基于SOAP安全代理的Web Service设计.pdfVIP

ISSN 1009-3044 E—mail：info@CCCC．net．cn Compu~rKnowledgeandTechnology电脑知识与技术 http：／／www．dnzs．net．en Yo1．7，No．28，October2011． Teh+86—551—569o963 5690964 基于SOAP安全代理的WebService设计 王 婷 (信息网络安全公安部重点实验室 公安部第三研究所 ．上海 201000) 摘要 ：该文阐述 了WebServices基础和SOAP规范，分析 了WebServices的安全 问题 ，基于WS—Security实现 SOAP签名和加密，保 证 了web服务中数据交换安全 ，确保消息的机密性 、完整性和不可否认性。提 出采用安全代理的方式处理 SOAP安全 ，使安全与业 务处理分开 ，对用户和开发者透 明，易于集成和维护。 ‘ 关键词 ：WebServices；SOAP；签名；加密 ；代理 中图分类号：TP393 文献标识码 ：A 文章编号：1009—3044(2011)28—鳃50．03 大多数应用系统需要在不同组织机构的异构平台间完成数据收集、传递和处理。面向服务的架构是现代应用系统的基础， WebServices作为面向服务的核心 ，具有跨平台、松耦合、与实现语言无关等特点，是一种分布式模型技术，被广泛应用于现代应用 系统中。不 同组织采用WebSeivices技术对外提供服务 。这样 ，应用系统的安全边界 由Intranet扩大到 Intemet，给各组织机构平台的 安全性和消息传递 的安全带来了挑战。 1WebServices基础和 SoAP规范 1．1WebServices基础 WebServices是一组通过标准的Web协议可编程访问的Web组件。其涉及的相关技术主要包括可扩展标记语言 XML，简单对 象访 问协议 SOAP，Web服务描述语言WSDL，通用描述、发现与集成 UDDI。其中XML是 WebServices平台中表示数据 的基本格 式；SOAP是轻量级的协议 ，它通过XML文档形式发送和接收消息实现异构平台上的不同系统的相互通信和共享数据；WSDL用来 描述 WebServices所完成的功能和 WebServices所提供的服务 ；UDDI用来注册、发布已建立 的WebServiceslll。 一 个典型的WebServices调用和返回的消息传递模型如图1圜，服务提供方对外提供接 口，隐藏内部实现，服务请求方通过调用 接 口请求WebServices服务。 WebServices中的消息基于XML格式，以SOAP协议封装 ，可 以通过任意支 持字节流的协议传送 ，而 由于H1TrP协议的通用性，目前大多都将 SOAP与HrITp 绑定 。 1．2SOAP规范 3卅【 腿势请求宵 Jjfi务提供方 图1 消息传 递模型 图 简单对象访 问协议 (SOAP，全称 SimpleObjectAccessProtoco1)是一种标准化 的通讯规范，以XML形式提供了一个简单、轻量的用于在分散或分布环境中交换结构化和类型信息的机制。SOAP消息分为四部分： 1)SOAP信封(Envelope)：定义了一个 SOAP消息表示框架 ，包括消息头Header和消息体 Body，消息头中定义消息发送和接收 者信息以及附加的特性 ．消息体中包含发送的数据信息。 2)SOAP编码规则：定义了一组数据序列化 的编码规则，定义数据类型。 3)SOAPRPC：表示远程过程调用和响应的约定 。 在 SOAPRPC请求和相应 中，方法调用被串行化为 SOAP编码规则定义的， 基于 XML的数据类型。 4)SOAP绑定：定义SOAP在传输过程中使用特定底层通信协议的约定。 WebServices使用 SOAP进行消息传递，是将每个远程请求串行化为基于XM