web 服务安全性分析与研究new

《web 服务安全性分析与研究new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、学术．技术Web服务安全性分析与研究刘秋香(山东理工大学工程技术学院，山东淄博255012)摘要：该文分析了目前Web服务所存在的安全问题，重点探讨了传输层和SOAP层的Web服务安全问题及安全技术，提出了SOAP加密、SOAP签名以及安全断言的安全技术，在一定程度上消除了Web服务所面临的安全威胁。关键词：Web服务；安全；传输层；SOAP层AnalysisandResearchOfWebServicesSecurityLIUQiu-xiang(Co／e#eofEnG}zee?／}zdandTechnology,S

2、handondUnlYeAslZyofTechnology,Z／no255000,Ch／}za)Abstract：ThearticleanalyzesthesecurityproblemexistinginWebServices，anddiscussessecurityproblemsandsecuritytechnologyofWebServicesontransmittinglayerandSOAPlayerespecialy．thenputs、forwardthreesecuritytechnology——SO

3、APEncryption、SOAPSignatureandSAML，theneliminatessecuritythreatfacedwithWebServicestoacertaindegree．Keywords：WebServices；security；transmittinglayer；SOAPlayer面’：非授权访问、信息遗漏丢失、并构建在网络上的，许多网络攻击都1引言破坏数据完整性、拒绝服务攻击。与Web服务有关。Web服务进行消Web服务是基于组件的分布式2．2SOAP安全问题息交换，总是存在着消息被窃

4、听、丢计算技术不断发展的产物，是一种划SOAP的主要设计目标是简单性失或修改的风险。由于被交换信息的时代的软件技术，正逐渐被业界广泛和可扩展性。SOAP标准未指定任何关键性，必须确保底层消息传递体系采纳。该技术的主要目标是在现有安全性机制，它将安全处理委派给传结构的安全可靠。总的说来，消息的的各种异构平台的基础之上构筑一个输层。但仅依靠传输层的安全措施已传输存在5个基本安全要求“：机通用的平台无关、语言无关的技术层，经不能满足安全需求，原因如下：密性、完整性、身份验证，授权、不各种应用依靠这个技术层来实施彼此(1)／

5、TI(安全套接字层／传可否认性。这几个安全服务是相互联的连接和集成。输层安全性)不能保证端到端传输的系的，缺少其一则存在安全漏洞。Web服务具有完好的封装性、安全性，只能保证点到点传输的安全性。3．2Web服务安全性规范松散耦合，使用标准协议规范，高(2)即使在传输层中保证了端对Web服务的安全性规范是Web度可集成能力、可跨越防火墙等特端的安全要求，但如果传输的消息是服务安全层的实施标准，是建立统一征，因而具有广阔的应用前景。它为原文，也极易受到黑客攻击。的、可互操作的Web服务安全环境B2B通讯和系统整合提供了巨

6、大的(3)SOAP消息在传输时可以的基础和保证。针对Web服务的安可能性，但因缺乏一个有效的安全解与不同的应用层协议进行捆绑(如全问题，IBM、Microsoft等大公司和决方案，使得Web服务不能方便地HTTP、SMTP)。如果安全信息需0ASIS、W3C等标准化组织都在进行应用于企业业务。要经过两个传输层协议，两者之间的制定Web服务安全性规范的工作。转换是繁琐的、易出错的。现阶段已经取得了一些成果，提2Web服务面临的安全挑战(4)即使传输层可以保证安全传输，出了一系列的规范和草案。主要有：Web服务是采用S0

7、AP作为其但是不能保证信息驻留时也是安全的。XMLDigitalSignature(XML数传输协议的，因此下面分别考虑传输字签名)、XMLEncryption(XML层和S0AP层的安全问题。3Web服务的安全性加密)，SAML(安全声明标记语言)、2．1传输安全问题3．1Web服务安全性要求XACML(可扩展访问控制标记语目前，网络在应用层传输过程中Web服务技术是基于XML技术言)，XrML(可扩展权利标记语言)、存在的威胁主要表现在以下几个方§童嚣i慧。墓0_一0．—。秘。0：毫

8、?学术。技术XKMS(XML

9、密钥管理规范)、WSSecurity)来保证。SSL／TLS提供实体设置密码和用户名是不合适的。—Security(Web服务安全)、WS了包括认证、数据完整性和数据机密在这种情况下，为了解决认证的问—SecureConversation(Web服务性的安全性功能。题，提出了一种叫做安全断言的思想。安全会话)、WS—Trust(Web服3、3．