2 Sun Java系统访问管理器
6.10.3 VeriSign TSIK和XKMS服务
6.10.4 RSA BSAFE SecureWS
6.11 支持XML的安全设备
6.12 小结
参考文献
第7章 身份管理标准与技术
7.1 身份管理核心问题
7.2 理解网络身份和联合身份
7.3 SAML简介
7.3.1 SAML的动机
7.3.2 SAML在单点登录中的作用
7.3.3 SAML 1.0
7.3.4 SAML 1.1
7.3.5 SAML 2.0
7.3.6 SAML概要
7.4 SAML架构
7.4.1 SAML断言
7.4.2 SAML域模型
7.4.3 SAML架构
7.4.4 策略实施点
7.4.5 策略管理点
7.4.6 SAML请求应答模型
7.4.7 SAML认证断言
7.4.8 SAML属性断言
7.4.9 SAML授权决策断言
7.4.10 SAML中的XML签名
7.5 SAML应用场景
7.6 SAML在基于J2EE的应用和Web服务中的作用
7.7 Liberty Alliance简介及其目标
7.7.1 Liberty Phase 1
7.7.2 Liberty Phase 2
7.8 Liberty Alliance架构
7.8.1 关系
7.8.2 Web重定向
7.8.3 Web服务
7.8.4 元数据和模式
7.8.5 安全机制
7.9 Liberty应用场景
7.9.1 联合管理
7.9.2 Liberty单点登录
7.9.3 联合单点登录
7.9.4 全局注销
7.9.5 使用Sun Java系统访问管理器的SAML和Liberty的示例
7.10 访问控制和策略管理规范简介
7.10.1 IETF策略管理工作组
7.10.2 分布式管理任务组
7.10.3 Parlay Group
7.10.4 企业隐私授权语言
7.10.5 Web服务策略： WSPolicy和WSPL
7.11 XACML简介
7.12 XACML流程与架构
7.13 XACML应用场景
7.13.1 策略存储
7.13.2 集中管理Web服务安全策略
7.13.3 与SAML协作
7.13.4 ebXML注册器
7.13.5 使用Sun公司的XACML工具包的XACML的示例
7.13.6 应用场景示例
7.13.7 请求示例
7.13.8 策略示例
7.13.9 结合使用SAML 2.0和XACML 2.0
7.14 小结
参考文献
第四部分 安全设计方法、模式和可行性检查
第8章 安全设计点金术： 方法、 模式和可行性检查
8.1 基本原理
8.2 安全统一过程
8.2.1 安全统一过程工件
8.2.2 风险分析
8.2.3 权衡分析
8.3 安全模式
8.4 用于J2EE、 Web服务、 身份管理和服务供应的安全模式
8.4.1 安全模式模板
8.4.2 安全模式目录
8.4.3 安全模式及其关系
8.4.4 模式驱动的安全设计
8.4.5 安全设计过程
8.4.6 策略设计
8.4.7 分类
8.4.8 应用安全评估模型
8.5 可行性检查
8.6 安全测试
8.6.1 黑盒测试
8.6.2 白盒测试
8.7 采用安全框架
8.8 重构安全设计
8.9 服务的持续性和恢复
8.10 小结
参考文献
第五部分 设计策略与最佳实践
第9章 确保Web层安全： 设计策略与最佳实践
9.1 Web层安全模式
9.1.1 认证实施器
9.1.2 授权实施器
9.1.3 拦截验证器
9.1.4 SecureBaseAction
9.1.5 安全日志器
9.1.6 安全管道
9.1.7 安全服务代理
9.1.8 拦截Web代理
9.2 最佳实践与陷阱
9.2.1 基础设施
9.2.2 通信
9.2.3 应用
参考文献
第10章 确保业务层安全： 设计策略与最佳实践
10.1 业务层的安全考虑因素
10.2 业务层安全模式
10.2.1 审计拦截器
10.2.2 容器管理的安全
10.2.3 动态服务管理
10.2.4 混淆传输对象
10.2.5 策略代理
10.2.6 安全服务门面
10.2.7 安全会话对象
10.3 最佳实践与陷阱
10.3.1 基础设施
10.3.2 架构
10.3.3 策略
10.3.4 陷阱
参考文献
第11章 确保Web服务安全： 设计策略与最佳实践
11.1 Web服务安全协议栈
11.1.1 网络层安全
11.1.2 传输层安全
11.1.3 消息层安全
11.2 Web服务安全基础设施
11.2.1 网络外围安全
11.2.2 XML防火墙
11.2.3 Web服务基础设施
11.2.4 身份提供者
11.2.5 目录服务
11.3 Web服务安全模式
11.3.1 消息拦截器网关
11.3.2 消息检查器
11.3.3 安全消息路由器
11.4 最佳实践与陷阱
11.4.1 最佳实践
11.4.2 陷阱
参考文献
第12章 确保身份安全： 设计策略与最佳实践
12.1 身份管理安全模式
12.1.1 断言构造器模式
12.1.2 单点登录代理
12.1.3 凭证令牌化器模式
12.2 最佳实践与陷阱
12.2.1 最佳实践
12.2.2 陷阱
参考文献
第13章 安全服务供应： 设计策略与最佳实践
13.1 业务挑战
13.1.1 服务供应的范围
13.1.2 服务供应与身份管理的关系
13.1.3 典型的用户账号供应场景
13.1.4 当前用户账号供应方法
13.2 用户账号供应架构
13.2.1 集中模型和分散模型
13.2.2 逻辑架构
13.2.3 门户集成
13.2.4 与身份提供者基础设施集成
13.2.5 其他集成能力
13.2.6 服务供应产品的评价标准
13.3 SPML简介
13.3.1 服务供应操作
13.3.2 SPML的特点
13.3.3 采用SAML实现
13.4 服务供应安全模式
13.5 最佳实践与陷阱
13.5.1 应用设计
13.5.2 服务质量
13.5.3 服务器规模
13.5.4 降低安全风险
13.6 小结
参考文献
第六部分 综 合 应 用
第14章 构建端到端安全架构： 案例研究
14.1 概述
14.1.1 理解安全挑战
14.1.2 假设
14.2 用例场景
14.2.1 选择正确的方法
14.2.2 确定需求
14.2.3 确定安全需求
14.2.4 系统约束
14.2.5 安全用例
14.2.6 用例图
14.3 应用架构
14.4 安全架构
14.4.1 风险分析与降低
14.4.2 权衡分析
14.4.3 使用安全模式
14.4.4 安全架构： 详细组件
14.5 设计
14.5.1 策略设计
14.5.2 要素分析
14.5.3 安全基础设施
14.5.4 层分析
14.5.5 信任模型
14.5.6 威胁剖析
14.5.7 安全设计
14.6 开发
14.7 测试
14.7.1 白盒测试
14.7.2 黑盒测试
14.8 部署
14.8.1 配置
14.8.2 监控
14.8.3 审计
14.9 小结
14.10 经验教训
14.11 陷阱
14.12 结论
参考文献
第七部分 使用智能卡和生物特征的身份识别
第15章 使用智能卡和生物特征的安全身份识别策略
15.1 物理和逻辑访问控制
15.1.1 智能卡在访问控制中的作用
15.1.2 生物特征技术在访问控制中的作用
15.2 支持技术
15.2.1 Java Card API
15.2.2 Global Platform
15.2.3 PC/SC框架
15.2.4 OpenCard框架
15.2.5 OpenSC
15.2.6 BioAPI
15.2.7 可插入的认证模块
15.2.8 图形识别和认证
15.2.9 Java认证和授权服务
15.3 基于智能卡的身份识别和认证
15.3.1 架构和实现模型
15.3.2 操作模型
15.3.3 将智能卡用于物理访问控制
15.4 生物特征身份识别和认证
15.4.1 理解生物特征验证过程
15.4.2 生物特征验证的准确性
15.4.3 架构和实现
15.4.4 操作模型
15.4.5 生物特征SSO策略
15.5 使用智能卡和生物特征的多重认证
15.5.1 生物特征卡内匹配策略
15.5.2 生物特征离卡匹配策略
15.6 最佳实践与陷阱
15.6.1 使用智能卡
15.6.2 使用生物特征技术
15.6.3 陷阱
参考文献
第1章 默认安全
1.1 围绕安全的业务挑战
1.2 哪些环节是最薄弱的
1.2.1 网络服务
1.2.2 主机操作系统
1.2.3 应用或服务
1.3 应用安全的影响
1.4 安全四问
1.4.1 要保护哪些应用
1.4.2 保护应用时应防范哪些人
1.4.3 应该在哪里保护这些应用
1.4.4 为什么要保护它们
1.5 构建健壮安全的策略
1.5.1 安全设计统一过程
1.5.2 设计模式
1.5.3 最佳实践
1.5.4 可行性检查
1.5.5 主动评估
1.5.6 剖析
1.5.7 防御性策略
1.5.8 恢复和持续性策略
1.6 主动安全措施和被动安全措施
1.7 遵守安全法规的重要性
1.7.1 萨班斯－奥克斯莱法案
1.7.2 格雷姆－里奇－比利雷法
1.7.3 HIPPA
1.7.4 儿童在线隐私保护法案
1.7.5 欧盟资料数据保护指引
1.7.6 加利福尼亚州安全攻击通知
1.7.7 其他国家的安全法规
1.8 身份管理的重要性
1.8.1 身份供应服务
1.8.2 身份数据同步服务
1.8.3 访问管理服务
1.8.4 联合服务
1.8.5 目录服务
1.8.6 审计和报告服务
1.9 安全的身份识别
1.9.1 身份识别和认证
1.9.2 智能卡识别
1.9.3 生物特征识别
1.9.4 基于RFID的识别
1.10 Java技术的重要性
1.11 让安全成为"业务助推器"
1.11.1 案例1： 说明身份和访问管理的必要性
1.11.2 案例2： 说明主动安全措施的必要性
1.11.3 案例3： 说明遵守安全法规的必要性
1.12 小结
参考文献
第2章 安全基本知识
2.1 安全需求和目标
2.1.1 机密性
2.1.2 完整性
2.1.3 认证
2.1.4 授权
2.1.5 不可抵赖性
2.2 加密技术在安全中的作用
2.3 安全套接字层的作用
2.4 LDAP在安全中的重要性和作用
2.5 加密算法的常见挑战
2.5.1 随机数的生成
2.5.2 密钥管理
2.5.3 证书撤销问题
2.5.4 信任模型
2.6 威胁建模
2.7 身份管理
2.7.1 单点登录
2.7.2 联合单点登录
2.8 小结
参考文献
第二部分 Java安全架构与技术
第3章 Java 2平台安全
3.1 Java安全架构
3.1.1 Java虚拟机
3.1.2 Java语言
3.1.3 Java内置的安全模型
3.2 Java Applet安全
3.3 Java Web Start安全
3.4 Java安全管理工具
3.4.1 Java密钥库
3.4.2 Keytool
3.4.3 Policytool
3.4.4 Jarsigner
3.5 J2ME安全架构
3.5.1 J2ME配置
3.5.2 J2ME概要
3.5.3 MIDlet安全
3.6 Java Card安全架构
3.6.1 了解智能卡
3.6.2 智能卡中的Java Card技术
3.6.3 Java Card平台的安全模型
3.6.4 Java Card Applet
3.7 保护Java代码的安全
3.7.1 逆向工程： 反汇编和反编译
3.7.2 代码混淆
3.8 小结
参考文献
第4章 Java可扩展安全架构与API
4.1 Java可扩展安全架构
4.2 Java加密架构
4.2.1 JCA加密服务
4.2.2 理解JCP API编程模型
4.3 Java加密扩展
4.3.1 JCE加密服务提供者
4.3.2 理解JCE API编程模型
4.3.3 JCE对硬件加速和智能卡的支持
4.3.4 将智能卡用作Java密钥库
4.4 Java证书路径API
4.4.1 Java CertPath类和接口
4.4.2 Java CertPath API编程模型
4.5 Java安全套接字扩展
4.5.1 JSSE提供者
4.5.2 JSSE类和接口
4.5.3 理解JSSE API编程模型
4.6 Java认证和授权服务
4.6.1 JAAS类和接口
4.6.2 理解JAAS API编程模型
4.7 Java通用安全服务
4.8 简单认证和安全层
4.9 小结
参考文献
第5章 J2EE安全架构
5.1 J2EE架构及其逻辑层
5.2 J2EE安全定义
5.3 J2EE安全基础设施
5.4 基于容器的J2EE安全
5.4.1 声明型安全
5.4.2 编程型安全
5.4.3 J2EE认证
5.4.4 保护域
5.4.5 J2EE授权
5.4.6 Java客户端容器授权合同
5.4.7 传输层安全
5.5 J2EE组件级/层级安全
5.5.1 用户、 组、 角色和域
5.5.2 Web层或表示层安全
5.6 J2EE客户端安全
5.6.1 HTTPS连接
5.6.2 保护J2ME客户端的安全
5.7 EJB层或业务组件安全
5.7.1 EJB声明型授权
5.7.2 EJB编程型授权
5.7.3 匿名或未保护的EJB资源
5.7.4 EJB中的主体角色委派
5.8 EIS集成层概述
5.8.1 保护J2EE连接器和EIS的安全
5.8.2 保护JMS的安全
5.8.3 保护JDBC的安全
5.9 J2EE架构--网络拓扑
5.9.1 具备水平可扩展性的安全设计
5.9.2 具备垂直可扩展性的安全设计
5.10 J2EE Web服务安全概述
5.11 小结
参考文献
第三部分 Web服务安全与身份管理
第6章 Web服务安全标准与技术
6.1 Web服务架构及其构件
6.1.1 Web服务的操作模型
6.1.2 核心Web服务标准
6.1.3 Web服务的通信方式
6.2 Web服务安全的核心问题
6.3 Web服务安全的需求
6.3.1 认证
6.3.2 授权与权限
6.3.3 审计和跟踪
6.3.4 数据完整性
6.3.5 数据机密性
6.3.6 不可抵赖性
6.3.7 可用性和服务持续性
6.3.8 单点登录和委派
6.3.9 身份和策略管理
6.3.10 安全互操作性
6.4 Web服务安全标准
6.5 XML签名
6.5.1 XML签名的动机
6.5.2 剖析XML签名
6.5.3 算法
6.5.4 XML签名示例
6.5.5 创建XML签名
6.5.6 核实和验证XML签名
6.6 XML加密
6.6.1 XML加密的动机
6.6.2 剖析XML加密
6.6.3 XML加密算法
6.6.4 XML加密应用示例
6.7 XML密钥管理系统
6.7.1 XKMS的动机
6.7.2 XKMS规范概述
6.7.3 XML密钥信息服务
6.7.4 XML密钥注册服务
6.7.5 XBULK
6.8 OASIS Web服务安全
6.8.1 WSSecurity的动机
6.8.2 WSSecurity的定义
6.8.3 在WSSecurity中使用数字签名
6.8.4 在WSSecurity中使用加密
6.8.5 在WSSecurity中使用安全令牌
6.8.6 WSSecurity： 剖析SOAP消息安全
6.9 WSI基本安全概要
6.10 基于Java的Web服务安全提供者
6.10.1 Sun公司的JWSDP
6.10.2 Sun Java系统访问管理器
6.10.3 VeriSign TSIK和XKMS服务
6.10.4 RSA BSAFE SecureWS
6.11 支持XML的安全设备
6.12 小结
参考文献
第7章 身份管理标准与技术
7.1 身份管理核心问题
7.2 理解网络身份和联合身份
7.3 SAML简介
7.3.1 SAML的动机
7.3.2 SAML在单点登录中的作用
7.3.3 SAML 1.0
7.3.4 SAML 1.1
7.3.5 SAML 2.0
7.3.6 SAML概要
7.4 SAML架构
7.4.1 SAML断言
7.4.2 SAML域模型
7.4.3 SAML架构
7.4.4 策略实施点
7.4.5 策略管理点
7.4.6 SAML请求应答模型
7.4.7 SAML认证断言
7.4.8 SAML属性断言
7.4.9 SAML授权决策断言
7.4.10 SAML中的XML签名
7.5 SAML应用场景
7.6 SAML在基于J2EE的应用和Web服务中的作用
7.7 Liberty Alliance简介及其目标
7.7.1 Liberty Phase 1
7.7.2 Liberty Phase 2
7.8 Liberty Alliance架构
7.8.1 关系
7.8.2 Web重定向
7.8.3 Web服务
7.8.4 元数据和模式
7.8.5 安全机制
7.9 Liberty应用场景
7.9.1 联合管理
7.9.2 Liberty单点登录
7.9.3 联合单点登录
7.9.4 全局注销
7.9.5 使用Sun Java系统访问管理器的SAML和Liberty的示例
7.10 访问控制和策略管理规范简介
7.10.1 IETF策略管理工作组
7.10.2 分布式管理任务组
7.10.3 Parlay Group
7.10.4 企业隐私授权语言
7.10.5 Web服务策略： WSPolicy和WSPL
7.11 XACML简介
7.12 XACML流程与架构
7.13 XACML应用场景
7.13.1 策略存储
7.13.2 集中管理Web服务安全策略
7.13.3 与SAML协作
7.13.4 ebXML注册器
7.13.5 使用Sun公司的XACML工具包的XACML的示例
7.13.6 应用场景示例
7.13.7 请求示例
7.13.8 策略示例
7.13.9 结合使用SAML 2.0和XACML 2.0
7.14 小结
参考文献
第四部分 安全设计方法、模式和可行性检查
第8章 安全设计点金术： 方法、 模式和可行性检查
8.1 基本原理
8.2 安全统一过程
8.2.1 安全统一过程工件
8.2.2 风险分析
8.2.3 权衡分析
8.3 安全模式
8.4 用于J2EE、 Web服务、 身份管理和服务供应的安全模式
8.4.1 安全模式模板
8.4.2 安全模式目录
8.4.3 安全模式及其关系
8.4.4 模式驱动的安全设计
8.4.5 安全设计过程
8.4.6 策略设计
8.4.7 分类
8.4.8 应用安全评估模型
8.5 可行性检查
8.6 安全测试
8.6.1 黑盒测试
8.6.2 白盒测试
8.7 采用安全框架
8.8 重构安全设计
8.9 服务的持续性和恢复
8.10 小结
参考文献
第五部分 设计策略与最佳实践
第9章 确保Web层安全： 设计策略与最佳实践
9.1 Web层安全模式
9.1.1 认证实施器
9.1.2 授权实施器
9.1.3 拦截验证器
9.1.4 SecureBaseAction
9.1.5 安全日志器
9.1.6 安全管道
9.1.7 安全服务代理
9.1.8 拦截Web代理
9.2 最佳实践与陷阱
9.2.1 基础设施
9.2.2 通信
9.2.3 应用
参考文献
第10章 确保业务层安全： 设计策略与最佳实践
10.1 业务层的安全考虑因素
10.2 业务层安全模式
10.2.1 审计拦截器
10.2.2 容器管理的安全
10.2.3 动态服务管理
10.2.4 混淆传输对象
10.2.5 策略代理
10.2.6 安全服务门面
10.2.7 安全会话对象
10.3 最佳实践与陷阱
10.3.1 基础设施
10.3.2 架构
10.3.3 策略
10.3.4 陷阱
参考文献
第11章 确保Web服务安全： 设计策略与最佳实践
11.1 Web服务安全协议栈
11.1.1 网络层安全
11.1.2 传输层安全
11.1.3 消息层安全
11.2 Web服务安全基础设施
11.2.1 网络外围安全
11.2.2 XML防火墙
11.2.3 Web服务基础设施
11.2.4 身份提供者
11.2.5 目录服务
11.3 Web服务安全模式
11.3.1 消息拦截器网关
11.3.2 消息检查器
11.3.3 安全消息路由器
11.4 最佳实践与陷阱
11.4.1 最佳实践
11.4.2 陷阱
参考文献
第12章 确保身份安全： 设计策略与最佳实践
12.1 身份管理安全模式
12.1.1 断言构造器模式
12.1.2 单点登录代理
12.1.3 凭证令牌化器模式
12.2 最佳实践与陷阱
12.2.1 最佳实践
12.2.2 陷阱
参考文献
第13章 安全服务供应： 设计策略与最佳实践
13.1 业务挑战
13.1.1 服务供应的范围
13.1.2 服务供应与身份管理的关系
13.1.3 典型的用户账号供应场景
13.1.4 当前用户账号供应方法
13.2 用户账号供应架构
13.2.1 集中模型和分散模型
13.2.2 逻辑架构
13.2.3 门户集成
13.2.4 与身份提供者基础设施集成
13.2.5 其他集成能力
13.2.6 服务供应产品的评价标准
13.3 SPML简介
13.3.1 服务供应操作
13.3.2 SPML的特点
13.3.3 采用SAML实现
13.4 服务供应安全模式
13.5 最佳实践与陷阱
13.5.1 应用设计
13.5.2 服务质量
13.5.3 服务器规模
13.5.4 降低安全风险
13.6 小结
参考文献
第六部分 综 合 应 用
第14章 构建端到端安全架构： 案例研究
14.1 概述
14.1.1 理解安全挑战
14.1.2 假设
14.2 用例场景
14.2.1 选择正确的方法
14.2.2 确定需求
14.2.3 确定安全需求
14.2.4 系统约束
14.2.5 安全用例
14.2.6 用例图
14.3 应用架构
14.4 安全架构
14.4.1 风险分析与降低
14.4.2 权衡分析
14.4.3 使用安全模式
14.4.4 安全架构： 详细组件
14.5 设计
14.5.1 策略设计
14.5.2 要素分析
14.5.3 安全基础设施
14.5.4 层分析
14.5.5 信任模型
14.5.6 威胁剖析
14.5.7 安全设计
14.6 开发
14.7 测试
14.7.1 白盒测试
14.7.2 黑盒测试
14.8 部署
14.8.1 配置
14.8.2 监控
14.8.3 审计
14.9 小结
14.10 经验教训
14.11 陷阱
14.12 结论
参考文献
第七部分 使用智能卡和生物特征的身份识别
第15章 使用智能卡和生物特征的安全身份识别策略
15.1 物理和逻辑访问控制
15.1.1 智能卡在访问控制中的作用
15.1.2 生物特征技术在访问控制中的作用
15.2 支持技术
15.2.1 Java Card API
15.2.2 Global Platform
15.2.3 PC/SC框架
15.2.4 OpenCard框架
15.2.5 OpenSC
15.2.6 BioAPI
15.2.7 可插入的认证模块
15.2.8 图形识别和认证
15.2.9 Java认证和授权服务
15.3 基于智能卡的身份识别和认证
15.3.1 架构和实现模型
15.3.2 操作模型
15.3.3 将智能卡用于物理访问控制
15.4 生物特征身份识别和认证
15.4.1 理解生物特征验证过程
15.4.2 生物特征验证的准确性
15.4.3 架构和实现
15.4.4 操作模型
15.4.5 生物特征SSO策略
15.5 使用智能卡和生物特征的多重认证
15.5.1 生物特征卡内匹配策略
15.5.2 生物特征离卡匹配策略
15.6 最佳实践与陷阱
15.6.1 使用智能卡
15.6.2 使用生物特征技术
15.6.3 陷阱
参考文献
猜您喜欢
