认证服务器-什么是好方法?

编辑

感谢您的建议;为了澄清,我们已经使用了SSL,但这通常不会对请求方进行身份验证,只对响应方(IIRC?).我会马上研究其他想法,谢谢你的头脑风暴!

背景

我为之工作的组织有一组异构的服务器,它们在整个网络中提供各种服务。它们都是以自己独特的方式编写的,并且有自己的查询和修改数据的协议。不出所料,这些系统之间的通信不断增长,保持所有东西的同步和通信能力变得越来越困难。为了提高可维护性,我们希望在内部使用Web服务;这将有助于提高 一些 一种可移植的、标准化的数据交换+消息传递格式。随着通信量的增加,还需要信任其他服务器及其发送的消息。

问题

我们有许多服务器通过Web服务(即SOAP)提供相互关联的服务。所有HTTP流量都通过SSL。请求服务器如何确保与正确的响应服务器通信?默认情况下,ssl会对发送方的接收者进行身份验证。例如,假设网络被黑客攻击,或者有人想在未经授权的情况下更改某些信息(通过调用方法)。我们怎样才能阻止这样一个代理简单地欺骗发送者呢?

来自不同厂商的WS-Security实现(例如.NET和Java)似乎彼此不太好,特别是当服务变得更复杂(比如事务支持之类的东西)时,不幸的是解决方案可能不是一个好的解决方案。

我们有一个(可信的)LDAP服务器, 用户 是经过身份验证的;在这里存储服务器身份验证是很自然的——但是怎么做呢?拥有一个服务器的用户名/密码是没有意义的,因为如果你需要将它们发送到另一个服务器来验证你自己,那么这个服务器可能不是它声称的那个服务器,而且在任何情况下,如果它被黑客攻击,那么它现在可以假装是你……

也许我们缺少一个明显的解决方案,所以我现在还不会用我们自己的想法来混水-什么会 你 怎么办?