CN102255969A

CN102255969A - 一种基于表述性状态转移的网络服务安全模型

Info

Publication number: CN102255969A
Application number: CN2011101975467A
Authority: CN
Inventors: 王汝传; 夏奇思; 付雄; 韩志杰; 蒋凌云; 宋筱宁
Original assignee: Nanjing Post and Telecommunication University
Current assignee: Nanjing Post and Telecommunication University; Nanjing University of Posts and Telecommunications
Priority date: 2011-07-14
Filing date: 2011-07-14
Publication date: 2011-11-23
Anticipated expiration: 2031-07-14
Also published as: CN102255969B

Abstract

本发明提供了一种基于表述性状态转移的网络服务安全模型是一种Web服务安全模型的解决方案，主要用于解决基于REST的WebServices的安全问题。网络服务安全模型包括下列组成部分：Web服务请求者、Web服务提供者、服务资源搜索模块、HTTP消息安全处理模块、基于REST的资源设计模块、XKMS（公钥管理规范）服务器、SAML（安全断言标记语言）服务器和访问控制器。本发明的主要贡献是采用了能更好的体现HTTP风格的基于REST的面向资源的构架、而不是传统的XML-RPC风格的构架来实现WebServices，并在此基础上设计了整个安全模型。

Description

一种基于表述性状态转移的网络服务安全模型

技术领域

本发明是一种Web（网络）服务安全模型的解决方案，主要用于解决基于表述性状态转移（REpresentational State Transfer, REST）的Web Services（网络服务）的安全问题，属于Web服务领域。

背景技术

Web服务是基于互联网的开发模型，它是在Internet上进行分布式计算的基本构造块。Web Service是对象／组件技术在Internet中的延伸，是封装成单个实体且发布到网络上以供其它程序使用的功能集合。在Web Service的体系中，应用系统被分割为高内聚、弱耦合的单个服务，可以分散于Web的各个地方，通过互相调用以协同完成各种业务活动。Web服务的目的是通过使用Web标准达到应用程序间的互操作，因此Web服务又被称为下一代的互联网。

目前有很多有竞争力的Web服务框架和建议，其中最为主要的三个竞争者是微软的．NET、IBM的Web Services和SUN的Open Net Environment（ONE，开放网络环境）。在不同的框架和侧重下，他们对Web服务进行了相应的定义：

（1） Web Services是自包含的、模块化的应用程序，它可以在网络（通常为Web）中被描述、发布、查找以及调用。

（2） Web services是基于网络的、分布式的模块化组件，它执行特定的任务，遵守具体的技术规范，这些规范使得Web Services能与其他兼容的组件进行互操作。

（3） Web服务，它是指企业发布的完成其特别商务需求的在线应用服务，其他公司或应用软件能够通过Internet来访问并使用这项应用服务。

（4） Web服务是描述一些操作利用标准化的消息传递机制可以通过网络访问这些操作的接口。

虽然以上各种表述有所不同，但它们都包含着一个共同涵义：Web服务是指封装成单个实体并发布到网络上的功能集合体。简单地讲，Web服务是一个URL（Universal Resource Locator，统一资源定位符）资源，客户端可以通过编程方式请求得到它的服务，而无需关心服务的具体实现方法。另外，由于Web服务体系结构没有对Web服务的粒度进行限制，因而一个Web服务既可以是一个组件（小粒度），该组件必须和其他组件结合才能进行完整的业务处理；也可以是一个应用程序（大粒度）。

当前用于构建Web服务的协议和标准有许多，如SOAP（简单对象访问协议）、WS—Security等，它们都构筑在HTTP的基础之上，却很少使用HTTP甲的任何特性，HTTP仅仅成了一种传输庞大XML（可扩展标记语言）负载的协议，它们都忽视了Web作为分布式编程平台的潜力。这类传统的XML-RPC风格的Web服务不具有可寻址性、可缓存性和连通性等特性，也不遵循统一接口。REST是对当前Web体系结构潜在设计原则的一种描述，也是对Web最成功要素的总结。当前国内外对基于REST的Web服务的研究仍处于理论探索阶段，实际应用也停留在小的封闭系统和REST-RPC混合式应用层面，无法达到Web级规模。

REST软件架构是由Roy Thomas Fielding博士在2000年首次提出的。他为我们描绘了开发基于互联网的网络软件的蓝图。REST软件架构是一个抽象的概念，是一种为了实现这一互联网的超媒体分布式系统的行动指南。利用任何的技术都可以实现这种理念。REST 是应用于编程样式和 HTTP 协议的经过深思熟虑的敏感限制集合。REST 提倡通用的基于 URL 的资源寻址语法、一小组标准 HTTP 方法、无状态客户机-服务器协议、XML 文档和用于表示资源的其他媒体类型。

REST有如下优点:

1．可以利用缓存Cache来提高响应速度

2．通讯本身的无状态性可以让不同的服务器的处理一系列请求中的不同请求，提高服务器的扩展性

3．浏览器即可作为客户端，简化软件需求

4．相对与其他叠加在HTTP协议之上的机制，REST的软件依赖性更小

5．不需要额外的资源发现机制

6．在软件技术演进中的长期的兼容性更好

本文拟采用基于REST的面向资源的架构(ReSource-Oriented AR-chitecture，ROA)替代XML-RPC风格的架构来设计Web服务，并针对Web服务请求响应交互模型提出一种语义搜索方法来发现服务。

发明内容

技术问题：本发明的目的是提供一种基于表述性状态转移的网络服务安全模

型，是一种Web服务安全模型的解决方案，主要用于解决基于REST的Web Services的安全问题。本发明采用基于REST的面向资源的架构替代XML-RPC风格的架构来设计Web服务，并根据安全的需要设计了整个安全模型。

技术方案：本发明是一种策略性的方案，首先根据REST的思想设计了一个RESTFul的Web Sercives。然后根据安全需要设计出一整个安全模型。本方法主要应用在Web服务领域。

一、体系结构

图1给出了基于REST的Web Services安全模型的结构图。其中包括下列组成部分：Web服务请求者、Web服务提供者、服务资源搜索模块、HTTP消息安全处理模块、基于REST的资源设计模块、XKMS（公钥管理规范）服务器、SAML（安全断言标记语言）服务器和访问控制器。本发明的主要贡献是采用了能更好的体现HTTP风格的基于REST的面向资源的构架、而不是传统的XML-RPC风格的构架来实现Web Services，并在此基础上设计了整个安全模型。

下面给出前每个模块的具体介绍：

1．Web服务请求者

Web服务请求者是申请服务的一方，是Web服务的消费者，可以是客户应用程序、组件或者一个Web服务。

2．Web服务提供者

服务提供者拥有Web服务，它对Web服务请求者进行身份认证、授权检测，并向合法的Web服务请求者提供资源。

3．服务资源搜索模块

本模块是一个基于SAWADL语义服务描述模型的服务资源搜索框架。以便于让服务请求者快速、便捷地定位合适的服务资源。

4．HTTP消息安全处理模块

HTTP消息处理模块的主要功能是通过对HTTP消息的安全扩展，负责进行服务双方的身份验证以及Web服务传输过程中的安全性，它实现了安全性的5个需求，即保证了消息的机密性、完整性、可用性、消息源认证性、不可否认性，提供端到端的安全性、应用的独立性、传输的独立性、存储消息的安全性等HTTP通信中所需要的典型安全特性。主要由安全属性处理、XML签名处理、XML加密处理、验证信息处理四个部分组成。

5．基于REST的资源设计模块

本模块是本发明的重点部分，包括资源的设计、资源的名称及表示、资源间的链接及资源的描述三部分。

6．XKMS服务器

XKMS服务器与PKI（公钥基础设施）服务器相连，为Web服务提供基于XML的公用密钥基础结构，用来管理密钥和证书信息，控制密钥的注册、恢复和取消。

7．SAML服务器

负责身份认证，实现单点登陆，减少Web服务的负担，减少安全通信的次数，提高安全性。

8．访问控制器

用于权限分配与认证，具有相应权限的用户才能访问某些资源。

二、方法流程

下面给出几个主要模块的方法流程。

1、服务资源搜索模块

本模块是一个基于SAWADL语义服务描述模型的服务资源搜索框架。

SAWADL模型定义了QOS语义、执行语义、功能语义和接口语义共4种服务资源语义标注信息，覆盖服务资源搜索的全过程。其中QOS语义信息用于描述语义服务的服务质量，便于提高语义服务自动发现和组合的质量；执行语义信息用于描述语义服务执行时的前置操作和后置操作，便于进行语义服务的组合和动态配置；功能语义信息用于描述语义服务的功能，包括服务的分类、服务提供的功能等，便于进行精确的语义服务自动发现；接口语义信息用于描述语义服务的操作、消息，便于进行语义服务自动发现和组合。基于SAWADL模型的服务资源搜索模块主要包括5个部分：资源获取模块、断言及关键字索引库、语义索引库、SAWADL语义服务资源快照和资源匹配模块。

服务提供者把要发布资源的WADL转换成SAWADL格式的服务资源描述文件，资源获取模块负责将发布在互联网中符合SAWADL服务描述规范的服务资源描述文件提取出来。提取的服务描述文件经过解析后，一方面形成SAWADL语义服务资源快照，另一方面进行概念索引，然后用以上提到的4种语义标注元素分别建立索引表供资源匹配模块使用。SAWADL语义服务资源快照库保存已获取的语义服务资源描述文件，而且最终返回给用户的搜索结果也将从中获取。断言及关键字索引库保存服务资源描述文件中包含的断言和分类关键字。语义索引库、断言及关键字索引库为资源匹配模块提供语义信息，支撑语义匹配的全过程。资源匹配模块负责将用户的查询条件按以上4种语义标注元素进行解析，并将解析后的查询条件分别与对应的索引项进行匹配。

HTTP消息处理模块

HTTP消息处理模块的主要功能是通过对HTTP消息的安全扩展，负责进行服务双方的身份验证以及Web服务传输过程中的安全性，它实现了安全性的5个需求，即保证了消息的机密性、完整性、可用性、消息源认证性、不可否认性，提供端到端的安全性、应用的独立性、传输的独立性、存储消息的安全性等HTTP通信中所需要的典型安全特性。

服务请求者对HTTP消息的安全处理过程如下：

（1）服务请求者从XKMS服务器取得服务提供者的认证书。

（2）服务请求者将生成的SAML断言加入HTTP消息中。

（3）服务请求者用自己的认证书中的私钥对HTTP消息签名。

（4）用服务提供者认证书中的公钥对HTTP消息加密。

（5）将服务请求者的认证书加入HTTP消息，发送给服务提供者。

服务提供者接收到HTTP消息后的安全处理过程如下：

（1）服务提供者接收到消息后，定位消息中的认证书，向XKMS确定该证书的有效性，判断证书的状态及有效性。

（2）取出其中的公钥验证签名。

（3）服务提供者利用自己的认证书中的私钥解密。

（4）根据SAML断言中的权限信息决定服务请求者是否有权限访问请求资源。若有权访问，则满足服务请求者的请求，并发送HTTP响应消息；否则拒绝服务请求者的请求。

基于REST的资源设计模块

（1）资源的设计

使用面向对象的方法来设计资源，并且每个资源对外只暴露一个统一接口，最多支持6种HTTP方法，允许执行创建、修改、读取和删除等4种基本操作。在进行资源设计时，先规划一个数据集，该数据集是服务将要暴露的或者要让用户去构建的，然后把其中部分数据作为HTTP资源来发布。这些资源分为3类：(1)预定义的一次性资源。它们具有一个作为其他资源人口的URI，客户端可以获取它的某种表示，但不能删除或更改此类资源。(2)对应于各数据项的资源。根据客户端的权限可对这类资源进行创建、修改、读取或删除操作。(3)代表数据集上执行算法结果的资源。这类资源不是事先明确定义好的，而是符合某种查询条件的资源集合。

在进行资源设计时如何划分或确定资源粒度尤为重要。为此，本文根据对象的不同分别确定资源的粒度，从而确定相应资源的操作类型。比如一次对多个资源进行操作或者批量创建资源，则可以暴露一个可被创建、更新和删除的“工厂”资源；或者应用涉及到比较复杂的事务，也可把事务本身暴露为一个可被创建、更新和删除的资源。

（2）资源的名称及资源的表示

资源的名称也是资源的URI，URI遵循如下3条规则：(1)用路径变量来表达层次结构，形如“/parent/child”；(2)用逗号或者分号来表达非层次结构，形如“/parent/childl;child2”；(3)用查询变量表达算法的输入，如“http://www.google.cn/search?q=REST&start=30”。确定了要暴露的资源并为之设计了URI后，当客户端通过URI请求某个资源时，服务端返回的数据类型及格式取决于资源表示的设计。一个资源表示至少满足2个条件：首先，要能传达资源的当前状态；其次，要能连接到可能的下个应用状态或资源状态，以起到推进状态的作用。

（3）资源间的链接及资源的描述

在基于REST的服务里，表示的主要用途是传达资源状态，不仅包含数据，还包含指向其他资源的链接。服务器通过表示告诉客户端当前状态有哪些后续状态可以进入，链接起到的就是推进状态的作用，客户端应用状态在服务器提供的表示的指引下发生变化，这种资源间链接的特性被称为“连通性”。Programmable Web上有3种类型的服务. RPC风格的服务通过单个URI来暴露所有服务，它既不是可寻址的，也不是连通的；REST-RPC风格的服务是可寻址的，但不是连通的；REST风格的服务既可寻址，也是连通的。本文采用WADL(Web Application Description Language)描述资源，WADL由SUN公司提出，它是一种用于表达“HTTP行为”的XML词汇，它描述了服务所暴露的所有资源以及在这些资源上执行的操作。可以向客户端提供一个描述服务所暴露的资源的WADL文件，也可以在某个特定资源的表示里嵌入一段WADL，以告诉客户端如何处理该资源。一个WADL文档主要包括4个部分：(1)资源列表，用于描述应用中所有的资源；(2)资源之间的关系，用于说明资源之间的链接关系；(3)所有应用于每个资源的特定的方法；(4)资源的表示。WADL文档还告诉客户端在发送请求时附加某些HTTP报头，以及请求失败时返回哪种状态码。

有益效果：当前Web服务中最基础的SOAP协议采用的是基于远程过程调用(RPC)的交互模型，这种交互模型在相对封闭的、小的应用环境中取得了较大成功。然而，在Web这个开放、分布的环境中会产生紧密耦台和接口复杂等问题，难以达到Web级的规模可伸缩性。针对上述的不足，本发明提供了一种基于REST的Web Services安全模型。采用基于REST的Web Services模型有如下优点：

1．可以利用缓存Cache来提高响应速度

3．浏览器即可作为客户端，简化软件需求

5．不需要额外的资源发现机制

6．在软件技术演进中的长期的兼容性更好

附图说明

图1是基于REST的Web Services安全模型功能图。

图2是HTTP消息处理模块的具体流程。

图3是整个模型的状态流程图。

具体实施方式

为了方便描述，我们假设有如下应用实例：

有一个Web服务提供者A拟发布一个Web Services-C，一个Web服务请求者申请使用这个Web Services。

具体的实施方案为：

首先，Web服务提供者A需要设计这个Web Services -C，并在网上发布供Web服务请求者使用，具体过程为：

1) A需要为所有的资源定义唯一的ID：URI。通常，值得被URI标识的资源要比数据库记录抽象的多。例如，一个定单资源可以由定单项、地址以及许多其它方面（可能不希望作为单独标识的资源暴露出来）组成。标识所有值得标识的事物：一个流程或者流程步骤、一次销售、一次谈判、一份报价请求——这都是应该被标识的事物的示例。

2) 将所有的资源链接在一起。任何可能的情况下，使用链接指引可以被标识的资源。

3) 定义标准方法。使用面向对象的方法来设计资源，并且每个资源对外只暴露一个统一接口，最多支持6种HTTP方法（GET、POST、 PUT、DELETE、HEAD和OPTIONS），允许执行GET、POST、 PUT和DELETE等4种基本操作。

4) 对服务进行描述、发布。使用WADL(web Application Description Language)来描述资源，并把要发布资源的WADL转换成SAWADL格式的服务资源描述文件。然后资源获取模块将发布在互联网中符合SAWADL服务描述规范的服务资源描述文件提取出来。提取的服务描述文件经过解析后，一方面形成SAWADL语义服务资源快照，另一方面进行概念索引，然后用以上提到的4种语义标注元素分别建立索引表供资源匹配模块使用。然后将已获取的语义服务资源描述文件保存在SAWADL语义服务资源快照库。将服务资源描述文件中包含的断言和分类关键字保存在断言及关键字索引库。

经过上述4步以后，Web服务提供者A已经把需要发布的Web Services-C实现并发布在网上，以供Web服务请求者B申请使用。接着，Web服务请求者B需要通过服务搜索并申请调用Web Services-C。具体过程如下：

5) 首先Web服务请求者B通过资源匹配模块将查询条件按4种语义标注元素进行解析，并将解析后的查询条件分别与对应的索引项进行匹配，其间语义索引库、断言及关键字索引库为资源匹配模块提供语义信息，支撑语义匹配的全过程。最终从SAWADL语义服务资源快照库中获取到搜索结果。在本例中，检索的结果就是Web服务C。

然后Web服务请求者B需要和Web服务提供者A建立通信。在本例中采用HTTP通信。首先服务请求者B对HTTP消息的安全处理过程如下：

6) 服务请求者从XKMS服务器取得服务提供者的认证书。

7) 服务请求者将生成的SAML断言加入HTTP消息中。

8) 服务请求者用自己的认证书中的私钥对HTTP消息签名。

9) 用服务提供者认证书中的公钥对HTTP消息加密。

10) 将服务请求者的认证书加入HTTP消息，发送给服务提供者。

服务提供者A收到服务请求者B的消息后，将进行处理判段，具体过程如下：

11) 服务提供者接收到消息后，定位消息中的认证书，向XKMS确定该证书的有效性，判断证书的状态及有效性。

12) 取出其中的公钥验证签名。

13) 服务提供者利用自己的认证书中的私钥解密。

14) 根据SAML断言中的权限信息决定服务请求者是否有权限访问请求资源。若有权访问，则满足服务请求者的请求，并发送HTTP响应消息；否则拒绝服务请求者的请求。

至此，如果服务请求者B有使用Web服务C的权限的话，他讲成功调用服务提供者A提供的Web服务C。

Claims

1. 一种基于表述性状态转移的网络服务安全模型，其特征在于该方法所包含的步骤为：

首先，Web服务提供者A需要设计一个网络服务Web Services -C，并在网上发布供Web服务请求者使用，具体过程为：

（1）Web服务提供者A需要为所有的资源定义唯一的ID：统一资源定位符URI；通常，值得被URI标识的资源要比数据库记录抽象的多；标识所有值得标识的事物：一个流程或者流程步骤、一次销售、一次谈判、一份报价请求，这都是应该被标识的事物的示例；

（2）将所有的资源链接在一起，任何可能的情况下，使用链接指引可以被标识的资源；

（3）定义标准方法，使用面向对象的方法来设计资源，并且每个资源对外只暴露一个统一接口，最多支持6种超文本传输协议HTTP方法，分别是GET、POST、 PUT、DELETE、HEAD和OPTIONS方法，允许执行GET、POST、 PUT和DELETE 4种基本操作；

（4）对服务进行描述、发布，使用网络应用描述语言WADL来描述资源，并把要发布资源的网络应用描述语言WADL转换成SAWADL格式的服务资源描述文件，然后资源获取模块将发布在互联网中符合SAWADL服务描述规范的服务资源描述文件提取出来，提取的服务描述文件经过解析后，一方面形成SAWADL语义服务资源快照，另一方面进行概念索引，然后用以上提到的4种语义标注元素分别建立索引表供资源匹配模块使用，然后将已获取的语义服务资源描述文件保存在SAWADL语义服务资源快照库，将服务资源描述文件中包含的断言和分类关键字保存在断言及关键字索引库；

经过上述4步以后，Web服务提供者A已经把需要发布的Web Services-C实现并发布在网上，以供Web服务请求者B申请使用；

接着，Web服务请求者B需要通过服务搜索并申请调用Web Services-C；具体过程如下：

（5）首先Web服务请求者B通过资源匹配模块将查询条件按4种语义标注元素进行解析，并将解析后的查询条件分别与对应的索引项进行匹配，其间语义索引库、断言及关键字索引库为资源匹配模块提供语义信息，支撑语义匹配的全过程，最终从SAWADL语义服务资源快照库中获取到搜索结果，检索的结果就是Web Services-C；

然后Web服务请求者B需要和Web服务提供者A建立通信，采用超文本传输协议HTTP通信，首先Web服务请求者B对HTTP消息的安全处理过程如下：

（6）Web服务请求者B从公钥管理规范XKMS服务器取得服务提供者的认证书，

（7）Web服务请求者B将生成的安全断言标记语言SAML断言加入HTTP消息中，

（8）Web服务请求者B用自己的认证书中的私钥对HTTP消息签名，

（9）用Web服务提供者A认证书中的公钥对HTTP消息加密，

（10）将Web服务请求者B的认证书加入HTTP消息，发送给服务提供者，Web服务提供者A收到Web服务请求者B的消息后，将进行处理判段，具体过程如下：

（11）Web服务提供者A接收到消息后，定位消息中的认证书，向XKMS确定该证书的有效性，判断证书的状态及有效性，

（12）取出其中的公钥验证签名，

（13）Web服务提供者A利用自己的认证书中的私钥解密，

（14）根据SAML断言中的权限信息决定服务请求者是否有权限访问请求资源，若有权访问，则满足服务请求者的请求，并发送HTTP响应消息；否则拒绝服务请求者的请求，

至此，如果Web服务请求者B有使用Web Services-C的权限的话，他将成功调用Web服务提供者A提供的Web Services-C。