基于saml面向服务架构安全模型研究

《基于saml面向服务架构安全模型研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、浙江理工大学学报，第28卷，第4期，2011年7月JournalofZhejiangSci—TechUniversityV01．28，No．4，Jul．2011文章编号：1673—3851(2011)04—0631—07基于SAML面向服务架构安全模型研究谢玉开。周莉(浙江理工大学经济管理学院，杭州310018)摘要：为了解决目前主流的基于WS-security的面向服务安全框架中的安全脆弱性问题，保证面向服务架构中Web服务的安全，通过采用将安全语句封装在SAML断言语句块中，创建SAMI，认证声明及进行SAML授权等为服务响应模块提供安全断言，并通过网络层和服务层的安全实现采保证Web服务

2、的安全和实现用户的单点登录等。关键词：面向服务架构模型；安全断言标记；单点登录中图分类号：F490。6；TP393．08文献标识码：A0引言在信息技术发展过程中，为满足信息化建设不断增加的复杂程度、提升软件系统的快速构建和响应业务变化能力、充分利用用户原有IT资源、实现跨平台的数据共享和业务协同，面向服务架构(serviceorientedarchitecture，SOA)作为一种新的集成方式以其可重用性、松散耦合、粗粒度及互操作性等优点，已经成为目前企业应用集成的主要方法，得到了日益广泛的运用。面向服务架构模式能够更加容易实现跨越企业边界的业务系统自动化和信息共享，但开放的数据访问和Web服

3、务调用给商业运作带来便利的同时，也更加容易受到攻击，如果没有提供良好的安全防护机制，开放Web服务无疑等于打开了潘多拉宝盒。在未受保护的SOA应用中，想要阻止Web服务的未授权使用实际上是不可能的；未授权用户可以非常轻松地访问Web服务，很容易出现非法用户过多而导致的合法用户的服务拒绝访问DoS(denialofservice)。笔者在简要分析了目前主流的基于WS-security的面向服务安全框架及其安全脆弱性的基础上，提出了基于安全断言标记SAML的SOA安全框架模型，通过实现网络层及服务层的安全来具体构建SClA安全性解决方案。1面向服务安全研究现状面向服务作为一种新的粗粒度、松耦合的系

4、统架构方式，能够支持动态的企业应用集成。但面向服务架构行业标准的缺乏，面向服务应用中的安全问题成为阻碍SOA广泛应用的一大瓶颈。目前面向服务安全的研究重点主要运用WS-security(Web服务安全，Webservicessecurity)和其它规范结合XML安全技术保障SOAP通信的安全，但WS-security安全规范作为一种安全性构件，本身并不能保证Web服务安全性，也不能提供完整的面向服务架构安全性解决方案。1．1基于WS-security的面向服务安全框架WS-security协议是一种提供在Web服务上应用安全方法的网络传输协议，最初由IBM、微软、Veri-Sign和Forum

5、Systems开发，官方名称为WSS[1

6、。WS-security协议包含了关于如何在Web服务消息上保证完整性和机密性的规约。在WS-security协议中定义了SoAP(简单对象访问协议，simpleobjectaccess收稿日期：2010—06—2l作者简介：谢玉开(1985一)，男，湖南隆回人，硕士研究生，主要从事面向服务架构、Web服务安全、企业信息化的研究。632浙江理工大学学报2011年第28卷protoc01)消息的安全标准和途径，其目标是通过不依赖于传输层的安全来保障服务的安全性。在基于WS-security协议的安全框架中主要通过将各种Web服务协议、应用层协议与安全传输

7、层协议及各种加密技术结合起来，通过在S()AP消息中嵌入安全性机制和安全令牌，实现Web服务环境下的消息完整性、数据保密性和对消息及用户身份认晕证。其安全框架如图l所示。其中，各种Web服务层协议包括WS-policy(Web服务策略，Webservicespolicy)、WS-trust(Web服务信任模型，图1基于WS-security的面向服务安全框架墅重一Webservicestrust)、WS-privacy(Web服务隐私策略，Webservicesprivacy)、WS-secureconversation(Web服务安全会话，Webservicessecureconversat

8、ion)、WS-federation(Web服务联邦信任，Webservicesfedera—tion)、WS-authorisation(Web服务安全授权，Webservicesauthorisation)等，形成了一个庞大WS-security协议规范。a)WS-policy端点策略：主要描述中间节点和端点上的安全性及其它业务策略上的能力和限制，如所需的安全性令牌、所支持的加密算法和隐私权规