论文部分内容阅读
作为一种新型的分布式计算模型,Web服务极大地推动了B2B应用的发展。因为Web服务是基于通用的协议和技术实现的,所以它具有强大的互操作性:WSDL用来描述发布的接口;UDDI用来发布和定位Web服务;SOAP用来封装Web服务的消息;HTTP和SMTP在网络上传输消息。但网络的开放性使Web服务非常容易受到安全性方面的威胁,而HTTP协议更是加重了这种情况。所以,防止Web服务被非法地访问及恶意地调用就变得非常地重要。论文针对Web服务的访问控制问题,首先分析了Web服务及面向服务体系架构(SOA)在访问控制方面的挑战,指出了现有安全机制的缺陷。传统的访问控制模型大都是静态的、粗粒度的,不能很好地应用在面向服务的环境中,因为该环境中的访问都是动态的、临时的。接着论文提出了一种基于属性的访问控制模型(ABAC),它基于主体、客体和环境的属性,采用动态的、细粒度的机制进行授权。模型使用可扩展访问控制标记语言(Extensible Access Control Markup Language,XACML)来描述访问控制标准,并结合安全声明标记语言(Security Assertion Markup Language,SAML)和XACML来完成分布式系统的授权要求。新的模型更加灵活,特别适合应用于动态的Web服务环境。论文详细描述了基于属性的访问控制模型(ABAC)的授权框架和策略规范,并拿ABAC和传统模型进行了比较。论文最后通过一个基于标准协议和开源工具的实现,展示了新的模型如何保护Web服务。论文中的基于属性的访问控制模型(ABAC)相比传统模型具有以下优势:(1)能够直观地管理现实世界中的访问控制策略;(2)基于SAML和XACML标准,具有更强的互操作性;(3)能够更加灵活地描述复杂的、细粒度的访问控制语义,特别适合动态的Web服务环境。