第 ２４卷 第 ４期
２００４年 ４月
计算机 应用
Ｃｏｍｐｕｔｅｒ Ａｐｐｌｉｃａｔｉｏｎｓ
Ｖｏ１．２４．Ｎｏ．４
Ａｐｒ．，２００４
文章编号 ：１００１—９０８１（２００４）０４—０１２１—０３
基 于 ＷＳ．Ｓｅｃｕｒｉｔｙ构 筑安全 的 ＳＯＡＰ消 息调 用
王 凡 ，李 勇 ，朗宝平，李程旭
（大连 理工 大学 计 算机 系，辽宁 大连 １１６０２４）
（ＷａｎｇＦａｎ＠ｅｅｒｉｕｓ．ｄｌｕｔ．ｅｄｕ．ａｎ）
摘 要 ：介绍 了 Ｗｅｂ—Ｓｅｃｕｒｉｔｙ框 架以及 Ｗｅｂ Ｓｅｒｖｉｃｅ安全体 系，通过一个简化 的电子商务场景，详细
展 示了如何使 用 ＷＳ—Ｓｅｃｕｒｉｔｙ规 范 ，实现安全的 ＳＯＡＰ消息调 用。 指 出了使 用 ＷＳ—Ｓｅｃｕｒｉｔｙ时 ，防 范重传
攻击的各种措施，并提 出了一个简化的挑战响应模型。最后介绍 了 ＷＳ—Ｓｅｃｕｒｉｔｙ的实现和开发工具。
关键词 ：Ｗｅｂ服务 安全 ；Ｗｅｂ服务 ；简单对象访问协议 ；安全 ；重传攻击
中图分类号 ：ＴＰ３９３ 文献标识码：Ａ
Ｓｅｃｕｒｉｎｇ ＳＯＡＰ Ｍ ｅｓｓａｇｅ Ｅｘｃｈａｎｇｅ ｗｉｔｈ Ｗ Ｓ－Ｓｅｃｕｒｉｔｙ
Ｗ ＡＮＧ Ｆａｎ，ＬＩ Ｙｏｎｇ，ＬＡＮＧ Ｂａｏ—ｐｉｎｇ，ＬＩ Ｃｈｅｎｇ—ｘｕ
（Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ，Ｄａｌｉａｎ Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌｏｇｙ，Ｄａｌｉａｎ Ｌｉａｏｎｉｎｇ １ １６０２４，Ｃｈｉｎａ）
Ａｂｓｔｒａｃｔ＂Ｔｈｉｓ ｐａｐｅｒ ｆｉｒｓｔ ｉｎｔｒｏｄｕｃｅｓ Ｗ Ｓ—Ｓｅｃｕｒｉｔｙ ｓｐｅｃｉｆｉｃａｔｉｏｎ ａｎｄ Ｗ ｅｂ ｓｅｒｖｉｃｅ ｓｅｃｕｒｉｔｙ ａｒｃｈｉｔｅｃｔｕｒｅ．Ｔｈｅｎ ｉｔ ｄｅｔａｉｌｓ ｈｏｗ
ｔｏ ｓｅｃｕｒｅ ＳＯＡＰ ｍｅｓｓａｇｅ ｅｘｃｈａｎｇｅ ｗｉｔｈ Ｗ Ｓ－Ｓｅｃｕｒｉｔｙ ｉｎ ａ ｓｉｍｐｌｉｆｉｅｄ ｅ—ｃｏｍｍｅｒｃｅ ｓｃｅｎａｒｉｏ． Ｔｈｉｓ ｐａｐｅｒ ａｌｓｏ ｄｉｓｃｕｓｓｅｓ ｓｏｍｅ
ｐｏｓｓｉｂｌｅ ｓｅｃｕｒｉｔｙ ｐｒｏｂｌｅｍｓ ｗｉｔｈ Ｗ Ｓ—Ｓｅｃｕｒｉｔｙ，ｉｎｃｌｕｄｉｎｇ ｒｅｐｌａｙｉｎｇ ａｔｔａｃｋｓ，ａｎｄ ｓｉｖｅｓ ａ ｓｉｍｐｌｅ ｃｈａｌｌｅｎｇｅ－ｒｅｓｐｏｎｓｅ ｍｏｄｅ１．
Ｆｉｎａｌｌｙ，ｉｔ ｉｎｔｒｏｄｕｃｅｓ ｔｈｅ ｉｍｐｌｅｍｅｎｔａｔｉｏｎｓ ａｎ ｄ ｄｅｖｅｌｏｐｍｅｎｔ ｋｉｔｓ ｏｆ Ｗ Ｓ—Ｓｅｃｕｒｉｔｙ．
Ｋｅｙ ｗｏｒｄｓ：ＷＳ—Ｓｅｃｕｒｉｔｙ；Ｗ ｅｂ ｓｅｒｖｉｃｅ；ＳＯＡＰ；ｓｅｃｕｒｉｔｙ；ｒｅｐｌａｙ ａｔｔａｃｋ
ｌ ＷＳ—Ｓｅｃｕｒｉｔｙ简 介
原有的 Ｗｅｂ Ｓｅｒｖｉｃｅ安全机制主要依赖 于传输层安全协
议如 ＳＳＬ，ＴＬＳ等 ，如图 １所示。这一方案的不足是显而易见
的：只能提供点到点（ｐｅｅｒ－ｔｏ—ｐｅｅｒ）的安全性 。ＳＯＡＰ消息在经
过 中间节点处理时 ，ＳＯＡＰ消息对中间节点是可见的 ，造成安
全漏洞 。
点对 点安全 点对 点安全
，— —— —— ， 、 —— — —— 、 ， — —— —— ， 、— —— —－一、
ＳＳＬ ＳＳＬ
图 １ 传统 Ｗｅｂ安全机制仅提供点对点安全
端 到端安 全
ｌ服务请求者 卜＋——◆ｌ 中问节点 卜．——＋ｌ服务提供者 Ｉ
Ｗ Ｓ—·Ｓｅｃｕｒｉｔｙ Ｗ Ｓ—－Ｓｅｃｕｒｉｔｙ
图 ２ ＷＳ—Ｓｅｃｕｒｉｔｙ为 ＳＯＡＰ消息提供端到端的安全
因此 ＷＳ—Ｓｅｃｕｒｉｔｙ的主要 目的之一是实现端到端 （ｅｎｄ．ｔｏ—
ｅｎｄ）的安全（如图 ２所示），保证 ＳＯＡＰ消息通过不安全的中
间节点 ，安全可靠地从服务 请求者到达服务提供者。为了实
现这一 目的，ＷＳ—Ｓｅｃｕｒｉｔｙ不再依赖传输 层安全 机制，而是直
接在 ＳＯＡＰ信息头中嵌入安全信息（如数字签名，Ｘ．５０９证书
等），并对需要保密的数据进行加密。ＳＯＡＰ节点到达 目的节
点后 ，由服务提供者直接验证这些安全信息的真伪并解密相
关数据 。这样就避免了对 中间节点的依 赖 ，从而实现了端到
端的安全性 。
具体来说 ，ＷＳ—Ｓｅｃｕｒｉｔｙ规范为 Ｗｅｂ Ｓｅｒｖｉｃｅ应用的安全提
供了三种保证 ：
消息完整性 ＷＳ—Ｓｅｃｕｒｉｔｙ使用 ＸＭＬ Ｓｉｇｎａｔｕｒｅ…对 ＳＯＡＰ
消息进行数字签名，保证 ＳＯＡＰ消息在经过 中间节点时不被
篡 改。
消息加 密 ＷＳ—Ｓｅｃｕｒｉｔｙ使用 ＸＭＬ—Ｅｎｅｒｙｐｔｉｏｎ 对 ＳＯＡＰ
消息进行加密，保证 ＳＯＡＰ消息 即使被监听，监听者也无法提
取出有效信息。
单消息认证 ＷＳ—Ｓｅｃｕｒｉｔｙ引入安全令牌（Ｓｅｃｕｒｉｔｙ Ｔｏｋｅｎ）
的概念 ，安全令牌代表 Ｗｅｂ服务请求者的身份 ，通过和数字
签名技术结合 ，服务提供者可 以确认 ＳＯＡＰ 消息由合法的服
务请求者产生。
当然，仅依靠这些 ，并不能解决 Ｗｅｂ Ｓｅｒｖｉｃｅ应用 中所有
的安全问题 ，ＷＳ—Ｓｅｃｕｒｉｔｙ的价值在 于提供了一层足够灵活的
基础安全机制。基于这一机制 ，可以根据具体的 Ｗｅｂ Ｓｅｒｖｉｃｅ
应用环境 ，构筑更完善的安全模型。例如基于 ＷＳ—Ｓｅｃｕｒｉｔｙ开
发的 Ｗｅｂ服务信托模型 ＷＳ—Ｔｒｕｓｔ 以及 Ｗｅｂ服务的安全联
盟规范 ＷＳ—Ｆｅｄｅｒａｔｉｏｎ ，为构建 安全 的跨越 Ｉｎｔｅｒｎｅｔ，多企业
合作的 Ｗｅｂ Ｓｅｒｖｉｃｅ应用提供了坚实的安全基础。
目前基于 ＷＳ—Ｓｅｃｕｒｉｔｙ 已经建立了一系列的安全规范 ，如
图３所示。关于这些 安全规 范的简介 可以参看文献 ［５］，详
细的规范说 明可以在 Ｗ３Ｃ，ＩＢＭ，Ｍｉｃｒｏｓｏｆｔ的网站下载。需要
指出的所有这些规范都依赖 于 ＷＳ－Ｓｅｃｕｒｉｔｙ提供的基本安全
机制 ，因此理解 、使用这 些规范 的前提是彻底理解 、掌握 ＷＳ．
Ｓｅｃｕｒｉｔｙ安全规范。以下将通过一个实际的 ＳＯＡＰ 消息来解
收 稿 日期 ：２００３—１０—０６；修订 日期 ：２００３—１２—１８
作者简介：王凡（１９７５一），女，辽宁丹东人 ，讲师，主要研究方 向：ｗｅｂ Ｓｅｒｖｉｃｅ、电子商务 ； 李勇（１９７９一），男 ，山东 日照人 ，硕士研究生，主要
研究方向：中间件与基础件技术 、网构软件技术 ； 郎宝平 （１９７８一），女，山东临朐人，硕 士研究 生，主要研究方 向：网构软件技术、ＷｅｂＧＩＳ；
李程旭 （１９７９一），男 ，浙江萧山人 ，硕士研究生 ，主 要研究方向 ：智能交通应 用 、网构软件技 术 ．
维普资讯 http://www.cqvip.com
- 1
- 2
前往页