基于属性的Web服务安全访问控制方案

本文基于Web服务的典型应用的安全需求,将Web服务安全规范协同使用设计了基于属性的Web服务安全访问控制方案.将安全应用于SOAP消息,为Web服务安全提供整体的解决方案,既满足端到端的消息安全要求,又提供访问控制.方案充分考虑Web服务跨组织、动态交互的特点,使用SAML断言传递安全信息以实现信任传递,针对PKI部署复杂以及不同PKI解决方案之间难于互操作的缺点,使用XKMS服务提供PKI功能.     

基于Web服务自动摘要系统的安全实现方案

在基于Web服务自动摘要系统的开发过程中,如何保障Web服务的安全是一个必须解决的难题。该文设计了一种利用SOAP消息头传递验证信息、基于会话的高效Web服务安全通信机制。实验证明,该安全通信方案满足了系统的安全需求。     

嵌入式Web服务器的设计与安全实现

为了解决传统的Web技术方案不能直接用于构造工业控制系统中Web服务器的问题,针对嵌入式Web服务器的安全需要,分析了嵌入式安全Web服务器的设计要求和体系结构,进行了方案选择和整体结构设计。采用32位高性能ARM处理器和嵌入式Linux系统来构建安全Web服务器,利用CGI调用底层驱动程序来实现用户与被控制设备的远程交互,通过不同的连接端口和不同的安全认证机制来确保系统的安全性能。     

基于Web的企业仓库信息管理系统安全方案

该文简要分析了现有的防火墙技术、安全传输技术、身份认证技术、数据库加密技术;设计了一套安全方案,应用于基于Web的企业仓库信息管理系统中,很好地保证了系统的安全。     

基于云的应用安全检测平台设计与实现

介绍一种基于云的应用安全检测平台的实现方案.目前开发人员安全意识和安全培训与Web应用安全要求之间存在的不匹配导致大量Web应用存在不同程度的安全缺陷.针对该现状,提出了基于云的应用安全检测平台设计思路,从平台基本功能、平台设计方案及实现两个方面做了阐述,实现了加强Web应用安全评估和风险防范的目的.     

基于策略的Web服务安全解决方案研究

本文在WS-Security规范提出的基本安全模型的基础上,针对Web服务的安全性需求,经过对WSE 3.0中策略架构安全技术的深入研究,设计了一种基于策略的Web服务安全解决方案.并在.NET环境下,采用WSE3.0开发工具实现了该方案.该方案具有一定的扩展性和灵活性,以适应现今日益增加的安全需求.     

浅析校园Web的安全威胁与防范

通过对数字化校园Web应用的安全威胁进行分析,发现跨站脚本、网页挂马、SQL注入、不良信息是主要存在的安全威胁。该文结合具体的实例分析了各种威胁的攻击方式、原理及危害,从Web管理、Web服务、技术手段提出了安全防护方案。通过实践证明,该方案可以有效提高校园Web应用的安全防护水平。     

一种Web服务安全通信机制的研究与实现

随着Web服务技术与应用的发展，Web服务安全问题日益突出。Web服务安全通信要求保证应用层SOAP消息的安全传输，而现有的安全传输方案，如SSL，TLS等不适用于应用层的消息安全保护，无法满足上述要求。针对Web服务应用模式，提出了一种基于XML安全技术的Web服务安全通信机制，利用安全会话实现了较高的实体认证安全性和安全通信效率，并为此设计和实现了保证应用层SOAP消息安全传输的SOAPSec系统。该机制具有灵活性和可扩展性，可满足典型Web服务应用场景下的安全通信需求。     

基于Web的RAP安全认证方案

该文介绍了一种新的基于Web的安全远程访问解决方案:安全远程控制系统RAP(RemoteAccessPass)。文章概述了RAP的安全需求,并根据RAP基于Web的特征以及系统模型自身的特点,给出了一种C/S结构的分布式安全认证模型,并设计了基于消息认证码MAC技术的安全认证方案,最后对认证方案的安全性进行了分析和讨论。该方案在不改变防火墙和内部架构的基础上,实现了内部信息系统对外部访问者的安全认证。     

基于PKI/PMI的Web应用安全解决方案

目前,对安全技术的研究主要集中在网络安全、安全协议和加密算法等方面,对于应用层安全的研究相对较弱,现有少量研究也是针对具体应用的,如安全邮件系统、安全公文系统等。论文利用PKI/PMI技术,设计了一个Web应用安全整体方案,实现应用层的安全控制。并通过一个实例来说明具体Web应用安全访问控制的实现方法。     

基于Web的分布式协同制造系统的安全策略

在分析基于Web的分布式协同制造系统的安全需求的基础上,该文提出了一种完整的采用“SSLv3加数字签名”的解决方案,利用该方法可从根本上保证制造系统信息传输的安全性和事后的抗抵赖性。     

基于Web Service的安全业务体系结构的设计

综合应用了Web Service安全标准，混合使用了浏览器到服务器和重写基本任务模块两种应用模式，利用插件服务方法设计了基于Web Services的安全业务体系结构原型，实现了加密、数字签名、授权和验证等方面的安全性。系统采用基于角色的访问控制RBAC实现访问控制策略，基于SAML标准实现认证和授权，利用XML加密和XML数字签名实现SOAP消息和XML文档的加密与签名。     

基于PMI的Web资源安全访问控制系统设计

针对Web资源的安全控制问题,设计了一种基于授权管理基础设施PMI技术的安全访问控制系统。该系统依据身份证书对用户进行身份认证,使用权力证书为用户授予访问权限,通过角色策略控制对Web资源的访问。同时,还提出一种获取并管理Web资源信息的方案。该系统对Web资源的安全访问控制提供了一种有效的解决方法。     

访问控制技术应用研究

有效的安全访问控制机制是合法地使用信息系统、充分发挥信息系统的作用的一个前提,因此,要充分利用信息系统的诸多优点,有力保障所开发系统的访问安全性,必须建立一套有效的系统访问控制机制。本文着重分析、研究了访问控制方面的各种理论并进行比较。     

基于Petri网的动态访问控制模型

访问控制是保障信息系统安全的一种主要机制,通过限定主体对客体的访问权限,确保对信息资源访问的合法性,达到保证信息的机密性、完整性和可用性的目的。通常,这种机制主要通过静态的访问控制矩阵实现,不随信息系统处理的任务变换而调整。利用Petri网的基本原理,提出了一种适合于信息系统的访问控制模型,随着信息系统的状态变化动态授予访问控制权限,实现对信息系统资源安全的动态保护。     

一种灵活的Web服务访问控制解决方案

本文首先分析了基于Web服务的企业应用集成框架中跨域的认证和授权存在的问题,接着提出一种基于RBAC的灵活的Web服务访问控制解决方案.在该方案中,可信任的企业信息门户认证远程用户身份,生成和Web服务提供者域中访问控制机制关联的远程角色信息,并结合基于WS-Security数字签名和加密机制,由Web服务提供者和请求者双方的机制实现松散耦合的访问控制.     

The practical application of a process for eliciting and designing security in web service systems

Best practices currently state that the security requirements and security architectures of distributed software-intensive systems should be based on security risk assessments, which have been designed from security patterns, are implemented in security standards and are tool-supported throughout their development life-cycle. Web service-based information systems uphold inter-enterprise relations through the Internet, and this technology has been revealed as the reference solution with which to implement Service-Oriented Architectures. In this paper, we present the application of the Process for Web Service Security (PWSSec), developed by the authors, to a real web service-based case study. The manner in which security in inter-organizational information systems can be analyzed, designed and implemented by applying PWSSec, which combines a risk analysis and management, along with a security architecture and a standard-based approach, is also shown. We additionally present a tool built to provide support to the PWSSec process.     

Making agents secure on the semantic Web

Agents were designed to collaborate and share information. While highly desirable for interoperability, this feature is scary from the security perspective. Illegal inferences, supported by semantic Web technology and ontologies, might enable users to access unauthorized information. In addition to semantic associations and replicated data with different sensitivity, malicious agents could also exploit statistical inferences. Although each agent in a system might behave in a desired and secure way, their combined knowledge could be used to disclose sensitive data. The research community must therefore develop and implement techniques that allow control over released data. To answer the questions related to information availability (scalability), data correctness (integrity), and access control in the presence of illegal inferences and undesired collaborations (confidentiality), researchers in semantic Web technologies (XML, RDF, DAML, and multiagent systems) and information system security need to collaborate. Indeed, given the Web's openness, dynamic nature, and diverse user population, developing secure Web services will require the collaboration of experts in different fields from both industry and academia. In turn, the intelligent Web of the future will facilitate unheard of support for collaborations and information management.     

一种基于访问控制的安全Web服务发现机制

当前的Web服务发现机制大多依赖集中式的统一描述、发现和集成注册中心,但组织机构出于安全和地域的考虑,倾向于构建私有的分布式注册中心,只有注册且可信的请求者才能浏览到他们有权限访问的服务信息。该文给出Web服务发现阶段基于角色的访问控制模型RBAC4WSD,发现代理依照服务提供者指定的安全策略对请求者实施访问控制,并以跨国公司内部的文档服务为例介绍原型系统的实现。