基于Web服務的安全模型研究

摘要:傳統的Web安全通信是建立在IPsec和SSL之上，不能滿足Web服務的安全需求。首先介紹了Web服務相關問題及其安全性需求，然后針對基于Internet管理系統的安全性需求，設計了一個基于商業連鎖管理系統的Web服務的消息安全模型。該模型可以保證SOAP消息的機密性、完整性、驗證、不可否認以及授權，保護Web服務安全。

關鍵詞:Web服務安全;SOAP;加密

中圖分類號:TP311文獻標識碼:A文章編號:1009-3044(2010)02-304-02

Research on the Model of Security Based on Web Services

ZHAO Hong-dan1， ZHAO Li-hong2

(1.Anyang Normoal University， Anyany 455000， China; 2.Zhengzhou Vocational College of Economics and Trade， Zhengzhou 450006， China)

Abstract: Traditional Web communications is based on IPsec and SSL， so which can not meet the security requirements of Web services. Firstly， introduceing some question and security requirement concerned with Web Services. Then in view of the security demand of the internet management system， designing a Web Service message secure model which can ensure the confidentiality， integrity，nonrepudiation， validation and authorization of SOAP message， can protect the Web Services security.

Key words: WS-Security; SOAP; encryption

隨著互聯網技術的不斷發展，網絡在連鎖店之間的應用也越來越普遍，加快了以連鎖方式經營的商業企業信息傳遞的一致性及準確性，從而提高商業企業的經濟效益。Web服務以其松散耦合性、基于國際標準、與編程語言無關性、跨平臺等特性應運而生，在連鎖商業領域得到了廣泛的應用。Web服務沒有統一的定義，直到2002年4月W3C 才給出一個相對清晰的定義:Web服務是一種通過統一資源標識符(URI)標識的應用軟件，其接口和綁定形式可以通過XML標準定義、描述和檢索，Web服務能夠通過XML消息及Internet協議完成與其他軟件應用的直接交互[1]。

Web服務作為一種新興技術，主要是經由Internet來進行信息交換，存在著信息丟失、被竊聽、被篡改等安全性風險，安全問題成為其突出問題，若Web服務安全問題得不到保障，就會給數據交換和傳輸帶來嚴重的安全隱患。因此，Web服務安全問題引起了連鎖商業的注意，企業關注如何構建安全方案來保障企業之間通過Web服務進行安全的數據傳輸;如何既提高數據交互效率，又能提高安全性能。本文首先介紹了Web服務相關問題及其安全性需求，針對基于Internet管理系統的安全性需求，對一個基于商業連鎖管理系統的Web服務的消息安全模型進行了較詳細的分析。

1 Web服務存在的問題及安全性需求

安全需求是驅動Web服務安全框架的主要動力[2]。它們在最初的設計和實現階段中將安全的關注點與Web服務技術的不同領域關聯起來。在具體場景中考慮這些需求以獲得合適的觀點將是非常有用的。Web服務有以下七條基本的安全需求，它們對應著七條安全性原則[3]。

1) 認證:訪問商業服務的客戶(它可能是Web瀏覽器、PDA或WAP手機)需要被認證擁有可靠的證書。

2) 授權:認證成功之后，客戶就能請求訪問本地或遠程的商業服務，并且在運行時應當根據資源訪問權限列表來檢查服務請求者的訪問級別。

3) 審計/可追蹤性:每個事務型的Web服務都應當在Web服務調用和傳輸層級別上得到記錄。

4) 數據的機密性:數據的機密性使得第三方無法得到在通信雙方之間傳輸的數據。

5) 可用性/拒絕服務:攻擊者通常使用拒絕服務來攻擊具有更復雜安全特征的Web站點和商業服務。

6) 數據的完整性:事務和機密數據如果以XML明文的形式進行發送，就可能被截獲、修改或竄改。

7) 不可否認性:不斷增加的跨企業的數據交換和B2B集成需要支持不可否認性。

采用Web服務的連鎖商業管理系統使用非常方便，但是通過Internet調用服務，如果沒有安全性的話，數據的交換和傳輸就存在很大的安全隱患，追求的提高經濟效益的目的可能也就不能達到。因此就要保證這些Web服務的安全性。例如在進行交換數據的過程中遇到以下情況。

1) 用戶登錄:用戶登錄是由客戶端發起來表明自己身份的，在本案例中，需要傳輸用戶名和密碼來表明身份，且密碼是明文，是敏感信息，所以就必須要保證數據的機密性，另外還必須證明的確是此用戶，就要進行數字簽名，為了防止重放攻擊，還要引入時間戳。

2) 發送特定用戶的票據:服務端返回特定用戶的票據，這個票據是這個用戶的重要證明，要求數據的機密性和完整性，因此要進行加密和簽名。

3) 門店要貨單錄入中查詢要貨單:用戶發送的自己的票據和查詢條件，票據是個敏感信息，在調用服務時都要使用，所以要求數據機密性，查詢條件要求在傳輸過程中不可被更改，客戶端要對數據進行簽名。為了防止重放攻擊，必須引入時間戳。

4) 發送門店要貨單標題列表:由服務端發送的門店要貨單標題列表數據集，包括要貨單編碼、門店名稱、執行日期等信息，在傳輸過程中不能被更改。要求數據完整性，服務端要進行簽名。

2 Web服務消息安全模型的設計

為了滿足連鎖商業管理系統的安全性需求，本消息安全模型具體組成如圖1所示。消息安全模型中有四個角色:服務請求者、服務提供者、SAML管理機構及XKMS服務器。服務請求者是申請提供服務方，可以是一個基于瀏覽器的應用程序、組件甚至是一個Web服務。服務提供者是服務所有者，它經過認證，授權向合格的請求者提供資源。SAML管理機構是權限管理機構，它處理系統的訪問控制和授權，用來生成SAML斷言，其中包含了用戶驗證證件和其他授權信息。SAML管理機構有時就是Web服務提供者，它可以位于Internet的任何位置上。XKMS服務器為Web服務提供基于XML的公用密鑰基礎結構。主要用來管理密鑰和證書信息。控制密鑰注冊、恢復與取消。服務請求者和服務提供者都可以通過XKMS服務來認證對方，可以說XKMS服務器也提供了一種Web服務。

消息安全模型具有三個操作:取得SAML斷言、取得認證信息、對傳輸的SOAP[4]消息進行安全處理。其核心是消息的安全處理，它包括對SOAP消息加密、數字簽名和添加SAML斷言，其它兩個操作是為該操作服務。

消息安全模型中用到的SAML、XKMS以及SOAP加密等都是基于XML的，都具有互操作性，可以跨平臺，同時能滿足Web服務的安全需求。

整個安全模型系統的處理流程如下:

1) 服務請求者和服務提供者各自向XKMS服務器注冊認證證書。

2) 服務請求者登錄SAML認證服務器，驗證后，從數據庫或權限列表取出與登錄者身份相應的訪問權限，生成SAML斷言。

3) 將SOAP請求消息經安全處理后發出。

4) 服務提供者收到SOAP請求消息后，做相應的安全處理，根據處理結果判斷是否滿足服務請求者的請求。

下面詳細分析SOAP消息安全處理的相關問題。SOAP消息安全處理包括對SOAP消息的簽名、加密和添加SAML斷言。

服務請求者對SOAP消息的安全處理過程如下:

1) 服務請求者從XKMS服務器取得服務提供者的認證證書。

2) 服務請求者將生成的SAML斷言加入SOAP消息中。

3) 服務請求者用自己的認證證書中的私鑰對SOAP消息簽名。

4) 用服務提供者認證證書中的公鑰對SOAP消息加密，利用XML加密的部分加密特性，僅加密SOAP消息的機密信息，而不加密SOAP消息的Header部分。

5) 將服務請求者的認證證書加入SOAP消息，發送給服務提供者。

服務提供者對SOAP消息的安全處理過程如下:

1) 服務提供者接收到消息后，定位消息中的認證證書，向XKMS確定該證書的有效性。

2) 取出其中的公鑰驗證簽名。

3) 服務提供者利用自己的認證證書中的私鑰解密。

4) 根據SAML斷言中的權限信息決定服務請求者是否有權限訪問請求資源。若有權訪問，則滿足服務請求者的請求，并發送SOAP響應消息;否則拒絕服務請求者的請求。

服務提供者響應服務請求者的過程與SOAP請求過程類似，不再贅述。

3 結束語

在實際應用中，可以根據需要調用消息安全模型中的安全操作，有時并不需要全部操作。本文針對Web服務在連鎖商業中的安全性需求提提出了Web服務消息安全模型，它能保證SOAP消息的機密性、完整性、驗證和不可否認性，該模型在連鎖商業管理系統中已經得到應用。

參考文獻:

[1] Daniel A，Abbie B.Web Services Architecture Requirements[EB/OL].W3C Working Draft，http://www.w3.org/TR/2002/WD-wsa-reqs-20020429.2002，4.

[2] 構建安全的Web服務[EB/OL].http://www.microsoft.com/china/technet/security/guidance/secmod85.mspx.2004.4.

[3] 朱玉，鄧曉艷，邵培南.基于XML的應用層安全解決方案[J].計算機工程，2003(2).

[4] Martin G，Marc H.SOAP Version 1.2 Part1: Messaging Framework[EB/OL].W3C Candidate Recommendation，http://www.w3.org/TR/soap12-part1/. 2003，6.