简介 安全是所有Web项目在设计时都要考虑的一个重要因素。
无论是选择最短口令,决定何时使用SSL加密HTTP会话,还是通过自动登录cookie来识别用户,都经常要付出重大的设计努力,以保护用户的身份信息和他们可能存放于Web站点的其他资料。
糟糕的安全性可能带来公关灾难。
当最终用户努力保持对其个人信息的控制时,他们要面临令人迷惑的隐私政策,需要牢记众多站点的不同口令,以及遭遇“钓鱼式攻击”事件。
在宏观层次上,数字身份引起了许多复杂的技术和社会问题,业界一些团体如LibertyAlliance和IdentityGang都正试图通过开发新的技术标准来解决它们。
在较小的规模上,可以使用一些工具来为用户提供更好的安全性。
请考虑口令管理问题。
用户访问他们保存个人资料的Web站点,在可以存取他们的资料之前必须经过验证。
通过验证来鉴别用户,确保他们是所声称的用户。
进行验证最简单方式是使用口令。
然而,若每个站点都需要各自的一套口令,用户将有难以控制的大量口令。
1998年微软首先尝试通过其Passportnetwork提供该问题的全球解决方案。
Passport使得任意Web站点使用用户提交给Passport的个人资料(如用户名、地址、信用卡号)成为可能。
Passport是单点登录(singlesign-on,SSO)的第一次电子商务尝试。
它没有流行起来,部分原因是由于人们对系统封闭性的担心。
然而,SSO的理念非常引人注目,许多开放标准和商业计划都追随Passport其后。
通过SSO,某个Web站点可以与其他站点共享用户身份信息。
SSO对于使用应用服务提供商(ApplicationServiceProvider,ASP)软件服务的企业特别有用。
ASP在自己的服务器上宿主应用程序,出售其访问权作为服务。
公司可以在它的标准目录服务器里管理自己的用户和口令,然后通过SSO授予用户访问ASP应用程序的权限。
SSO允许公司管理自己用户的信息,不必为每一员工维护多个用户账号。
对用户来说,SSO的好处在于他们可以在多个应用程序中使用一个用户名和口令,并且在应用程序之间切换时无需重新验证。
SSO不仅仅用于Web应用程序,它可用于任何类型的应用程序,只要有安全地传送身份信息的协议。
这种通信方式的开放标准就是安全性断言标记语言(SAML)。
1