1 引言
近年来随着面向服务的体系结构SOA(Service Oriented Architecture)的兴起，作为实现SOA的Web服务技术也得到越来越多的青睐。SOA是通过不同功能模块(服务)之间的接口和协议将这些功能模块(服务)联系起来的一个体系结构。这些功能模块独立于不同的硬件平台和操作系统中，通过SOA使得这些服务可以以一种通用和统一的方式实现联系和交互。Web服务在企业应用领域得到迅速的发展，通过基于XML 的服务描述语言WSDL 描述的Web服务变得更加动态和灵活。然而Web服务的动态，松耦合的特性则是影响Web服务安全的绊脚石。Web服务的动态性使得服务的发布者不了解这个服务将会在何种系统环境中被使用，同时服务的消息安全也无法得到保障。而且企业之间的应用让Web服务不仅仅局限在小型的局域网内，复杂的互联网对Web服务的安全有着更高的要求。由于如今的Web服务是端到端的传输，传统的基于SSL的点对点传输协议Https早已经不能保证Web服务在大的网络环境下的安全，同时仅仅在传输层保障安全的Https也无法保证消息在接收端不被攻击和窃取，因此新的传输协议迫在眉睫。Microsoft、IBM 等公司联合参与成立的标准化组织OASIS，致力于研究Web服务的安全传输和身份认证，于2004年制定了WS-Security规范来保障Web服务在新的网络背景下的安全，同时制定了XML Encryption、XML Digital Signature、SAML以及XACML标准确保基于SOAP的Web服务的消息可以安全地传输。本文综述Web服务中的相应规范以及近年来基于这些规范和标准研究出的技术，综合比较并给出了相应的分析。
2 Web服务传输规范综述
学术界从各个侧面对Web服务安全中的核心问题进行了深入的探讨，从理论和实际应用中提出了一系列新颖的方法和改进策略。
2.1 基于WS-Security规范的认证为了规范地解决Web服务的安全问题，OASIS在2004年提出了WS-Security规范的1.0版本，并与2006年提出了WS-Security的改进版。详细分析了WS-Security规范，通过对利用WS-Security规范的SOAP消息的具体分析，得出WS-Security 规范的具体安全认证机理：在SOAP消息中，使用XML Signature技术保障消息的完整性，通过XML Encryption保障消息的机密性以及利用安全令牌(X.509证书或Kerberos票据)解决SOAP消息的身份认证基于SAML规范的认证。通过该文献的分析可以得出WS-Security规范下SOAP消息的框架，如图1所示。图1 WS-Security规范下SOAP消息框架图WS-Security解决了Web服务在安全方面的三大问题：消息完整性，消息机密性以及身份认证，从而实现SIAO 消息的安全传输，利用WS-Security 规范，可以提供更多的安全模型。作者使用WS-Security规范开发了一个Web服务的安全系统，并且研究发现出WSSecurity规范可能需要注意的问题，指出系统可能会受到消息的重传攻击：一个获取正确SOAP消息的攻击者不断向服务器发送这个SOAP消息，导致服务不断被调用。虽然可以用时间戳技术解决提出了一个更安全的解决方案：一个简化的挑战响应模型简单挑战-响应模型中提出了一种保障Web服务环境安全的框架，利用WS-Security规范设计基于角色的权限控制模型，通过网络化学习的应用软件来分析系统所要求的Web 服务安全环境，最后利用RBAC(Role Based Access Control)模型搭建这个安全系统的框架[7]。文献[8]针对REST(Representational State Transfer)风格的Web服务，首先分析了传统Https认证方式的不足，而后提出一种可扩展的基于WS-Security中UsernameToken方式的安全验证方法。结合WS-Security规范，综合运用SOAP，DES和RSA 技术，给出了一种基于加密技术的Web服务安全模型，实现跨平台的解决方案。随着近年来移动设备的不断兴起，Web服务在移动端的安全也受到了重视。利用WS-Security规范中XML加密和签名技术并结合无线应用协议WAP中的无限二进制XML规范WBXML和无限会话协议WSP为移动Web服务的消息提供安全解决方案。由于移动Web服务处在发展的阶段，技术成熟度有待提高，因此未来移动Web服务的安全问题也一定会有更深一步的讨论和研究。综合近年来基于WS-Security规范的Web服务安全问题，业界提出了很多安全模型，有些结合了其他的加密算法或框架，但是核心点依然在WSSecurity规范中XML加密、签名和身份认证。
2.2 基于SAML规范的认证
安全声明标记语言(Security Assertion Markup Language，SAML)[是由OASIS提出的一种基于XML的安全性标准，用于Internet中不同的安全域中交换身份验证和授权凭证，现如今SAML已经发展到2.0版本。在使用SAML的系统中，权限信息通过声明传递，系统中有三个部分，分别为主体Subject即用户，信任方Relying Party即服务提供方(Service Provider，SP)，声明方AssertingParty即身份提供方(Identity Provider，IP)单点登录(Signal Sign-on，SSO)技术是SAML最主要的应用模式，在单点登录模式中，用户在Web源站点进行了身份认证，该站点即为该用户生成SAML声明，表明该用户通过身份认证，同时将该声明相关联的票据分配给用户，用户可以调用该站点的Web服务。
2.3 基于XACML规范的认证
可扩展的访问控制标记语言(eXtensible Access Control Markup Language，XACML)[18]是由OASIS发布的一种基于XML的开放标准语言，被设计用于描述安全策略以及对Web服务以及企业安全应用信息进行访问的权限。XACML以其平台无关性，通用性，可扩展，可移植以及模块化等特性，被广泛用于Web服务访问控制策略的执行。XACML 访问控制框架中包括策略执行点PEP(Policy Enforcement Point)，上下文管理器(Context Handler)，策略信息点PIP(Policy Information Point)，策略决策点PDP(Policy DecisionPoint)，策略管理点PAP(Policy AdministrationPoint)等功能模块。XACML访问控制框架执行示意图策略执行点PEP接收客户端向服务器发送的请求，并将该请求转发给上下文处理器，上下文处理器向策略信息点PIP提出属性要求，PIP从主体、资源、环境等模块中获取属性信息并返回给上下文处理器，上下文处理器处理这些信息并向策略决策点PDP发出决策请求，PDP根绝策略管理点PAP提供的策略对该请求做出决策，并返回决策结果给上下文处理器，上下文处理器将决策结果返回给PEP，PEP根据结果做出响应用户请求或拒绝用户请求的决策。XACML标准以其严格的策略管理保障Web服务的访问控制，业界基于XACML研究出相应的Web服务访问控制模型，实现Web服务的安全访问。文献[19]通过对XACML特点的分析提供了一种结合XACML的基于属性的Web服务访问控制模型(Attribute-Based Access Control，ABAC)，区别于传统的基于用户身份的授权机制，而采用基于用户、环境等属性从而实现动态评估访问请求。
3 结语
由于Web服务技术的不断革新和发展，互联网中Web服务的安全性要求也不断地提高，正是由于各种规范的提出，安全性得到了相对的保障。然而，未来的发展对网络的要求不断提高，因此服务的安全性也需要得到更高的重视。目前很多规范已经提出了相应的改进版本，在面对更加复杂多样的网络环境和安全要求的时候，综合运用多种规范技术实现Web服务的安全传输认证则是未来发展的重要方向。