Nghiên cứu về security policy trong phát triển các dịch vụ web

BỘ GIÁO DỤC VÀ ĐÀO TẠO TRƯỜNG ĐẠI HỌC BÁCH KHOA HÀ NỘI TRẦN NGUYÊN BẢN NGHIÊN CỨU VỀ SECURITY POLICY TRONG PHÁT TRIỂN CÁC DỊCH VỤ WEB Chuyên ngành: Công nghệ thông tin LUẬN VĂN THẠC SỸ KĨ THUẬT CÔNG NGHỆ THÔNG TIN NGƯỜI HƯỚNG DẪN KHOA HỌC : TS CAO TUẤN DŨNG HÀ NỘI – NĂM 2014 Lời cam đoan Tôi – Trần Nguyên Bản - cam kết luận văn cơng trình nghiên cứu thân hướng dẫn TS Cao Tuấn Dũng Các kết nêu luận văn trung thực, chép tồn văn cơng trình khác LỜI CẢM ƠN Với lịng kính trọng biết ơn sâu sắc, xin bày tỏ lời cảm ơn tới thầy - Tiến sỹ Cao Tuấn Dũng - người tận tâm dìu dắt, hướng dẫn, dạy kiến thức quý báu đồng thời tạo điều kiện thuận lợi để tơi hồn thành luận văn Xin chân thành cảm ơn thầy, cô trường Đại học Bách Khoa Hà Nội, đặc biệt thầy cô Viện Công nghệ thông tin Truyền thông Đồng thời, xin gửi lời cảm ơn sâu sắc tới thầy cô bạn lớp giúp đỡ, hỗ trợ tơi suốt q trình nghiên cứu thực luận văn Con xin dành lời cảm ơn sâu nặng tới bố mẹ, gia đình - người ln khích lệ, động viên, dìu dắt suốt đường dài Hà Nội, tháng năm 2014 Trần Nguyên Bản MỤC LỤC MỤC LỤC Danh mục kí hiệu, chữ viết tắt .3 Danh mục hình vẽ, đồ thị PHẦN MỞ ĐẦU Ngữ cảnh đề tài .5 Mục đích nghiên cứu luận văn, đối tượng, phạm vi nghiên cứu Các luận điểm đóng góp luận văn Phương pháp nghiên cứu .7 Cấu trúc luận văn CHƯƠNG TỔNG QUAN VỀ WEB SERVICE 1.1 Đặc điểm web service 10 1.2 Kiến trúc web service 11 1.3 Các thành phần tạo lên web service 14 1.4 An toàn cho web service 16 1.5 Tích hợp web service theo chuẩn .17 CHƯƠNG CHÍNH SÁCH BẢO MẬT CHO DỊCH VỤ WEB .21 2.1 Chính sách dịch vụ web qua ví dụ 22 2.2 Tổ hợp biểu sách 25 2.3 Gắn đỏi hỏi bảo mật vào WSDL 26 2.4 Địi hỏi sách dạng chuẩn 31 2.5 Chính sách bảo mật dịch vụ web 36 2.6 Các loại đòi hỏi bảo mật dịch vụ web 37 Các đòi hỏi bảo vệ .37 Các đòi hỏi thẻ 38 Các thuộc tính liên kết bảo mật 41 Các đòi hỏi liên kết bảo mật 43 Các thẻ hỗ trợ 451 CHƯƠNG SO KHỚP CHÍNH SÁCH BẢO MẬT DỊCH VỤ WEB ÁP DỤNG NGỮ NGHĨA .50 3.1 Bài toàn so khớp sách bảo mật dịch vụ web 52 3.2 Sự cần thiết ngữ nghĩa so khớp đòi hỏi bảo mật 54 3.3 WS-SP mở rộng kết hợp với ngữ nghĩa .55 3.4 Thuật toán so khớp ngữ nghĩa sách bảo mật .67 So khớp đòi hỏi bảo mật đơn giản 67 So khớp hai lựa chọn bảo mật 69 So khớp hai sách bảo mật 70 CHƯƠNG – CHƯƠNG TRÌNH DEMO .73 4.1 Giao diện chương trình .73 4.2 Các thiết kế chương trình 74 4.3 Kết thử nghiệm chương trình với liệu thực tế 77 4.4 Một số hạn chế điểm cần phát triển chương trình 81 CHƯƠNG – KẾT LUẬN VÀ HƯỚNG PHÁT TRIỂN 83 5.1 Kết luận 83 5.2 Hướng phát triển .84 Danh mục kí hiệu, chữ viết tắt Từ viết tắt WS-SP Tên đầy đủ Ý nghĩa Web service Security Chính sách bảo mật dịch vụ web Policy SOA Oriented Kiến trúc hướng dịch vụ Service Architecture WSDL Web service description Ngôn ngữ miêu tả dịch vụ language SOAP Simple web Object Access Giao thức truy xuất đối tượng đơn giản, dùng để Protocol truyền thông điệp web service B2B Business to Business Giao tiếp công ty cung cấp dịch vụ UDDI Universal Description, Giao diện tổng quát để Discovery, and Integration phân phối tích hợp dịch vụ web Danh mục hình vẽ, đồ thị Hình 1-1-1 Chồng giao thức dịch vụ web 12 Hình 1-1-2 Chi tiết dịch vụ web 13 Hình 2-1 Kèm theo địi hỏi sách vào WSDL 29 Hình 2-2 Minh họa SecureConverstationToken .40 Hình 2-3 Minh họa: Thơng điệp ba thành phần 47 Hình 2-4 Thứ tự bảo vệ .48 Hình 3-1 Các lớp ontology .57 Hình 3-2 Quan hệ Security Binding 57 Hình 3-3 Security tokens 59 Hình 3-4 Protection scope 60 Hình 4-1 Giao diện chương trình 73 Hình 4-2 Tạo đòi hỏi tương ứng 74 Hình 4-3 Các lớp đòi hỏi 74 Hình 4-4 Các lớp hỗ trợ tương ứng 75 Hình 4-5 Ví dụ hàm isIdenticalTo 76 Hình 4-6 Minh họa so khớp hai sách 77 PHẦN MỞ ĐẦU Ngữ cảnh đề tài Hiện nay, giới nói chung Việt Nam nói riêng, việc ứng dụng phần mềm vào xử lý nghiệp vụ kinh tế quản lý doanh nghiệp phổ biến, đặc biệt cơng ty hay tập đồn lớn, yêu cầu bắt buộc để nâng cao suất lao động, tăng hiệu quản lý Từ ứng dụng đơn lẻ như: quản lý hoá đơn, quản lý nhân sự, quản lý công nợ… đến giải pháp tổng thể ERP (Enterprise Resource Planning), tất đem đến cho doanh nghiệp nhiều tiện ích Tuy nhiên, hệ thống phần mềm lớn ERP cấu trúc ngày trở nên phức tạp mức kéo theo chi phí phát triển bảo trì cao, khơng phù hợp với đại phận doanh nghiệp Hàng chục năm qua, kiến trúc phần mềm cố gắng giải vấn đề Thế độ phức tạp tiếp tục tăng dường vấn đề vượt khả xử lý kiến trúc phần mềm truyền thống Gần xuất kiến trúc phần mềm kỳ vọng chìa khóa giải vấn đề phức tạp này, gọi SOA - kiến trúc hướng dịch vụ Hiểu cách bản, SOA tập hợp dịch vụ kết nối “mềm dẻo” với nhau, có giao tiếp định nghĩa rõ ràng độc lập với tảng hệ thống, tái sử dụng SOA cấp độ cao phát triển ứng dụng, trọng đến quy trình nghiệp vụ dùng giao tiếp chuẩn để giúp che phức tạp kỹ thuật bên Các thành phần nối kết qua cổng giao tiếp, có tính kế thừa thành phần tồn tại, tương tác chúng không cần quan tâm đến việc chúng phát triển tảng công nghệ Điều khiến hệ thống mở rộng tích hợp cách dễ dàng Và dịch vụ web phương án triển khai thực tế kiến trúc SOA thường gặp nhiều ngành công nghiệp Việc triển khai SOA dựa dịch vụ web phát triển giúp cơng ty tiết kiệm dùng lại dịch vụ sẵn có cách mềm dẻo Thêm thuận lợi hãng lớn Oracle, IBM, … hỗ trợ công cụ phát triển SOA đơn giản, dễ sử dụng dễ dàng triển khai tảng SOA hệ thống hạ tầng công nghệ thông tin công ty hay tập đồn Tuy nhiên, q trình phát triển kết hợp dịch vụ web sở SOA bảo mật tốn quan trọng nhất, kết hợp dịch vụ web phải thỏa mãn yêu cầu bảo mật Chia sẻ thông tin, sử dụng lại dịch vụ, … cần phải thõa mãn yêu cầu bảo mật trước tính đến lợi ích khác thu Cách dịch vụ web mô tả trọn vẹn thông qua WSDL kể sách bảo mật cho thông điệp mà dịch vụ web cần thỏa mãn Trong WSDL để miêu tả dịch vụ web chứa sách dịch bảo mật cho dịch vụ web mà mơ tả theo quy chuẩn sách dịch vụ web Để giúp cho việc kết hợp dịch vụ web dựa miêu tả tốt hơn, luận văn tập trung vào vấn đề nghiên cứu sách bảo mật (security policy) phát triển dịch vụ web Trong trình nghiên cứu vấn đề trên, tác giả nhận thấy toán so sánh đưa mức độ phù hợp hai sách bảo mật dịch vụ web tốn thường gặp q trình phát triển kết hợp dịch vụ web theo mơ hình SOA Trên thực tế, toán nghiên cứu đánh giá mức độ phù hợp sách dịch vụ web nghiên cứu cần kết hợp dịch vụ web trình nghiên cứu việc kết hợp dựa cú pháp sách dịch vụ khơng trả lời hồn tồn câu hỏi hai sách dịch vụ có tương đương hay khơng, trường hợp chúng có ngữ nghĩa tương đương cú pháp khác Do đó, kết hợp thêm ngữ nghĩa việc so khớp sách bảo mật dịch vụ web quan tâm nghiên cứu số năm gần Mặc dù thế, nghiên cứu bước đầu vào việc xác định biểu diễn lại sách bảo mật dạng ngữ nghĩa, đưa quan hệ so sánh chúng cách đơn giản mà chưa đưa kết so sánh hai sách bảo mật phức tạp trường hợp tổng quan, luận văn hướng đến việc nghiên cứu tốn Mục đích nghiên cứu luận văn, đối tượng, phạm vi nghiên cứu - Luận văn tìm hiểu dịch vụ web, sách dịch vụ web, sách bảo mật dịch vụ web - Luận văn xây dựng mối quan hệ ngữ nghĩa đối tượng cấu thành nên sách bảo mật dịch vụ web từ đề xuất thuật tốn nhằm so khớp sách bảo mật dịch vụ web - Tiến hành xây dựng công cụ ngơn ngữ lập trình Java nhằm minh họa cho thuật tốn Các luận điểm đóng góp luận văn - Luận văn đưa thêm quan hệ ngữ nghĩa vào phép so sánh độ phù hợp sách bảo mật dịch vụ web - Luận văn đề xuất thuật toán so sánh hai sách bảo mật dịch vụ web dạng tổng quan - Phát triển công cụ minh họa cho thuật toán đề xuất Phương pháp nghiên cứu - Ứng dụng ngữ nghĩa vào mơ tả sách bảo mật dịch vụ web để đưa mức độ phù hợp hai sách cách phù hợp - Xây dựng công cụ minh họa thử nghiệm với sách bảo mật dịch vụ web thực tế Cấu trúc luận văn Luận văn bao gồm 05 chương với nội dung chương sau Chương tóm tắt tổng quan dịch vụ web Chương trình bày sách bảo mật cho dịch vụ web Chương trình bày tốn so khớp sách dịch vụ web thuật toán tác giả đề xuất Chương trình bày ứng dụng minh họa cho thuật tốn Và cuối cùng, chương trình bày kết luận kiến nghị cho toàn nội dung luận văn Fig Matching security policy algorithm Thuật toán: Gọi X Y hai sách bảo mật Chính sách X chứa lựa chọn bảo mật: X1, X2, …, Xn sách Y chứa lựa chọn bảo mật Y1, Y2, …, Ym Bởi cần biết sách phía u cầu có thoải mãn sách phía cung cấp hay khơng, nên thuật tốn so sánh sách phía yêu cầu X với sách phía cung cấp Y Với lựa chọn bảo mật Xi, ta có mức độ phù hợp thỏa mãn với tồn lựa chọn bảo mật sách Y Relation_Alternative_Policy(Xi, B) = MAX { Compare_Alternative (Bj, Ai) with 1