企業(yè)級Java安全性：構(gòu)建安全的J2EE應(yīng)用

定　價：￥58.00

作　者：	（美）Marco Pistoia，（美）Nataraj Nagaratnam等著；尹亞，明喻衛(wèi)，嚴(yán)進寶譯；尹亞譯
出版社：	清華大學(xué)出版社
叢編項：
標(biāo)　簽：	Java

購買這本書可以去

ISBN：	9787302097440	出版時間：	2005-03-01	包裝：	平裝
開本：	26cm	頁數(shù)：	412	字?jǐn)?shù)：

內(nèi)容簡介

　　本書給應(yīng)用開發(fā)人員和程序員提供了參考：如何利用最新的ava安全技術(shù)構(gòu)建安全的企業(yè)級基礎(chǔ)結(jié)構(gòu)。本書由IBM的Java安全專家編寫，它涵蓋了現(xiàn)有的Java2平臺的各個版本（包括J2EE、J2SE）以及安全體系結(jié)構(gòu)，并提供了實用解決方案和應(yīng)用模式，以解決Java安全中的關(guān)鍵問題。為了幫助開發(fā)人員構(gòu)建安全的J2EE應(yīng)用，本書詳細地描述了J2EE安全技術(shù)，包括Servlet、JSP、EJB的安全——這些技術(shù)是J2EE全系結(jié)構(gòu)的核心。另外本書還涵蓋了Web服務(wù)的安全技術(shù)。貫穿本書的例子和示例代碼將幫助您掌握底層技術(shù)。本書還詳細描述了Java與加密技術(shù)之間的關(guān)系，包括：·Java加密體系結(jié)構(gòu)（JCA）·Java加密擴展（JCE）·Java安全套接字?jǐn)U展（JSSE）·安全/多用途因特網(wǎng)郵件擴展（S/MIME）·公開密鑰加密標(biāo)準(zhǔn)（PKCS）

作者簡介

　　本書的作者是幾名IBM安全問題研究人員和架構(gòu)設(shè)計師，他們的主要研究方向是Java安全體系結(jié)構(gòu)的定義和相關(guān)技術(shù)。這個項目的領(lǐng)導(dǎo)人是MarcoPistoia。Marco Pistoia是Java和Web服務(wù)安全部門的研究人員之一。這個部門是IBM在紐約YorktownHeights的IBMThomasJ．Watson研究中心的網(wǎng)絡(luò)安全、隱私和密碼學(xué)研究部門的一部分。Marco撰寫過十本書籍，并發(fā)表過許多論文和期刊文章，其內(nèi)容涉及Java和電子商務(wù)安全問題的各個領(lǐng)域。他撰著的一本書，Java 2NetworASecurity，SecondEdition在1999年由Prentice出版社出版。他曾經(jīng)出席過許多全球級別的會議，例如Sun Microsystems的JavaOne會議等。他曾被邀請為研究生講授Java安全問題方面的課程，并曾出席紐約Brooklyn的CenterbfAdvancedTechnologyinTelecommunications（CATT）。Marco于1995年在意大利的羅馬大學(xué)獲得了數(shù)學(xué)碩士學(xué)位，現(xiàn)在正在紐約州Brooklyn的Polytechnic大學(xué)攻讀博士學(xué)位。他的技術(shù)興趣主要集中在可移動代碼的安全問題、組件軟件和面向?qū)ο笳Z言的靜態(tài)分析。NatarjNagaratnam是位于北卡羅萊納州Raleigh的IBMWebSpheresoftwarefamily高級技術(shù)成員之一和首席安全架構(gòu)師。他領(lǐng)導(dǎo)了IBMWebSphere安全體系結(jié)構(gòu)和IBMGrid基礎(chǔ)結(jié)構(gòu)的研究。他還是IBM Web Service安全體系結(jié)構(gòu)研究組的核心成員。他曾經(jīng)與他人合著了Web Service安全規(guī)范和OpenGrid ServicesArchitecture（OGSA）文檔。他積極地參與研究JavaCommunity Process中與J2EE安全問題相關(guān)的主題部分，也承擔(dān)了Java Specification Request中關(guān)于J2EE安全問題的部分領(lǐng)導(dǎo)工作。Nataral在紐約的Syracuse大學(xué)獲得了計算機工學(xué)博士學(xué)位。他的學(xué)術(shù)論文是關(guān)于分布式對象環(huán)境中的安全委托問題。他廣泛地參與了各種關(guān)于Java和安全問題的會議，并且在許多的期刊、會議和雜志上發(fā)表了大量的文章。Nataraj是WaiteGroupPress在1996年最早的出版的JavaNetworkingand APTSuperBible的領(lǐng)銜作者之一，此書是關(guān)于Java網(wǎng)絡(luò)的最早的書籍之一。Larry 是和服務(wù)安全部門的經(jīng)理和研究人員之一，這個部門是在紐約KovedJ的avaWeb研究中心的網(wǎng)絡(luò)安全、隱私和密碼學(xué)研I究BMYorktownHeights IBMThomasJ．Watson 部門的一部分。他曾經(jīng)是IBM的Java安全架構(gòu)師，并曾在關(guān)于Java安全設(shè)計和開發(fā)合作的事宜中負(fù)責(zé)與SunMicrosystems聯(lián)絡(luò)溝通。他積極地參與了JAAS及其后的EJB 1．1版本的安全體系結(jié)構(gòu)的設(shè)計。Larry在關(guān)于用戶界面技術(shù)、虛擬現(xiàn)實、超文本和移動計算、Java代碼的靜態(tài)分析以及安全方面發(fā)表了25篇以上的文章和技術(shù)報告。他目前的研究興趣包括可移動代碼的安全性、組件軟件和OO語言的靜態(tài)分析。AnthonyNadalin是IBM在德克薩斯州Austin的Java和WebService的首席安全架構(gòu)師。作為一名資深技術(shù)成員，他負(fù)責(zé)橫貫IBM、Tivoli和Lotus的安全基礎(chǔ)結(jié)構(gòu)的設(shè)計和開發(fā)。他在與SunMicrosystems關(guān)于Java安全設(shè)計和開發(fā)合作，以及與Microsoft關(guān)于WebService安全設(shè)計和開發(fā)的合作中擔(dān)任首席安全聯(lián)絡(luò)員。他在20年IBM的職業(yè)生涯中，曾歷任以下職位：VM／SP首席安全架構(gòu)師、AS／400安全架構(gòu)師和OS／2安全架構(gòu)師。他曾經(jīng)獨立以及與他人合作撰寫了30多篇技術(shù)性期刊和會議文章，iUniverse．com在2000年出版了他的Java and InternetJecurity砂一書。他曾在三個主要的學(xué)術(shù)期刊和一個會議擔(dān)任技術(shù)委員會成員，并且廣泛地審閱了由當(dāng)今本領(lǐng)域的技術(shù)先驅(qū)們發(fā)表的文章。他曾經(jīng)出席過許多技術(shù)性安全問題會議并多次被邀請發(fā)言

圖書目錄

第1章Java技術(shù)與安全概述
1.1 為什么企業(yè)應(yīng)用要采用Java技術(shù)
1.1.1 Java2平臺標(biāo)準(zhǔn)版(Java 2 Platform Standard Edition, J2SE)
1.1.2 Java2平臺企業(yè)版(Java 2 Platform Enterprise Edition,J2EE)
1.1.3 Java組件
1.1.4 完整的、發(fā)展的和可互操作的Java安全技術(shù)
1.1.5 異類環(huán)境中的可移植性
1.2 企業(yè)級Java技術(shù)
1.2.1 中間層：Servlets、JSP和EJB
1.2.2 組件軟件：向正確方向邁出的第一步
1.2.3 企業(yè)內(nèi)部的安全通信
1.3 作為安全一部分的Java技術(shù)
1.4 企業(yè)安全集成的概述
1.4.1 身份認(rèn)證與授權(quán)服務(wù)
1.4.2 密碼服務(wù)
1.4.3 防火墻
1.5 上市的時間
1.5.1 對基本技術(shù)標(biāo)準(zhǔn)的支持
1.5.2 不同環(huán)境中的工程軟件
1.5.3 時間是關(guān)鍵
第2章企業(yè)網(wǎng)絡(luò)安全與Java技術(shù)
2.1 網(wǎng)絡(luò)體系結(jié)構(gòu)
2.1.1 兩層體系結(jié)構(gòu)
2.1.2 三層體系結(jié)構(gòu)
2.2 網(wǎng)絡(luò)安全
2.3 服務(wù)器端的Java技術(shù)
2.3.1 WAS組件
2.3.2 WAS安全環(huán)境
2.4 Java與防火墻
2.4.1 TCP/IP報文
2.4.2 通過防火墻的程序間通信
2.4.3 防火墻對Java程序的影響
2.5 小結(jié)
第II部分 Enterprise Java組件安全
第3章 Enterprise Java安全基礎(chǔ)
3.1 企業(yè)系統(tǒng)
3.2 J2EE應(yīng)用
3.2.1 EJB模塊
3.2.2 Web模塊
3.2.3 應(yīng)用客戶端模塊
3.3 ORB間的安全互操作
3.4 連接器
3.5 Java消息傳送服務(wù)（JMS）
3.6 一個簡單的電子商務(wù)請求流程
3.7 J2EE平臺角色
3.7.1 應(yīng)用組件提供者
3.7.2 應(yīng)用級裝者
3.7.3 部署者
3.7.4 系統(tǒng)管理員
3.7.5 J2EE產(chǎn)品提供者
3.8 J2EE安全角色
3.9 聲明性安全策略
3.9.1 登錄配置策略
3.9.2 認(rèn)證策略
3.9.3 委托策略
3.9.4 連接策略
3.10 程序性安全
3.10.1獲取身份信息
3.10.2 預(yù)應(yīng)授權(quán)
3.10.3 對EIS的應(yīng)用管理式登錄
3.11 WAS環(huán)境內(nèi)部的安全通信
3.12 安全電子商務(wù)請求流程
第4章 Servlet和JSP安全
4.1 介紹
4.1.1 Java Servlet
4.1.2 JSP技術(shù)
4.2 Servlet的優(yōu)點
4.3 Servlet生命周期
4.4 Web模塊的部署描述符
4.5 認(rèn)證
4.5.1 登錄配置策略
4.5.2 一次登錄，資源盡享
4.6 授權(quán)
4.6.1 調(diào)用鏈
4.6.2 保護指定的URL
4.6.3 保護URL模式
4.6.4 完全保護
4.6.5 理解優(yōu)先級規(guī)則
4.6.6 數(shù)據(jù)約速——只能通過SSL傳送
4.7 主體委托
4.8 程序性安全
4.8.1 主體信息
4.8.2 授權(quán)信息
4.8.3 SSL屬性信息：證書和密碼組
4.8.4 程序性的登錄
4.9 Web組件的運行時約束
4.10 使用方式
4.10.1 使用HTTPS連接到外部HTTP服務(wù)器
4.10.2 安全地維持狀態(tài)
4.10.3 pre-servlet與post-servlet處理
4.11 分割Web應(yīng)用
第5章 EJB安全
5.1 引言
5.2 EJB角色和安全
5.2.1 EJB提供者
5.2.2 應(yīng)用組裝者
5.2.3 部署者
5.2.4 系統(tǒng)管理員
5.2.5 EJB容器提供者
5.3 認(rèn)證
5.4 授權(quán)
5.5 委托
5.6 安全考慮事項
第6章 Enterprise Java Security部署實例
6.1 規(guī)劃組件安全系統(tǒng)
6.1.1 客戶端訪問
6.1.2 表示層
6.1.3 業(yè)務(wù)邏輯
6.1.4 資源適配器和遺留應(yīng)用
6.2 部署拓?fù)浣Y(jié)構(gòu)
6.2.1 入門級
6.2.2 集群環(huán)境
6.2.3 加另一個防御等級
6.2.4 使用安全緩存反向代理服務(wù)器進行防御
6.3 安全通信信道
6.3.1 HTTP連接
6.3.2 HOP連接
6.3.3 JMS連接
6.3.4 連接到非J2EE系統(tǒng)
6.3.5 關(guān)于其他主題
6.4 安全性考慮
第III部分 Java 2安全基礎(chǔ)
第7章 J2SE安全基本原理
7.1 訪問類、接口、域和方法
7.2 類加載器
7.2.1 類加載機制的安全責(zé)任
7.2.2 被加載類的可靠性級別
7.2.3 類加載過程
7.2.4 構(gòu)建定制的ClassLoader
7.3 類文件驗證器
7.3.1 類文件驗證器的責(zé)任
7.3.2 類文件驗證器的四個關(guān)口
7.3.3 字節(jié)碼驗證器的詳細細節(jié)
7.3.4 類文件驗證器的一個例子
7.4 安全管理器
7.4.1 安全管理器的職責(zé)
7.4.2 安全管理器的操作
7.4.3 攻擊類型
7.4.4 惡習(xí)意代碼
7.4.5 安全管理器擴展
7.5 三個Java安全支柱之間的互相依賴
7.6 小結(jié)
第8章 Java 2許可模型
8.1 Java2 訪問控制模型總覽
8.1.1 特權(quán)修改的詞法范圍
8.1.2 Java2安全工具
8.1.3 JAAS
8.2 Java許可
8.2.1 許可目標(biāo)和操作
8.2.2 PermissionCollection類和Permission類
8.2.3 Permission類中的implies()方法
8.2.4 PermissionCollection類和Permission類中的implies()方法
8.2.5 Permission隱式地等同于AllPermission
8.3 Java安全策略
8.3.1 聯(lián)合多個簽名者
8.3.2 多個策略文件，一個激活的策略
8.4 CodeSource的概念
8.5 ProtectionDomain
8.5.1 d PermissionDomain類中的implies()方法
8.5.2 系統(tǒng)域和應(yīng)用域
8.5.3 Class、ProtectionDomain和Permission之間的關(guān)系
8.6 基本的Java 2訪問控制模型
8.6.1 場景：當(dāng)前線程的簡單檢測
8.6.2 SecurityManager和AccessController
8.7 Java 2特權(quán)代碼
8.7.1 構(gòu)造特權(quán)代碼的安全建議
8.7.2 如何編寫特權(quán)代碼
8.7.3 特權(quán)代碼場景
8.8 protectionDomain繼承
8.9 Java 2 訪問控制模型中的性能問題
8.9.1 去除復(fù)制ProtectionDomain的操作
8.9.2 在系統(tǒng)域之外過濾
8.9.3 在第一個特權(quán)棧幀處停止驗證
8.10 小結(jié)
第9章 Java認(rèn)證與授權(quán)服務(wù)（JAAS）
9.1 JAAS概述和JAAS術(shù)語
9.2 認(rèn)證
9.2.1 通過LoginModule實現(xiàn)可插的認(rèn)證
9.2.2 JAAS的LoginModule模塊的示例
9.3 授權(quán)概述
9.3.1 基于J2SE保護域的授權(quán)概述
9.3.2 向線程添加Subject
9.3.3 安全授權(quán)策略文件
9.3.4 基于Subject的授權(quán)算法示例
9.3.5 對JAAS的其他觀察
9.4 JAAS與J2EE
9.4.1 在不同JVM中執(zhí)行的Web應(yīng)用服務(wù)器
9.4.2 J2EE環(huán)境中的JAAS
9.4.3 跨越鴻溝
9.4.4 企業(yè)級安全策略管理
9.5 可插入認(rèn)證的其他技術(shù)支持
第IV部分企業(yè)級Java與密碼學(xué)
第10章密碼學(xué)理論
10.1 密碼學(xué)的目標(biāo)
10.2 秘密密鑰密碼學(xué)
10.2.1 算法與技術(shù)
10.2.2 秘密密鑰安全屬性
10.3 公開密鑰密碼學(xué)
10.3.1 算法與技術(shù)
10.3.2 公開密鑰安全屬性
10.3.3 數(shù)字簽名
10.3.4 數(shù)字證書
10.3.5 秘密密鑰分發(fā)
第11章 Java2平臺與加密技術(shù)
11.1 JCA和JCE框架
11.1.1 術(shù)語和定義
11.1.2 JCA和JCE工作原理
11.1.3 JCA和JCE提供者
11.1.4 引擎類和SPI類
11.2 JCA API
11.2.1 java.security.SecureRandom類
11.2.2 java.security.Key接口
11.2.3 java.security包的publicKey接口和PrivateKey接口
11.2.4 java.security.KeyFactory類
11.2.5 java.security.KeyPair類
11.2.6 java.security.KeyPairGenerator類
11.2.7 java.security.KeyStore類
11.2.8 java.security.MessageDigest類
11.2.9 java.security.Signature類
11.2.10 java.security包中的AlgorithmParameters和AlgorithmParameterGenerator類
11.2.11 java.security.SignedObject類
11.2.12 java.security.spec包
11.2.13 java.security.cert包
11.2.14 java.security.interfaces包
11.3 JCE API
11.3.1 javax.crypto.Cipher類
11.3.2 javax.crypto包的CipherInputStream類和CipherOutputStream類
11.3.3 javax.crypto.SecreKey接口
11.3.4 javax.crypto.spec.SecretKeySpec類
11.3.5 javax.crypto.KeyGenerator類
11.3.6 javax.crypto.seretKeyFactory類
11.3.7 javax.crypto.SealedObject類
11.3.8 javax.crypto.KeyAgreement類
11.3.9 javax.crypto.Mac類
11.4 實踐中的JCE
11.4.1 Bob的程序
11.4.2 Alice的程序
11.5 安全考慮
第12章 J2EE中的PKCS與S/MIME
12.1 PKCE概述
12.1.1 PKCS#1：RSA加密標(biāo)準(zhǔn)
12.1.2 PKCS#5：基于密碼的加密標(biāo)準(zhǔn)
12.1.3 PKCS#7：加密消息語法標(biāo)準(zhǔn)
12.1.4 PKCS#8：私有密鑰信息語法標(biāo)準(zhǔn)
12.1.5 PKCS#9：選擇屬性類型
12.1.6 PKCS#10：證書申請語法標(biāo)準(zhǔn)
12.1.7 PKCS#12：個人信息交換語法標(biāo)準(zhǔn)
12.2 S/MIME概述
12.3 PKCS和S/MIME的簽名和驗證事務(wù)
12.3.1 有關(guān)PKCS#7標(biāo)準(zhǔn)的思考
12.3.2 使用PKCS和S/MIME
12.4 帶PKCS和S/MIME的加密事務(wù)
12.5 安全考慮
12.6 展望未來
第13章 J2EE環(huán)境下的SSL和TLS協(xié)議
13.1 SSL和TLS協(xié)議
13.1.1 record協(xié)議
13.1.2 handshake(握手)協(xié)議
13.2 HTTPS
13.3 通過SSL支持構(gòu)建J2EE產(chǎn)品
13.3.1 使用SSL保護認(rèn)證期間的用戶ID和密碼
13.3.2 基于證書認(rèn)證的SSL
13.3.3 反向代理服務(wù)器和WAS的相互認(rèn)證
13.3.4 SSL中基于Cookie的單點登錄
13.3.5 基于證書認(rèn)證的單點登錄
13.3.6 SSL保護通信信道
13.4 在J2EE程序中使用SSL
13.4.1 JSSE
13.4.2 信任管理員
13.4.3 信任庫
13.5 示例
13.5.1 無SSL的基本場景
13.5.2 帶SSL的場景
13.6 小結(jié)
第V部分高級專題
第14章 Web服務(wù)的企業(yè)級安全
14.1 XML
14.2 SOAP
14.3 WSKL
14.4 Web服務(wù)的安全：動機
14.5 安全技術(shù)
14.5.1 XML與加密技術(shù)
14.5.2 WS-Security
14.6 Web服務(wù)安全模型的原則
14.6.1 Web服務(wù)消息安全
14.6.2 WS-Policy
14.6.3 WS-Trust
14.6.4 WS-SecureConversation
14.6.5 WS-Privacy
14.6.6 WS-Federation
14.6.7 WS-Authorization
14.6.8 示例
14.7 應(yīng)用模式
14.8 使用場景
14.9 Web服務(wù)提供者安全
14.9.1 用戶認(rèn)證
14.9.2 強制授權(quán)
14.10 安全考慮
14.11 前景
第15章對容器提供者的安全考慮
15.1 理解環(huán)境
15.2 認(rèn)證
15.2.1 認(rèn)證機制
15.2.2 使用JAAS LoginModule
15.2.3 用戶信息
15.2.4 單點登錄
15.3 授權(quán)
15.4 安全通信
15.4.1 使用JSSE
15.4.2 客戶證書
15.5 安全相關(guān)
15.6 訪問系統(tǒng)資源
15.7 在連接器邊界匹配身份
第16章后記
第VI部分附錄
附錄A 分布式對象體系結(jié)構(gòu)的安全
A.1 RMI
A.2 存根和框架
A.3 RMI注冊
A.4 RMI的安全
附錄B X.509數(shù)字證書
附錄C 中英文對照縮略詞表
附錄D 參考文獻