Web服务安全机制研究与实现-计算机软件与理论专业论文.docxVIP

Research and implementation on Web services security mechanism A Dissertation submitted in fulfillment of the requirements of the degree of MASTER OF PHILOSOPHY from Shandong University of Science and Technology by Tian Qiang Supervisor: Professor Sun Zhonglin College of Information Science and Engineering May 2010 声 明 本人呈交给山东科技大学的这篇硕士学位论文，除了所列参考文献和世所 公认的文献外，全部是本人在导师指导下的研究成果。该论文资料尚没有呈交 于其它任何学术机关作鉴定。 硕士生签名： 日 期： AFFIRMATION I declare that this dissertation, submitted in fulfillment of the requirements for the award of Master of Philosophy in Shandong University of Science and Technology, is wholly my own work unless referenced of acknowledge. The document has not been submitted for qualification at any other academic institute. Signature: Date: 摘 要 山东科技大学硕士学位论文摘要 山东科技大学硕士学位论文 摘要 Web 服务作为解决企业间的数据交换和集成等问题的分布式计算模型，在开放的网 络环境下，存在安全隐患。传统的安全机制只能保证 Web 服务传输层和网络层的数据安 全，不能保证 Web 服务消息级的端到端安全。由于 Web 服务所处环境的异构性、分布 性和动态性，对传统的安全访问控制提出了挑战。为了满足 Web 服务的安全和访问控制 方面的需求，论文对 Web 服务的机密性、完整性、不可抵赖性、身份验证和访问控制等 方面的安全问题进行了研究，结合安全规范和安全技术，给出了解决 Web 服务安全问题 的方案。论文的主要研究工作是： （1）通过分析 Web 服务的安全需求，给出了 Web 服务涉及的安全问题，确定了 Web 服务应达到的安全目标。 （2）通过分析现有 Web 服务安全规范和安全技术，给出了一种基于消息层的 Web 服务安全模型，由消息的安全处理模块和访问控制模块组成。消息的安全处理模块利用 SOAP 消息的扩展性，在消息中添加安全属性，防止重放攻击和实现用户的跨域身份验 证；利用 WS-Security 规范将 XML 加密、签名后的敏感信息嵌入到 SOAP 消息头中，保 证 SOAP 消息的机密性、数据完整性和不可抵赖性。访问控制模块采用基于属性的访问 控制方式，改进 XACML 访问控制框架，根据 SOAP 消息中的安全属性信息和 Web 服务 参数进行授权决策，采用基于属性 的访问控制方式能够实现 Web 服务细粒度的访问控 制。 （3）采用拦截器机制，根据给出的 Web 服务安全方案，设计了一系列拦截器， 以可配置 的方 式添 加到 Apache CXF 消息引擎 中。 利用 加密拦截器，签名拦截器， SAML 断言拦截器和授权拦截器，保证 Web 服务的机密性、完整性和不可抵赖性，提供 了更高层次的身份验证和访问控制功能。 （4）采用开源工具 WSS4J、SUNXACML 和 OPENSAML，实现了拦截器和访问控 制的安全方式，并进行了安全性测试。 关键词：Web 服务，安全， 消息层， 访问控制 Abstract As a new kind of distributed computing model, Web services solve the problem of the data exchange and integration between enterprises . But the openness of the network makes Web services very vulnerable to security threats. The traditiona l security mecha nism only guara ntees the Web service the transport la yer and network