论文部分内容阅读
面向服务计算(Service-Oriented Computing,SOC)是一种新型的计算模式,它把服务作为基本的组件来支持快速、低成本和简单的分布式甚至异构环境的应用组合。Web服务技术是基于SOC概念当前最有前景的技术,它具有松耦合、平台无关、异构、跨域、动态变化等特征,可以很好的适用于SOC环境。但Web服务还有许多安全挑战未解决,比如单点登录和访问控制这两个安全领域非常重要的问题。用户在访问跨域的服务时,由于目标服务对其身份是不可知的,所以无法进行验证。传统的一些单点登录方法也不适用于Web服务环境。与单点登录类似,访问控制系统由于无法确定用户的身份,也就无法定义用户的角色与权限,同时业务需求的快速变化也使得传统的访问控制方法在管理的扩展性和控制的粒度上无法适应Web服务环境。这些问题使得访问控制系统无法对资源进行合理的保护,防止未授权的用户非法访问资源。目前Web服务的安全已成为阻碍其发展的重要因素之一。本文在分析了Web服务安全相关技术与规范的基础上,从三个方面对Web服务安全做了研究:提出了一种基于SAML的Web服务单点登录模型,使得服务可以基于SAML断言来对跨域未知用户进行验证,给出了模型的两种实现模式,对组合服务的单点登录做了研究,并对模型的安全性进行了分析;提出了一种具有协商机制的基于属性的Web服务访问控制模型Nego-ABAC,它基于用户、环境、资源的属性来进行访问控制的评估,弥补了基于身份、角色的访问控制的缺陷,解决了对跨域未知用户的访问控制问题,引入协商机制,使得访问控制具有更强的自治性;提出了一种基于信任级别和协商机制的Web服务环境下用户敏感属性保护模型,在基于属性的访问控制系统中,由于用户提供的是属性,而这些属性中有的是敏感的,所以必须要加于保护,不能泄漏给任意服务提供者方,所以文中提出通过信任级别的比较和服务提供者的身份属性的验证协商过程,来披露敏感属性。最后基于上述三个方面,设计了一个可扩展的Web服务安全系统原型EWSSSystem。综上所述,本文的工作针对目前Web服务安全中几个关键问题提出了有效地解决方案,对于推进Web服务安全技术的发展具有一定的理论价值和应用价值。