Web服务环境下单点登录与访问控制研究

论文摘要

面向服务计算（Service-Oriented Computing,SOC）是一种新型的计算模式,它把服务作为基本的组件来支持快速、低成本和简单的分布式甚至异构环境的应用组合。Web服务技术是基于SOC概念当前最有前景的技术,它具有松耦合、平台无关、异构、跨域、动态变化等特征,可以很好的适用于SOC环境。但Web服务还有许多安全挑战未解决,比如单点登录和访问控制这两个安全领域非常重要的问题。用户在访问跨域的服务时,由于目标服务对其身份是不可知的,所以无法进行验证。传统的一些单点登录方法也不适用于Web服务环境。与单点登录类似,访问控制系统由于无法确定用户的身份,也就无法定义用户的角色与权限,同时业务需求的快速变化也使得传统的访问控制方法在管理的扩展性和控制的粒度上无法适应Web服务环境。这些问题使得访问控制系统无法对资源进行合理的保护,防止未授权的用户非法访问资源。目前Web服务的安全已成为阻碍其发展的重要因素之一。本文在分析了Web服务安全相关技术与规范的基础上,从三个方面对Web服务安全做了研究:提出了一种基于SAML的Web服务单点登录模型,使得服务可以基于SAML断言来对跨域未知用户进行验证,给出了模型的两种实现模式,对组合服务的单点登录做了研究,并对模型的安全性进行了分析;提出了一种具有协商机制的基于属性的Web服务访问控制模型Nego-ABAC,它基于用户、环境、资源的属性来进行访问控制的评估,弥补了基于身份、角色的访问控制的缺陷,解决了对跨域未知用户的访问控制问题,引入协商机制,使得访问控制具有更强的自治性;提出了一种基于信任级别和协商机制的Web服务环境下用户敏感属性保护模型,在基于属性的访问控制系统中,由于用户提供的是属性,而这些属性中有的是敏感的,所以必须要加于保护,不能泄漏给任意服务提供者方,所以文中提出通过信任级别的比较和服务提供者的身份属性的验证协商过程,来披露敏感属性。最后基于上述三个方面,设计了一个可扩展的Web服务安全系统原型EWSSSystem。综上所述,本文的工作针对目前Web服务安全中几个关键问题提出了有效地解决方案,对于推进Web服务安全技术的发展具有一定的理论价值和应用价值。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 引言
• 1.1.1 问题的提出
• 1.1.2 本文研究的背景
• 1.1.3 研究的目的与意义
• 1.2 国内外研究现状
• 1.2.1 单点登录的研究现状
• 1.2.2 访问控制的研究现状
• 1.2.3 ABAC中敏感属性保护的研究现状
• 1.3 研究内容
• 1.4 本文的组织结构
• 第二章 Web服务安全相关技术与规范
• 2.1 XML签名规范
• 2.2 XML加密规范
• 2.3 WS-Security规范
• 2.4 SAML规范
• 2.4.1 SAML概述
• 2.4.2 SAML组成
• 2.4.3 SAML优点
• 2.5 XACML规范
• 2.5.1 XACML概述
• 2.5.2 XACML组成
• 2.5.3 XACML优点
• 2.6 本章小结
• 第三章 一种基于SAML的Web服务单点登录模型
• 3.1 引言
• 3.2 基于SAML的单点登录模型设计
• 3.2.1 SAML分析
• 3.2.2 模型总体结构
• 3.2.3 执行机制
• 3.3 模型的两种实现模式
• 3.3.1 Push模式
• 3.3.2 Pull模式
• 3.3.3 Pull和Push的比较
• 3.3.4 基于Push模式实现组合服务的单点登录
• 3.4 示例
• 3.5 模型安全性分析
• 3.6 本章小结
• 第四章 一种具有协商机制的Web服务访问控制模型
• 4.1 引言
• 4.2 Nego-ABAC模型
• 4.2.1 访问请求和访问控制策略的形式化描述
• 4.2.2 访问控制规则
• 4.2.3 协商机制
• 4.2.4 访问控制算法
• 4.3 基于XACML的Nego-ABAC模型的实现结构
• 4.3.1 总体结构
• 4.3.2 模型的执行机制
• 4.3.3 基于XACML的Nego-ABAC模型访问控制策略的表示
• 4.4 模型安全性分析
• 4.5 本章小结
• 第五章 基于信任级别和协商机制的用户敏感属性保护研究
• 5.1 引言
• 5.2 敏感属性保护模型
• 5.2.1 信息的敏感性
• 5.2.2 模型的总体结构
• 5.2.3 形式化描述
• 5.2.4 敏感属性保护算法
• 5.3 组合服务情况下用户敏感属性保护
• 5.3.1 处理流程
• 5.3.2 应用示例
• 5.4 模型安全性分析
• 5.5 本章小结
• 第六章 可扩展的Web服务安全系统原型设计
• 6.1 EWSSSystem的体系结构
• 6.1.1 总体结构
• 6.1.2 层级结构
• 6.1.3 结点栈结构
• 6.2 主要相关技术
• 6.2.1 Web服务的异步调用
• 6.2.2 开源项目
• 6.3 EWSSSystem的关键组件
• 6.3.1 单点登录模块
• 6.3.2 访问控制与协商模块
• 6.3.3 用户敏感属性保护模块
• 6.4 本章小结
• 第七章 总结与展望
• 7.1 本文总结
• 7.2 进一步研究方向
• 参考文献
• 致谢
• 攻读学位期间主要的研究成果