保護XML文檔的工具[Z]

xml 本文是為ZDNet翻譯的系列文章之一，原文已經發表在ZDNet網站

在一個事務過程中有很多方法可以保護XML文檔，其中一個最通常的方法是使用像SSL這樣的安全傳輸層。使用SSL的不利的方面是它不能保護它所保護的網路以外的文檔。在大多數的事務中，至少會涉及三個網路：你的、互連網和你的夥伴的。
為了減輕保護XML的問題，W3C已經建立了一些規範用於對XML文檔進行數位簽章和加密，分別稱為XML Signature和XML Encryption，它們協助保護XML事務。
唯一的問題是找到這樣的工具，下面就讓我們來看看一些這樣的工具並檢查一下它們在保護XML文檔方面所提供的功能。

Apache security

當考慮XML工具的時候，第一個進入我的腦海的就是Apache Software Foundation。Apache因為它強大的Web伺服器而聞名，但是它的XML工具也非常的流行。Xalan和Xerces是那些需要XML解析功能的java應用的基礎。
為了延伸XML解析的成功，Apache已經建立項目開發SOAP、XSL格式化對象（Formatting Object）、SVG（Scalable Vector Graphics，可伸縮向量圖形）以及現在的XML安全產品。Apache-XML-Security-J project 提供免費的W3C的XML Encryption規範的Java實現。

IBM XML Security Suite

如果你很熟悉Apache，那麼你可能也知道IBM的 alphaWorks。AlphaWorks 本質上是一個具有強大動力的研發團隊，他們工作於最新和最邊緣的軟體技術。alphaWorks團隊已經建立了XML Security Suite，它提供三種類型的文檔保護：
· 認證（Authentication），它實現W3C的XML Signature規範，這個技術允許你對XML文檔進行數位簽章並驗證數位簽章。
· 資料加密（Data encryption），它基於W3C的XML Encryption規範。
· 加密工具，它允許你將XML文檔全部或者部分加密為密文，以後可以解密為原始的XML文檔。
最後，以IBM典型的虛張聲勢的風格，alphaWorks團隊增加了一個被稱為XML存取控制語言（XML Access Control Language）的認證層。這個技術僅僅讓人們被允許訪問那些文檔。

XML Security Library

XMLSec Library是另外一個可以免費得到的可以為你的XML應用增加安全功能的套件。不像Apache和IBM的工具，XMLSec Library是面向C語言程式員的(他們會感激它提供原始碼)。XMLSec Library支援W3C的XML Signature和XML Encryption規範，同時也支援Canonical XML和Exclusive Canonical XML規範。
它基於libxml和 libxslt (兩個都來自XML C library for Gnome) 以及OpenSSL，支援幾種不同的密碼編譯演算法，包括Triple DES和AES。XMLSec Library Web網站包括和那三個W3C規範可以互用的文檔。XMLSec以多種形式發布，包括原始碼、CVS、Linux RPM以及Windows的二進位發布。

商業工具

除了那些免費的工具外，還有幾種商業產品提供XML保護，就像下面的兩個產品：
· KeyTools ：由Baltimore Technologies開發，包括一個XML snap-in組件。KeyTools 支援W3C的XML Signature規範並提供一個基於PKI的完整的密鑰管理系統。
· Java Crypto and Security Implementation (JCSI) ：由Wedgetail Communications開發，使用XMLDSig支援W3C數位簽章規範。XMLDSig可以使用HMAC-SHA1、帶有SHA1的DSA以及帶有SHA1的RSS提供對XML文檔的數位簽章。就像XMLSec Library一樣，XMLDSig包含一個線上互用矩陣說明它和規範的實現相容性。