soap协议安全性的研究与应用

《soap协议安全性的研究与应用》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据第34卷VoL34第5期No．s计算机工程ComputerEngineering2008年3月March2008·安全技术·文章绩号lltloI卜．3428(20l’8)os_．0142-加3文献标识码IA中圈分类号ITP393SOAP协议安全性的研究与应用刘志都1，贾橙涪1，詹仕华2(1．南阳师范学院计算机与信息技术学院，南阳473061；2．福建农林大学计算机与信息学院，福州350002)抽蔓：针对Webservices发展过程中面临的安全性问题，剖析比较了SSL和XML的安全性作用机制，结合目前所使用的基于SOAP的安全技术，融合加密、数字签名和授

2、权3种方法，给出一个解决安全问题的方案。采用XML安全协议保证端到端的安全，通过实例证明该综合方法是可行的。关翻：Webservices服务；SOAP协议；XML语言；SSL协议；XML加密ResearchandApplicationofSOAPSecurityLIUZhi-dul，JIASon分ha01，ZHANShi-huaz(1．CollegeofComputer＆InformationTechnology,NanyangNormalUniversity,Nanyan9473061；2．CollegeofComputer&Information。Fujia

3、nAgricultureandForestryUniversity，Fuzhou350002)[AbstractlAimingatsecurityproblemsfacedinthedevelopmentofWebservices，threemethodsofencryption，digitalsignatureandauthorizationaleputforward．AnalyzingandcomparingthesecurityfunctionalmechanismofSSLandXML，fusingthesecuritytechnologiesbased

4、onSOAP,itpresentsasolutionschemeonsecurityproblems．ItadoptsXMLsecurityprotocoltOguaranteethesecurityofendtOend，provesitisfeasibletOsolvesomesecurityproblems．[KeywordslWebservices；SOAP；XML；SSL；XMLencryption1概述SOAP作为Webservices的重要部分，其机密性、认证和授权等安全机制一直受到人们的广泛关注⋯。但SOAP标准在制定规范时并没有过多考虑其安全性要

5、求，它尽可能地利用已有的标准和协议来实现相应的功能，而不是重新定义一个新协议⋯。SOAP采用2个已被广泛使用的协议：HTTP和XML，它们都有较成熟的安全技术，如SSL，HTTPS和XML数字签名技术等。W3C工作组制订了SOAP安全性扩展，使用XML数字签名和XML加密这2项技术来保证SOAP的安全性。为了确保信息的安全，信息交换应具有机密性、完整性、不可否认性、身份验证和授权12}。SOAP作为未来企业应用之间信息交互的重要手段，同样需要达到这5点安全性要求。普遍使用的点到点安全技术只能保证Web服务在传输层上数据的完整性和保密性，其在运用中产生了一系列问题

6、¨J。要解决Web服务安全问题就需要一种端到端安全的机制。本文采用Web服务中的主要数据通信格式XML来保证端到端的安全性。2SOAP安全性模型SOAP安全性模型结合了传输层安全性和XML安全性来达到安全性要求，如图1所示忙】。请求者利用SSL或者结合SSL的HTTP基本身份验证来完成发送方的验证，并使用SSL协商确定的会话密钥向接收方发送加密过的消息，这样就在发送方和接收方之间建立起了安全的连接。而XML数字签名和XML加密则在传输层的安全性上工作，提供更高一层的数据机密性和数据完整性。并通过结合SSL的发送方身份验证来提供消息的不可否认性。授权在这个体系中是

7、一个独立的部分，实现的技术也比较多，通常由防火墙及企业Web应用程序来完成。请求者的一142一身份验证完成之后就必须对其进行授权。防火墙的授权通过防火墙的基于策略的规则来实现，这对于分离同一Web服务上的不同功能相当有效。而由Web应用程序处理的授权是基于程序代码的授权，Web应用获得请求方身份并根据其身份来进行授权。圉1SOAP安全性模型SOAP．DSIG和SSL满足的安全性要求如表l所示14】。表12种技术的安全性要求技术满足的安今性条件ssc燃h慧燃徽墨SOAP—DSIG用MAC和数字签名实现的消息身份验证其中，SSL提供了机密性和发送方，接收方身份验证。

8、SSL还有将MAC添加到