2014年安徽省青年基金项目申请书(终稿)

PAGEPAGE4编号：_______二级学科名称计算机科学技术基础学科高等学校省级优秀青年人才基金项申请书申请者：项目名称：面向SOAP消息的Web服务安全传输机制及注入攻击检测所在单位：申请日期：2014年7月20日二〇一三年制填写说明一、申请书各项内容必须实事求是，逐项认真填写，表达要明确、严谨，字迹要清楚易辨。二、学科名称必须按照“国家标准GB/T13745-92《学科分类与代码》的二级学科名称填写，封面编号由省教育厅填写。三、项目名称要确切反映申请项目的内容，字数最多不超过24个汉字。四、申请书须A4双面打印一式二份。五、申请书除“简表”外，各栏填写不下时，请自行加页。六、如不能按规定填写，以形式审查不合格处理。一、简表申请者姓名性别男民族汉出生日期1980年10月专业技术职务行政职务无研究专长网络通信与安全最后学历研究生最后学位硕士从事专业计算机应用技术工作单位名称联系电话通讯地址邮政编码233100研究项目名称面向SOAP消息的Web服务安全传输机制及注入攻击检测研究类型A、基础B、应用C、开发B学科名称信息网络与安全相关学科网络控制与通信研究起止年月2014年01月至2016年1月主要参加者姓名性别年龄专业职务研究专长学位工作单位工作分工**男42副教授符号计算及其应用博士**模型构建及算法指导**男35讲师网络与信息安全硕士**编写算法代码**女35讲师网络与信息安全硕士**搭建虚拟实验平台**女34讲师网络与信息安全硕士**资料检索、数据整理项目申请经费（单位：万元）1.0万二、申请者学习、进修与工作简历类别起迄时间单位毕业论文题目导师学历（本科及以上）****************进修起迄时间单位进修内容成绩近3年承担的教学科研工作及成果1、教学情况：本人在课程教学中，以计算机公共基础教学为主，每年教学质量均在良好以上。2012年度教学质量评价及年度考核评价等级均为优秀，2011获得“优秀教学工作者”称号。在完成规定的教学任务的同时，积极参加申报了校级教研项目一项，并获得立项，同时参与了多项校级重点教研项目。2、科研情况近三年以第一作者身份发表的科研论文：[1]****主持及参与的科研项目：（1）***三、项目立论依据项目研究的目的、意义、国内外研究现状以及研究成果的预计应用去向【研究目的及意义】目前，面向服务的构架(SOA)和Web服务技术已经被广泛应用于企业级商业开发中。而服务间通信的安全性已经成为制约SOA技术Web服务继续发展和推广的一个亟待解决的关键问题。服务之间主要通过SOAP(SimpleObjectAccessProtocol，简单对象访问协议)消息进行交互。Web服务为企业级应用提供了一个灵活的、松散耦合的分布式解决方案，解决了现代企业IT系统开发和应用中遇到的复杂、异构等难题。Web服务越来越受到人们的重视，在许多政府、银行、跨国公司的软件系统中，都可以看到Web服务的身影。正是因为Web服务简单易用、独立于平台、支持XML/SOAP、功能丰富及具有良好的操作性等优点，许多软件厂商把Web服务用来构建和集成软件系统，推动了Web服务技术的不断进步。随着Web服务及SOA技术应用规模的增长，一个系统中各个服务可能被部署在不同厂商的平台上，这些安装在不同地点的不同服务有不同的访问权限和安全策略。Web服务的安全出现漏洞，通常会造成非常严重的问题。因此，Web服务的安全问题成为制约Web服务应用与发展的重要问题，怎样保证Web服务的安全，成为国内外研究机构与学者的热点[1][2]。虽然WS-Security规范保证了消息的完整性、保密性和对消息的认证，但是Web服务的可用性并没有受到保护。攻击者利用Web服务支持XML/SOAP的特点，将未经验证的数据写入SOAP消息，修改过后的SOAP消息符合语法要求，可以伪装成合法的SOAP请求消息，但是Web服务端对接收到SOAP请求消息进行解析时，原有的数据不能被正确解析出来，Web服务可以为非法授权用户提供服务，这就造成了XML攻击。常见的针对Web服务的XML攻击手法有DoS攻击攻击和强制解析攻击两种，其攻击是通过向Web服务器发送超大的SOAP消息或者深层嵌套的SOAP消息来实现的。XML过度加密攻击就是一种典型的DoS攻击，它通过使用密钥重复加密SOAP消息中的XML元素，形成密钥链，当Web服务器解密包含加密密钥的SOAP消息时，需要消耗非常多的CPU处理资源和内存空间，除了以耗尽系统资源为目的的DoS攻击之外，还存在XML注入攻击[3]。本课题在分析现有基于WS-Security规范的Web服务安全传输机制基础上，提出一种在SOAP消息中添加SOAPValidation节点的安全传输机制，SOAP消息经过中间节点时便可对SOAP消息进行安全检测，从而在第一时间检测出XML攻击，提高了检测的效率。本课题提出的添加SOAPValidation节点的安全传输机制，对于创建新的Web服务安全传输机制具有理论创新与指导意义。【国内外研究现状】针对Web服务的安全问题，万维网联盟、结构信息标准推进组织(OASIS)、WS-I、JCP等组织致力于Web服务安全规范、路线和工具的研究。2004年4月，OASIS组织发布了Web服务安全标准(WebServicesSecurity，WS-Security)的1.0版本，2006年2月，WS-Security标准1.1版本发布，该标准定义了保护Web服务所使用消息的机制，协议主要描述了如何在Web服务消息上保证传输消息的完整性和机密性[4][5]。由于SOA与Web服务的安全问题在理论方法与支持技术方面的复杂性，引起了工业界与学术界的广泛探讨，许多一流公司的研究机构如剑桥的MicrosoftReseareh[6]、美国的IBMResearch[7]等都发表了自己的研究成果。在学术界，欧美的著名高校与研究机构每年都有大量的研究与应用成果发表，这些研究归纳起来可以分为两个方面：一个是SOA应用系统的业务安全需求与建模，包括安全需求建模、模型驱动的安全转换、安全策略与服务安全配置等[8-10]，也可称之为SOA安全领域研究。另一是SOA应用平台的安全,随着Web服务在SOA应用集成中广泛实践与应用,平台的可用性与可靠性也成为应用集成成功与否的关键。在国内，许多大学的研究人员对Web服务的安全业务体系结构、基于SOAP的网络消息安全策略、利用SOAP扩展实现Web服务中SOAP消息的安全和Web服务注入攻击等问题进行了研究[11-13]。【研究成果应用去向】本课题以SOA为基础，首先对现有基于WS-Security规范的Web服务安全传输机制进行研究，分析其缺陷，指出其无法抵御部分XML注入攻击的问题，然后提出一种在原有安全传输机制基础上添加SOAPValidation节点的安全传输机制，SOAP消息经过中间节点时便可对SOAP消息进行安全检测，从而在第一时间检测出XML攻击，提高了检测的效率。本课题引入SOAPValidation节点的目地不是要用它替代现有的SOAP消息安全机制，而是将它作为现有安全技术的一种补充。【参考文献】[1]贺正求,吴礼发,洪征,等.Web服务安全问题研究[J].计算机科学,2010,23(8):121-125.[2]XuTao,YiChunxiao.SOAP-BasedSecurityInteractionofWebServiceinHeterogeneousPlatforms[J].JournalofInformationSecurity,2010,2(1):1~7.[3]TaoXu,ChunxiaoYi.SignatureandEncryptiononPartsofSOAPMessageBasedonRampart[C].Proceedingsof2ndInternationalConferenceonIntelligentSystemsandApplications.2010,1218~1223.[4]MeikoJensen,NilsGruschka,RalphHekenhoer,NorbertLuttenberger.SOAandWebServices:NewTechnologies,NewStandards-NewAttacks.Processingofthe5thIEEEEuropeanConferenceonWebService,2007:11~13.[5]AgiosNikolao,CreteIsland,[6]karthikeyanBharavanCedricFournet,etal.AnAdvisorforWebServicesSecurityPolicies.SWS’05.NewYork,NY,USA,2005,ACMPress.[7]SamWeber,PaulaAustel,MichaelMclntosh.AFrameworkforMulti-PlatformSOASecurityAnalyses.IEEEIntenationalConferenceonWebService,2007.[8]MemonMukhtiar,HafnerMichael,BreuRuth.SecurityasAService-AReferenceArchitectureforSOASecurity.IEEEInternationalWorkshoponSecurityinInformationSystems(WOSIS).2009,79~89.[9]NavyaSidharth,JigangLiu.IAPF:AFrameworkforEnhancingWebServicesSecurity.Proceedingsofthe31stAnnualInternationalComputerSoftwareandApplicationsConference.2012,23~30.[10]SimantaSoumya,etal.InformationAssuranceChallengesandStrategiesforSecuringSOAEnvironmentsandWebServices.IEEEInternationalSystemsConference.2009,173~178.[11]李霞,张海涛,王晓勇.一种Ｗｅｂ服务通信安全的优化方案[J].计算机科学，2012，39(8),59-62.[12]赵逢禹.Web服务安全域分析与攻击检测方法研究[D].2010,复旦大学.[13]华悦,徐涛.一种基于SOA的SOAP消息安全传输机制[J].计算机科学，2012，37(6),70-73.四、项目研究内容、工作方案1、研究目标、研究内容【研究目标】（1）对SOAP消息安全传输机制的进行研究，发现其在技术上无法抵御部分Web攻击的弊端，将SOAPValidation节点添加到SOAP消息中，设计出新的安全传输机制。（2）将新的安全传输机制运用于SOAP消息序列的完整性和安全性，并在.NET平台上设计实现采用SOAPValidation消息安全传输机制检测XML注入攻击。（3）两年内在三类以上期刊发表相关论文3篇以上，其中二类期刊1篇以上。【研究内容】本课题主要对Web服务中SOAP消息的安全传输问题进行研究。首先对现有基于WS-Security规范的Web服务安全传输机制进行研究，分析其缺陷，指出其无法抵御部分XML注入攻击问题，并通过实验研究其攻击特性。在原有安全传输机制基础上添加SOAPValidation节点，通过记录SOAP消息传输前的参数数据结构来对比传输后的SOAP消息的参数数据结构，研究其传输性能，并在.NET平台上实现SOAPValidation消息安全传输机制检测XML注入攻击，通过与基于WS-Security标准的安全传输机制相比，以此来判断该检测方法的效率。为进一步确保SOAP消息传输的安全性，我们将通过增加SOAPValidation节点中的内容来检测更多的XML攻击。2、拟采取的研究方法、研究路线及可行性分析【研究方法与路线】本课题围绕Web服务中SOAP消息在传输过程中所面临的安全问题展开，由于在现有WS-Security标准下SOAP消息在传输过程中会受到XML注入攻击等其他Web攻击，我们将针对此情况提出一种新的SOAP消息安全传输机制，该机制在现有基于WS-Security标准的安全传输机制基础上添加SOAPValidation节点，并设计实验对SOAPValidation安全传输机制进行验证，进而对XML注入攻击进行检测。具体研究路线如下：第一步：对现有基于WS-Security规范的Web服务安全传输机制进行研究，分析其存在的缺陷。WS-Security规范定义了一个端对端的安全处理框架。该安全框架采用XML签名结合安全令牌，以保证消息在传输过程中不会被更改。图1给出了一个采用WS-Security规范的Web服务安全传输框架。图1WS-Security规范的Web服务安全传输框架然而，WS-Security规范的应用建立在服务请求者和服务提供者相互信任的基础上。由于Web服务请求者大部分是匿名的，而在服务调用时，请求者和提供者通过用XML表示的SOAP消息进行通信，如果在这些SOAP消息中注入任何攻击片段，传统的基于TCP/IP的防火墙无法检测。此外，SOAP消息的某些特性还会带来很多新型的XML攻击。第二步：SOAPValidation安全传输机制的设计。（1）采用SOAPValidation节点的动机SOAP消息被XML注入攻击后，导致的意外修改会使得原SOAP消息中某些元素的前驱后继关系和数量发生改变，这样原有SOAP消息中元素的层次结构也发生改变。SOAPValidation节点的作用是保存SOAP消息中参数的信息结构（例参数元素的个数、名称以及层次信息等）。这些信息可以在SOAP消息的发送程序创建该SOAP消息的同时进行计算，因此不会引起额外的系统开销。当SOAP消息到达传送目的地以后，提取SOAPValidation节点的中XML元素结构信息与现有SOAP消息中的结构信息进行对比检测攻击。（2）添加SOAPValidation节点的Web服务安全传输机制图2给出添加了SOAPValidation节点的Web服务安全框架。与图1的差别在于在传输过程中增加了SOAPValidation信息添加模块和SOAPValidation信息检测模块。当SOAP消息传输前，调用SOAPValidation信息添加模块向SOAP消息添加SOAPValidation节点，当消息到达中间节点和最终接收端时，调用SOAPValidation信息检测模块对SOAP消息进行安全检测。图2添加了SOAPValidation节点的Web服务安全框架第三步：使用SOAPValidation安全传输机制检测XML注入攻击。XML注入攻击是通过截取并篡改SOAP消息，将一些未知的数据插入原SOAP消息，从而更改原SOAP消息的XML内容和结构。由于XML注入攻远比XML过载攻击复杂，所以本课题选取XML注入攻击作为实验对象。为了检测更改结构的XML注入攻击，首先在.NET平台下建立一个两数相加的Web服务，随后模拟攻击场景，以获取受攻击的SOAP消息，最后利用SOAPValidation安全传输机制检测攻击。【可行性分析】（1）国内外已发表了一定量的相关方面的参考文献，其中部分文献表明SOAPValidation安全传输机制可以作为现有传输机制的补充。（2）为开发符合WS-Security规范的消息级安全性解决方案，Microsoft发布了Web服务安全性开发工具包WSE(WebServiceEnhancements)，作为一个用最新Web服务协议来建立安全Web服务的。本项目组成员在.NET作为实验平台下，采用WSE3.0生成了Web服务端和客户端，并进行了调试。（3）项目主持人多年来一直从事计算机网络通信与安全研究，已主持及参与了多项教育厅基金，具备一定的理论及实验研究基础，已掌握.NET实验平台搭建、网络通信协议代码编写等技术。（4）本课题组成员已在多个科研活动中配合过，相互协调性好，能够顺利完成课题研究任务和产出高质量研究成果。3、本项目的创新之处（1）将SOAPValidation节点添加到SOAP消息中，并将SOAPValidation安全机制运用于SOAP消息序列的完整性和安全性，对于创建新的Web服务安全传输机制具有理论创新与指导意义。（2）使用SOAPValidation安全传输机制记录下SOAP消息中参数的前后顺序等机构信息来检测XML注入攻击，并分析检测方法的有效性，对于深入研究其他Web服务攻击具有重要理论与参考价值。4、年度研究计划进度安排2014年1月～2014年3月：基础理论知识和相关技术的研究。深入研究目前各种Web服务安全技术及WS-Security规范，分析Web服务及其安全性，同时对相关的XML安全技术做相关的分析；2014年4月～2014年12月：在.NET实验环境下，结合Web服务类库创建Web服务端和客户端，添加SOAPValidation节点，设计SOAPValidation安全传输机制；2015年1月～2015年6月：针对更改XML嵌套结构的XML注入攻击，在.NET实验环境下模拟攻击实验，使用SOAPValidation安全传输机制记录下SOAP消息中参数的前后顺序等机构信息来检测XML注入攻击；2015年7月～2016年1月：撰写研究成果论文、整理研究内容，准备上报材料、结题。5、预期研究成果本项目为应用基础研究，主要目标为在现有基于WS-Security规范的Web服务安全传输机制基础上设计出一个新的安全传输机制。具体预期研究成果如下：（1）在.NET实验平台下，设计实现SOAPValidation消息安全传输机制，并采用该机制进行XML注入攻击检测。（2）两年内在三类以上期刊发表相关论文3篇以上，其中二类期刊1篇。五、研究工作基础和条件1、与本项目有关的研究工作积累和已取得的研究工作成绩（1）本课题组成员多年来一直从事计算机网络通信与安全研究，已主持及参与了多项教育厅基金，具备一定的理论及实验研究基础，已掌握.NET实验平台搭建、网络通信协议代码编写等技术。（2）在.NET实验平台下，已完成一个单独的SOAP消息中添加SOAPValidation节点的代码编写。将SOAPValidation安全机制运用于SOAP消息序列的完整性和安全性将是我们项目研究的重点。在.NET平台下单独的SOAP消息中添加SOAPValidation节点代码如下表所示:XmlElementXMLElement=doc.CreateElement("SOAPValidation");//添加属性xmlElement.SetAttribute("ID","请求的元素个数");xmlElement.SetAttribute("number",str);xmlElement.SetAttribute("第一个元素名称",aname);xmlElement.SetAttribute("第一个元素子节点",sachild);xmlElement.SetAttribute("第一个元素直接后驱",anname);xmlElement.SetAttribute("第一个元素直接前驱",abname);//将节点加入到指定的节点下root.AppendChild(xmlElement);XmlNodeXML=doc.DocumentElement.AppendChild(xmlElement);doc.Save("……/Service.wsdl");（3）发表的相关科研论文：[1]**2、目前已具备的研究条件多年来，项