2002-09-17 10:09
Web服务会对黑客的Dos攻击提供帮助
Web服务标准的开发使得我们能够将许多由第三方提供的“松耦合”的组件组合到一起开发商业应用。这种方法引发的问题是,某个组件极有可能会受到Dos攻击。
Web服务目前被限制只能在内部网络上使用的原因有许多。主要原因是大多数的开发工作还处于实验阶段。另外,安全性和可管理性的缺乏使得将Web服务发布到防火墙之外成为一件“很恐怖”的事儿。即使这些问题解决了,Web服务仍然存在着相当的问题。
Web服务标准好的一面是它可以帮助第三方发现并执行一定的功能,但这一点完全可能会被黑客所利用。首先,UDDI将协助攻击者找到任意的Web服务,WSDL将提供执行服务所必需的细节。在SOAP的帮助下,Web服务就可以在服务器上执行了,Dos攻击也就开始了。通过大量的请求就可以使服务器疲于应付,并最终瘫痪。
有读者一定会辩解说,在没有成熟的安全机制前,没有人会向所有用户开放自己的服务。然而,这需要功能强大的身份管理系统,确保在发出执行服务所必须的信息前,申请者已经得到了服务器的信任。一个显而易见的解决方案是在用户知道哪些服务可供使用前,对其身份进行认证。然而,这与Web服务的“所有组件可以供任意人使用”的理念是相违背的。
在实际应用中,即使一些Web服务是需要用户注册的,但注册的目的并不是为了安全性,而是为了对用户因使用服务而收费。