web服務(wù)中的關(guān)鍵安全技術(shù)研究.pdf

《web服務(wù)中的關(guān)鍵安全技術(shù)研究.pdf》由會員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫。

1、華中科技大學(xué)博士學(xué)位論文Web服務(wù)中的關(guān)鍵安全技術(shù)研究姓名：沈海波申請學(xué)位級別：博士專業(yè)：計(jì)算機(jī)軟件與理論指導(dǎo)教師：洪帆20070127 摘要隨著Web服務(wù)從技術(shù)概念到實(shí)際應(yīng)用的不斷發(fā)展，其松散耦合、語言中立、平臺無關(guān)性、可跨互聯(lián)網(wǎng)鏈接應(yīng)用等優(yōu)點(diǎn)日益明顯。同時(shí)，其異構(gòu)性、動態(tài)性、復(fù)雜性、跨組織的松耦合性，極容易暴露其弱點(diǎn)和局限性。作為典型的分布式應(yīng)用，Web服務(wù)面臨的安全挑戰(zhàn)包括：數(shù)據(jù)機(jī)密性、完整性、不可否認(rèn)性、身份認(rèn)證、訪問控制、審計(jì)和安全管理等多個(gè)方面，同時(shí)還具有其自身的特點(diǎn)。因此業(yè)界一致認(rèn)為，安全性是Web服務(wù)要成為主流技術(shù)之前必須解決的一個(gè)關(guān)鍵問題。而身份認(rèn)證、授權(quán)與訪問控

2、制、信任建立和委托等是其中的主要安全問題。因此，對Web服務(wù)中的關(guān)鍵安全技術(shù)進(jìn)行深入研究，既具有理論意義又具有實(shí)用價(jià)值。Web服務(wù)中，為完成某項(xiàng)任務(wù)或?qū)崿F(xiàn)某個(gè)功能，常常有多個(gè)企業(yè)或組織共同協(xié)作，并且每個(gè)組織又都可能參與多個(gè)這種形式的協(xié)作。這些企業(yè)或組織可能采取完全不同的身份識別和認(rèn)證機(jī)制，如何在一個(gè)統(tǒng)一的框架中兼容現(xiàn)存的和可能出現(xiàn)的多種不同認(rèn)證機(jī)制以及身份憑證，在多個(gè)企業(yè)或組織之間如何映射身份憑證，是Web服務(wù)必須面對的問題。特別是，當(dāng)用戶需要訪問多個(gè)Web服務(wù)才能完成業(yè)務(wù)處理的話，他不希望在每個(gè)Web實(shí)體上都需要提供自己的身份憑證，而是希望只登錄一次，就可以訪問全部相關(guān)的站點(diǎn)（即

3、單點(diǎn)登錄）。SAML（SecurityAssertionMarkupLanguage，安全聲明標(biāo)記語言）標(biāo)準(zhǔn)和WS-Federation（WebServicesFederationLanguage，Web服務(wù)聯(lián)邦語言）規(guī)范為實(shí)現(xiàn)單點(diǎn)登錄認(rèn)證提供了技術(shù)支持。在分析SAML、WS-Federation和XKMS（XMLKeyManagementSpecification，XML密鑰管理規(guī)范）如何實(shí)現(xiàn)單點(diǎn)登錄認(rèn)證機(jī)制的基礎(chǔ)上，提出了一種基于SAML和Cookie的Web服務(wù)門戶網(wǎng)站安全認(rèn)證系統(tǒng)模型，實(shí)現(xiàn)了單一管理域和信任聯(lián)盟中不同管理域之間的單點(diǎn)登錄。模型具有靈活、可擴(kuò)展、跨平臺等特性。

4、傳統(tǒng)的授權(quán)是基于請求訪問資源的實(shí)體的身份，或是基于直接或間接分配給這些實(shí)體的角色。但在象Web服務(wù)這樣的開放環(huán)境中，資源和請求者通常位于不同的安全域中，他們之間一般沒有先前建立的信任關(guān)系，互不知曉彼此的身份，身份信息（如用戶名和口令、身份證書）并不適合于確定一個(gè)實(shí)體是否值得信任和授權(quán)。因此，提出了基于屬性的訪問控制（attribute-basedaccesscontrol，ABAC）機(jī)制。在ABAC中，利用相關(guān)主體、資源、環(huán)境的屬性作為授權(quán)決策的基礎(chǔ)，從而避免了在請求之前就分I 配權(quán)限給請求者的麻煩。對ABAC進(jìn)行了擴(kuò)展和形式化描述，給出了面向Web服務(wù)的基于XACML（eXten

5、sibleAccessControlMarkupLanguage，可擴(kuò)展訪問控制標(biāo)記語言）的ABAC實(shí)現(xiàn)框架。為了更好地實(shí)現(xiàn)ABAC，還討論了屬性生存周期內(nèi)的屬性管理問題。ABAC機(jī)制因其靈活性和適用性，已廣泛應(yīng)用于開放和分布式的系統(tǒng)中，但也存在著策略管理和維護(hù)難度較大的問題以及用戶敏感屬性暴露問題。因?yàn)樵L問控制決策所需的屬性可能來自不同的管理域，以不同的術(shù)語來表示和解釋，即其語義可能不完全相同，從而導(dǎo)致了對語義互操作性的需求。這些只能用語義Web技術(shù)（尤其是Ontology技術(shù)）來解決。語義Web技術(shù)能改進(jìn)面向服務(wù)的、異構(gòu)環(huán)境的安全性，處理語義互操作引起的挑戰(zhàn)?；谡Z義Web技術(shù)

6、和擴(kuò)展XACML，提出了一種稱為具有語義的屬性訪問控制（Semantic-awareAttribute-BasedAccessControl，簡稱S-ABAC）方法，以解決ABAC中存在的問題。在Web服務(wù)環(huán)境，訪問者與資源控制者通常在不同的安全域，資源控制者事先無法知曉訪問者的身份，并且訪問者通常是隨機(jī)地訪問資源，如何動態(tài)地建立信任關(guān)系便成為一個(gè)非常重要的問題。目前很多解決方案中，都假定存在一個(gè)可信的第三方權(quán)威機(jī)構(gòu)，依據(jù)第三方提供的信息進(jìn)行訪問決策；然而，在一個(gè)開放、動態(tài)和多變的Web環(huán)境中，存在完全可信的第三方是不現(xiàn)實(shí)的，而需要一種合理的方法來評估第三方及合作伙伴的可信程度。自

7、動信任協(xié)商（AutomatedTrustNegotiation，ATN）機(jī)制通過屬性憑證、訪問控制策略的交互披露，資源的請求方和提供方可動態(tài)地建立信任關(guān)系。同時(shí)，在異構(gòu)、分布式的Web服務(wù)環(huán)境，為了對資源的訪問進(jìn)行有效的控制，通常要使用委托（delegation）技術(shù)。分析了Web服務(wù)中的信任建立機(jī)制，提出了一種基于WS-Trust的信任建立模型和基于自動信任協(xié)商的Web服務(wù)訪問控制模型。最后，基于SAML委托聲明和WS-Trust規(guī)范，還提出了面向Web服務(wù)的權(quán)限委