[論文レビュー] Securing Web Services Using XML Signature and XML Encryption

R. A. K. Saravanaguru, George Abraham+2 more|arXiv (Cornell University)|Mar 5, 2013

Service-Oriented Architecture and Web Services参考文献 2被引用数 12

ひとこと要約

この論文は、Webサービスを保護するためのXML署名およびXML暗号化を評価し、それらが認証、機密性、否認防止、および完全性を提供すると同時にXML構造を保持することを示している。著者は、これらのメカニズムを主なセキュリティ次元にわたって分析し、SOAPおよびWSDLトランザクションを保護する上でそれらの有効性を確認しているが、文書の相互運用性に支障をきたさない。

ABSTRACT

This paper is aimed to evaluate the importance of XML Signature and XML Encryption in Web Service Security. In today's business scenario, organizations are investing huge amount of resources in Web Services. Web Service Transactions are done mainly through plain-text XML formats like SOAP and WSDL, hence hacking into them is not a tedious task. XML Signature and XML Encryption ensure security to XML documents as well as retain the structure of documents, thereby making it easy to implement them. These two methods are evaluated on the parameters of authentication, authorization, integration, confidentiality and non-repudiation.

研究の動機と目的

• XML署名およびXML暗号化が現代のWebサービスを保護する役割を評価すること。
• 認証、承認、統合、機密性、および否認防止という、重要なセキュリティ特性に基づいて、これらの技術を評価すること。
• XMLベースのWebサービスメッセージにセキュリティを強制する方法を示し、文書構造を変更せずに実現すること。
• 実際のWebサービス展開シナリオにおけるXMLセキュリティ標準の比較分析を提供すること。

提案手法

• 論文は、認証、承認、統合、機密性、および否認防止の5つのセキュリティ基準に基づく比較評価フレームワークを用いる。
• メッセージの完全性と否認防止を確保するために、XML署名を用い、暗号的にXMLコンテンツに署名を束縛する。
• 機密性を確保するため、XML暗号化を用いてXMLドキュメント内の機微なデータを保護する。
• これらの標準のWebサービス環境における相互運用性および実装可能性を分析する。
• セキュリティワークフローと実装パターンを示す8つの図および1つの表を含む分析を含む。

実験結果

リサーチクエスチョン

• RQ1 XML署名およびXML暗号化は、Webサービストランザクションを保護する上でどれほど効果的か？
• RQ2 これらの技術は、XMLドキュメントの構造および相互運用性をどの程度保持するか？
• RQ3 XML署名およびXML暗号化は、認証、承認、および否認防止という、セキュリティの基本的目標をどのように支援するか？
• RQ4 これらの標準を既存のWebサービスアーキテクチャに統合する際の実際の課題は何か？

主な発見

• XML署名は、特定のXML要素にデジタル署名を束縛することにより、メッセージの完全性を効果的に確保し、否認防止を可能にする。
• XML暗号化は、SOAPおよびWSDLメッセージ内の機微なデータを効果的に保護し、送信中の機密性を維持する。
• 両方の標準をWebサービスに統合することで、元のXML構造が保持され、スムーズなパースおよび処理が可能になる。
• 評価により、両技術が企業環境におけるWebサービスの保護に実用的かつ実現可能であることが確認された。