Web聚合应用的安全跨域通信研究

论文摘要

在传统Web1.0应用程序中，每个Web站点相互隔离，用户访问Web站点仅能得到来自本站点的信息。在新的Web2.0潮流之下，我们希望打破网站之间的隔离状态进行数据融合使之能够共享信息。在这种背景下，聚合型网站设计方式应运而生，这就是新型的Web应用程序——聚合应用（Mashup Application）。传统的Web应用程序遵守同源策略访问同源信息，而不同源的信息交互受到限制。Mashup是对多个站点资源的优化组合，怎样整合相互独立的第三方数据、实现不同源数据之间的通信是聚合应用需要解决的问题。跨域通信容易导致框架钓鱼攻击，共享信息容易泄露个人隐私信息。怎样确保不同源数据间通信的安全性与完整性是聚合应用需要解决的另外一个问题。针对上述问题，本文在研究相关工作的基础上提出了一种改进的适合于聚合应用的安全跨域通信系统（SCDC，Secure Cross-Domain Communication）。主要工作是：首先，设计实现了SCDC系统的各个模块，不同信任域的内容封装为组件表示，达到域间隔离的效果保证安全性；利用跨文档通信机制，借助于分层通信栈结构来实现域间通信；利用封装技术与分层通信栈实现组件间细粒度对象共享。其次，对该系统进行了安全分析，定义了系统的整体安全策略，以及定义针对性的安全策略来防范框架钓鱼攻击以及确保对象共享的安全性。最后，从四个方面进行性能测试，实验结果表明，数据吞吐率与事件发生率较之前的通信方案提高了五倍左右，组件装载延迟明显减少，对象共享也仅引入很小的开销；从域间通信安全性与对象共享安全性两方面进行系统安全测试，实验结果表明，SCDC系统采取的安全防范措施有效，增强了聚合应用的安全性。该系统保障了聚合应用与组件间的安全跨域通信与对象共享，且不需要浏览器做任何修改。具有安全可靠性强、效率高、支持对象共享的特点，为聚合应用提供了一种安全可靠的跨域通信系统。

论文目录

• 摘要
• Abstract
• 插图索引
• 附表索引
• 第1章 绪论
• 1.1 课题背景与意义
• 1.2 相关研究现状
• 1.2.1 客户端通信
• 1.2.2 服务器端通信
• 1.2.3 JavaScript 重写
• 1.2.4 对象访问控制
• 1.3 论文研究内容
• 1.4 论文组织结构
• 第2章 Mashup 跨域通信方案研究
• 2.1 Mashup 概述
• 2.1.1 Mashup 的概念
• 2.1.2 Mashup 类型
• 2.1.3 Mashup 应用程序的架构
• 2.1.4 Mashup 所面临的问题
• 2.2 跨域通信方案
• 2.2.1 服务器端代理
• 2.2.2 动态创建脚本
• 2.2.3 段标识通信
• 2.2.4 Flash 技术
• 2.2.5 跨文档通信
• 2.3 小结
• 第3章 SCDC 系统设计与实现
• 3.1 系统概况
• 3.2 系统支撑技术
• 3.2.1 IFRAME 技术
• 3.2.2 面向方面编程技术
• 3.3 域封装模块
• 3.4 域间通信模块
• 3.5 细粒度对象共享模块
• 3.6 小结
• 第4章 系统安全分析
• 4.1 SCDC 系统整体安全策略
• 4.1.1 安全需求
• 4.1.2 系统策略概况
• 4.2 域间通信安全性
• 4.3 对象共享安全性
• 4.3.1 攻击类型
• 4.3.2 对象共享安全策略
• 4.4 小结
• 第5章 实验结果与分析
• 5.1 实验环境
• 5.1.1 硬件环境
• 5.1.2 软件环境
• 5.2 性能测试评价指标与测试分析
• 5.2.1 数据吞吐率
• 5.2.2 事件发生率
• 5.2.3 组件装载延迟
• 5.2.4 共享对象下的 JS 执行时间开销
• 5.3 系统安全测试
• 5.4 小结
• 结论
• 参考文献
• 致谢
• 附录 A 攻读硕士学位期间所发表的学术论文目录
• 附录 B 攻读硕士学位期间所参与的项目