组合Web服务访问控制技术研究综述

访问控制技术是保证Web服务组合增值应用安全性和可靠性的关键技术.主要论述了组合Web服务访问控制技术的研究现状及其问题.首先论述了组合Web服务安全面临的挑战;接着基于层的视角对组合Web服务安全问题进行了分析;然后从组合Web服务访问控制体系构架、原子安全策略的一致性协同和业务流程访问控制3个方面分析了组合Web服务访问控制核心技术研究的进展;最后,结合已有的研究成果,指出了目前研究的不足以及未来的发展趋势.     

组合Web服务业务流程访问控制技术研究综述

业务流程访问控制是保证组合Web服务增值安全应用的关键技术,着重论述了组合Web服务业务流程访问控制技术的研究现状及问题。首先对组合Web服务业务流程安全需求进行了分析,然后从组合Web服务业务流程访问控制模型、业务流程运行时访问授权约束、业务流程协同访问授权的一致性检验3个方面分析了业务流程访问控制核心技术的研究进展。最后,结合已有的研究成果,指出了目前研究的挑战以及未来的发展趋势。     

Web Services的访问控制研究综述

随着Web Services的发展，它本身的安全问题已经成为制约其发展的关键因素。本文主要论述了Web Services的访问控制技术的研究现状及其问题。首先，从协议层次出发讨论了Web Servtces的访问控制技术的研究方法。然后分别介绍了XML文档和SOAP协议的访问控制技术，以及Web Services的相关访问控制规范。最后总结全文并提出了需要进一步研究的问题。     

基于角色的Web系统安全策略研究

在基于Web服务器的访问控制技术研究与广泛应用中,后台数据库的安全性问题至关重要。而采用基于角色访问控制(RBAC)模型可以有效地解决数据库安全性问题。文中结合“选题选课”系统设计与实现,详细论述了角色访问具体的安全机制,通过限制系统中各种角色对系统的操作,有效地解决了Web页面安全访问和控制数据库的问题。     

基于角色的Web系统安全策略研究

在基于Web服务器的访问控制技术研究与广泛应用中,后台数据库的安全性问题至关重要。而采用基于角色访问控制（RBAC）模型可以有效地解决数据库安全性问题。文中结合“选题选课”系统设计与实现．详细论述了角色访问具体的安全机制，通过限制系统中各种角色对系统的操作，有效地解决了Web页面安全访问和控制数据库的问题。     

结合协商机制的Web服务属性访问控制模型

针对实现有效Web服务访问控制的问题,提出一种结合协商机制的Web服务属性访问控制模型。该模型基于安全断言标记语言和可扩展访问控制标识语言,利用主体属性和上下文属性的组合限制条件,提供细粒度的访问控制。通过加入协商机制,服务请求者可以与服务提供者相互沟通,在访问请求中动态地调整参数信息以获得访问授权。     

面向活动的BPEL4WS动态访问授权模型及实现研究

业务流程访问控制机制是Web服务组合应用中的难点。针对现有BPEL4WS安全访问控制研究的不足,提出面向活动的BPEL4WS动态访问授权模型(ADABM)。通过解除组织模型和业务流程模型间的耦合关系,ADABM将BPEL4WS访问权限约束细化到活动一级,用户只在流程执行会话期的活动符合安全需求的情况下才拥有Web服务的访问授权,授权随着业务流程上下文动态授予和收回,授权流与业务流同步执行。文中最后还给出ADABM模型在Web服务安全组合应用中的实施框架。     

基于活动授权的组合Web服务业务流程动态访问控制模型研究

业务流程访问控制机制是组合Web服务安全应用中的难点问题。针对现有研究不足,提出基于活动授权的Web服务业务流程动态访问控制模型AACBP(Activity Authorization Based Dynamic Access Control Model for BPEL4WS)。通过解除组织模型和业务流程模型间的耦合关系,AACBP将活动授权作为BPEL4WS(Business Process Expression Language for Web Services)活动访问控制实施的基本单元。依据活动实例动态感知上下文,AACBP细粒度约束活动访问授权,实现授权流与业务流程执行同步。最后给出AACBP模型在Web服务安全组合中的实施机制。     

面向Web服务的交互访问控制

针对传统访问控制策略的不足,提出面向Web服务的交互式访问控制策略模式,为适应Web服务间的信息交互访问安全,设计一种基于SAML认证授权框架以实现协同用户与服务商之间交互访问的匹配机制。以Web服务的访问控制过程为例,分析Web服务的交互式访问控制协议的实现过程,结果证明,该协议能为Web服务提供更细粒度的访问控制。     

基于XACML的Web服务安全访问控制模型

Web服务已成为新一代电子商务的框架,其安全问题是不可忽视的问题,需要一种灵活高效的访问控制来保护.通过分析可扩展访问控制标记语言(XACML)和授权管理基础设施(PMI),给出了一种适合于Web服务安全的访问控制系统模型.该系统模型基于属性证书和策略集,用XACML作为描述访问控制决策的语言,适用于Web服务的动态性、异构性等特点.     

Web服务安全问题研究

Web服务具有平台无关性、动态性、开放性和松散耦合等特征,这给基于异构平台的应用集成带来极大便利,同时也使其自身面临许多独特的安全问题.Web服务的安全性对其发展前景产生重要的影响,也是目前Web服务并没有进入大规模应用阶段的主要原因之一.总结了Web服务存在的主要安全问题;概述了已有的Web服务安全标准;然后从消息层安全、Web服务安全策略、Web服务组合安全、身份与信任管理、Web服务访问控制、Web服务攻击与防御、安全Web服务开发等方面详细分析了目前有代表性的Web服务关键安全技术解决方案;结合已有的研究成果,讨论了Web服务安全未来的研究动向及面临的挑战.     

一个集成的Web Services安全模型

现有Web Services安全技术相对独立,而在一个完整的应用集成方案中,需要全面的安全设计.提出了一个集成的Web Services安全模型,形式化定义了模型并给出了主要实现技术.模型实现了基于证书的统一身份认证、基于角色的访问控制以及安全的SOAP消息传输,具有开放性及动态适应性.基于提出的安全模型开发了一个原型系统,运行结果表明,能够达到上述三种安全目标,使整个系统相对单一的安全技术应用更加安全.     

基于XML的多粒度访问控制系统

如何为大量以Web服务形式存在的Web关键资源和应用中涉及到的XML文档资源提供安全访问控制并把二者很好地结合起来是当前电子商务安全服务研究中的一个重要课题。为此,该文提出一种基于XML的粗细粒度结合的多粒度访问控制系统。该系统采用基于角色的访问控制模型(RBAC),在扩展XACML规范的基础上,提出一种相对统一的策略描述语言;引入临时授权的概念,用于表示和实现更为丰富的访问控制策略;并提供灵活的安全映射接口,使其易于和其他安全系统相结合,为企业及企业间的应用提供访问控制服务。     

面向方面技术在Web服务安全组合中的应用研究

Web服务作为一种通过网络集成分布式异构应用的技术,它提供了一种松散耦合的软件开发模式,实现了粗粒度的软件重用。随着Web服务技术的深入应用,Web服务组合的概念应运而生,它通过将功能相对单一的多个Web服务按照一定粒度进行组合,可提供更为强大的服务功能。由于来自异构环境的不同Web服务实体间安全需求、安全能力、可信任程度间的差异,使得对Web服务组合安全性的研究成为了关注的重点。简述了Web服务组合的主要实现方式,指出了Web服务组合实现中面临的主要安全问题,重点分析了目前面向方面技术在Web服务安全组合实现中的应用,讨论了其实现上的不足及未来的研究动向。     

Web服务访问控制规范及其实现

提出了一种用于Web服务的访问控制模型,这种模型和Web服务相结合,能够实现Web服务下安全访问控制权限的动态改变,改善目前静态访问控制问题。新的模型提供的视图策略语言VPL用于描述Web服务的访问控制策略。给出了新的安全模型和Web服务集成的结构,用于执行Web服务访问控制策略。     

XML-based specification for Web services document security

The Internet and related technologies have seen tremendous growth in distributed applications such as medicine, education, e-commerce, and digital libraries. As demand increases for online content and integrated, automated services, various applications employ Web services technology for document exchange among data repositories. Web services provide a mechanism to expose data and functionality using standard protocols, and hence to integrate many features that enhance Web applications. XML, a well-established text format, is playing an increasingly important role in supporting Web services. XML separates data from style and format definition and allows uniform representation, interchange, sharing, and dissemination of information content over the Internet. XML and Web services provide a simplified application integration framework that drives demand for models that support secure information interchange. Providing document security in XML-based Web services requires access control models that offer specific capabilities. Our XML-based access control specification language addresses a new set of challenges that traditional security models do not address.     

A Trust-Based Context-Aware Access Control Model for Web-Services

A key challenge in Web services security is the design of effective access control schemes that can adequately meet the unique security challenges posed by the Web services paradigm. Despite the recent advances in Web based access control approaches applicable to Web services, there remain issues that impede the development of effective access control models for Web services environment. Amongst them are the lack of context-aware models for access control, and reliance on identity or capability-based access control schemes. Additionally, the unique service access control features required in Web services technology are not captured in existing schemes. In this paper, we motivate the design of an access control scheme that addresses these issues, and propose an extended, trust-enhanced version of our XML-based Role Based Access Control (X-RBAC) framework that incorporates trust and context into access control. We outline the configuration mechanism needed to apply our model to the Web services environment, and provide a service access control specification. The paper presents an example service access policy composed using our framework, and also describes the implementation architecture for the system.This is an extended version of the paper that has been presented at the 3rd International Conference on Web Services (ICWS), San Diego, 6–9 July 2004.Recommended by: Athman Bouguettaya and Boualem Benatallah     

Taking steps to secure Web services

Despite the promise, Web services present network administrators with a thorny problem: as network security becomes an increasing concern, Web services open up networks by letting outside users access databases, applications, and internal users. Traditional security techniques - such as virtual private networks or secure sockets layer (SSL) technology - cannot secure the large number of transactions that Web services can perform in a short time. Meanwhile, basic Web services transactions are unencrypted and unsecured, which creates the potential for disaster. It is thus important for Web services technology to have its own security mechanisms. In fact, industry observers have said the biggest obstacle to wider adoption of Web services has been security concerns. With this in mind, researchers are developing and implementing several Web services security approaches.     

Making agents secure on the semantic Web

Agents were designed to collaborate and share information. While highly desirable for interoperability, this feature is scary from the security perspective. Illegal inferences, supported by semantic Web technology and ontologies, might enable users to access unauthorized information. In addition to semantic associations and replicated data with different sensitivity, malicious agents could also exploit statistical inferences. Although each agent in a system might behave in a desired and secure way, their combined knowledge could be used to disclose sensitive data. The research community must therefore develop and implement techniques that allow control over released data. To answer the questions related to information availability (scalability), data correctness (integrity), and access control in the presence of illegal inferences and undesired collaborations (confidentiality), researchers in semantic Web technologies (XML, RDF, DAML, and multiagent systems) and information system security need to collaborate. Indeed, given the Web's openness, dynamic nature, and diverse user population, developing secure Web services will require the collaboration of experts in different fields from both industry and academia. In turn, the intelligent Web of the future will facilitate unheard of support for collaborations and information management.