文档详情

XML与信息系统安全分析.doc

发布:2018-04-10约3.24千字共5页下载文档
文本预览下载声明
XML与信息系统安全分析   摘要:XML的普及带来了一个不容回避的问题:安全。从XML技术在信息系统应用中的多个方面进行分析,涉及从客户端、传输媒介至服务器的整个过程,并提出采用XML的计算机系统安全分析模式,指出相应的安全隐患。在给出一般系统级的安全措施后,有针对性的对各风险点的给出应对策略,并对XML安全相关技术进行总结。   关键词:XML;信息系统;安全分析   中图分类号:TP309文献标识码:A文章编号:1009-3044(2008)22-637-03   XML and Information System Security Analysis   XIE Xuan-yang   (The Peoples Bank of China,Hefei Central Branch, Hefei 230022,China)   Abstract:Widely used of XML brings the unavoidable problem of security. From some respects of this problem, such as client, information transfer media and server sides, this paper introduces an XML security analysis model in information system, and points out the vulnerable facts. After giving systematic techniques to avoid attacks, tactics to handle this problem are given. Finally concludes the XML related security technologies.   Key words:XML;Information system;Security analysis   1 引言   可扩展标记语言XML自1998公布第一个版本到如今,以其高度可扩展性被广泛的应用。特别是伴随着WEB应用和分布式系统建设的发展,使得XML的应用领域从简单的数据文件交换到高级数据库,从系统配置文件到构造松散耦合分布式系统等。然而与之相关的安全问题也逐步凸显,特别是在WEB服务、RIA(Rich Internet Applications,富互联网应用)及SOA(Service Oriented Architecture,面向服务的架构)等分布式计算环境中,XML带来的安全隐患尤其值得关注[1,2]。   无论采用何种方式构造计算机应用系统,XML安全都可以定义为在由发起方发起,经传输媒介中不同的中间设备,最终达到目的地过程中对XML数据的保护。这个过程主要涉及到三个方面:发起方、传输媒介和目的地。实际中这个流程是不断往复执行的,而流程中的三方也是常常互为转换的。比如由发起方发起的XML信息,其中不同部分可能需要经由不同路由被传送到不同或相同的目的地,而目的地经过处理后,可能将处理结果经过某个路由反馈回发送方。在这个简单的过程中,发送方和目的地角色发生了翻转,而两个过程的传输媒介也发生了变化。   对上述过程进行抽象,可以构造XML技术在计算机系统中的安全分析模式。在一个给定的封闭计算机系统Π={Γ,M,Φ}中,Π的运行是指各个参与者Γ={τ1,…,τp}之间通过传输媒介M={m1,…,mq}不断执行XML信息传输过程Φ={(XML,[Γ,M])|φ1,…, φr}。在每个φ中,XML信息亦有可能仅仅在传输媒介M内部进行传递而不经过任何参与者Γ。然而现实中计算机系统不是封闭的,需要引入外部参与者Θ,但Π往往无法对Θ进行控制。在现实算机系统模型Π={Π, Θ}中,考虑到XML信息的开放性特征,可以定义安全分析模式Ω={S1~S5}为如下的5个要素:   1)S1数据安全:内外系统参与者Θ或M发起或提交的XML信息对Π不会产生危害或潜在安全隐患,这是一个基本要求;   2)S2保密性:XML信息在传输过程Φ中,能且只能被指定的参与者Γ或媒介M接收或中转,任何Γ-Γ或M-M都不能获取并正确解释此信息;   3)S3真实性:在φ中,对每一个经由M的XML信息,都能保证的确是由发起人τ发起的,且Π具有核实身份的机制;   4)S4不可抵赖:Φ中的参与者Γ和媒介M都可以对XML信息的发起人τ进行认证,且τ无法否认其发送的XML信息和行为;   5)S5完整性:传输过程φ自启动和停止的整个过程中,XML信息必须按照预期的方式进行流动和转换,任何额外的Γ、Θ和M都不得进行非预期的干预,以确保XML接收方能收到
显示全部
相似文档