SOA体系的安全研究与设计

第22卷第1期2009年2月四川理工学院学报(自然科学版)Journal of Sichuan University of Science &Engineering (Natural Science Editi on )Vol 122　No 11Feb 12009收稿日期:2008204202作者简介:张横云(19742),女,四川宜宾人,讲师,硕士,主要从事计算机网络,数据库方面的研究。

文章编号:文章编号:167321549(2009)0120044204SOA 体系的安全研究与设计张横云1,何海涛2(1.四川科技职工大学计算机系,成都610101;2.四川理工学院计算机学院,四川自贡643000) 摘　要:S OA 体系使企业能够将自身业务整合提供给客户和合作伙伴使用,推动了企业信息化的发展。

由于S OA 的跨平台和基于W EB 服务的开放性,产生了新的安全问题。

文章从外部服务安全、X ML 文件的安全、身份验证三个方面对基于S OA 体系的安全性做了分析和探讨,提出了相应的解决方案。

关键词:面向服务构架;web 服务;简单对象访问协议;安全中图分类号:TP309文献标识码:A引言面向服务架构S OA (Service -O riented A rchitec 2ture )是一种系统架构模型,它可以根据需求通过网络对松散耦合的粗粒度应用组件进行分布式部署、组合和使用。

S OA 的基础是服务层,可以直接被客户端应用,从而有效控制系统中与软件代理中的人为依赖性。

S OA 体系从根本上改变了应用程序工作的方式,帮助用户部署面向服务的架构,使得信息能够在企业内外自由地流动。

1S OA 架构的安全因素针对应用系统来说安全性是较为宽泛的概念,涉及到从端点(服务器和最终用户的PC 等)到核心的所有网络层和应用层,在此本文重点是针对基于S OA 体系构架的软件本身的安全性进行研究。

由于S OA 架构的开放性本质和通过W eb 服务来实现其功能的特性,基于S OA 架构的应用系统所面临的安全性问题主要体现在如下几个方面:外部服务的安全;X ML 文件的安全性;身份验证问题。

1.1外部服务的安全S OA 应用程序可能会依靠一个基于W eb 的第三方服务或远程客户端来提供重要的功能和服务,或者是通过相对开放的局域网或广域网为用户提供服务,这具有非常明显的安全问题。

如系统功能模块的增加,软件补丁自动升级更新等。

由于web 服务的开放性,必然会导致大量外部服务方面的攻击和安全隐患。

传统的应用程序安全保护措施工作在网络层级别,例如传统的防火墙技术。

相比之下,传输层上没有任何的内容检测技术,所以也就无法识别包含在W eb 服务数据包或元数据信息中的木马程序。

由于S OA 架构的开放性本质,无法保护S OA 中未知的第三方,第二级和第三级用户(例如合作伙伴的合作伙伴)是可以访问未受保护的S OA 。

因此,未受保护的S OA 很容易超负荷运转。

如果没有访问控制,未受保护的S OA 很容易被来自黑客的大量S OAP 消息所“淹没”。

结果可能导致DoS 攻击损害系统的正常功能。

因此访问控制和防止恶意攻击是外部服务安全的重要因素。

1.2X ML 文件的安全性X ML 文件可以包含任何类型的数据或可执行程序,其中包含那些故意搞破坏的恶意代码。

大多数企业已经在使用大量的X ML 编码文件,这些文件绝大部分处于无防护的状态下。

另外,由于X ML 文件是基于文本的,未经保护的X ML 文件在互联网传输过程中很容易被监听和窃取。

1.3身份验证问题目前企业身份管理的会话模式不能满足S OA 的更复杂要求。

用户可能最初经过身份验证后发出一个服务请求,该身份验证会一直应用在整个会话中,而服务请求可能会经过一组后端服务,因此用户与最终的服务结果没有直接的联系。

系统不仅要识别是谁发起了服务请求,还要识别是谁(或则在自动过程中是什么东西)批准和处理了这个服务。

需要认证所有这些单个的进程在这个服务中使用的信息,而不是在一个交互的会话中询问它们的信息。

2S OA 架构系统安全体系设计2.1外部服务安全体系基于S OA 体系的应用系统服务流程可能由不同厂商的基于异构平台的多种服务组合而成,每个服务都具有各自独立的安全域,这些安全域可能由不同企业的不同部门负责管理和维护。

同时企业往往需要与合作伙伴建立紧密地服务和数据交换。

因此在开放式的网络环境下,外部服务的安全性越来越重要。

2.1.1外部服务访问控制访问控制是企业应用中的关键组件,外部用户(包括在外员工、软件开发商、业务伙伴和客户)需要安全而轻松地访问企业应用,包括互联网上的S OA 应用。

外部服务传输通道形式有两种:点到点(point -to -point ),端到端(end -to -end )。

(1)点到点(point -t o -point )安全控制在点到点(point -to -point )传输通道安全方面采用SS L 来保障传输通道的安全,如图1所示。

通过使用SS L 、HTTPS 协议来保障HTTP 请求/响应的安全。

图1点对点安全控制示意图(2)端到端(end -to -end )SS L 是一个点到点(point -t o -point )的安全方案,它不适合端到端(end -to -end )的拓扑结构,因为在端到端的结构中,消息需要通过网关等仲裁设备进行传图2端到端安全控制示意图送,所以需要采用如图2所示的消息级安全MLS (Mes 2sage Level Security )模型,来实现对消息的加密。

通过使用S OAP 加密和S OAP 签名,机密性和完整性由于独立于传输协议而能够“始终保持”。

因为安全性体现在内置于S OAP 消息内,所以W eb 服务使用者、生产者或中间人之间的传输管道(HTTP 、FTP 、JMS )是否支持SS L 无关紧要。

消息级安全措施就是在客户端(web 服务请求者)和服务器端(web 服务响应者)之间来回传递S OAP 消息的路径中设置S OAP 消息监控网关,对每一条S OAP 消息进行监控,分析其标题头中包含的用户身份,并将其与保存在S OAP 应用安全服务器中的名称相比较,实现对S OAP 消息发送方和接收方的身份验证和授权工作。

同时,对用户web 服务请求的S OAP 消息的发送方式和创建时间进行监控,监控并对每一条S OAP 消息标记一个唯一的识别码,在关键的应用中可以设置为阻塞复制的消息,这样同一条S OAP 消息就不能重复发送,这样降低了黑客利用复制消息来进行DoS 攻击的可能性。

同时也可以对S OAP 消息进行跟踪记录,生成S OA 消息流量的日志报表,便于系统安全管理。

2.1.2应用服务代理为保护核心系统的服务安全性,在系统中采用W EB 服务代理,如图3所示,通过受保护的代理服务可以代表实际的W eb 服务接收所有W eb 服务请求,并对其做出响应,避免了任何人直接访问提供服务的平台,从而保护W eb 服务免遭恶意的侵害。

采用集中管理和缓存技术,对W eb 服务请求的身份验证和授权,避免了用户调用W eb 服务时系统就在网络上使用大量消息对该用户进行身份验证和授权的现象,降低了W eb 服务的网络流量,减轻了企业网络安全设备的负担。

图3SOA 体系应用系统架构图2.1.3契约管理在消息安全方面,在S OAP 消息监控网络中,通过建立不同类型的服务契约,对web 服务的使用进行管理,例如规定某一特定用户调用某各特定的web 服务的次数、调用时间、服务响应参数等,从而实现对web54第22卷第1期 张横云等:S OA 体系的安全研究与设计服务的有效管理。

同时采用服务契约有助于确定系统是否正常运行,在出现安全性问题时可以发出告警。

2.2X ML 安全性2.2.1X ML 加密X ML 是基于文本的,这使它很简单易读而且很容易调试,未经保护的X ML 在互联网传输过程中很容易被监听和窃取。

为了保障基于X ML 的通信安全,需要从传输层和消息层两个层面进行保护。

采用可扩展访问控制标记语言(Extensible Access Contr ol Markup Lan 2guage,XAC ML )和W eb 服务策略(W S -Policy )解决传输安全问题。

通过W eb 服务安全(W eb Service Security,W SS )和安全声明标记语言(Security A ssertion Markup Language,S AML )来解决消息安全问题。

目前主要的X ML 安全标准包括:X ML 加密、X ML 签名语法和处理、数字签名和X ML 密钥管理规范(X MLKey Management Specification,XK MS )等。

现有的X ML安全标准已经可以实现对X ML 文档进行有选择的签名处理。

X ML 加密和X ML 签名适用于任何的X ML 类型的文档,同样的它们也可以用来保护类似W S DL 契约,这些文档也是基于X ML 的,并且也是S OA 中的一个重要组成部分。

在系统实际应用中采用X ML 安全网关,从而对所有进出的X ML 数据进行保护。

X ML 安全网关遵循包括X ML 和W S -Security 在内的行业标准,对X ML 数据进行验证、加密、签名以及认证,来提供安全的基于X ML 的W eb 服务通信。

此外,它还可提供防火墙功能和访问控制功能。

有些产品还可以与网络管理软件集成,帮助企业降低IT 管理成本,并解决依从性需求。

2.2.2X ML 语言处理性能与传统的二进制通信协议相比,X ML 最高可以消耗高达50倍的带宽,这不仅会导致交互系统性能下降,而且会为分布式拒绝服务攻击提供可趁之机。

因此,未经优化的X ML 通信将导致严重的安全问题。

在系统设计时要考虑采用专业的X ML 加速器,利用基于64位平台架构的语法分析器,来加速X ML /S OAP 的解析、X ML 模式的确认、XPath 的处理以及XS LT 的功能转换。

2.3身份认证由于基于S OA 体系的系统具有跨平台、多用户(内部员工、合作伙伴、客户、软件开发商等)如何保证web 服务的用户都可以得到适当的身份验证,而未经身份验证的人无法读取在web 服务及调用它们的应用程序之间往返的信息,也是一个关键性的问题。

根据用户及服务端的类型和安全等级,用户验证可以采用用户名令牌(U sernameToken )和基于签名的身份验证方式。

2.3.1户名令牌(U sernameToken )身份验证用户令牌(U sernameToken )身份验证与HTTP 身份验证很相似,用户保密信息在消息的头部被传送。