SOAP技術(shù)及其安全研究.pdf

1、SOAP定義了應(yīng)用程序間交換信息的規(guī)范.它主要包括一個(gè)基于XML的信息封裝標(biāo)準(zhǔn)和一系列將與平臺(tái)相關(guān)的數(shù)據(jù)類型轉(zhuǎn)換成XML,數(shù)據(jù)類型的規(guī)則.SOAP的設(shè)計(jì)非常適合跨平臺(tái)的多種應(yīng)用程序間的通信和集成.這也是SOAP技術(shù)能夠得到快速發(fā)展的最主要原因.[25]我們可以使用SOAP完成一些復(fù)雜的交互,比如可以讓SOAP消息經(jīng)由一些中間節(jié)點(diǎn)再到達(dá)目的節(jié)點(diǎn).但這就帶來一些安全問題.比如現(xiàn)在我們是將SOAP安全基于已有的安全傳輸協(xié)議(如HTTPS),它

2、可以保證點(diǎn)到點(diǎn)的安全.但是當(dāng)中間節(jié)點(diǎn)出現(xiàn),而這些中間節(jié)點(diǎn)可能不被信賴時(shí),只是點(diǎn)到點(diǎn)的安全是不夠的,我們還需要端到端的安全.盡管SOAP規(guī)范定義了靈活的機(jī)制可以擴(kuò)展SOAP消息,但是SOAP規(guī)范本身并沒有定義任何的安全處理機(jī)制.這樣,在SOAP層就無法對(duì)消息作任何的安全處理.端到端的安全就只能依賴建立在其上的應(yīng)用程序來完成.該文將關(guān)注如何對(duì)SOAP進(jìn)行擴(kuò)展,從而可以在SOAP層完成對(duì)SOAP消息的加密或簽名.為此,我們完成了兩個(gè)實(shí)驗(yàn),它們

3、分別是SmySOAP.MySOAP是一個(gè)標(biāo)準(zhǔn)的SOAP實(shí)現(xiàn),其目的是建立一個(gè)完全SOAP的實(shí)驗(yàn)平臺(tái).MySOAP主要由客戶端和服務(wù)端兩部分組成.客戶端為C++的應(yīng)用程序提供了動(dòng)態(tài)鏈接庫形式的API,使得他們可以無需關(guān)心SOAP細(xì)節(jié)就可以向SOAP服務(wù)發(fā)出SOAP請(qǐng)求并解析返回的SOAP應(yīng)答;服務(wù)端則是一個(gè)進(jìn)駐Web服務(wù)器進(jìn)程空間的ISAPI DLL,它可作為實(shí)現(xiàn)了Idispatch接口的組件的SOAP服務(wù)平臺(tái).SmySOAP是MySOA