軟件安全問題不斷增加的原因二
更糟糕的是,大型企業又多了兩種缺陷:We堋艮務和與它密切相關的面向服務的體系結構(Sen,ice Orientecl Archi[ecture,SOA)。雖然SOA是通過營銷手段推出的流行模式,它仍然代表了一種許多安全專業人士認可的簡潔方式:過去傳統上不需要網絡交互的應用程序正在成為與網絡交互的應用程序,并且以服務的形式來發布它們的功能。
許多通用平臺和組件,包括SAP、Oracle等(更不用說現在的J2EE和.NET應用程序), 以及COBOL和其他一些古老的大型機平臺,都正被集成到巨型解決方案中。許多的這類應用程序和過去遺留下來的系統都不支持SSL之類的通用工具庫和在互聯環境中進行認證/授權的標準插件,甚至也不支持簡單的加密應用。他們不具備目錄服務的內置功能,而大型商店都使用目錄服務來進行認證和授權。中間件供應商都聲稱他們能夠很好地簡化集成的復雜性并提供無縫互聯,但是即使他們提供了互聯性(通過JCA、WBI或者其他的任何方法),認證系統和應用程序級協議也無法協同工作。
因此,中間件集成實際上弱化成應用程序之間的某種組件,就像跨國企業的FTP-樣。 更糟糕的是,商業公司總是害怕與更好的工具進行緊密的集成(因為缺少技術,沒有項目預算或者對他們的基礎設施隊伍沒有信心),因此他們不適用中間件,而是使用FTP,并且舍棄需要處理的數據塊,而將數據操作轉換成裝載文件或者其他的應用程序輸入。因為這類問題,過去遺留下來的產品集成經常收到兩種巨大的問題的困擾:
◇完全依賴基于弱口令保護的主機到主機的認證:
◇對數據兼容性處理將會隱含地影響到用戶的隱私(因為中間件對數據未加密傳輸, 中間件對失效設備援及負載均衡的實現都意味著緩存隊列文件是以明文形式隨處存放的)。
企業體系結構的當前發展趨勢使得互聯性所導致的問題比以前更加嚴重。
- 上一篇:軟件安全問題不斷增加的原因一
- 下一篇:軟件安全問題之可擴展性