（计算机应用技术专业论文）基于万维网服务的访问控制技术研究与实现.pdf

南京邮电大学 硕士学位论文摘要 学科、专业：工学计算机应用技术 研究方向：计算机网络与分布计算系统 作者：2 0 0 7 级硕士研究生赵洁 指导老师：沈苏彬研究员博士生导师 题目：基于万维网服务的访问控制技术研究与实现 英文题目：r e s e a r c ha n di m p l e m e n t a t i o no fa c c e s sc o n t r o lb a s e do n w e bse r v i c e s 关键词：万维网服务，简单对象访问协议，访问控制 k e y w o r d s ：w e bs e r v i c e s ，s i m p l eo b j e c ta c c e s sp r o t o c o l ，a c c e s sc o n t r o l 课题来源：国家8 6 3 计划项目，项目编号( 2 0 0 6 a a 0 1 2 2 0 8 ) ；江苏省 科技支撑计划项目，项目编号( b e 2 0 0 9 1 5 7 ) 南京邮电大学硕士研究生学位论文 摘要 摘要 万维网服务作为一种蓬勃兴起的分布式计算技术，建立在一系列开放标准技术基础之 上，例女i ：i s o a p 、u d d i 和w s d l 等，其具有完全的松散耦合、平台无关性、开放性和语言 无关性等特点，这些特点使得它成为新一代电子商务政务的核心技术。然而，由于万维网 服务的开放性，导致万维网服务被非法访问及恶意调用，重要数据和信息暴露在互联网中。 因此，万维网服务的安全问题已经严重制约了万维网服务应用的快速发展。 本文对万维网服务安全规范及其访问控制技术进行了研究和分析，设计了基于万维网 服务的访问控制方案，该方案逻辑上可分为两个模块：报文安全处理器模块和a b a c 访问 控制模块。报文安全处理模块应用于s o a p 协议，对s o a p 报文进行安全处理，在满足端到 端的安全通信的同时提供访问控制服务。s o a p 报文的安全处理器模块包括加密解密处理 器、签名验证处理器和添，j h s a m l 断言处理器。a b a c 访问控制模块基于主体、客体和环 境的属性，采用动态的、细粒度的机制进行授权。方案使用可扩展访问控制标记语言 ( e x t e n s i b l e a c c e s sc o n t r o lm a r k u pl a n g u a g e ，x a c m l ) 来描述访问控制标准，并结合安全声 明标记语言( s e c u r i t ya s s e r t i o nm a r k u pl a n g u a g e ，s a m l ) 和x a c m l ，完成分布式系统的授 权要求。该方案将s o a p 报文安全处理和万维网服务访问控制结合在一起，可以在保护万 维网服务时相互支撑、相互配合，对万维网服务达到更大程度上的安全保护。 基于提出的万维网服务安全的访问控制方案，在j 2 e e 平台上设计实现了一个基于 x f i r es o a p 引擎的安全访问控制原型系统，并对实现进行了测试，测试结果表明此方案 能够对s o a p 请求进行有效的过滤，从而防止相关资源被非法访问。 关键词：万维网服务，简单对象访问协议，访问控制 ，j 南京邮电大学硕二 = 研究生学位论文a b s t r a c t a b s t r a e t a sab u r g e o n i n gd i s t r i b u t e dc o m p u t i n gt e c h n o l o g y ，w e bs e r v i c e si sb a s e do n as e r i e so f o p e ns t a n d a r dt e c h n o l o g y ，f o re x a m p l e ，s o a p ，u d d i ，a n dw s d l ，e t c ，w h i c hi sc o m p l e t e l y l o o s ec o u p l i n g ，p l a t f o r m i n d e p e n d e n t ，o p e na n dl a n g u a g e i n d e p e n d e n t t h e s ec h a r a c t e r i s t i c s m a k ei tt ob ean e w g e n e r a t i o nc o r et e c h n o l o g yf o re b u s i n e s sa n de g o v e r n m e n t b u tp r e c i s e l y b e c a u s ew e bs e r v i c e si sf u l lo p e n ，m o r ed a t aa n di n f o r m a t i o n ，a n di se x p o s e dt ot h ei n t e r n e t ， i s s u e sa b o u tw e bs e r v i c e ss e c u r i t yh a v es e r i o u s l yh a m p e r e dt h er a p i dd e v e l o p m e n to fw e b s e r v i c e s t h i st h e s i ss t u d i e st h ew e bs e r v i c e ss e c u r i t ys p e c i f i c a t i o n sa n da c c e s sc o n t r o lt e c h n o l o g y ， a n du s e sw e bs e r v i c e ss e c u r i t ys p e c i f i c a t i o n st od e s i g nc o l l a b o r a t i v ew e b b a s e ds e r v i c ea c c e s s c o n t r o lp r o g r a m t h em o d e li se x t r a c t e df r o mt h es a f eh a n d l i n go ft h ef u n c t i o na sas e p a r a t e m e s s a g es e c u r i t yp r o c e s s i n gm o d u l e t h i sm o d e li sl o g i c a l l yd i v i d e di n t ot w om o d u l e s ： m e s s a g es e c u r i t yp r o c e s s i n gm o d u l ea n da c c e s sc o n t r o lm o d u l e t h i st h e s i si sd i r e c t l ya p p l i e d s e c u r i t yt os o a pm e s s a g e ，d o e st h es a f eh a n d l i n go fs o a pm e s s a g e s ，a n dm a k e ss o m e r e s p o n s et ot h ec o n t e n t so ft h er e q u e s tp a c k e ta n dp r o v i d e sc o m p r e h e n s i v es e c u r i t ys o l u t i o n s f o rt h ew o r l dw i d ew e b i ti sn o to n l yt om e e tt h ee n d t o e n dr e q u i r e m e n t so ft h em e s s a g e s e c u r i t y ，b u ta l s ot op r o v i d ea c c e s sc o n t r 0 1 s o a pm e s s a g es e c u r i t yp r o c e s s o rm o d u l ei n c l u d e s e n c r y p t i o na n dd e c r y p t i o np r o c e s s o r ，s i g n a t u r ev e r i f i c a t i o np r o c e s s o ra n da d d i n gs a m l a s s e r t i o n sp r o c e s s o r a b a ca c c e s sc o n t r o lm o d u l ei sb a s e do np r o p e r t i e so f s u b j e c t ，o b j e c ta n d e n v i r o n m e n tp r o p e r t i e s ，u s i n gd y n a m i c ，f i n e g r a i n e df o ra u t h o r i z a t i o nm e c h a n i s m t h en e w m o d e ll i n k st h es a f eh a n d l i n go fs o a p m e s s a g e sa n dw e bs e r v i c e sa c c e s sc o n t r o lt o g e t h e r ，a n d i tc a np r o t e c te a c ho t h e rw h e nt h ew o r l dw i d ew e bs e r v i c e ss u p p o r ta n dc o o p e r a t ew i t he a c h o t h e ro nt h ew e bs e r v i c e st or e a c ha h i g h e rl e v e lo fs e c u r i t y a c c o r d i n gt ot h ew e bs e r v i c e ss e c u r i t yb a s e do nt h ep r o p o s e da c c e s sc o n t r o ls c h e m e ，t h i s t h e s i sd e s i g n sa n di m p l e m e n t sa nx f i r es o a pe n g i n e b a s e ds e c u r i t yp r o t o t y p ei nt h ej 2 e e p l a t f o r m ，a n dt e s t st h i sp r o t o t y p e t h er e s u l ts h o w st h a tt h i sp r o t o t y p ei sa b l et oe f f e c t i v e l y f i l t e rs o a p r e q u e s tt op r e v e n tu n a u t h o r i z e da c c e s st or e l a t e dr e s o u r c e s k e y w o r d s ：w e bs e r v i c e s ，s i m p l eo b j e c ta c c e s sp r o t o c o l ，a c c e s sc o n t r o l i i 南京邮屯大学硕士研究生学位论文 目录 目录 第一章绪论一1 1 1 研究背景1 1 2 研究目的及研究意义：1 1 3 研究现状2 1 4 研究内容4 1 5 组织结构安排5 第二章万维网服务技术及其安全性分析7 2 1 万维网服务体系结构7 2 2s o a p 协议8 2 3w s d l 语言8 2 4u d d i1 ；0 议9 2 5 万维网服务安全性分析1 0 2 5 1 万维网服务面临的主要威胁一l o 2 5 2 传送级的万维网服务安全一l o 2 5 3 报文级的服务安全1 l 2 6 小结1 2 第三章万维网服务安全规范及访问控制技术1 3 3 1 万维网服务的安全性要求1 3 3 2 万维网服务的安全规范研究一1 3 3 2 1x m l 加密1 3 3 2 2x m l 数字签名1 4 3 2 3w s s e c u r i t y 规范1 4 3 3 访问控制技术研究1 5 3 3 1 传统访问控制面临的挑战1 5 3 3 2 基于属性的访问控制模型研究一1 6 3 3 3a b a c 模型属性定义1 7 3 3 4a b a c 策略模型定义1 7 3 3 5a b a c 访问控制架构1 8 3 4d 、结一1 9 第四章基于万维网服务的访问控制方案设计。2 0 4 1 万维网环境下a b a c 的应用的可行性分析2 0 4 1 1a b a c 的优点2 0 4 1 2s a m l 2 0 4 1 3x a c m l 规范2 2 4 2 基于万维网服务的访问控制安全方案2 3 4 2 1 设计目标2 3 4 2 2 方案结构2 4 4 2 3 方案的层次功能分析2 4 4 2 4 报文安全处理器模块2 6 4 2 5a b a c 访问控制模块2 7 4 3 基于万维网服务的访问控制方案安全性分析及特点2 8 4 4 ，j 、结2 9 第五章基于万维网服务的访问控制方案实现3 l 5 1x f i r e 、s p r i n g 安全体系概述3l l l i 南京邮电大学硕士研究生学位论文 目录 5 1 1s p r i n g 体系概述3l 5 1 2x f i r e 安全体系概述及重要a p i 3 2 5 2 基于万维网服务的访问控制方案实现3 4 5 2 1 开发环境的建立一3 4 5 2 2 加密解密处理器的实现一3 6 5 2 3 数字签名验证处理器的实现3 9 5 2 4s a m l 断言生产及验证4l 5 2 5a b a c 访问控制实现4 4 5 3 基于万维网服务的访问控制方案测试一4 7 5 4 卅、! ； i 5 ( ) 第六章总结和展望。5 1 6 1 工作总结5l 6 2 当前工作的不足和进一步的工作一5 l 参考文献5 2 j 改谢! ；! ； 发表论：i ! ：! ；6 i v 南京邮电大学硕士研究生学位论文 第一章绪论 1 1 研究背景 第一章绪论 万维网服务n 1 是一种新的分布式计算方案，它具有简单性、跨平台性和松散耦合性等 特点，能够在各种异构平台上构建一个通用的、平台无关的、语言无关的技术层，使各种 不同平台之上的应用方便地实施连接和集成。万维网服务是一种部署在w e b 上的组件，它 统一的封装了信息、行为、数据表现以及商务流程，无需考虑应用的环境使用何种系统和 设备。各种万维网服务组件分别实现特定的电子商务功能，通过将各种电子商务的万维网 服务进行组合和集成可以创建动态电子商务应用。由于对万维网服务的研究采用完全标准 的x m l 及其相关技术，可以大大降低系统部署和集成的费用，流程的更新也无需更改大量 代码。万维网服务为电子商务的更进一步发展提供了坚实的技术基础。 在万维网服务飞快发展的同时，如何能为客户提供值得信赖的服务成为服务开发成败 的一个重要因素，万维网服务面临的访问控制安全问题将直接影响其应用发展。因此，各 大技术组织和学者们都在万维网服务的安全性领域进行了深入的研究。 然而，万维网服务的安全性仍然存在很多具体问题乜1 ，例如如何实现有效的访问控制， 它主要指如何选择已有的访问控制策略，并通过访问控制策略结合万维网服务自身的特点 来实现万维网服务的访问控制。在面向服务的，高度动态的环境中共享信息会面临相当严 峻的安全性挑战。一方面，相互协作的系统之间要求信息不能随便的被人访问，只能够被 需要他的用户方便地访问；另一方面，只能允许已授权的用户检索和操作敏感、保密的数 据。当前的信息安全机制很难平衡这两方面的要求。因此，需要一个灵活的、动态的、细 粒度的访问控制方案来确保万维网服务的安全性。 1 2 研究目的及研究意义 在面向服务的环境中，信息的访问通常是动态的。论文课题的研究目的是针对万维网 服务环境的特点，设计实现一种灵活的、动态的、细粒度的万维网服务访问控制模型。与 传统的访问控制模型不同，新的模型将基于主体、客体和环境的属性，采用动态的、细粒 度的机制进行授权，而不是仅仅参考主体的身份和角色信息。本文研究的访问控制模型将 结合s a m l 和x a c m l 标准，使其具有更好的互操作性。 本课题研究万维网服务的访问控制问题，访问控制是最重要的安全技术之一，也是可 塑室堂皇查兰堡主婴壅竺兰篁笙奎 箜二童堡垒 信计算机安全评估标准中评价系统安全的主要指标之一口。万维网服务访问控制问题的 深入研究，对建立安全可信的万维网服务体系架构具有重要的实用价值和理论意义。 1 3 研究现状 随着越来越多的企业开始将注意力放到万维网，通过x m l 创建新一代企业应用程序方 面，企业的首要问题将是数据安全和交换1 。跟传统的企业间合作方式不同，万维网上的 合作目前集中在加强企业间的联系，使得各公司可以快速地创建应用程序。最常见的就是 电子商务平台、电子银行、证券交易平台等。保护万维网安全的最简单的一种方法就是确 保万维网客户端与服务器之间的连接安全。根据网络的范围和交互操作的活动配置文件， 我们可以通过多种技术来达到这一目的。最流行传统技术为：基于防火墙的规则和安全套 接字层( s e c u r es o c k e t sl a y e r ，s s l ) 。 防火墙瞄主要是通过访问规则，限制己知i p 地址计算机的访问。防火墙可以提供先 进的基于策略的规则，这些规则可以根据客户端的原始位置或标识，对不同的客户端提供 不同的限制。当不同的客户端访问相同万维网上的不同功能时，这种技术很有用。但是， 防火墙对万维网访问控制不够具体，远远不能够满足万维网安全性的要求。万维网的实现 常常依赖于传输层原有的安全机制，被用于为万维网服务应用程序提供传输级别的安全 性，提供最低限度的安全通信，包括认证、数据完整性和数据机密性等安全性功能。但 s s l 启用的是点对点的安全会话，用户的w e b 应用程序将是个点到点应用程序，不涉及第 三方服务提供者或者中介者，所以只是对整个s o a p 报文进行加密，而不能有选择地对部 分报文进行加密。这样，在传送大量数据的时候，将引发严重的性能问题。 目前的解决方法是在报文层上引入安全机制，这是通过对s o a p 报文头进行扩展实现 的。在如何扩展的实现方式上，万维网的发起者i b m 和微软联合为万维网服务开发的一个 全面的安全性规范( w e bs e r v i c es e c u r i t y ) 引入了一个由各个相互联系的规范( 如x i m l 签名规范x m ls i g n a t u r es y n t a xa n dp r o c e s s i n g ，x m l 加密规范x m le n c r y p t i o ns y n t a x a n dp r o c e s s i n g 以及w e bs e r v i c es e c u r i t ya d d e n d u m ) 组成的集合，使各种系统能够安 全地，以一种与平台和语言无关的方式进行互操作。这些规范描述了把安全性功能程序放 到万维网服务环境中的方法，使体系结构被设计成允许对规范进行混合匹配。在分布式环 境中，从而以万维网服务基础架构为基础的标准体系能将以前不能互操作的各种安全性技 术集合在一起，提供了一种构建安全w e b 服务的实用和现实的方法。 为了加强万维网服务的安全性，i b m 和m i c r o s o f t 公司于2 0 0 2 年4 月发布了( s e c u r i t y 2 塑室坚皇奎兰堡主婴窒生兰篁堡奎笙= 雯堡堡 i naw e bs e r v i c e sw o r l d ：ap r o p o s e da r c h i t e c t u r ea n dr o a d m a p ) 陆1 的发展规划，描述 了w e b 服务环境的安全发展策略h 1 。根据这个发展规划，将开发一系列的w e b 服务安全规 范，包括w s s e c u r i t y 、w s p o l i c y 、w s t r u s t 、w s p r i v a t e 、w s s e c u r e c o n v e r s a t i o n 、 w s - f e d e r a t i o n 和w s - a u t h o r i z a t i o n 。在这个发展规划中，同时提供了一个以这些安全规 范为基础的w e b 服务安全模型和一系列可以支持的案例。 s a m l ( s e c u r i t ya s s e r t i o nm a r k u pl a n g u a g e ) 和x a c m l ( e x t e n s i b l ea c c e s s c o n t r o l m a r k u pl a n g u a g e ) 都出自o a s i s 。s a m l 定义了一个交换认证和授权信息的x m l 框架，它定 义x m l 断言和请求响应协议，并在标准传输和报文框架上使用断言，提供了不同安全系 统之间的互操作性。x a c m l 标准化访问控制权的表达，以x m l 的形式定义了表达授权策略 核心模式和名称空间的可扩展结构。随着w e b 服务的应用越来越广泛，对于安全的需求也 日益强烈，新的标准将不断涌现，为安全的实施和部署提供指导。但是，这些规范本身( 除 w s s e c u r i t y ) 并没有提供保证一致性和机密性的机制，只是提供了安全模型的框架，在很 多实现细节上都需要继续深入研究。 在实现方面，i b m 公司的w e b s p h e r e 9 1 应用服务器提供了传输层的安全和部分报文 级的安全( 比如w s s e c u r i t y 规范) 。微软n e t 的w e b 服务增强工具3 0 ( w e bs e r v i c e s e n h a n c e m e n t s ，w s e ) 可以支持w s a d d r e s s i n g 、w s s e c u r i t y 、 w s t r u s t 、 w s s e c u r e c o n v e r s a t i o n 、w s - p o l i c y 、w s p o l i c y a s s e r t i o n s 和w s s e c u r i t y p o l i c y 等万 维网服务安全技术。b e a 的w e b l o g i cw e bs e r v i c e 可以支持万维网服务的数字签名和加 密，它的应用服务器还可以支持面向连接的点到点的安全，以及万维网服务操作的授权和 认证。2 0 0 4 年s u n 的j a v a 系统应用服务器平台可以支持x m l 数字签名、x m l 加密和 w s s e c u r i t y 技术。2 0 0 4 年o r a c l e 公司的o r a c l e 应用服务器的w e b 服务支持一些标准的 安全技术来保护数据和通信，其中包括数据加密、认证、数字签名和保证不可否认性的传 递。 开源实现方面，x f i r e 通过w s s 4 j ，支持x m ls i g n a t u r e 、x m le n c r y p t i o n 和 w s s e c u r i t y ，包含对s a m l 的部分支持。s u n 的s u n x a c m l 对x a c m l 规范进行了实现。 w e b 服务安全性问题的解决涉及到安全规范和标准，这些主要是由国外的大企业及组 织提出，国内从事该课题研究有影响力的不多。目前国内研究主要集中在基于各种安全协 议，根据业务领域需求，构建安全的w e b 服务，并都取得了一定的成果。 文口1 通过引用w s s e c u r i t y 和x 5 0 9 证书的机制，将安全应用到s o a p 报文，并给出 一个实现方案，但给出的方案只涉及了万维网安全性的三个需求：机密性、完整性和身份 验证性，没有访问控制部分。 南京邮电大学硕士研究生学位论文第一荦绪论 文综合考虑x i d l 数据交换的安全和服务器端x i d l 数据库的安全等问题，将一个访问 控制模型与x m l 加密、签名等技术相结合构建了一种基于x m l 的万维网安全模型，保证了 报文的安全又有一定的可扩展性。但是论文给出的模型仅考虑了w e b 用户间x i v l l 数据的安 全交换和服务器中x m l 文档的访问控制，不能完全适应w e b 服务的安全需求。同时，该模 型仅给出了服务器端所进行的安全处理，没有涉及到客户端，同时也没有指出如何传输和 获取访问控制所需的安全信息。 文n 们充分利用s o a p 的扩展性，建立了一个万维网安全模型，可以支持加密、签名以 及身份认证和授权等，论文中设计了一个安全框架，很好地保证了w e b 服务的安全性。但 是，这个模型不具有灵活性，很难适应各种不同的需求情况，并且在处理器实现方面它是 基于a x i s 的h a n d l e r 机制，性能会比较低。 1 4 研究内容 针对万维网服务中存在的访问控制问题，分析现有的访问控制系统，研究万维网服务 安全框架以及相关的协议规范和技术，设计并实现基于万维网服务的安全访问控制方案， 提出一种可扩展、灵活通用的方法来实现万维网服务的访问控制，在基于属性的访问控制 策略的基础上细化访问控制的粒度，以增强访问控制策略的灵活性。在j 2 e e 平台上设计 实现了一个基于x f i r es o a p 高性能引擎的安全访问控制原型系统，并对实现进行了测试， 测试结果表明此方案能够对s o a p 请求进行有效的过滤，从而防止相关资源被非法访问。 本文的研究内容主要包括： ( 1 ) 万维网服务技术分析 万维网服务关键技术分析是整个研究的基础，主蔓包括简单对象访问协议( s i m p l e o b j e c ta c c e s sp r o t o c o l ，s o a p ) 、网络服务描述语言( w e bs e r v i c e sd e s c r i p t i o nl a n g u a g e ， w s d l ) 、通用描述发现与集成服务( u n i v e r s a ld e s c r i p t i o n ，d i s c o v e r ya n di n t e g r a t i o n ， u d d i ) 等技术。s o a p 用于服务调用，w s d l 用于服务描述，u d d i 用于服务发布和发 现，它们共同建立了一个松散耦合、语言中立、平台无关和开放的万维网服务技术平台。 ( 2 ) 万维网服务安全技术协议规范的研究及其安全性分析 介绍了万维网服务安全的相关技术和协议规范，通过协同使用当前已有的各种安全规 范和实现，建立适合于各种应用和需求的安全方案，确保万维网服务的安全；对万维网服 务的安全性进行了分析，包括传送级的安全机制和报文级的安全机制。 ( 3 ) 基于万维网服务的访问控制方案的研究及实现 4 塑室堕皇奎兰堡主堑窒竺兰篁堡壅丝二兰堕笙 介绍了万维网服务安全的相关技术和协议规范，通过协同使用当前已有的各种安全规 范和实现，建立适合于各种应用和需求的访问控制安全方案，确保万维网服务的安全。在 j 2 e e 平台上结合开源软件实现了一个基于x f i r es o a p 高性能引擎的安全访问控制原型 系统，并对实现进行了测试。 本文的主要工作包括： ( 1 ) 方案中设计了报文安全处理器进行专门的安全处理工作，为万维网服务提供透 明的安全处理，具有非常大的灵活性和可扩展性，报文安全处理器的种类不是固定的，例 如可以只有加密报文处理器和签名报文处理器，可以根据具体应用环境的需要添加或者去 除相应的报文安全处理器。该安全按处理器是访问控制的基础。 ( 2 ) 方案中引起了a b a c 方案，此a b a c 方案改进了a b a c 的基础方案，在基础 方案中并没有指定主体属性的获取方式，本文在客户端在请求访问某个资源时，将属性随 同请求一起发送给p e p ，由p e p 传给p d p 进行授权决策。万维网服务安全方案将服务请 求者的s a m l 声明嵌入到s o a p 请求报文的头部来实现主体属性的传递。 ( 3 ) 基础方案中并没有定义方案中各个部分之间的通信协议和安全机制，本文将 s a m l 和x a c m l 结合使用，由s a m l 提供断言和协议，而内部如何处理授权请求则有 x a c m l 标准解决。具有灵活、可伸缩和易于管理等优点。 1 5 组织结构安排 本文共分6 章，文章结构及各章节内容简介如下。 第一章：简要介绍了课题研究背景及意义，研究现状，研究目标，主要研究内容及创 新点，以及论文组织结构。 第二章：介绍了万维网服务的体系结构、s o a p 、w s d l 、u d d i 等关键技术以及对 万维网服务的的安全机制进行了分析，s o a p 用于服务调用，w s d l 用于服务描述，u d d i 用于服务发布和发现，它们共同建立了一个松散耦合、语言中立、平台无关和开放的万维 网服务技术平台。包括传送级的安全机制和报文级的安全机制。 第三章：阐述了传统访问控制面临的挑战，对万维网服务安全规范进行了研究，协议 规范包括x m l 加密、x m l 数字签名、w s s e c u r i t y 规范，着重介绍了基于属性的访问控 制方案。 第四章：在对万维网服务环境下a b a c 的应用可行性分析的基础上，确定了万维网 服务访问控制安全方案的设计目标，然后综合前面介绍的一些技术规范，设计了基于万维 南京邮电大学硕士研究生学位论文第一章绪论 网服务的访问控制安全方案。该安全方案包括两个部分：报文安全处理器模块和a b a c 访问控制模块，并对这两个模块进行了详尽的分析，最后对方案的安全性进行了分析。第 五章：实现基于万维网服务的访问控制安全方案，并对其进行了测试。 第六章：总结本文工作，并对下一步工作进行了展望。首先，本文缺乏一种对访问服 务所需的属性描述机制，用户很难知晓需要提供哪些属性才能获得授权，只能尽最大限度 的提供所有的属性信息。其次，对于万维网服务策略的有效管理方面，还需要进一步的研 究和学习。 6 南京邮电大学硕士研究生学位论文第二章万维网服务技术及其安全性分析 第二章万维网服务技术及其安全性分析 2 1 万维网服务体系结构 万维网服务( w e bs e r v i c e s ) 1 1 1 ，它通常是指用于架构万维网服务的整体技术框架。 万维网服务是用标准的、规范的基于x m l 的w s d l 语言描述，也称为万维网服务的服 务描述，这一描述囊括了与服务交互需要的全部细节，包括报文格式、传输协议和位置。 万维网服务实际上就是使用万维网服务技术而创建的应用实例。万维网服务的体系结构1 2 1 如图2 1 所示： 图2 1w e b n 艮务系统结构图 在万维网服务体系结构中，服务提供者是万维网服务的捌有者，它为其他服务和用户 提供自己已有的功能；服务请求者是万维网服务功能的使用者，它利用s o a p 报文向服 务提供者发送请求以获得服务：服务注册中心的作用是把一个服务请求者与合适的服务提 供者联系在一起，它充当管理者的角色，一般是u d d i 。这三个角色是根据逻辑关系划分 的，在实际应用中，三者之间很可能有交叉：一个万维网服务既可以是服务提供者，也可 以是服务请求者，或者二者兼而有之。实现一个完整的万维网服务，应包括以下步骤： ( 1 ) 服务提供者设计实现万维网服务，并将调试正确后的万维网服务通过服务注册 中心发布，并在u d d i 注册中心注册。 ( 2 ) 服务请求者向服务注册中心请求特定的服务，中介者根据请求查询u d d i 注册 中心，为请求者寻找满足请求的服务。 ( 3 ) 服务注册中心向服务提供者返回满足条件的万维网服务描述信息，该描述信息 用w s d l 写成，各种支持万维网服务的机器都能阅读。 ( 4 ) 服务请求者利用从服务注册中心返回的描述信息生成相应的s o a p 报文，发送 给服务提供者，以实现万维网服务的调用。 7 南京邮电大学硕士研究生学位论文第二章万维网服务技术及其安全性分析 ( 5 ) 服务提供者按s o a p 报文执行相应的万维网服务，并将服务结果返回给服务请 求者。 w e bs e r v i c e s 的这种分布式结构的实现，需要相关的协议栈的结构来支持，而这种协 议栈的结构需要相关的协议或技术构成。这些协议或技术包括：服务调用协议s o a p 、服 务描述语言w s d l ，服务发布和发现协议u d d i ，它们都是基于x m l 技术的。 2 2s o a p 协议 简单对象访问协议( s i m p l eo b j e c ta c c e s sp r o t o c o l ，s o a p ) 1 1 3 】是一种轻量级的、简 单的、基于x m l 标准的协议，它被设计成在w e b 上交换结构化的和固化的信息。 s o a p 的出现是与万维网服务的发展紧密相关的。万维网服务是封装成单个实体并将 其发布到网络上以供其它程序调用的功能的集合。它的作用是用来创建开放分布式系统的 构件。在万维网服务体系中，几乎所有的主要供应商都支持s o a p 这个新标准协议，这 样就能够避免在c o r b a 、d c o m 和其它协议之间进行转换的麻烦。正因为s o a p 的出现， 才使任何语言都可以用来编码实现万维网服务，开发者可以不用更改他们的开发环境就可 生产和使用万维网服务。也正是由于引入了s o a p ，才使万维网服务能够满足互操作性、 普遍性和低进入屏障。 s o a p 由四部分【1 4 - n 1 组成。s o a p 信封( s o a pe n v e l o p e ) ，它构造定义了一个整体的表 示框架，可用于表示在报文( m a s s a g e ) q b 的是什么，谁应当处理它，以及这是可选的还是 强制的；s o a p 编码规则( s o a pe n c o d i n gr u l e s ) ，定义了用于表示应用定义的数据类型 的编码规则；s o a pr p c 表示( s o a pr p c r e p r e s e n t a t i o n ) ，定义了一个表示远程过程调用 和返回的约定：s o a p 绑定( s o a pb i n d i n g ) 定义了一个使用底层传输协议来完成在结点间 交换s o a p 信封的约定。 2 3w s d l 语言 网络服务描述语言( w e bs e r v i c e sd e s c r i p t i o nl a n g u a g e ，w s d l ) i t s 】是一门基于x m l 语言和接口描述语言( i n t e r f a c ed e f i n i t i o nl a n g u a g e ，i d l ) 的服务描述语言，用于描述万维 网服务以及如何对它们进行访问。它定义了一套基于x m l 的语法，将万维网服务描述为 能够进行报文交换的服务访问点的集合。w s d l 服务定义为分布式系统提供了可机器识 别的s d k 文档，并且可用于描述应用程序通信中所涉及的细节。 w s d l 文档将万维网服务定义为服务访问点或端口的集合。在w s d l 中，由于服 务访问点和报文的抽象定义已从具体的服务部署或数据格式绑定中分离出来，因此可以对 抽象定义进行再次使用：报文，指对交换数据的抽象描述；而端v 1 类型，指操作的抽象集 南京邮电大学硕士研究生学位论文第二章万维网服务技术及其安全性分析 合。用于特定端口类型的具体协议和数据格式规范构成了可以再次使用的绑定。将w e b 访问地址与可再次使用的绑定相关联，可以定义一个端口，而端口的集合则定义为服务。 因此，w s d l 文档在万维网服务的定义中使用下列元素： ( 1 ) 聊e r 数据类型定义的容器，它使用某种类型系统( 一般地使用x m ls c h e m a 中的类型系统) 。 ( 2 ) m e s s a g r 通信报文的数据结构的抽象类型化定义。使用t y p e s 所定义的类型来 定义整个报文的数据结构。 ( 3 ) o p e r a i i o n 对服务中所支持的操作的抽象描述，一般单个o p e r a t i o n 描述了一个 访问入口的请求响应报文对。 ( 4 ) p o r t 聊r 对于某个访问入口点类型所支持的操作的抽象集合，这些操作可以 由一个或多个服务访问点来支持。 ( 5 ) b i n d i n g 一嘈定端口类型的具体协议和数据格式规范的绑定。 ( 6 ) p o r t 定义为协议数据格式绑定与具体w e b 访问地址组合的单个服务访问点。 ( 7 ) s e r v i c r 相关服务访问点的集合。 2 4u d d i 协议 通用描述、发现