第２７卷 第 ５期
２００６年 ５月
湖南科技学院学报
Ｊｏｕｒｎａｌ ｏｆ Ｈｕｎａｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ
ＶＯ１．２７ Ｎｏ．５
Ｍ ａｙ．２００６
Ｗｅｂ Ｓｅｒｖ ｉ ｃｅｓ及ＡＳＰ．ＮＥＴ应用程序的安全策略和方法
杨艺清
（湖南师范大学，湖南 长沙 ４１００８１）
摘 要：Ｗｅｂ Ｓｅｒｖｉｃｅｓ的出现及 ＡＳＥＮＥＴ应用程序的普及已经完全改变了管理信息系统领域的格局，但在 Ｗｅｂ Ｓｅｒｖｉｃｅｓ
技术领域仍然存在着一些缺陷，特别是安全性问题，本文将针对这－－ｆ－－Ｉ题介绍其应对的策略和方法。
关键词；Ｗｅｂ Ｓｅｒｖｉｃｅｓ；ＡＳＲＮＥＴ；安全
中图分类号：ＴＰ１８２ 文献标识码：Ａ 文章编号：１６７３—２２１９（２００６）０５—０１７３—０２
Ｗｅｂ Ｓｅｒｖｉｃｅｓ的出现标志着人类 已经迈入应用程序开发技
术的新纪元，Ｗｅｂ Ｓｅｒｖｉｃｅｓ被称为 ＩＴ技术继 Ｐｃ和 Ｉｎｔｅｍｅｔ之
后的第三次革命，特别是 ＳＯＡＰ和 ＸＭＬｗｅｂ Ｓｅｒｖｉｃｅｓ在交互
操作和标准上已经完全改变了管理信息系统领域的格局。
但是到目前为止，在 ｗｅｂ服务技术领域仍然存在着一些
缺陷，如处理消息级别的安全、认证、加密、数字签名、路由
和附件等问题的能力ｅ
一
安全问题是管理信息系统的普遍而重要的问题
计算机系统的安全治理是一项庞大、复杂、面广的系统工
程，不可能在局部或个别系统的基础上去根本解决安全问题
安全的核心是人，必须以人为核心进行安全管理，采用各种先
进的安全技术，使系统免受非法攻击，排除没有访问权限的使
用者窃取系统机密信息，确保系统安全可靠地运行。
在管理信息系统中，除了防火墙技术等 “硬”措施外，常
用的安全策略有访问权限控制、１３令加密和数据加密等。
二 ｗｅｂ服务安全与ＷＳ．Ｓｅｃｕｒｉｔｙ
为了实现 Ｗｅｂ服务在企业中的互操作性，ＸＭＬ Ｗｅｂ
Ｓｅｒｖｉｃｅｓ的主要供应商提出了新的规范，用以改进关键 Ｗｅｂ
服务领域的互操作性。为了支持这些新提出的标准，Ｍｉｃｒｏｓｏｆｔ
发布了 Ｗｅｂ Ｓｅｒｖｉｃｅｓ Ｅｎｈａｎｃｅｍｅｎｔｓ １，０，它包括一组用于实现
这些新协议的类和一组由Ｍｉｃｒｏｓｏｆｔ ＡＳＰ．ＮＥＴ 提供的过滤器 ，
这些过滤器用来截取传入和传出的ＳＯＡＰ消息，以及解释或生
成ＳＯＡＰ标头以支持所需的功能。
随着ＷＳ．Ｓｅｃｕｒｉｔｙ规范的定稿 ，各大软件厂商开始认真地
考虑为其产品提供使用相同 Ｗｅｂ服务安全语言的接１３和编程
工具箱，Ｗｅｂ服务开发者也将能够使用这些厂商提供的工具加
强他们所开发的ｗｅｂ服务的安全性。
收稿日期：２００６－０３－０１
基金项目：湖南省教改项日 基于 Ｂ／Ｓ结构的教学教务管
理系统的研究与开发 （立项文号：湘教发［２００３］９８号，项目
编号 ：１２１—０１６０）
作者介绍：杨艺清 （１９７３－－），湖南韶山人 ，工程师 ，硕
士研究生。
三 ＷＳＥ安全性能简介
Ｍｉｃｒｏｓｏｆｔ推出了 ｗｅｂ Ｓｅｒｖｉｃｅｓ Ｅｎｈａｎｃｅｍｅｎｔｓ １．０ ｆｏｒ．ＮＥＴ
（以下简称 ＷＳＥ），它是一个类库，用于实现高级 ｗｅｂ服务
协议，这也是该公司的第一个使用 ＷＳ—Ｓｅｃｕｄｔｙ等规范实现
ＳＯＡＰ消息安全的工具套件。
保护 Ｗｅｂ服务安全的一个很重要的环节就是保护其ＳＯＡＰ
消息传递的安全。使用ＷＳＥ后，ＳＯＡＰ 消息可以自己验证其完
整性，并可使用定义在 ＷＳ—Ｓｅｃｕｒｉｔｙ规范中的机制加密。
ＷＳＥ！．０支持的所有 ＷＳ—Ｓｅｃｕｒｉｔｙ特性都是通过实现
ｓｅｃｕｒｉｔｙＩｎｐｕｔＦｉｌｔｅｒ和 ＳｅｃｕｒｉｔｙＯｕｔｐｕｔＦｉｌｔｅｒ对象的安全性输入输
出过滤器实现的，它支持的安全特性有：
１．数字签名
２．加密
３．使用用户名令牌签名并加密
４．使用Ｘ．５０９证书签名并加密
５．使用自定义二进制令牌签名并加密
ＷＳＥＩ。０ 不 支 持 Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ
（ＳＡＭＬ，安全声明标注语言），但 Ｍｉｃｒｏｓｏｆｔ公司正积极在
其．ＮＥＴ Ｓｅｒｖｅｒ中实现ＳＡＭＬ体系结构。当然，开发者自己可
以自由的实现 ＳＡＭＬ。唯一的不足是还不能使用 ＷＳＤＬ描述
遵循 ＷＳ—Ｓｅｃｕｒｉｔｙ规范的 Ｗｅｂ服务的 ＷＳ—Ｓｅｃｕｒｉｔｙ接１３。
ＷＳＥ的体系结构模型基于处理入站和出站 ＳＯＡＰ消息的
过滤器管道。它是建立在已有的 ＳＯＡＰＥｘｔｅｎｓｉｏｎ类的基础上
的，有使用过ＳＯＡＰＥｘｔｅｎｓｉｏｎ类行进压缩、加密、记录和其它
操作经验的开发者会发现他们对ＷＳＥ其实很熟悉。
ＷＳＥ提供了一个Ｍｉｃｒｏｓｏｆｔ．Ｗｅｂ．Ｓｅｒｖｉｃｅｓ，ＳｏａｐＣｏｎｔｅｘｔ类，
让我们可以处理ＷＳ—Ｓｅｃｕｒｉｔｙ ＳＯＡＰ头和其它入站的 ＳＯＡＰ消
息头，同时可为出站的ＳＯＡＰ消息添加ＷＳ—Ｓｅｃｕｒｉｔｙ头。ＷＳＥ
还有一个包装类为 ＳＯＡＰ请求和响应添加 ＳＯＡＰＣｏｎｔｅｘｔ（与
ＨｔｔｐＣｏｎｔｅｘｔ类似）。同时服务器使用一个 ＳＯＡＰＥｘｔｅｎｓｉｏｎ类，
让我们可以验证入站的ＳＯＡＰ消息，还提供了我们可从我们的
ＷｅｂＭｅｔｈｏｄ中访问的请求和响应 ＳｏａｐＣｏｎｔｅｘｔ。
四 确保Ｗｅｂ Ｓｅｒｖｉｃｅｓ和ＡＳＰ．ＮＥＴ应用程序的安全
安全的ＡＳＥＮＥＴ Ｗｅｂ应用程序依赖于完全安全的网络、
主机和平自基础结构 当上述条件满足后，攻击者将尝试利用
１７３
维普资讯 http://www.cqvip.com
