Web,Services安全技术研究安全技术研究

时间：2019-03-30 03:24:48　来源：雅意学习网本文已影响人

　　摘要： Web Service的安全性在当前的应用中起到基础作用。在分析了Web Service安全现状的基础上,根据Web Service的主要安全需求，提出了安全的SOAP消息方法，主要采用文档对象的加密方法并且定义了数据加密的过程，给出了基于元素方式的数据加密的一个安全机制，可有效的保证SOAP消息的安全传输。
　　关键词： XML；SOAP；Web服务；加密
　　中图分类号：TP393 文献标识码：A文章编号：1006-4311（2012）07-0128-01
　　1Web Service中SOAP安全探讨
　　针对Web服务的安全需求，国内外的一些标准化组织、公司和社会团体进行了大量相关研究，并提出了很多安全规范。这些标准和技术虽然从很大程度上解决了SOAP的安全问题，但也往往存在一些不足。在SOAP消息传输中，SSL等传输层安全协议能够保证传输级消息的安全，但它有两个显著的缺点，第一是途经中间节点的解密问题，第二是SSL加密对整个消息进行加密，破坏了XML格式。在具体的应用环境下，通常仅仅需要对SOAP消息的一部分加密，这样不仅能提高加密/解密的效率，而且能使消息的格式得以保持。XML Encryption定义了对通用XML进行加密的方法，它是W3C的规范草稿，尚未成为正式标准。XML Encryption采用对称密码体制和散列函数，能够在事先协商好对称密钥的情况下，通过将消息主体替换为密文，对XML消息的单一或多个部分进行加密。SOAP是基于XML的，因此可以将XML Encryption的方法应用到SOAP的安全应用中。从而实现SOAP的安全传输。
　　2SOAP的加密的实现方法
　　SOAP的加密过程中首先对要加密的SOAP文档按照XML DOM进行解析，找出要加密的节点对象，采用具体的加密算法对该对象进行加密，同时做加密算法的声明。SOAP的解密过程先对接收到的SOAP文档进行解析，找出加密节点对象，根据加密算法的声明选择相应的解密算法。
　　在下面的实现中，可以通过对XmlDocument对象进行解析，找出需要保护的数据，然后实例化加密算法，根据需要可以选择不同的加密算法，最后对重要数据进行加密，从而实现SOAP的保密传输。
　　通信平台中截获SOAP请求Body中要加密的元素如下：
　　
　　 lisi 765756765
　　 78778
　　
　　下面是SOAP消息的加密后的XML文档。Body条目中被对称加密方法加密了，对称密钥作为其中的一个条目，同时该条目采用非对称加密后，以元素的形式出现。也就是说，这个密钥是使用公钥加密的（这是一个常用的加密模型，文档数据使用诸如DES等对称加密算法加密，而加密的对称密钥则使用非对称的RSA加密算法加密）。
　　对Customer的XML文档中的信息进行加密会得到如下密文：
　　
　　
　　
　　
　　 zhangsan
　　 Oll……Ay4=
　　
　　 1Qab……Uw2og= =
　　观察加密后的密文，可以看到上面描述的各个元素，首先,元素显示了AES-256的URI,这意味着该文档的加密算法是用带有256位密钥的AES算法。密钥在元素中加密,通过观察元素可以看到它是用RSA算法并借助一个名为zhangsan的密钥加密的（接收方公钥），元素存放了该密钥的加密值。在元素后面的是包含加密内容的元素。
　　3总结
　　基于XML Document的SOAP安全模型主要有以下几个特征: 一是它可以进行对元素属性的加密，并进行XML文档模式的转化; 二是它将SOAP进行解析，实现部分重要数据的加密；三是可扩展到XKMS从而提供了一个安全的密钥获取机制。此方法也存在一些不足：一是其安全性依赖于加密算法的选择和密钥的长度；二是在进行XMLDocument文档解析的过程中时间和空间复杂度的不确定性。
　　参考文献：
　　[1]陈天煌，李帆.利用SOAP扩展实现Web服务中SOAP消息的安全[J].武汉理工大学学报，2007.
　　[2]顾韵华，傅德胜，王兴.XML安全技术分析与应用[J].计算机科学，2009，36（5）：118~141.
　　[3]魏海新，张超英.一种灵活的SOAP签名加密方案[J].计算机工程，2010，36（13）：151~153.
　　[4]W.T.Committee, Web Services Security：SOAP Message Security 1.1 （WS-Security 2004），OASIS, 2010.

推荐访问:技术研究 Web Services

Web,Services安全技术研究安全技术研究

最新文章

热门文章

Web,Services安全技术研究 安全技术研究

最新文章

热门文章

Web,Services安全技术研究安全技术研究