基于SOAP協(xié)議的Web Service安全模型研究與實現(xiàn).pdf

1、隨著Internet的發(fā)展，企業(yè)之間信息的交互越來越頻繁，但是傳統(tǒng)的DCOM、CORBA、RMI等分布式技術(shù)存在很大的異構(gòu)性，因此，給企業(yè)之間信息交互帶來很大的困難。而基于XML的分布式中間件Web Service，它可以很好的整合不同平臺的數(shù)據(jù)，從而很好的解決這個問題。但是Web Service技術(shù)的不完善、尤其是交互機制的SOAP協(xié)議過于簡單和開放，使得Web Service存在很大的安全隱患，從而也很大程度上限制了Web Serv

2、ice的應(yīng)用。針對此問題，從信息交互（SOAP消息）的安全角度和Web Service自身的安全角度出發(fā)，對Web Service的安全機制做了以下研究。
　　首先，深入研究了Web Service的體系結(jié)構(gòu)，從多個角度分析Web Service的安全現(xiàn)狀和安全需求。明確SOAP協(xié)議是Web Service技術(shù)的基礎(chǔ)，保證SOAP消息的安全是Web Service安全的基礎(chǔ)。根據(jù)WS-Security規(guī)范，采用XML加密和XML數(shù)

3、字簽名來保證SOAP消息的機密性、完整性和不可否認(rèn)性，從而確保了SOAP消息的安全。其次，根據(jù)Web Service安全訪問的要求，采用基于角色的訪問機制對Web Service進(jìn)行安全控制，構(gòu)建了一種解決Web Service安全的模型——“基于SOAP消息的Web Service安全模型”。在該模型中，SOAP消息的交互和傳遞都是安全的，傳遞消息的中間結(jié)點也不必可信，而且其安全性是基于端到端的安全，這將大大降低其實現(xiàn)的需求。采用該模

4、型實現(xiàn)的Web安全系統(tǒng)能夠提供各種類型的安全服務(wù)，包括用戶認(rèn)證、消息加密/解密、消息數(shù)字簽名/驗證和訪問控制等功能。最后，從企業(yè)現(xiàn)狀出發(fā)，應(yīng)用組件化設(shè)計的方法，采用WSE3.0實現(xiàn)了“基于SOAP消息的Web Service安全模型”。WSE3.0主要采用策略配置保證web service的安全，這種機制比較便于管理和實現(xiàn)；同時它不僅兼容WSE2.0而且還支持下一代Web Service（Indigo）技術(shù)。在WSE3.0中，可以根據(jù)不