基于消息層的Web服務(wù)安全模型設(shè)計(jì)分析

徐春笙 郭鳳宇

摘要：為了滿足Web服務(wù)和訪問(wèn)控制方面的需求，在機(jī)密性，完整性和不能拒絕性別，身份認(rèn)證，訪問(wèn)控制等方面，論文提出了一種具有安全規(guī)范的Web服務(wù)安全解決方案。

關(guān)鍵詞：消息層;Web服務(wù);安全模型設(shè)計(jì)

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007-9416（2020）01-0186-01

0 引言

在Web服務(wù)應(yīng)用過(guò)程中，安全問(wèn)題首先要得到保障，否則會(huì)給使用者帶來(lái)嚴(yán)重?fù)p失。在Web服務(wù)框架下，消息層主要負(fù)責(zé)處理信息收發(fā)和驗(yàn)證工作，需要合理設(shè)計(jì)Web服務(wù)安全模型，確保Web服務(wù)的完整性和機(jī)密性。因此，有必要對(duì)基于消息層的Web服務(wù)安全解決方案進(jìn)行系統(tǒng)研究，構(gòu)建有效的安全模型。

1 Web服務(wù)安全框架

Web服務(wù)安全框架具體由四大部分構(gòu)成，包括斷言服務(wù)器、發(fā)送端、接收端和密鑰服務(wù)器。其中，斷言服務(wù)器的功能主要包括認(rèn)證申明、屬性申明和授權(quán)申明。在斷言服務(wù)器功能的支持下，可以為通信雙方提供一個(gè)基于數(shù)據(jù)安全的相互信任服務(wù)。發(fā)送端主要負(fù)責(zé)處理數(shù)據(jù)發(fā)送過(guò)程中的安全問(wèn)題，在需要發(fā)送信息時(shí)，發(fā)送端安全處理模塊會(huì)通過(guò)斷言服務(wù)器，為信息添加安全斷言，并通過(guò)密鑰服務(wù)器對(duì)重要信息數(shù)據(jù)進(jìn)行加密。與其相對(duì)應(yīng)的接收端服務(wù)器負(fù)責(zé)對(duì)數(shù)據(jù)接收過(guò)程中的安全問(wèn)題進(jìn)行處理，具備安全訪問(wèn)控制功能。在接收到信息后，首先通過(guò)斷言服務(wù)器驗(yàn)證其安全屬性，其次通過(guò)密鑰服務(wù)器對(duì)加密數(shù)據(jù)進(jìn)行解密。最后通過(guò)驗(yàn)證發(fā)送端身份，實(shí)現(xiàn)訪問(wèn)控制功能，為數(shù)據(jù)安全性提供保障。密鑰服務(wù)器專門負(fù)責(zé)對(duì)信息收發(fā)過(guò)程中的數(shù)據(jù)加解密操作進(jìn)行處理，為雙方提供密鑰信息，包括密鑰注冊(cè)、查詢和數(shù)字證書(shū)等服務(wù)，在保證雙方通信可靠的同時(shí)，提高通信效率。Web服務(wù)安全框架如圖1所示。

2 基于消息層的Web服務(wù)安全模型設(shè)計(jì)

2.1 安全處理模塊設(shè)計(jì)

基于消息層的Web服務(wù)安全處理模塊主要由發(fā)送端安全處理模塊和接收端安全處理模塊組成。在發(fā)送端的安全處理過(guò)程中，首先為數(shù)據(jù)添加斷言和屬性集，其次進(jìn)行公鑰加密，最后進(jìn)行私鑰簽名。接收端的安全處理過(guò)程與發(fā)送端內(nèi)容一致、功能相反，即對(duì)數(shù)據(jù)斷言進(jìn)行處理、驗(yàn)證屬性集、進(jìn)行私鑰解密和公鑰驗(yàn)證簽名。在發(fā)送端和接收端的安全處理模塊設(shè)計(jì)過(guò)程中，需要按照其數(shù)據(jù)處理流程順序，分別設(shè)計(jì)斷言處理模塊、屬性處理模塊、加解密處理模塊和簽名驗(yàn)證模塊。采取這種模塊化設(shè)計(jì)方式的主要目的是提高數(shù)據(jù)安全處理效率。

2.2 收發(fā)端處理模塊設(shè)計(jì)

在具體設(shè)計(jì)過(guò)程中，信息發(fā)送端首先要向斷言服務(wù)器發(fā)送斷言申請(qǐng)，并在此過(guò)程中提供自身關(guān)鍵信息。斷言服務(wù)器接收到發(fā)送端發(fā)送的申請(qǐng)，需要對(duì)其用戶身份進(jìn)行認(rèn)證，添加屬性、授權(quán)，將斷言信息返回發(fā)送端。得到返回的斷言信息后，根據(jù)WS-Security規(guī)范，發(fā)送端需要將斷言信息加入到發(fā)送的信息頭部，作為用戶安全令牌。然后再添加需要發(fā)送的信息內(nèi)容，利用數(shù)字加密技術(shù)對(duì)信息頭部和重要信息部分進(jìn)行加密。

2.3 加密模塊設(shè)計(jì)

在Web服務(wù)過(guò)程中，加密技術(shù)是保障信息傳輸安全的主要技術(shù)手段，經(jīng)過(guò)加密后，數(shù)據(jù)明文變?yōu)槊芪摹榱颂岣呒用芎徒饷苄?，可以只?duì)部分重要信息進(jìn)行加密，采用混合加密方法，將對(duì)稱加密、非對(duì)稱加密技術(shù)相結(jié)合，協(xié)調(diào)算法安全性及算法執(zhí)行效率的關(guān)系。在發(fā)送信息時(shí)，同時(shí)將加密數(shù)據(jù)、加密密鑰發(fā)送給接收端。最后在接收端的解密過(guò)程中，先利用自身私鑰進(jìn)行解密，得出發(fā)送端私有密鑰，再利用其完成加密數(shù)據(jù)的解密工作，可以同時(shí)滿足算法執(zhí)行效率和安全性的要求。

2.4 數(shù)據(jù)驗(yàn)證模塊設(shè)計(jì)

在數(shù)據(jù)驗(yàn)證模塊的設(shè)計(jì)方面，數(shù)據(jù)驗(yàn)證主要是對(duì)信息完整性進(jìn)行驗(yàn)證。需要確保接收端實(shí)際接收到的信息內(nèi)容與發(fā)送端內(nèi)容完全一致，防止數(shù)據(jù)在傳輸過(guò)程中遭到篡改。在Web服務(wù)機(jī)制下，發(fā)送端發(fā)送的信息是不可否認(rèn)的，帶有其特殊身份信息，不能被偽造，因此發(fā)送端發(fā)出信息后也不能否認(rèn)。在數(shù)據(jù)驗(yàn)證模塊設(shè)計(jì)過(guò)程中，主要根據(jù)數(shù)字簽名和密鑰服務(wù)器處理結(jié)果檢驗(yàn)信息完整性。同時(shí)需要通過(guò)設(shè)計(jì)不可否認(rèn)功能，確保信息發(fā)送者承擔(dān)其發(fā)送后果及責(zé)任。

2.5 身份認(rèn)證模塊設(shè)計(jì)

Web服務(wù)中的身份認(rèn)證模塊主要判斷通信雙方物理身份與數(shù)字身份是否相符，具體可以采用多種身份認(rèn)證方法。目前在Web服務(wù)安全框架下常用的身份認(rèn)證技術(shù)包括智能卡識(shí)別、動(dòng)態(tài)口令、靜態(tài)密碼、短信密碼、USB Key等。在身份認(rèn)證模塊設(shè)計(jì)過(guò)程中，密鑰加密與證書(shū)服務(wù)相結(jié)合的方式，通過(guò)注冊(cè)證書(shū)和密鑰，對(duì)身份進(jìn)行認(rèn)證。在發(fā)送信息時(shí)，首先利用私鑰進(jìn)行加密和數(shù)字簽名處理，并在信息中公示其持有公鑰信息。在接收方接收到信息后，可以根據(jù)證書(shū)和公鑰信息，驗(yàn)證密鑰信息，從而完成對(duì)信息發(fā)送者身份的認(rèn)證。

2.6 訪問(wèn)權(quán)限控制模塊設(shè)計(jì)

訪問(wèn)權(quán)限控制模塊主要基于屬性對(duì)通信訪問(wèn)權(quán)限進(jìn)行控制，可以采用動(dòng)態(tài)訪問(wèn)控制方法，確保訪問(wèn)權(quán)限控制的有效性。由于訪問(wèn)控制過(guò)程的授權(quán)決策主要根據(jù)Web服務(wù)請(qǐng)求者確定，并對(duì)服務(wù)提供者屬性信息進(jìn)行判斷。在操作過(guò)程中，可以將服務(wù)請(qǐng)求者與服務(wù)提供者屬性構(gòu)成集合，由訪問(wèn)權(quán)限控制模塊負(fù)責(zé)對(duì)不同屬性進(jìn)行識(shí)別，檢測(cè)得到符合要求的屬性，實(shí)現(xiàn)對(duì)訪問(wèn)者權(quán)限合法性的判斷。

3 結(jié)語(yǔ)

綜上所述，基于消息層設(shè)計(jì)Web服務(wù)安全模型，通過(guò)了解Web服務(wù)安全框架及通信機(jī)制，可以為安全模型設(shè)計(jì)提供方向。在此基礎(chǔ)上，分別設(shè)計(jì)并實(shí)現(xiàn)各個(gè)安全模塊，實(shí)現(xiàn)數(shù)據(jù)驗(yàn)證、身份認(rèn)證和訪問(wèn)權(quán)限控制等功能，可以彌補(bǔ)Web服務(wù)自身安全性不足的缺陷，從而為Web服務(wù)下的信息數(shù)據(jù)安全提供保證。

參考文獻(xiàn)

[1] 申普兵，薛保澤，陳樹(shù)文.面向Web服務(wù)安全的SCIT改進(jìn)模型的研究[J].計(jì)算機(jī)技術(shù)與發(fā)展，2019，29（09）：92-96.

[2] 柳佳雨.Web服務(wù)組合中的訪問(wèn)控制方法[D].西安：西安電子科技大學(xué)，2018.

[3] 歐瑪.Web服務(wù)安全風(fēng)險(xiǎn)評(píng)估及其輔助工具設(shè)計(jì)[J].電腦知識(shí)與技術(shù)，2017，13（25）：39-41.