基于角色的Web Services安全策略研究.pdf

1、網(wǎng)絡(luò)信息技術(shù)的發(fā)展使得面向服務(wù)的體系結(jié)構(gòu) SOA(Service-Oriented Architecture)的概念被提了出來(lái)。SOA可看作是一種組件模型，它可以將企業(yè)中應(yīng)用程序分散的不同功能單元組織成可以共享的基于標(biāo)準(zhǔn)的服務(wù)，當(dāng)業(yè)務(wù)需要時(shí)，這些服務(wù)能夠迅速地被組合和重用，以完成企業(yè)特定的任務(wù)。由于SOA具有松散耦合、可重用、標(biāo)準(zhǔn)化服務(wù)接口、開發(fā)效率高、響應(yīng)快等優(yōu)點(diǎn)，其應(yīng)用范圍越來(lái)越廣泛。但是SOA所具有的復(fù)雜性和接口多樣性等問題，使其

2、安全管理變得更為復(fù)雜。在這種情況下，Web服務(wù)即 Web Services為解決 SOA所面臨的各種問題提供了一種有效方案，成為實(shí)現(xiàn) SOA的一種新技術(shù)。簡(jiǎn)單地說，Web服務(wù)就是一種開發(fā)模式，它可以為“軟件即是服務(wù)(Software As Service)”提供技術(shù)支持，同時(shí)由于具有跨平臺(tái)等特性，Web服務(wù)也主要被用于解決網(wǎng)絡(luò)之間的應(yīng)用集成問題。
　　Web服務(wù)的蓬勃發(fā)展使其安全問題很快呈現(xiàn)了出來(lái)，因此研究Web服務(wù)安全策略顯得尤

3、為重要。一般來(lái)講，Web服務(wù)安全策略至少涵蓋三個(gè)方面的內(nèi)容:認(rèn)證策略、訪問控制策略和隱私策略，其中訪問控制作為安全技術(shù)中的一項(xiàng)重要內(nèi)容，面臨著巨大的挑戰(zhàn)。傳統(tǒng)的訪問控制模型已不能適應(yīng) Web服務(wù)環(huán)境下的需求，自主訪問控制模型 DAC由于授予權(quán)限的自主性，難以對(duì)賦予出去的訪問權(quán)限進(jìn)行控制；強(qiáng)制訪問控制模型 MAC的原則是嚴(yán)格按照安全等級(jí)進(jìn)行訪問授權(quán)，缺乏靈活性；基于角色的訪問控制模型RBAC雖然相對(duì)靈活，容易進(jìn)行權(quán)限管理，但由于角色是靜態(tài)

4、的，不能適應(yīng)不斷變化的Web服務(wù)環(huán)境的要求，而且不具有細(xì)的訪問控制粒度；本文研究應(yīng)用的基于屬性的訪問控制模型 ABAC是根據(jù)參與決策的相關(guān)實(shí)體的屬性是否滿足要求來(lái)進(jìn)行授權(quán)的，具有較細(xì)的訪問控制粒度，而且具有高度的動(dòng)態(tài)性和靈活性。
　　針對(duì)傳統(tǒng)訪問控制模型存在的不足，本文結(jié)合 RBAC和ABAC模型的優(yōu)點(diǎn)，對(duì)基于角色的Web Services訪問控制模型進(jìn)行了深入研究。論文的研究?jī)?nèi)容和創(chuàng)新點(diǎn)主要有以下幾方面:
　　1.對(duì)Web

5、 Services的概念以及相關(guān)技術(shù)進(jìn)行論述，對(duì)Web Services架構(gòu)及其特點(diǎn)，Web Services的核心技術(shù)SOAP、WSDL、UDDI等進(jìn)行了分析，討論了Web Services安全技術(shù)規(guī)范，對(duì)應(yīng)用較多的幾種訪問控制模型進(jìn)行了分析并做了比較。
　　2.提出了一種基于角色和屬性的訪問控制模型R-ABAC模型，該模型的小論文已在期刊《計(jì)算機(jī)技術(shù)與發(fā)展》上發(fā)表見刊。在深入分析研究基于角色的訪問控制和基于屬性的訪問控制的基礎(chǔ)

6、上，提出R-ABAC模型，該模型通過綜合角色訪問控制和屬性訪問控制的優(yōu)勢(shì)，將屬性引入角色訪問控制中，把角色與屬性同等地作為授權(quán)決策的依據(jù)，在進(jìn)行授權(quán)時(shí)首先驗(yàn)證用戶的角色，只有當(dāng)用戶的角色達(dá)到訪問資源的要求時(shí)才考慮屬性的因素是否滿足要求，這樣就形成了雙重訪問控制。該模型具有更高的安全性和靈活性，既能有效節(jié)省系統(tǒng)資源又能更細(xì)粒度地對(duì)用戶訪問進(jìn)行控制，因此能夠適應(yīng)不斷變化的Web Services環(huán)境的要求。
　　3.提出了一種基于用戶

7、等級(jí)的角色授權(quán)委托模型，該模型的小論文已在期刊《微計(jì)算機(jī)》上發(fā)表見刊。該模型是在對(duì)授權(quán)委托模型進(jìn)行詳細(xì)分析研究的基礎(chǔ)上，通過分析各授權(quán)委托模型的優(yōu)缺點(diǎn)而提出的。該模型對(duì)用戶的角色劃分不僅僅基于用戶的身份，而是綜合用戶的多種屬性因素對(duì)用戶進(jìn)行屬性等級(jí)劃分，不同的屬性等級(jí)對(duì)應(yīng)不同的委托角色從而對(duì)應(yīng)不同的訪問權(quán)限，以達(dá)到對(duì)用戶進(jìn)行訪問控制的目的，是一種基于屬性的角色授權(quán)委托模型。
　　4.將基于角色和屬性的訪問控制模型R-ABAC模型進(jìn)