基于策略的Web服务安全解决方案研究.pdfVIP

维普资讯 信 息安全 文章编号：1008-0570(2008)05-3-0093—02 基于策略的Web服务安全解决方案研究 ResearchofWebServicesSecuritySolutionBasedonPolicy (I．华东交通大学；2．新余高等专科学校)胡晓红 ’付永军 张志平 HUXiao-hongFUYong-junZHANGZhi—ping 摘要：本文在 WS—Security规范提 出的基本安全模型的基础上，针对weh服务的安全性需求，经过对WSE3．0中策略架构安 全技术的深入研究．设计 了一种基于策略的weh服务安全解决方案。并在．NET环境下，采用WSE3．0开发工具实现 了该方 案。该方案具有一定的扩展性和灵活性，以适应现今 日益增加的安全需求。 关键词：web服务安全；WSE3．0：策略 中图分类号：TP393 文献标识码：A Abstract： Thispaperhasbased onthe basic securitymodelofWS-Securityspecifications， in ordertO solvethesecurity require— mentsof W ebServices，throughresearchesthe policyarchitectureofW ebServicesEnhancements3．0，aWebServicessecuritysolu- tionbasedonpolicyisdesigned．anditisimplemented on ．NET platform withWSE 3．0．The solution hastheadvantagesof flexibil- ityandextensibility，thiswilladaptmoreandmoresecuritydemands． Keywords：W ebServicesSecurity；W SE3．0；Poficy f2)身份认证：对于企业级应用程序而言，Web服务的数量 1 引言 将有很多，并且具有不同的安全需求等级和用户规模。对于大 web服务安全性 问题是一个非常复杂的问题 。目前 ，与 规模的用户群而言．应该应用简单的认证方式和快捷的加密算 Web服务安全有关的规范主要有WS—Security规范、WS—Policy 法。而对于数量较少的企业用户而言，就可以实施更为安全和 规范以及SAML规范等．虽然这些规范在某些方面能实现消息 全面的安全服务。 安全，但不能提供一个完整的安全解决方案。而Microsoft发布 f3)授权：对于不同的用户 ／角色，Web服务的可访 问性是不 Web服务安全性开发工具包的 3．0版 fWebServicesEnhance— 同的。需要建立一个灵活、可扩展的访 问控制模型，对不同Web ments又名 WSE)．主要 目标就是为开发人员提供WS一}规范的 服务方法进行访问控制。 第一个完整实现，用来开发符合 WS—Security规范的消息级安 4 Web服务安全解决方案的设计 全性解决方案。 本文在 WS—Security规范提出的基本安全模型的基础上 ， 2 WS—Security安全模型 经过对Web服务的安全性需求的深入研究 ，设计了一种基于策 虽然WS—Security规范通过扩展SOAP协议，为SOAP消息 略的Web服务安全解决方案。 的加密、签名和携带安全性令牌提供了一个较好的解决方案。