Marlin 小結

1. 先前看Marlin文件時，了解到Marlin使用NEMO framework來安全地交換訊息，而NEMO中又在訊息中使用SAML，便想來認識SAML


2.
web service 組成大致如圖

(from: http://upload.wikimedia.org/wikipedia/en/4/4a/Webservices.png)

是service provider向service requester提供service,它們利用java或是.NET的SOAP framework來溝通，並可利用SAML來確保溝通的安全性。



SAML protocol中















(from: http://upload.wikimedia.org/wikipedia/en/a/ae/Saml-use-case.gif)

當service requester向service provider送出請求後，provider會將requester重導向identity provider, 對requester進行authentication, 通過後便assert該requester為合法的使用者並通知service provider
* 這樣的架構也就是SAML實現SSO的方式
* SAML的訊息也需要加密，
方法一是使用SSL[transport-level security]
另一方法是使用XML Signature與XML Encryption[message-level security]
** WSS(Web service Security)
XML Signature可提供WSS中的message integrity
XML Encryption可提供WSS中的message confidentiality
from: Web Services Security: SOAP Message Security 1.1 (WS-Security 2004)
(wss-v1.1-spec-os-SOAPMessageSecurity.pdf)

3.
Marlin就採用SAML把service provider, identity provider分開的作法。這樣應該可以達到，使用content而不限service provider的可能，也就是說當我購買了"不能說的秘密"後，就能透過中華電信MOD收看，或是透過其他付費管道收看(如yam天空的寬頻電視服務)？！


todo
--
1. Web service 和 widget (e.g. yahoo widget engine) 關係