[論文レビュー] Security Aware Mobile Web Service Provisioning

Satish Narayana Srirama, Matthias Jarke+2 more|arXiv (Cornell University)|Jul 21, 2010

Service-Oriented Architecture and Web Services参考文献 5被引用数 7

ひとこと要約

本稿は、有線ネットワークにおける成熟した基準とは対照的に、モバイルウェブサービスのセキュリティにおける重要なギャップを埋めるべく、無線環境に特化したセキュリティに配慮したモバイルウェブサービスプロビジョニングフレームワークを提案する。セキュリティメカニズムをプロビジョニングプロセスに統合し、パフォーマンスのトレードオフを評価することで、著者らは許容可能なオーバーヘッドでより良好なセキュリティポストゥアを実現することを示した。実世界のモバイルウェブサービスプロトタイプを用いた実証分析によって検証された。

ABSTRACT

Mobile data services in combination with profluent web services are seemingly the path breaking domain in current information research. Effectively, these mobile web services will pave the way for exciting performance and security challenges, the core need-to-be-addressed issues. On security front, though a lot of standardized security specifications and implementations exist for web services in the wired networks, not much has been analysed and standardized in the wireless environments. This paper addresses some of the critical challenges in providing security to the mobile web service domain. We first explore mobile web services and their key security issues, with special focus on provisioning based on a mobile web service provider realized by us. Later we discuss state-of-the-art security awareness in the wired and wireless web services, and finally address the realization of security for the mobile web service provisioning with performance analysis results.

研究の動機と目的

• 無線環境におけるモバイルウェブサービスの標準化されたセキュリティメカニズムの欠如に対処すること。
• モバイルウェブサービスプロビジョニングに特有の鍵となるセキュリティ課題を特定および分析すること。
• モバイルウェブサービスアーキテクチャと統合可能なセキュリティに配慮したプロビジョニングフレームワークを設計および実装すること。
• モバイルウェブサービスプロビジョニングにおけるセキュリティメカニズムのパフォーマンスへの影響を評価すること。
• 有線ネットワークのセキュリティ基準と、モバイルウェブサービスに特有の要件との間のギャップを埋めること。

提案手法

• 認証、アクセス制御、および安全な通信に焦点を当てた、組み込みセキュリティ意識を持つモバイルウェブサービスプロビジョニングアーキテクチャの設計。
• モバイルおよび無線環境への展開に適応するため、既存のウェブサービスセキュリティ基準（例：WS-Security）を採用および変更すること。
• 実世界のモバイルシナリオにおけるセキュリティメカニズムの評価を目的としたプロトタイプシステムの実装。
• モバイルデバイスおよびネットワークにおけるセキュリティメカニズムのオーバーヘッドを測定するためのパフォーマンスベンチマークの実施。
• モバイル環境におけるセキュリティ強度とパフォーマンスのトレードオフの分析。
• セキュリティポリシーをプロビジョニングライフサイクルに統合し、サービス作成から利用までのエンドツーエンド保護を確保すること。

実験結果

リサーチクエスチョン

• RQ1 無線環境におけるモバイルウェブサービスのプロビジョニングにおける主なセキュリティ課題は何か？
• RQ2 既存のウェブサービスセキュリティ基準は、モバイルおよび無線環境への展開に適応した場合、どのように動作するか？
• RQ3 モバイルウェブサービスプロビジョニングにおけるセキュリティメカニズムが引き起こすパフォーマンスのオーバーヘッドはどの程度か？
• RQ4 セキュリティを効果的にモバイルウェブサービスプロビジョニングライフサイクルに統合する方法は何か？
• RQ5 モバイルウェブサービスにおいて、セキュリティ、パフォーマンス、使いやすさの間にはどのようなトレードオフが存在するか？

主な発見

• 提案されたセキュリティに配慮したプロビジョニングフレームワークは、標準的なウェブサービスセキュリティメカニズムをモバイル環境に測定可能なオーバーヘッドで統合できた。
• メッセージレベルの暗号化やデジタル署名などのセキュリティメカニズムはパフォーマンスコストを伴うが、現代のモバイルデバイスでは依然として実用的である。
• プロトタイプは、許容可能な遅延とリソース使用量で、実世界のモバイルシナリオにおける安全なプロビジョニングが実現可能であることを示した。
• 本研究は、標準セキュリティプロトコルの無線ネットワークにおけるオーバーヘッドを低減するために、モバイル固有の最適化が不可欠であることを明らかにした。
• パフォーマンス分析の結果、セキュリティに配慮したプロビジョニングは、使いやすさを損なわせることなく、信頼性と整合性を向上させることを示した。
• 結果から、セキュリティはモバイルウェブサービス設計における最初の考慮事項でなければならないことが確認された。後から追加するのではなく、最初から組み込むべきである。