Web服务安全性分析与研究.pdfVIP

学术．技术 Web服务安全性分析与研究 刘秋香 (山东理工大学 工程技术学院，山东 淄博 255012) 摘 要：该文分析了目前Web服务所存在的安全问题，重点探讨了传输层和 SOAP层的Web服务安全问题及安全技术，提出了 SOAP加密、SOAP签名以及安全断言的安全技术 ，在一定程度上消除了Web服务所面临的安全威胁 。 关键词：Web服务；安全；传输层；SOAP层 Analysisand Research OfW eb Services Security LIU Qiu-xiang (Co／／e#eofEnG}zee?／}dzandTechnology,ShandondUnlYeAslZyofTechnology,Zn／o255000,Ch}／za) Abstract：Thearticle analyzesthe security problem existing in Web Services， and discusses security problems and security technology of Web Servicesontransmitting layerandSOAP layerespecially．thenputs、forwardthreesecurity technology — — SOAP Encryption、 SOAP Signatureand SAML，then eliminatessecurity threatfacedwithWeb Servicestoa certain degree． Keywords：Web Services；security；transmitting layer；SOAP layer 面 ’：非授权访问、信息遗漏丢失 、 并构建在网络上的，许多网络攻击都 1引言 破坏数据完整性 、拒绝服务攻击。 与Web服务有关。Web服务进行消 Web服务是基于组件的分布式 2．2SOAP安全问题 息交换，总是存在着消息被窃听、丢 计算技术不断发展的产物 ，是一种划 SOAP的主要设计 目标是简单性 失或修改的风险。由于被交换信息的 时代的软件技术，正逐渐被业界广泛 和可扩展性 。SOAP标准未指定任何 关键性，必须确保底层消息传递体系 采纳。该技术的主要 目标是在现有 安全性机制，它将安全处理委派给传 结构的安全可靠。总的说来，消息的 的各种异构平台的基础之上构筑一个 输层 。但仅依靠传输层的安全措施已 传输存在 5个基本安全要求 “ ：机 通用的平 台无关、语言无关的技术层 ， 经不能满足安全需求 ，原因如下 ： 密性、完整性、身份验证 ，授权、不 各种应用依靠这个技术层来实施彼此 (1) ／TI (安全套接字层 ／传 可否认性。这几个安全服务是相互联 的连接和集成。 输层安全性)不能保证端到端传输的 系的，缺少其一则存在安全漏洞。 Web服 务具有完 好的封 装性、 安全性，只能保证点到点传输的安全性。 3．2Web服务安全性规范 松 散耦合，使 用标准协议规范 ，高 (2)即使在传输层 中保证 了端对 Web服务的安全性规范是Web 度可集成能力、可跨越 防火墙等特 端的安全要求，但如果传输的消息是 服务安全层的实施