Web服務(wù)中的關(guān)鍵安全技術(shù)研究.pdf

1、隨著Web服務(wù)從技術(shù)概念到實(shí)際應(yīng)用的不斷發(fā)展，其松散耦合、語言中立、平臺無關(guān)性、可跨互聯(lián)網(wǎng)鏈接應(yīng)用等優(yōu)點(diǎn)日益明顯。同時，其異構(gòu)性、動態(tài)性、復(fù)雜性、跨組織的松耦合性，極容易暴露其弱點(diǎn)和局限性。作為典型的分布式應(yīng)用，Web服務(wù)面臨的安全挑戰(zhàn)包括：數(shù)據(jù)機(jī)密性、完整性、不可否認(rèn)性、身份認(rèn)證、訪問控制、審計(jì)和安全管理等多個方面，同時還具有其自身的特點(diǎn)。因此業(yè)界一致認(rèn)為，安全性是Web服務(wù)要成為主流技術(shù)之前必須解決的一個關(guān)鍵問題。而身份認(rèn)證、授權(quán)與

2、訪問控制、信任建立和委托等是其中的主要安全問題。因此，對Web服務(wù)中的關(guān)鍵安全技術(shù)進(jìn)行深入研究，既具有理論意義又具有實(shí)用價值。
　　 Web服務(wù)中，為完成某項(xiàng)任務(wù)或?qū)崿F(xiàn)某個功能，常常有多個企業(yè)或組織共同協(xié)作，并且每個組織又都可能參與多個這種形式的協(xié)作。這些企業(yè)或組織可能采取完全不同的身份識別和認(rèn)證機(jī)制，如何在一個統(tǒng)一的框架中兼容現(xiàn)存的和可能出現(xiàn)的多種不同認(rèn)證機(jī)制以及身份憑證，在多個企業(yè)或組織之間如何映射身份憑證，是Web服務(wù)必須

3、面對的問題。特別是，當(dāng)用戶需要訪問多個Web 服務(wù)才能完成業(yè)務(wù)處理的話，他不希望在每個Web實(shí)體上都需要提供自己的身份憑證，而是希望只登錄一次，就可以訪問全部相關(guān)的站點(diǎn)(即單點(diǎn)登錄)。SAML(Security Assertion Markup Language，安全聲明標(biāo)記語言)標(biāo)準(zhǔn)和WS-Federation(Web Services Federation Language，Web服務(wù)聯(lián)邦語言)規(guī)范為實(shí)現(xiàn)單點(diǎn)登錄認(rèn)證提供了技術(shù)支持。

4、在分析SAML、WS-Federation和XKMS(XML Key Management Specification，XML密鑰管理規(guī)范)如何實(shí)現(xiàn)單點(diǎn)登錄認(rèn)證機(jī)制的基礎(chǔ)上，提出了一種基于SAML和Cookie的Web服務(wù)門戶網(wǎng)站安全認(rèn)證系統(tǒng)模型，實(shí)現(xiàn)了單一管理域和信任聯(lián)盟中不同管理域之間的單點(diǎn)登錄。模型具有靈活、可擴(kuò)展、跨平臺等特性。
　　 傳統(tǒng)的授權(quán)是基于請求訪問資源的實(shí)體的身份，或是基于直接或間接分配給這些實(shí)體的角色。但在

5、象Web服務(wù)這樣的開放環(huán)境中，資源和請求者通常位于不同的安全域中，他們之間一般沒有先前建立的信任關(guān)系，互不知曉彼此的身份，身份信息(如用戶名和口令、身份證書)并不適合于確定一個實(shí)體是否值得信任和授權(quán)。因此，提出了基于屬性的訪問控制(attribute-based access control，ABAC)機(jī)制。在ABAC中，利用相關(guān)主體、資源、環(huán)境的屬性作為授權(quán)決策的基礎(chǔ)，從而避免了在請求之前就分配權(quán)限給請求者的麻煩。對ABAC進(jìn)行了擴(kuò)展

6、和形式化描述，給出了面向Web服務(wù)的基于XACML(eXtensible Access Control Markup Language，可擴(kuò)展訪問控制標(biāo)記語言)的ABAC實(shí)現(xiàn)框架。為了更好地實(shí)現(xiàn)ABAC，還討論了屬性生存周期內(nèi)的屬性管理問題。
　　 ABAC機(jī)制因其靈活性和適用性，已廣泛應(yīng)用于開放和分布式的系統(tǒng)中，但也存在著策略管理和維護(hù)難度較大的問題以及用戶敏感屬性暴露問題。因?yàn)樵L問控制決策所需的屬性可能來自不同的管理域，以不

7、同的術(shù)語來表示和解釋，即其語義可能不完全相同，從而導(dǎo)致了對語義互操作性的需求。這些只能用語義Web技術(shù)(尤其是Ontology技術(shù))來解決。語義Web技術(shù)能改進(jìn)面向服務(wù)的、異構(gòu)環(huán)境的安全性，處理語義互操作引起的挑戰(zhàn)?；谡Z義Web技術(shù)和擴(kuò)展XACML，提出了一種稱為具有語義的屬性訪問控制(Semantic-aware Attribute-Based Access Control，簡稱S-ABAC)方法，以解決ABAC中存在的問題。

8、>　　 在Web服務(wù)環(huán)境，訪問者與資源控制者通常在不同的安全域，資源控制者事先無法知曉訪問者的身份，并且訪問者通常是隨機(jī)地訪問資源，如何動態(tài)地建立信任關(guān)系便成為一個非常重要的問題。目前很多解決方案中，都假定存在一個可信的第三方權(quán)威機(jī)構(gòu)，依據(jù)第三方提供的信息進(jìn)行訪問決策；然而，在一個開放、動態(tài)和多變的Web 環(huán)境中，存在完全可信的第三方是不現(xiàn)實(shí)的，而需要一種合理的方法來評估第三方及合作伙伴的可信程度。自動信任協(xié)商(Automated T

9、rust Negotiation，ATN)機(jī)制通過屬性憑證、訪問控制策略的交互披露，資源的請求方和提供方可動態(tài)地建立信任關(guān)系。同時，在異構(gòu)、分布式的Web服務(wù)環(huán)境，為了對資源的訪問進(jìn)行有效的控制，通常要使用委托(delegation)技術(shù)。分析了Web服務(wù)中的信任建立機(jī)制，提出了一種基于WS-Trust的信任建立模型和基于自動信任協(xié)商的Web服務(wù)訪問控制模型。最后，基于SAML委托聲明和WS-Trust規(guī)范，還提出了面向Web服務(wù)的權(quán)限