1、隨著Web服務(wù)的不斷發(fā)展,不可避免地存在著由此所帶來的信息安全隱患.因此在Web服務(wù)中,安全性成為一個(gè)至關(guān)重要的核心問題,它要求網(wǎng)絡(luò)能提供一種端到端的安全解決方案,如加密機(jī)制、簽名機(jī)制、安全管理、存取控制、防火墻、防病毒保護(hù)等等.SOAP作為Web服務(wù)通信協(xié)議的基礎(chǔ),在實(shí)現(xiàn)Web服務(wù)安全性的工程中扮演著及其重要的角色.該文研究了Web服務(wù)安全規(guī)范WS-Security的內(nèi)容和架構(gòu):Web服務(wù)安全性語言(Web Services Secu

2、rity Language)是一個(gè)建立在標(biāo)準(zhǔn)的SOAP標(biāo)準(zhǔn)規(guī)范上,可以在構(gòu)建安全的Web服務(wù)以實(shí)現(xiàn)完整性和機(jī)密性時(shí)使用的安全規(guī)范.WS-Security定義了一個(gè)用于攜帶安全性相關(guān)數(shù)據(jù)的SOAP標(biāo)頭元素.如果使用XML簽名,此標(biāo)頭可以包含由XML簽名定義的信息,其中包括消息的簽名方法、使用的密鑰以及得出的簽名值.同樣,如果消息中的某個(gè)元素被加密,則WS-Security標(biāo)頭中還可以包含加密信息(例如由XML加密定義的加密信息).WS-S

3、ecurity并不指定簽名或加密的格式,而是指定如何在SOAP消息中嵌入由其他規(guī)范定義的安全性信息.WS-Security主要是一個(gè)用于基于XML的安全性元數(shù)據(jù)容器的規(guī)范.在此標(biāo)頭中,消息可以存儲(chǔ)關(guān)于調(diào)用方、消息的簽名方法和加密方法的信息.WS-Security將所有安全信息保存在消息的SOAP部分中,從而為Web服務(wù)安全性提供了端到端的解決方案.該文在WS-Security架構(gòu)的實(shí)現(xiàn)中,介紹了SOAP標(biāo)準(zhǔn)規(guī)范及相應(yīng)的安全機(jī)制,并討論了

4、Web Service安全上的現(xiàn)狀以及現(xiàn)有安全解決方案存在的問題.該文研究介紹了WS-Security所涉及的三個(gè)方面:身份驗(yàn)證、簽名和加密,并提出了如何使用WS-Security和其他配合工具WSE在SOAP消息中嵌入安全機(jī)制.在Web服務(wù)安全規(guī)范WS-Security的基礎(chǔ)上,提出并分析了新的可信SOAP安全性模型的體系架構(gòu)設(shè)計(jì)的基本原理并闡明了它的優(yōu)點(diǎn),對(duì)安全規(guī)范的關(guān)鍵技術(shù)——XML簽名機(jī)制與XML加密機(jī)制也做了詳細(xì)闡述.最后,該