基于SOAP安全代理的Web Service设计

《基于SOAP安全代理的Web Service设计》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、ISSN1009-3044E—mail：info@CCCC．net．cnCompu~rKnowledgeandTechnology电脑知识与技术http：／／www．dnzs．net．enYo1．7，No．28，October2011．Teh+86—551—569o9635690964基于SOAP安全代理的WebService设计王婷(信息网络安全公安部重点实验室公安部第三研究所．上海201000)摘要：该文阐述了WebServices基础和SOAP规范，分析了WebServices的安全问题，基于WS—Security实现SOAP签名和加

2、密，保证了web服务中数据交换安全，确保消息的机密性、完整性和不可否认性。提出采用安全代理的方式处理SOAP安全，使安全与业务处理分开，对用户和开发者透明，易于集成和维护。‘关键词：WebServices；SOAP；签名；加密；代理中图分类号：TP393文献标识码：A文章编号：1009—3044(2011)28—鳃50．03大多数应用系统需要在不同组织机构的异构平台间完成数据收集、传递和处理。面向服务的架构是现代应用系统的基础，WebServices作为面向服务的核心，具有跨平台、松耦合、与实现语言无关等特点，是一种分布式模型技术，被广泛应

3、用于现代应用系统中。不同组织采用WebSeivices技术对外提供服务。这样，应用系统的安全边界由Intranet扩大到Intemet，给各组织机构平台的安全性和消息传递的安全带来了挑战。1WebServices基础和SoAP规范1．1WebServices基础WebServices是一组通过标准的Web协议可编程访问的Web组件。其涉及的相关技术主要包括可扩展标记语言XML，简单对象访问协议SOAP，Web服务描述语言WSDL，通用描述、发现与集成UDDI。其中XML是WebServices平台中表示数据的基本格式；SOAP是轻量级的协议

4、，它通过XML文档形式发送和接收消息实现异构平台上的不同系统的相互通信和共享数据；WSDL用来描述WebServices所完成的功能和WebServices所提供的服务；UDDI用来注册、发布已建立的WebServicesll。一个典型的WebServices调用和返回的消息传递模型如图1圜，服务提供方对外提供接口，隐藏内部实现，服务请求方通过调用接口请求WebServices服务。WebServices中的消息基于XML格式，以SOAP协议封装，可以通过任意支持字节流的协议传送，而由于H1TrP协议的通用性，目前大多都将SOAP与HrIT

5、p绑定。1．2SOAP规范【3卅腿势请求宵Jjfi务提供方图1消息传递模型图简单对象访问协议(SOAP，全称SimpleObjectAccessProtoco1)是一种标准化的通讯规范，以XML形式提供了一个简单、轻量的用于在分散或分布环境中交换结构化和类型信息的机制。SOAP消息分为四部分：1)SOAP信封(Envelope)：定义了一个SOAP消息表示框架，包括消息头Header和消息体Body，消息头中定义消息发送和接收者信息以及附加的特性．消息体中包含发送的数据信息。2)SOAP编码规则：定义了一组数据序列化的编码规则，定义数据类型

6、。3)SOAPRPC：表示远程过程调用和响应的约定。在SOAPRPC请求和相应中，方法调用被串行化为SOAP编码规则定义的，基于XML的数据类型。4)SOAP绑定：定义SOAP在传输过程中使用特定底层通信协议的约定。WebServices使用SOAP进行消息传递，是将每个远程请求串行化为基于XML数据类型，把请求数据和应答数据序列化，附加上消息发送和请求者等信息，以HTI'P等协议为底层传输协议。2WebServices安全2．1webServices安全问题WebServices的数据交换是在异构平台间进行，需要跨越不同平台的网络安全边界

7、，在互联网上进行消息传送，易受到数据截取、篡改、非授权访问等威胁。所以，安全问题一直是WebServices亟需解决的，WebServices安全必须是覆盖消息传输的所有的协议层，不能仅考虑孤立的单个协议层。消息传递的安全主要包括四个方面：机密性、完整性、不可抵赖以及授权访问。WebServices服务提供方一般使用边界防火墙处理WebServices的消息验证，对访问接口的数据包源地址进行验证，但数据包的源地址是易于伪装，而且由于WebServices在传输层采用H1TrP作为传输协议，其内容大多数的防火墙并不检查或者过滤，防火墙的有效性

8、大大降低。消息传输层一般采用SSL来对HTI'P进行加密，但是通过SSL只能是实现点对点的安全，端对端的安全无法保证圈。SOAP是轻量级的基于XML的协议，本身并不处理安全，并且