Web服务动态授权管理的分析研究.pdfVIP

Web服务动态授权管理的研究 摘 要 随着 Web 服务的开发平台及其应用的日益广泛 Web 服务的 安全问题引起了业界的广泛关注 Web 服务存在的安全认证和授权 管理问题使得大多数企业将推迟使用Web 服务技术 在IEEE 的 安 全及隐私论坛 上 Yahoo 的首席科学家 Udi Manber 提醒 当大 范围的分布式 Web 服务正在成为趋势的同时 Web 服务的安全性 隐患也正在浮现出来 如果Web 服务的安全问题得不到妥善解决 Web 服务的推广应用将会大大延缓 针对Web 服务的安全认证问题 如身份认证 数据一致性 数 据机密性 不可否认性等 本文结合 WS-Security 安全规范和 Microsoft 的Web 服务开发包 设计和实现了一个Web 服务安全认 证的试验系统 并主要研究和分析比较了基于用户名令牌 UsernameToken 和X.509 数字证书的Web 服务安全认证 设 定SOAP 消息体在不同载荷量 Payload 的条件下 对Web 服务 执行效率的影响 同时 本文针对企业Web 服务的授权管理问题 在继承并扩展 传统 RBAC Role-Based Access Control 模型的基础上 引入 GRBAC(Generalized RBAC) 模型中的环境角色 Environment Roles 概念和Web 服务资源的表示 提出Web 服务动态授权管理 的参考模型 该参考模型将原来在企业内部使用的 RBAC 的授权管 理模型 进行适当扩展 主要包括访问时间 Web 方法的参数和访 问次数方面的角色扩展 运用在 Web 服务的授权管理领域 通过 Web 服务授权管理的参考模型 使 Web 服务的授权粒度不仅可以 实现方法级 甚至可以实现参数级的授权粒度 同时 可进一步结 合访问时间和访问次数方面的环境角色 使Web 服务的授权粒度更 加细化 更加灵活 在 Web 服务授权管理参考模型中 Web 服务 的授权决策过程不仅依赖传统的用户主体角色 而且依赖于环境角 色 这样进一步提高Web 服务授权管理的安全性 最后 参照Web 服务授权管理的参考模型 实现了一个Web 服务授权管理的原型系 统 并针对该原型系统 作了详细的试验与数据分析 关键字 Web 服务 环境角色 认证和授权 RBAC Web 服务授权管理参考模型 RESEARCH OF DYNAMIC AUTHORIZATION MANAGEMENT OF WEB SERVICES .1 ABSTRACT With the development of platform and application of web services, the security issues of web services arouse a lot of attention. The authentication and authorization management of web services make most enterprises postpone the use of web services technology. At the IEEEs Symposium on Security and Privacy, Udi Manber, chief scientist at Yahoo!, warned. “When the large-scale, distributed web services are becoming a tendency, the security issues of web services are also emerging. If we cant solve these problems, well see less a