徐春笙 郭鳳宇

摘要：為了滿足Web服務(wù)和訪問控制方面的需求，在機密性，完整性和不能拒絕性別，身份認(rèn)證，訪問控制等方面，論文提出了一種具有安全規(guī)范的Web服務(wù)安全解決方案。

關(guān)鍵詞：消息層;Web服務(wù);安全模型設(shè)計

中圖分類號：TP393 文獻標(biāo)識碼：A 文章編號：1007-9416（2020）01-0186-01

0 引言

在Web服務(wù)應(yīng)用過程中，安全問題首先要得到保障，否則會給使用者帶來嚴(yán)重?fù)p失。在Web服務(wù)框架下，消息層主要負(fù)責(zé)處理信息收發(fā)和驗證工作，需要合理設(shè)計Web服務(wù)安全模型，確保Web服務(wù)的完整性和機密性。因此，有必要對基于消息層的Web服務(wù)安全解決方案進行系統(tǒng)研究，構(gòu)建有效的安全模型。

1 Web服務(wù)安全框架

Web服務(wù)安全框架具體由四大部分構(gòu)成，包括斷言服務(wù)器、發(fā)送端、接收端和密鑰服務(wù)器。其中，斷言服務(wù)器的功能主要包括認(rèn)證申明、屬性申明和授權(quán)申明。在斷言服務(wù)器功能的支持下，可以為通信雙方提供一個基于數(shù)據(jù)安全的相互信任服務(wù)。發(fā)送端主要負(fù)責(zé)處理數(shù)據(jù)發(fā)送過程中的安全問題，在需要發(fā)送信息時，發(fā)送端安全處理模塊會通過斷言服務(wù)器，為信息添加安全斷言，并通過密鑰服務(wù)器對重要信息數(shù)據(jù)進行加密。與其相對應(yīng)的接收端服務(wù)器負(fù)責(zé)對數(shù)據(jù)接收過程中的安全問題進行處理，具備安全訪問控制功能。在接收到信息后，首先通過斷言服務(wù)器驗證其安全屬性，其次通過密鑰服務(wù)器對加密數(shù)據(jù)進行解密。最后通過驗證發(fā)送端身份，實現(xiàn)訪問控制功能，為數(shù)據(jù)安全性提供保障。密鑰服務(wù)器專門負(fù)責(zé)對信息收發(fā)過程中的數(shù)據(jù)加解密操作進行處理，為雙方提供密鑰信息，包括密鑰注冊、查詢和數(shù)字證書等服務(wù)，在保證雙方通信可靠的同時，提高通信效率。Web服務(wù)安全框架如圖1所示。

2 基于消息層的Web服務(wù)安全模型設(shè)計

2.1 安全處理模塊設(shè)計

基于消息層的Web服務(wù)安全處理模塊主要由發(fā)送端安全處理模塊和接收端安全處理模塊組成。在發(fā)送端的安全處理過程中，首先為數(shù)據(jù)添加斷言和屬性集，其次進行公鑰加密，最后進行私鑰簽名。接收端的安全處理過程與發(fā)送端內(nèi)容一致、功能相反，即對數(shù)據(jù)斷言進行處理、驗證屬性集、進行私鑰解密和公鑰驗證簽名。在發(fā)送端和接收端的安全處理模塊設(shè)計過程中，需要按照其數(shù)據(jù)處理流程順序，分別設(shè)計斷言處理模塊、屬性處理模塊、加解密處理模塊和簽名驗證模塊。采取這種模塊化設(shè)計方式的主要目的是提高數(shù)據(jù)安全處理效率。

2.2 收發(fā)端處理模塊設(shè)計

在具體設(shè)計過程中，信息發(fā)送端首先要向斷言服務(wù)器發(fā)送斷言申請，并在此過程中提供自身關(guān)鍵信息。斷言服務(wù)器接收到發(fā)送端發(fā)送的申請，需要對其用戶身份進行認(rèn)證，添加屬性、授權(quán)，將斷言信息返回發(fā)送端。得到返回的斷言信息后，根據(jù)WS-Security規(guī)范，發(fā)送端需要將斷言信息加入到發(fā)送的信息頭部，作為用戶安全令牌。然后再添加需要發(fā)送的信息內(nèi)容，利用數(shù)字加密技術(shù)對信息頭部和重要信息部分進行加密。

2.3 加密模塊設(shè)計

在Web服務(wù)過程中，加密技術(shù)是保障信息傳輸安全的主要技術(shù)手段，經(jīng)過加密后，數(shù)據(jù)明文變?yōu)槊芪?。為了提高加密和解密效率，可以只對部分重要信息進行加密，采用混合加密方法，將對稱加密、非對稱加密技術(shù)相結(jié)合，協(xié)調(diào)算法安全性及算法執(zhí)行效率的關(guān)系。在發(fā)送信息時，同時將加密數(shù)據(jù)、加密密鑰發(fā)送給接收端。最后在接收端的解密過程中，先利用自身私鑰進行解密，得出發(fā)送端私有密鑰，再利用其完成加密數(shù)據(jù)的解密工作，可以同時滿足算法執(zhí)行效率和安全性的要求。

2.4 數(shù)據(jù)驗證模塊設(shè)計

在數(shù)據(jù)驗證模塊的設(shè)計方面，數(shù)據(jù)驗證主要是對信息完整性進行驗證。需要確保接收端實際接收到的信息內(nèi)容與發(fā)送端內(nèi)容完全一致，防止數(shù)據(jù)在傳輸過程中遭到篡改。在Web服務(wù)機制下，發(fā)送端發(fā)送的信息是不可否認(rèn)的，帶有其特殊身份信息，不能被偽造，因此發(fā)送端發(fā)出信息后也不能否認(rèn)。在數(shù)據(jù)驗證模塊設(shè)計過程中，主要根據(jù)數(shù)字簽名和密鑰服務(wù)器處理結(jié)果檢驗信息完整性。同時需要通過設(shè)計不可否認(rèn)功能，確保信息發(fā)送者承擔(dān)其發(fā)送后果及責(zé)任。

2.5 身份認(rèn)證模塊設(shè)計

Web服務(wù)中的身份認(rèn)證模塊主要判斷通信雙方物理身份與數(shù)字身份是否相符，具體可以采用多種身份認(rèn)證方法。目前在Web服務(wù)安全框架下常用的身份認(rèn)證技術(shù)包括智能卡識別、動態(tài)口令、靜態(tài)密碼、短信密碼、USB Key等。在身份認(rèn)證模塊設(shè)計過程中，密鑰加密與證書服務(wù)相結(jié)合的方式，通過注冊證書和密鑰，對身份進行認(rèn)證。在發(fā)送信息時，首先利用私鑰進行加密和數(shù)字簽名處理，并在信息中公示其持有公鑰信息。在接收方接收到信息后，可以根據(jù)證書和公鑰信息，驗證密鑰信息，從而完成對信息發(fā)送者身份的認(rèn)證。

2.6 訪問權(quán)限控制模塊設(shè)計

訪問權(quán)限控制模塊主要基于屬性對通信訪問權(quán)限進行控制，可以采用動態(tài)訪問控制方法，確保訪問權(quán)限控制的有效性。由于訪問控制過程的授權(quán)決策主要根據(jù)Web服務(wù)請求者確定，并對服務(wù)提供者屬性信息進行判斷。在操作過程中，可以將服務(wù)請求者與服務(wù)提供者屬性構(gòu)成集合，由訪問權(quán)限控制模塊負(fù)責(zé)對不同屬性進行識別，檢測得到符合要求的屬性，實現(xiàn)對訪問者權(quán)限合法性的判斷。

3 結(jié)語

綜上所述，基于消息層設(shè)計Web服務(wù)安全模型，通過了解Web服務(wù)安全框架及通信機制，可以為安全模型設(shè)計提供方向。在此基礎(chǔ)上，分別設(shè)計并實現(xiàn)各個安全模塊，實現(xiàn)數(shù)據(jù)驗證、身份認(rèn)證和訪問權(quán)限控制等功能，可以彌補Web服務(wù)自身安全性不足的缺陷，從而為Web服務(wù)下的信息數(shù)據(jù)安全提供保證。

參考文獻

[1] 申普兵，薛保澤，陳樹文.面向Web服務(wù)安全的SCIT改進模型的研究[J].計算機技術(shù)與發(fā)展，2019，29（09）：92-96.

[2] 柳佳雨.Web服務(wù)組合中的訪問控制方法[D].西安：西安電子科技大學(xué)，2018.

[3] 歐瑪.Web服務(wù)安全風(fēng)險評估及其輔助工具設(shè)計[J].電腦知識與技術(shù)，2017，13（25）：39-41.