各位早上好，非常高兴有机会和各位探讨SOA的问题。我是SAT的成员参与三种身份认证成员参考标准认定的工作。今天我们要讨论的是网络服务的安全所面临的挑战，然后你如何制定你的规划。
我们首先看一下网络服务面临哪些挑战，另外我们还研究在安全领域有哪些问题，当我们了解这些问题的时候，看一看如何解决这个问题，看一看长期的发展会是如何。根据这些信息，我们要提出一个建议，你们如何规划网络服务。首先什么是网络服务呢？我估计在座的各位对它都有非常好的了解，我还是做一个简略的介绍。网络服务可以看作一个新的网络软件的分支，这个要解决问题是解决这种基于标准和规范的基础上来解决应用软件之间的互操作的问题，这种互操作不利于运行平台和独立于编程软件的一种互操作。在此，我对网络软件和网络服务做一个比较，因为大家对这个网络都非常熟悉，网络服务是通过一个人直接应用于浏览器。关键点在于应用与应用之间的操作。
哪些因素阻碍网络服务的发展呢？对此，两大美国市场调研公司对IT管理人员做了调查，安全问题是首当其冲，可以探讨在前几年，最近，美国经济发展并不是最看好。但是经费紧缩排在第二，第一大阻碍是安全。同时，这个IDC，也对一些IT管理人员做了调查，问他们对软件投资方面哪些是重要的投资领域。现在我们已经了解到，安全问题是最大的阻碍因素，对于网络服务来说，到底它有哪些问题呢，我们来进一步深入了解一下。从总体上说，因为网络服务，它有很多后台运作的应用到网络上，然后对企业增加一些机会，通过网络这些“英文”进行攻击。然后可能复制到其他的B2B的应用，同时，因为网络服务的利用，“英文”作为“英文”然后新的攻击方式也产生了，另外一个比较大的问题是，“英文”就是安全孤岛的问题，因为大家都认识到，网络服务和“英文”都有安全问题。首先第一能够想到的解决方案就是能够把安全写到每一个网络服务中去，这样“英文”有一个安全气囊，“英文”又有一个安全气囊。这样企业有一个整体的安全架构是怎么样的？这就存在了一些相互矛盾的安全策略，同时存在一个非常昂贵的管理费用。为什么呢？因为安全问题是通过业务，有一个商业交换。你把它写到你的课本里面去，这样重新“英文”。非常昂贵的费用。
我们再进一步深层的了解安全所面临的问题。我们把它归为四类。你把“英文”到网络上，安全孤岛会带来更多的管理问题和安全漏洞。我们假设网络服务是利用SOAP进行运作的，这样每一层相互作用实现网络服务。传输层又存在着数据的完整性这些挑战。然后“英文”也有很多可能的攻击手段。这都是安全所面临的问题。然后我们来看一下，XML层的威胁，它面临着信息泄露的问题，因为它在传输过程中和存储过程中，会得到很多文件，你的机密和信息可能会泄露，同时会改变和篡改这个数据。然后你本来要“英文”十万美元，改成100万美元，这个就出现很多的问题。然后他还有可能故意的改变这种数据格式，然后让你的网络服务没法儿出来。就形成了这种拒绝服务的危险。
另外还有CKO导入，访问控制，我们刚才说了，因为你把“英文”放到这上面来，访问控制很难出现。你要对它做最基本的，就是要真正的访问者是谁，当你知道他是谁之后，他有什么权限可以在这上面做一些什么事情。同时，他如果做了事情之后，一定要能够审计。特别是在B2B的时候，问题出来的时候是什么样的责任。A是一个非常大的挑战。
因为我们公司有一些是通过网络服务，我作为一个用户，因为它把每一个安全都并入到网络服务中去，我可能每一次都要进行登陆。他们可能进入，然后写下，即便我不写下来，我记不住，我要套“英文”这种维护费用非常高，而且我的效率非常低，单点登陆也是一个非常大的挑战。联合身份识别，我作为一个用户是公司A的用户，然后通过公司A访问公司B的一个网络服务，然后在公司A知道我是尹杰，公司B怎么能知道我是尹杰呢？网络服务有多个结点的服务，你如何把你的身份映射过去，用到其他的安全运行，这是非常重要的一环。
我们再讨论一下安全故障，一个公司有很多用户，像我们公司有几千万的用户，但他们的雇员是几十万的雇员，这些雇员，他们可能会用更多的“英文”。然后我们有一些客户，他在用我们的产品，上千个软件，几十个网络服务在这时候。这个应用软件之间，又会互相进行交互，你如何控制这个人，可以用哪个部分的应用软件，然后哪个部门的应用软件就可以靠其他的应用软件，这都是一个问题。
刚才我已经讲到了孤岛问题，有一种解决办法。写到管理软件中去，存在管理的问题，我同一个应用软件，可能作为“英文”，也可能作为网，但是同一个应用软件，我作为同一个人，然后把每一个安全系统写到每一个系统里去，你就规定你的“英文”。然后通过网络服务可以做这么多事，这就是一个很大的问题。有很多漏洞出现。
我们来看一看哪些解决方案，怎么样来帮助解决这些问题。我们看都有哪些解决方案？针对传输层，大家都非常了解，你可以利用SSL，它可以保证点对点之间的数据传输的完整性和机密性做保证。它只能做点对点的这种保护，如果你有多点，然后你的“英文”就可能固定在一个网络服务器上，在那个时候，它就无法进行保护，然后也不解决授权问题，也不解决入侵防御的问题，同时也不存在SSO和身份联合认证的这种功能。
XML防火墙，这类产品主要是针对XML层的防范，那些入侵方式可以解决数据格式的验证，还可以除以加速对文档的处理，可以防范这些反进预出的这种问题。他同时解决对XML文档的加秘和签名，这样保证它的数据的完整性，以及机密性。另外在“英文”方面，它提供入口点的身份认证。你进来的时候，你进到那一点，它可以进行认证。但是它不提供授权服务。它认证了以后，你能做什么，他一点儿都管不到，都要靠后边的或者是其他的这种安全产品来解决。他并不能够提供用户属性的服务，用户需要提供用户属性来进行“英文”。对SSO，他同样能够解决。同时，他也会形成这种“英文”。
我同时把网络服务的管理平台，也列入这其中。因为很多的管理平台，他们加入了“英文”，逐渐最后加入到这个解决方案之中。但是他们的“英文”毕竟还是在对网络服务的这种监测和控制方面，保证服务水平，同时提供流量的服务。IAM的平台，它是身份认证和访问控制的缩写，这种平台，它的最基本的功能是认证、授权，这是所有的IAM的平台最基本的问题。这是所有的身份联合认证的问题。最关键的是IAM平台是一种集中式生产管理的解决方案。这样把所有的用户，在一个“英文”，甚至通过“英文”的跨越，让它统一管理，这样的话，它非常匹配的一点，他要能够有非常的可靠性，可扩展性，它不提供服务就是“英文”入侵防范，当然在座的肯定都会想到，我利用“英文”，他们都有他们的安全。我为什么要谈其他的安全产品呢？关键的问题在这儿。当“英文”，他们都还是在开发和部署过程中的安全控制，你还是把安全写到“英文”中去。如果你一个公司，你既有“英文”，然后另外的“英文”，他们之间并不能解决严格身份的这个问题。所以它形成安全孤岛，他也不提供防范和其他的一些功能。当然你把安全写到每个内容中去的时候，网络服务是一个两个的时候没问题，可能有八个十个。
我们总结一下解决方案，我在这个主轴上把这个方式分组一下，然后在数字上有不同的解决方案，然后也分组了一下，你可以看到哪些解决方案可以解决哪些事情。在这里，我可以强调一下，我们的CA是一个整体的一个解决方案提供商。我们有IAM平台，这是我们的战略和作用。全球最领先的IAM平台，我们还有管理的系统，它可以解决所有这些安全问题。
再看一下未来的“英文”，大概是我作为一个“英文”很凶猛，我可以靠利用这些服务，但是你在“英文”的过程中，你如何知道，它对安全有什么需求呢？因为我们已经讲到网络服务都有安全的控制，你怎么会知道他有什么需求呢？我知道他的需求了，我怎么样去满足这个需求呢？这就是整个“英文”的规范所要解决的问题。“英文”是对WS的整个规范，我们积极参与这个工作，我们共同写了这些标准。WS的安全规范有一整套，但是现在为止，WS现在是最标准化的。其他的都还没有进行真正的“英文”化。他首先解决了你如何对“英文”进行加密检测，然后传递用户的身份信息。你如何从一个网络服务间到另外一个网络服务间。“英文”他是解决了如何进行验证这方面的东西。“英文”他解决的问题是每一个交易可能有多次往返，这多次往返的交易本身是一个“英文”，不能够每一次都做好服务。如何表达，我有什么样的需求。如何表达我需要什么。
WS是联合身份认证，从一个公司到另外一个公司如何通过。联合身份认证是在网络服务的发展过程中非常重要的一环，因为每一点，都要做身份认证和授权管理。但是你怎么样知道这个人的身份，如果解决不了这个问题，网络服务没有办法进行大规模发展。现在有好几个“英文”在这方面做工作，首先有SSTC，我们是“英文”，“英文”其实是根据我们CA的最早的技术，然后技术上算是一个发明人和创建人。“英文”应用非常广泛，大概已经有两三大美国和欧洲，两三百家，我们CA大概有80多家。
“英文”是另外很多企业，很多反映在金融服务方面，他们三层的这种规范，但是非常好的消息，他已经把下一层提交给了SSTC，然后把它规范化到“英文”的版本上去。这两个走到一起了，而不是竞争了。现在还不太清楚的是W“英文”，还没有提交，这个发展到底是竞争还是合作，还不是很清楚。但是有一点是很清楚的。
现在大家已经了解到这些问题了，知道这些问题，也知道长期发展是怎么样的，但是这些对你们到底有什么意义呢？怎么利用这些信息呢？如何规范你自己的网络服务的这个规范呢？我们首先来看一下，美国的网络服务的发展。第一个是我们公司自己的一些数据，因为我们有上千个全球最大的用户，我们经常在和他们探讨计划。在2003年以前，基本上没有网络服务。但是大家在2003到2004之间，我们见到了不少的公司，开始把公司内部的并不是很关键的一些应用，它不容易做到外网去，现在通过网络服务凑。进一步到2004，2005年，我们已经看到很多公司在积极测试，B2B的这种网络应用，大家基本上还在测试中。内部应用已经基本上都有了。我们大概在2007年在美国、欧洲，联合会会非常普及，我们这些数据跟单门所做的市场调研比较吻合。我想指出，在2004年，CA两到三个非常大的客户，他们做了非常大规模的“英文”是B2B，而且我们做了集中式的安全管理。
我们如何规范网络服务的规范，我们建议是分阶段进行部署，第一阶段，可以对一些内部的“英文”可以用“英文”，在这个阶段需要的安全就可以基本解决问题。但是你可以利用这个机会，给安全做进一步的了解，给网络服务做进一步的经验，同时对做更安全的产品进行一些测试。然后你就可以把这种网络服务作为B2B的那种。你是必须的，因为你跨越企业，你必须要IM，第三阶段的时候，你就可以按照当时已经比较自信，已经对这个问题都了解得比较清楚了，对解决方案也比较清楚了，你可以做B2B方面的用户。而且B2B的用户这是你以后收益非常大的。在那个时候，你需要身份管理和控制，需要网络服务，基本上是这些，都需要用到。
但是到第四个阶段应该是驾轻就熟了，非常自信了，你可以做大规模的重要的操作。
我这里附带了一个决策模型，供你们参考。
我总结一下今天讲的内容，首先网络服务是大势所趋，大家已经谈了好多，安全是对网络服务发展的最大阻碍，所以你们应该对安全非常重视。我们已经了解了安全的问题，有传输层的安全问题，有首先访问的问题，有安全孤岛的问题，一旦你了解这些问题，同时我们已经有了各种各样的渠道，可以提供全方面的解决方案。然后你就可以和这些业界能够在每一个阶段帮助你的业界进行合作，他们可以在这个发展阶段的过程中，对你提供支持和帮助。
非常感谢大家。
