Web服务安全性研究与应用

武汉理工大学硕士学位论文Web服务安全性研究与应用姓名：万书振申请学位级别：硕士专业：计算机应用技术指导教师：冉春玉20070401Web服务安全性研究与应用作者：万书振学位授予单位：武汉理工大学相似文献(10条)1.学位论文邹青梅XML安全技术研究及应用2005XML(eXtensibleMarkupLanguage)是世界万维网联盟W3C(theWorldWideWebConsortiun)制定的一种数据标准.它以其结构化、互操作性、易于交换和可扩展性的特点在很多行业得到了广泛的应用.在XML成为Web应用中广泛使用的编码方式时,保证XML描述信息的安全性是必不可少的.XML安全技术主要涉及下列安全问题:XML加密、XML签名、XML密钥管理规范(XMLKeyManagementSpecification,简写为XKMS)和安全断言标记语言(SecurityAssertionMarkupLanguage,简写为SAML).本论文重点研究了前两个部分.XML安全技术能保证被传输数据的完整性、真实性、不可否认性,它可以弥补传统安全技术所存在的不足,能有效地增强WEB资源的安全性.并且XML签名和XML加密是安全web服务(WebServices)中一系列规范的基础,所以保证XML的安全对整个Web的发展都起着至关重要的作用.本论文围绕XML安全技术这一目标展开,主要内容如下:(1).对XML的编写规则、特点、编程接口、内容显示及应用领域等作了简介.(2).对密码学中的核心技术,如加密技术中的对称加密、非对称加密,数字签名、公钥基础设施(PublicKeyInfrastructure,简写为PKI)等技术作了较详细的介绍,分析了他们之间的联系与区别.(3).对XML安全中的XML加密和XML签名的工作原理作了具体的分析,探讨了XML加密和XML签名的实现技术,把XML签名和传统的数字签名作了较深入的比较,并提出了一种标识多人签名的解决方案.(4).基于VS.net平台,通过把C＃技术,XML安全规范中的XML加密、XML签名有机地结合起来,在卫生检测实验室信息管理系统中实现了XML加密、解密,XML签名及验证签名等功能.2.期刊论文乔加新.QIAOJia-xinXML加密技术与XML签名技术的研究-信息技术2007,31(7)基于XML数据安全的新要求,国际标准化组织提出了一系列XML安全规范研究.分析了目前XML安全技术的两个最为核心的技术:XML加密技术和XML签名技术,并具体研究了XML加密和XML签名技术的目标、语法以及它们的分类.3.学位论文杨柯基于SOAP扩展的Web服务安全模型的研究与实现2009Web服务在松散耦合的、与语言和平台无关的应用中被越来越广泛的采用，随着Web服务给人们带来便利的同时，也面临着安全问题的巨大挑战。安全问题不仅是制约Web服务发展的主要瓶颈，而且也是Web服务能否为大众所接受，能否得以迅速推广的关键。论文在研究Web服务和SOAP协议的基础上，设计和实现了一种以XML签名、XML加密和时间戳机制组成的Web服务安全模型，通过测试和分析，验证了模型的可行性。论文的工作主要在以下几个方面：1．分析和研究了Web服务的相关技术(XML、WSDL、UDDI、SOAP、Web服务协议栈)；探讨了SOAP通信机制存在的隐患和Web服务面临的威胁，同时分析了Web服务所要达到的安全目标和传统的信息安全技术、WS—Security规范和时间戳机制。2．在相关理论研究和分析的基础上，设计和实现了一套基于SOAP消息扩展的Web服务安全模型，该模型将XML签名、XML加密和可信的简单时间戳机制相结合。XML签名可以提供数据的完整性和身份的不可否认性；XML加密保证了SOAP消息的机密性；时间戳机制可以有效的防止SOAP消息传输过程中的重放攻击问题和提供时间的不可否认性。3．利用．NET平台提供的SOAP消息扩展机制，将所设计的XML签名，XML加密和时间戳模块进行了集成实现，并在网上售票系统上对安全模型进行了安全性测试。通过获取安全处理后的SOAP消息，验证了论文中所设计的安全模型的可行性。4.学位论文王照XML安全性研究与实现2006自从XML诞生以来，XML已经成为了一种数据交换的标准。并且随着因特网的发展，XML已经成为互联网上WebService的主要支持者。越来越多的公司在通过网络传输结构化数据时采用XML。在XML应用越来越广泛的同时，XML的安全性问题也就变得越来越重要。如果不能保证数据交换过程中的安全性，那么这种数据交换的格式是不完整的。如何能够妥善的解决XML信息的安全性问题，直接关系到商业用户是否愿意接纳XML作为信息交换的标准，也直接关系到XML的未来发展。本文主要分成以下四个部分：第一部分简单的介绍了一下XML的相关知识，以及安全技术基础。主要包括XML自身的一些特点，XML安全性的最新进展以及与XML安全性相关的一些基础理论。第二部分详细的介绍了一下XML的安全技术，包括XML加密，XML签名和XML密钥管理规范。第三部分详细的说明了如何参照W3C所提出的规范和标准，来设计XML安全系统。其中主要包括XML加密器的设计，XML数字签名的设计，XML签名验证的设计，XML解密器的设计，以及XML密钥管理的设计。第四部分说明了如何实现XML安全系统。本部分中详细的描述了XML加密，XML解密，XML签名，XML签名验证以及密钥管理的实现过程，并展示了实现的结果。5.期刊论文蔡小芳.张永胜在Web服务安全中XML加密与签名的应用-计算机安全2006,(7)该文首先讨论了传统Web服务安全技术存在的不足之处,然后详细说明了作为Web服务安全技术核心的XML加密与签名技术的具体实现,最后介绍将XML加密与签名应用到Web服务安全中的优势所在.6.学位论文周颖基于可信SOAP的WebServices安全架构的实现2004随着Web服务的不断发展,不可避免地存在着由此所带来的信息安全隐患.因此在Web服务中,安全性成为一个至关重要的核心问题,它要求网络能提供一种端到端的安全解决方案,如加密机制、签名机制、安全管理、存取控制、防火墙、防病毒保护等等.SOAP作为Web服务通信协议的基础,在实现Web服务安全性的工程中扮演着及其重要的角色.该文研究了Web服务安全规范WS-Security的内容和架构:Web服务安全性语言(WebServicesSecurityLanguage)是一个建立在标准的SOAP标准规范上,可以在构建安全的Web服务以实现完整性和机密性时使用的安全规范.WS-Security定义了一个用于携带安全性相关数据的SOAP标头元素.如果使用XML签名,此标头可以包含由XML签名定义的信息,其中包括消息的签名方法、使用的密钥以及得出的签名值.同样,如果消息中的某个元素被加密,则WS-Security标头中还可以包含加密信息(例如由XML加密定义的加密信息).WS-Security并不指定签名或加密的格式,而是指定如何在SOAP消息中嵌入由其他规范定义的安全性信息.WS-Security主要是一个用于基于XML的安全性元数据容器的规范.在此标头中,消息可以存储关于调用方、消息的签名方法和加密方法的信息.WS-Security将所有安全信息保存在消息的SOAP部分中,从而为Web服务安全性提供了端到端的解决方案.该文在WS-Security架构的实现中,介绍了SOAP标准规范及相应的安全机制,并讨论了WebService安全上的现状以及现有安全解决方案存在的问题.该文研究介绍了WS-Security所涉及的三个方面:身份验证、签名和加密,并提出了如何使用WS-Security和其他配合工具WSE在SOAP消息中嵌入安全机制.在Web服务安全规范WS-Security的基础上,提出并分析了新的可信SOAP安全性模型的体系架构设计的基本原理并阐明了它的优点,对安全规范的关键技术——XML签名机制与XML加密机制也做了详细阐述.最后,该文遵循WS-Security的思想,使用现有的安全技术设计与实现了一个基于可信SOAP安全性模型的WS-Security架构,并对各部分的功能及实现机制作了详细介绍,详细分析了XML签名机制与XML加密机制.7.学位论文卢文锋Web服务安全结构模型研究2006Web服务是一种新的分布式计算标准，提供了一种面向服务的架构，是真正分布式的、松散耦合的，具有平台无关性。Web服务与服务提供者和使用者的位置无关，适用于跨防火墙通信、企业应用集成、B2B集成和软件重用等。但是Web服务中的安全问题直接制约着Web服务的广泛应用。安全性问题是一个非常复杂的问题，常用的安全通信机制如SSL/TLS，IPSec等，适用于传输层/网络层的数据安全保护，不能满足SOAP通信安全的需求，无法确保Web服务的安全。Web服务要求网络能够提供一种端到端的安全解决方案，如加密机制、签名机制、安全管理、存取控制等等。如何实现具有一定通用性的安全模型是Web服务应用中的研究重点。本文的主要研究工作及创新点如下：1.对Web服务中的SOAP、UDDI、WSDL技术进行了分析，系统地研究了Web服务主流的安全标准，包括XML加密、XML签名、XKMS规范。XML签名确保数据的完整性、可靠性和不可否认性，XML加密确保数据的机密性，XKMS实现签名和加密中的密钥管理。2.分析了Web服务安全性需求，包括机密性、完整性、身份验证、授权和不可否认性。深入分析了传输层安全技术(SSL/TLS)和应用层安全技术(XML加密和XML签名)所能提供的安全性。研究了传输层安全技术(SSL/TLS)存在的问题。3.WS-Security在现有XML安全规范中添加了一个框架，用于将这些机制嵌入到SOAP消息中以实现访问控制、身份验证、消息的机密性、完整性和可信性，本文对WS-Security规范作了一些改进，将Diffie-Hellman与TCP握手机制组合，简化了加密过程，提出了一种实现多次加密、多次签名的方法。4.提出了一个安全数据交互模型，此模型基于RSA认证技术，包括客户向服务端请求数据和客户向服务端提交数据两个过程，保证了客户端和服务端之间数据的安全传输。5.提出了一个Web服务安全模型系统，分析了该模型的安全性，该模型能保证SOAP消息的机密性、完整性、身份验证、不可否认性及授权。6.分析了Web服务安全环境，包括WSE和VS.NET安全性命名空间，给出了通过部署策略文件实现SOAP消息加密和签名的操作方法。8.会议论文何薇.刘奔.舒后基于XML的数据安全技术研究2006XML文档作为一种Internet上的信息交换格式,它的安全性变得愈加重要.在与XML相关的安全性领域中,XML加密技术和XML签名技术是XML安全的一种重要技术.文章在详细探讨XML加密和XML签名技术原理基础上,通过实例分析了各种类型的XML加密和XML签名方式.9.学位论文陈翀基于WS-Security的SOAP消息端到端安全机制的研究与实现2004建立在互联网之上的Web服务结合了高效紧密的单层计算技术与面向消息的、松散耦合的Web技术,为电子商务的发展带来了新的契机.但是,由于互联网的开放自由带来的消息安全隐患,同时却也成为电子商务发展的绊脚石.因此,采取强有力的安全策略来保障电子商务的安全性,为消息传输提供端到端的安全保障,将变得尤为重要.该文首先提出SOAP消息对安全性的需求,并从传输层安全技术和XML安全技术两个层面分析现有的SOAP消息安全技术如SSL/TLS、HTTP身份验证、XML加密和XML签名等所能提供的安全保障及其缺陷,从而提出应用WS-Security规范结合现有的安全技术来为SOAP消息传输提供端对端的安全保障,并对其可行性进行分析.该文着重描述了如何应用WS-Security规范结合现有的安全技术对SOAP消息进行安全扩展,主要涉及身份验证、XML签名和XML加密三方面的安全技术应用.