[论文解读] Securing Web Services Using XML Signature and XML Encryption

R. A. K. Saravanaguru, George Abraham+2 more|arXiv (Cornell University)|Mar 5, 2013

Service-Oriented Architecture and Web Services参考文献 2被引用 12

一句话总结

本文评估了用于保护Web服务的XML签名和XML加密技术，展示了它们如何在保持XML结构的同时提供身份认证、机密性、不可否认性和完整性。作者从关键安全维度分析了这些机制，并证实其在保护SOAP和WSDL事务方面有效，且不影响文档的互操作性。

ABSTRACT

This paper is aimed to evaluate the importance of XML Signature and XML Encryption in Web Service Security. In today's business scenario, organizations are investing huge amount of resources in Web Services. Web Service Transactions are done mainly through plain-text XML formats like SOAP and WSDL, hence hacking into them is not a tedious task. XML Signature and XML Encryption ensure security to XML documents as well as retain the structure of documents, thereby making it easy to implement them. These two methods are evaluated on the parameters of authentication, authorization, integration, confidentiality and non-repudiation.

研究动机与目标

• 评估XML签名和XML加密在保护现代Web服务中的作用。
• 从关键安全属性（身份认证、授权、集成、机密性及不可否认性）评估这些技术。
• 展示如何在不改变文档结构的前提下，对基于XML的Web服务消息实施安全控制。
• 提供在实际Web服务部署场景中XML安全标准的对比分析。

提出的方法

• 本文采用基于五项安全标准的对比评估框架：身份认证、授权、集成、机密性和不可否认性。
• 通过密码学方式将签名绑定到XML内容，应用XML签名以确保消息完整性和不可否认性。
• 使用XML加密保护XML文档中的敏感数据，确保传输过程中的机密性。
• 分析这些标准在Web服务环境中的互操作性和实现可行性。
• 评估包括8幅图和1张表，用以说明安全工作流程和实现模式。

实验结果

研究问题

• RQ1 XML签名和XML加密在保护Web服务事务方面的有效性如何？
• RQ2 这些技术在多大程度上保持了XML文档的结构和互操作性？
• RQ3 XML签名和XML加密如何支持身份认证、授权和不可否认性的核心安全目标？
• RQ4 将这些标准集成到现有Web服务架构中面临哪些实际挑战？

主要发现

• XML签名通过将数字签名绑定到特定XML元素，有效确保消息完整性并支持不可否认性。
• XML加密成功保护了SOAP和WSDL消息中的敏感数据，确保了传输过程中的机密性。
• 将这两种标准集成到Web服务中可保持原始XML结构，实现无缝解析和处理。
• 评估结果证实，这两种技术在企业环境中用于保护Web服务是可行且实用的。