SOAP安全性及其在电子政务中的应用.pdfVIP

维普资讯 技术交流 《数据通信 》 2003年 第 4期 ·39· SOAP安全性及其在 电子政务 中的应用* 王 锋 金远平 (东南大学计算机 系) 摘 要 ： 针对 SOAP规范本身缺少安全处理机制 的问题 ，本文在研究W 3C的相关 XML规 范和分析 比较工业界现有 的SoAP安全策略的基础上 ，设计和实现 了一种在 SoAP层进行安全扩 展 的方法 ，并通过 电子政务应用实例验证 了此方法在开放 网络 中能保障通信安全 。 关键词 ： SoAP 安全性 电子政务 XML 的转换也相 当繁琐且容易出错 ；如果要在应用程序 一 、 引言 层进行安全加密 ，需要用户对加密算法非常 了解 ，这 根据 W3C的 SOAP 1．2规范 ，SOAP是 “以现 对用户来说是不小 的负担 。 有的通讯协议为载体、以 XML 的格式提供 了一个 SoAP规范提供 了灵活 的扩展机制 ，可 以方便 用于在松散 的分布式环境 中交换结构化和类型化消 地根据 自己的要求在 SoAP层对其进行安全扩展 ， 息的简单 的轻量型协议 ”。简单性是 SOAP的一个 保证 了传输层和应用层 的独立性 。 很重要 的设计 目标 ，但 同时也给它带来很多潜在 的 2．SOAP安全要素和安全扩展标准分析 安全性方面 的问题 。 SOAP安全标准需考虑 以下几个安全要素 ： SOAP通信安全 的主要需求有 ：①机密性 ：消息 · 机密性 ：为 防止信息泄露 ，必须对消息进行加 内容只能被收发双方读取 ，任何第三方不能获取其 密处理 。SOAP报文遵循 XML规范 ，所 以SOAP加 中内容 。②完整性 ：消息在传送时 内容不会被篡改， 密也 以XML—Encryption为标准 ，加密对象可 以是 同时可 以防止发送方抵赖 。③认证 ：消息发送方可 以 整个 SOAP报文或其 中的一部分 (避免性能损失)， 将 证 明 自己身份 的安 全令 牌传 递给接 收者 。 自 加密算法使用信息摘录 (MessageDigest)、块加密 SOAP规范发布 以来 ，SOAP通信 的机密性 、认证和 (Block Encryption)等 。规 则 如 下 ：每 个 SoAP 完整性等安全机制一直受到人们 的广泛关注 。 Envelop可 以包含 多个 (xenc：EncryptedData元 素 ，该元素 的 “DecryptionlnfoURI”属性 是一个 ID 二 、SoAP安全性研 究现状 值 ，和具有相 同 ID值 的(xenc：Decryptionlnfo元 1．施 以安全性考虑的层 次 素对应 ，后者包含 了加密时的信息参数 ，如采用 的加 SOAP层处于传输层和应用层之上 ，首先要考 密算法和密钥 。 虑在哪一层施 以安全措施才最具普遍意义 。传输层 · 完 整 性 ：W 3C 制 定 了 SOAP Digital 可 以用 SSL／TLS和 IPSec等技术避免编码消息 内 Signature安全扩展标准 ，它基 于 XML—SIG 实现 。 容被窃听 ，满足机密性要求 ，但 只适用于 P2P环境 ， SOAP数字签名允许对整个 SoAP消息或 其 中一 并且无法做到消息身份验证 ，对于 中间需要经过多 部分进行