当前位置：文档之家 › 基于Web Services应用系统的安全性研究

基于Web Services应用系统的安全性研究

  • 格式：pdf
  • 大小：187.84 KB
  • 文档页数：3

ｉ ｏｍ ｔ ｎｓｓ ｍ ｓｅ ａ ｉ ｌ ｌ ｉ ｐｒ ｔ ｔｉ ｉ ａｓｓ ｍ ｅｇｎｅ ｎ ， ｅｄｔ ｍａｅｔｅ ｏ ｐｅｅｓ ｅｓ ｕ ｔ ｔｃ ｎ ｒ ａｉ ｙｔ ｍ ｐｒｃ ａ ｙ ｍ ｏｔ ，ｈｓ ｓ ｔ ｎ ｅｒ ｇ ｎｅ ｋ ｍ ｒ ｎｉ ｅ ｒ － ｆ ｏ ｅ ｅ ｔｕ ｒ ｎ ａ ｙ ｅ ｉ ｉ ｏ ｈ ｃ ｈ ｖ ｃ ｉ ａ ｙ
ｔ ｓｔ ｏ ｖ ． ｉ ｏ ｓ ｌｅ ｃ
Ｋｅ ｒ ｓ： ｙｔｍ ｅ ｉｎ ｄ，ｎｏｍａｉｎｓｆｔ， ｂ ｓｒｉｅ ｙ ｗｏ ｄ Ｓ ｓｅ ｄ ｓｇ ｅ Ｉ ｒ ｔ ａｅｙ Ｗｅ ｅ ｃ ｓ ｆ ｏ ｖ
１ Ｗｅ ｅ ｉ ｓ 术 背 景 概 述 ｂＳｒ ｃ 技 ｖｅ
ｗｅ ｅｖ ｅ 技术是应用程序通过 Ｉｔ ｎｔ 者 Ｉｔｍｅ ｂＳｒｉ ｓ ｃ ｎｒ ｅ 或 ａ ｎｅ ｔ 发布和利用软件服务的一种标准机制 ， 是一种部署在 Ｗｅ ｂ上 的组件 ， 提供 了基于对象的接 口， 其客户程序使用 Ｕ Ｄ 统 Ｄ Ｉ（
维普资讯
第３ ４卷
第 ３期
河 南 科 技 学 院 学 报 （自然 科 学版 ）
Ｊｕ ｎ ｌｏ ｎ ｎ Ｉｓｉ ｔ ｆＳ ｉｎ ｅａ ｄＴ ｃ ｎ ｌｇ ｏ ｒ ａ ｆＨｅ ａ ｎ ｔ ｕｅ ｏ ｃｅ ｃ ｎ ｅ ｈ ｏｏ ｙ ｔ
２０ ０ ６年 ９月
的标 准 和协 议 来 实 现 相应 的 安 全功 能 。
ｉｅ ｃｓ组件 ， 通过读取描述该组件接 口的 ＷＳ Ｌ（Ｗｅ ｒｉ ｓ Ｄ ｂＳｖ ｃ ｅ ｅ 描述语 言 ）文 件 获 取 调 用 该 服 务 的接 １ 方 式 ， ＝ １ 然后 使 用 ＳＡ Ｏ Ｐ消息 （ 于简单对象访 问协议 的 Ｘ Ｌ文档）通过 Ｈ － 基 Ｍ Ｔ
Ｓ ｐ． ０ ｅ ２ ０６
Ｖ０． ４ Ｎｏ ３ １３ ．
基 于 Ｗｅ ｅｖ ｅ 用 系统 的 安全 性 研 究 ｂＳｒｉ ｓ ｃ 应
郭运宏 白春 阳 ，
（ ． 州铁 路职 业技 术学 院 ， 南 郑州 ４ ０５ ；． １郑 河 ５０２ ２ 河南 科技学 院 ， 河南 新 乡 ４ ３０ ） ５０ ３
ｓ ｓ ｅ ｅ ｕｒ ｅ ｅ ｒ ｈ ｙ ｔｍ ｓｃ ｅｒ ｓａ ｃ
ＧＵＯ ｎ－ ｏ Ｙｕ ｈ ｎｇ，ｔａ ． ｅ １
（ ｈ ｎｚｏ ａ ｗ ｙＶ ｃｔ ｎｌ ｅ ｈ ｉ ｏ ｅｅＺ ｅ ｇｈ ｕＨ ｎｎ４ ０ ５ ） Ｚ ｅ ｇｈ ｕＲ ｉ ａ ｏａ ｏ ａ Ｔ ｃ ｎｃ Ｃ ｌ ｇ ｈ ｎｚｏ ｅ ａ ５ ０ ２ ｌ ｉ ｌ ａ ｌ
描述 、 发现 和集成 ）协议发现部署在服务器端的 ｗｅ ｅ ． ｂＳｒ ｖ
２ Ｗｅ ｅ ቤተ መጻሕፍቲ ባይዱ ｓ ｂＳｒ ｃ 安全策 略研 究 ｖ ｅ
Ｉｔｍｅ 是一个开放 性的信 息环境 ， 计任何 Ｗｅ ｎｅ ｔ 设 ｂ应用
系统 ， 全 问题 都 是 需 要 考 虑 的 重 点 问题 。尤 其 是 Ｗｅ 安 ｂ Ｓ ｒ ｃｓ ｅｖ ｅ 是在 Ｉｔ ｔ ｉ ｎ ｍｅ 上公开部署的 ， ｅ 给组织 的业务逻辑打开 了一个公共接 口， 所以保护 ｗｅ ｒｉ ｓ ｂＳ ｖ ｅ 的安全就 显得尤 为 ｅ ｃ 重要 。Ｗｅ ｅ ｉｅ 全性 中最 基本 两个 问题 是 如何 保证 ｂＳｒ ｃｓ安 ｖ ＳＡ Ｏ Ｐ消息 的安全传送和如何 验证客户 端的身份 。Ｓ Ａ Ｏ Ｐ协 议的两个 主要设计 目标是简单性 和可扩展性 ， 因此 Ｓ Ａ Ｏ Ｐ协 议 在制定时并没有过多考虑安 全性 ， 而是尽可 能的利用 已有
一
无 阻的能力 ， 这些特点使得 ｗｅ ｅｖ ｅ 在 Ｂ Ｂ等很多网络 ｂＳｒｉ ｓ ｃ ２ 应用领域具有很好的应 用前景 ， Ｗｅ ｒｉ ｓ 件作为 网 当 ｂＳｖ ｃ 组 ｅ ｅ 络服务时 ，身份认证与授权 、 审核 、 计费 等都成为必须解决 的 问题 ， 而身份认证 与授权是解决这些 问题 的基础。
，
ｄ ｓ ｌ ｓ ｓａ ｒｎ ｅ ｎ ｎ Ｉ ｔｒ ｃ ，ｂ ｓｎ ｓ ｏ ｉ ｒ ａ ｉ ｄ ｔ ｉ ｅｔ ｒ ｎ ｏ ｅ ｐ ｂ ｉ ｎ ｅｆ ｃ ，ｐ ｏｅ ｔｏ ｌ ｅ ｓ ｃ ｒ ｙ ｏ ｉｃ ｏ ｅ ｒａ ｇ ｍｅ ｔｏ ｎｅ ｔ ｕ ｉ ｅ ｓｌ ｇｃ ｏ ｇ ｎ ｚ ｇ ｖ ｕ ｎ ｏ ｎ ｕ ｌ ｉｔ ｒ ｅ ａ ｅ ｏ ｃ ａ ｒｔ ｎｉ ｅｕｉ ｆ ｃ ｎ ｔ
Ａｂｓｒ ｃ Ｗｉ ｈ ａ ｉ ｅ ｅｏ ｍｅ ｔｏ ｔｍｅ ，Ｗｅ ｒｉｅ ｅ ｈ ｏｏｙｉ ｄ ｐｅ ｘｅ ｓｖ ｌ ｂ ｃ ｕ ｅ Ｗ ｅ ｒｉ ｅ ｔ ａ ｔ： ｔ ｔｅｒｐｄｄ ｖｌｐ ｎ ｆｎｅ ｔ ｈ ｉ ｂ Ｓ ｖ ｃ ｓｔｃ ｎ ｌｇ ｓａ ｏ ｔｄｅｔｎ ｉｅｙ ｅ ａ ｓ ｂ Ｓ ｖ ｃ ｓ ｅ ｅ
ｒ ｍ Ｉ ＇ Ｐ、
和 Ｓ Ｐ等常用传 输方式 与服务 器端 的 ｗｅ ｅ ． ＭＴ ｂＳｒ ｖ
关键 词 ： 系统 设计 ； 息安全 ； ｂｓｒｉ ｓ 信 Ｗｅ ｅｖ ｅ ｃ
中图分 类号 ：Ｐ０ Ｔ ３９
文 献标 识码 ： Ａ
文章 编号 ：６ ３６ ６ （０６）３０ ８ －３ １７ － ０ ２０ ０ － ５０ ０ ０
Ｂａ ｅ ｎ Ｗ ｅ ｅ ｖ ｃ ｓａ ｐ ｉａ ｉ ｎ ｓ ｄ ｏ ｂ Ｓ ｒ ｉｅ ｐ ｌ ｔｏ ｃ
摘要： 随着 ｉ ｅ ｔ ｎ ｍｅ的迅速发展， ｂ ｅ ｉ ｓ ｔ Ｗｅ ｒｃ 技术被广泛采用， Ｗｅ ｎｃｓ Ｉ ｅ ｅ上是公开部署的， Ｓｖｅ 由于 ｂ ｒ 在 ｎ ｍ ｔ ｅ ｅ Ｓ ｉ ｔ 给组
织 的业务逻辑打开 了一个公共接 口 ， 所以保护网上信息系统的安全就显得尤为重要 ， 这是一个 系统工程 ， 需要制订 综合的安全策略加 以解决 。

合集下载

Web Services安全性研究

Web Services安全性研究

维普资讯
安 全 技 术
吕瑞 明 。 伍 新华
（ 武汉 理工 大学计 算机 科学 与技术 学院 ， 武汉 ４ ０ ６ ３ ０ ３）
摘 要 ：基 于 ＸＭＬ技 术 的 Ｗ ｅ ｅｖｃｓ 一种 新的 分布 式计 算模 型 ， ｂ Ｓｒｉｅ 是 其松 散耦 合 、 台无 关和 开放 性使 得 平 它将成 为下一 代 电子商务 的标 准架构 ， 而 ， 然 正是 由于 Ｗ ｅ ｅｖｃｓ ｂＳ ｒｉｅ 的开放 性也 带来 了许 多安 全性 问题 。本 文介 绍 了 Ｗ ｅ ｅｖｃｓ的安 全性 问题 和 现有 的 Ｗ ｅ ｅｖｃｓ 全相 关技 术 的发展 ， ｂ Ｓ ｒｉｅ ｂ Ｓｒｉｅ 安 并对
其 进 行 了分 析 和 探 讨 。 关 键 词 ： ｅ ｅｖｃｓ Ｗ ｂ Ｓｒｉｅ ；安 全 ；Ｓ Ｐ； Ｓ Ｓ ｃｒ ｙ ＯＡ Ｗ — ｅｕｉ ｔ
引 言
Ｗｅ ｅｖｃｓ是建 立在 开 放 的 Ｉｔ ｔ ｂＳｒｉ ｅ ｎｅ ｍｅ 基础上 的
要解决 的重要 问题 。综合来看 ， 如何保 证通 信过程 中 的 数据 机 密性 （ａａＣ ｎ ｄ ｎｉ ｉ ）数 据 完整 Ｄ ｔ Ｄ ｔ ｏｆ ｅ ｔ ｌｙ、 ｉ ａｔ Ｉ ａ ￣（ ａ Ｉｔｇｉ １ 身 份 认 证 （ ｕｈ ｎｉａ ｏ） 及 不 可 否 认 性 ｎｅｒｙ、 ｔ Ａ ｔｅｔ ｔ ｎ 以 ｃｉ ｆｏ —ｅ ｕ ｉｔ ｎ 。 成为保证 Ｗｅ ｅ ｉｅ 安全性 要 Ｎ ｎ ｒｐ ｄａｉ ）就 ｏ ｂＳ ｒ ｃ ｓ ｖ
解决 的主要 问题［ ２ １ 。
新 的分 布式计 算模 型 ，是新 一 代 的 Ｗｅ ｂ应用 。Ｗｅ ｂ
Ｓ ｒｉｅ 是 自包 含 、 自描述 的模块 化应 用 。能 够通 过 ｅ ｃｓ ｖ Ｗｅ 发布 、 ｂ被 定位 和调用『 为 了克 服传统分 布式组 件 ｌ １ 。 的局 限性 。 ｂＳ ｒｉｅ 使 用 了普及 、开放 的标 准 协 Ｗｅ ｅ ｃｓ ｖ 议 ， ｂ服 务 技 术 核 心 是 一 些 基 于 Ｘ Ｗｅ ＭＬ的 标 准 ：
基于安全规则变异的Web Services安全性测试方法

基于安全规则变异的Web Services安全性测试方法


摘 要
针 对 已有 变 异 测 试 研 究 中 仅 考 虑 对 Ｓ ＯＡ Ｐ（ Ｓ ｉ ｍｐ ｌ ｅ Ｏ ｂ ｊ ｅ ｃ ｔ Ａ ｃ ｃ ｅ ｓ ｓ Ｐ ｒ ｏ ｔ ｏ ｃ ｏ １ ） 消 息 输 入 参 数 的变 异 处 理 ， 而
缺乏对 Ｓ Ｏ ＡＰ消 息 安 全 规 则 变 异 的研 究 ， 文 中从 消 息 机 密性 、 完 整 性 及 身 份 认 证 等方 面 对 安 全 规 则 进 行 归 类 ， 提出 了一 种 基 于 安 全 规 则 变 异 的 Ｗ ｅ ｂ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ｓ 安 全 性 测试 方 法 ． 首先 给出一种 安全规 则变 异测试框 架 ， 研 究 变 异 点 判 定规则库 ， 设 计 出相 应 的 变 异 操 作 算 子 、 漏 洞 判定 准 则 以及 基 于 优 先 级 与 权 重 策 略 的 变 异 算 子 选 择 方 法 ． 然后提 出
一
种 基 于 安 全 规 则 变 异 的测 试 用 例 生 成 算 法 ， 依 照算法 生成违 背安 全规则 的 Ｓ ＯＡ Ｐ消息 ， 从而揭 露 Ｗｅ ｂ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ｓ
的安 全 类 故 障 ． 最后 实现了一个 Ｗｅ ｂ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ｓ 安 全 性 测 试 工 具 ＷＳ Ｓ Ｔ Ｔ（ Ｗｅ ｂ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ｓ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ Ｔ ｅ ｓ ｔ ｉ ｎ ｇ Ｔ ｏ ｏ １ ） ， 在 工
具 的基 础 上 进 行 实 验 和 对 比分 析 ， 验 证 了 文 中提 出 的基 于安 全 规 则 变 异 的 Ｗ ｅ ｂ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ｓ 安 全 测 试 方 法 的 可 行 性 和
有效性 ．
关键词
Ｗｅ ｂ Ｓ ｅ ｒ ｖ ｉ ｃ ｅ ｓ ； Ｓ Ｏ ＡＰ消 息 ； 安全规 则变异 ； 变异测试 ； 变异算子 ； 原 no102013年10月chinesejournalofcomputers0ct2013基于安全规则变异的webservices安全性测试方法1江苏大学计算机科学与通信工程学院江苏镇江2120132江西财经大学软件与通信工程学院南昌330013斯文本科技大学信息和通信技术学院墨尔本vic3122澳大利亚4华中科技大学计算机科学与技术学院武汉430074摘要针对已有变异测试研究中仅考虑对soapsimple0bjectaccessprotoc01消息输入参数的变异处理而缺乏对soap消息安全规则变异的研究文中从消息机密性完整性及身份认证等方面对安全规则进行归类提出了一种基于安全规则变异的webservices安全性测试方法
基于WebServices的云服务安全方案分析与研究

基于WebServices的云服务安全方案分析与研究


等 ， 些 安 全 问题 ， 接 影 响 了 云 计算 的应 用 。因 这 直
此， 研究 云服务 环境 下 的安全 问题 就 成 了重 要 的课
题 之一 。
１ 云计 算 与 云 服 务
１ １ 云计算 概述 ． 尽 管 云计 算 已经得 到 了 长足 的 发展 ， 是 目前 但 尚没有统 一 的定义 ， 同的 国际机构 、 不 网上百科 全书 以及谷 歌 、 亚马逊 等 公 司都 从 自己 理解 的角 度 给 出
加 密 、Ｐ Ｓ ｅ隧 道 技 术 等 。 云 服 务 模 块 安 全 层 处 于 Ｉ ｅ
Hale Waihona Puke 中间层 ， 该层 又可 以分为两 部分 ： 一部分 为安 全技 术 层 和非 安全技术 层 。安全技 术层 为整 个模 型架构 的 核心 ， 括各类 安全技 术模 块和 服务交互 安 全模块 ， 包 目的是 为 了保 护 各 类 云 服 务 安 全 功 能 的实 现 和 提 供， 涉及 的 主要 技 术 有 用 户 认 证 系 统 、 侵 检 测 系 入 统、 审计 系统 等 。非 安 全 技术 主要 包括 云安 全 的各
ｐｒｎ） ｏ ｅ ｔ模型 的一种 分布 式计算 服务 模式 ， 是通 过 ｔ 它 各类 互联 网协议 或规 范 ， 过 编程 方 式 来访 问应 用 通 程序 ， 实现远 程调 用 的一 种新 机 制 。在 开 放式 网络
平 台环 境 下 ， ｂ Ｓ ｒ ｉ ｗｅ ｅｖｃ 以提 供必 要 的 访 问组 ｅ可
０ 引言
随着互 联 网络技 术 的快 速 发展 和 应 用 ， 尤其 是 基 于 Ｗｅ ２ ０的应 用 系 统越 来 越 多 地 被 使 用 ， 致 ｂ． 导 网络用 户 和海 量 数据 不 断 涌 现 ， 网络 资 源 的利用 率 和用户 的需求 矛盾 日益 突 出 ， 因此 对 数 据 的 处理 能 力 提 出了更 高 的要 求 ， 资源整合 、 网络优 化就成 为 网
基于Web Services和分段下载的软件版权安全性研究

基于Web Services和分段下载的软件版权安全性研究

目录第一章主流软件加密技术及其局限 (4)1.1. 国际国内加密技术现状分析 (4)1.2. 软加密 (4)1.2.1. 序列号法 (4)1.2.2. 时间限制法 (5)1.2.3. 注册文件法 (5)1.2.4. 钥匙盘法 (6)1.2.5. 加壳法 (6)1.2.6. 软加密分析 (6)1.3. 硬加密 (7)1.3.1. 软件狗 (7)1.3.2. 软件保护卡 (7)1.3.3. 硬加密分析 (7)1.4. 当前加密技术的局限与解决方案 (8)参考文献 (9)致谢 (10)摘要盗版是国内软件行业发展最大的阻碍。

目前的反盗版技术，没能有效地抑制盗版行为。

本文从软件的加密需求出发，分析了现有软件版权保护技术软加密、硬加密以及多种软硬件加密技术互相结合的方法和市场上的各种主流软件加密解决方案。

针对其共同的缺陷，提出了新的解决方案：将已有的单机软件，改造为通过网络服务器分段下载关键数据后方可运行的网络软件，并运用Web Services技术解决了跨平台服务和穿越防火墙的问题。

方案中采用了适合改造一般软件的CPB-SWD架构，简称扩展的客户/服务器架构(ECS)。

该架构以传统的C/S架构为依托，继承了Web Services的技术特点，加入代理和浏览器作为客户端的一部分，加入客户服务网站和数据库服务器作为服务器端的一部分。

为单机软件的网络化和加密保护提供了一种行之有效的途径，是保护软件知识产权的新尝试。

通过关键应用数据的分段下载，既可以保护知识产权，也可以让用户享受到许多实惠。

这种方法与应用程序提供（ASP）和业务托管的商业模式也是一致的。

本文探讨了软件的网络化将软件的销售由传统模式转变为多种销售方法相结合的新模式。

这种模式能够为客户增加售前与售后服务，甚至在发布期提高软件质量，对软件行业的健康快速发展有着良好的促进作用。

关键词分段数据下载，软件版权保护，扩展的客户/服务器架构(ECS)ABSTRACTIt has been the most serious calamity for software to be pirated. None of techniques and efforts can stop pirating efficiently and completely. In this paper we analyze the existing technologies for software copyright protection and present a new approach –Web services based runtime data separation with application. And extended client/server architecture has been used to implement software transformation from tradition mode.Through this approach and architecture, software will be migrated to the Web-based. Users are supposed to download critical runtime data before the software works. Web Services can help to provide services among deferent OS and through firewall easily. The approach has been applied with architecture of Client, Proxy, Browser – application Server, Web site, Database server (CPB-SWD). It has been demonstrated on a test-bed.The proposed method could expect positive effects on software development and marketing. For example, with Web support, software will benefit at marketing and services.KeywordsCopyright protection, Web Services, Client/Proxy/Browser –Application/ Web/ Database (CPB-SWD)第一章主流软件加密技术及其局限1.1.国际国内加密技术现状分析从软件产生到现在，保护信息安全和知识产权的加密技术就一直成为其重要的考虑，尤其是在国防、金融、科研等领域，软件安全的要求极高。