基于排列码加密算法的XML安全技术研究与应用

河北工业大学硕士学位论文基于排列码加密算法的XML安全技术研究与应用姓名：祝胜强申请学位级别：硕士专业：计算机应用技术指导教师：武金木20071101河北工业大学硕士学位论文i基于排列码加密算法的XML安全技术研究与应用摘要本文在综合分析XML安全现有成果的基础上，将具有我们自主知识产权的排列码加密算法应用到XML安全领域。本文详细介绍了排列码加密算法原理，用Java语言实现了分组长度为8比特的排列码加密算法,并研究了排列码在XML安全中的应用。国内大部分研究都局限于对XML加密规范的验证实现阶段。本文分析研究了现在流行的SOA架构中XML安全的实施细节，初步总结出了一种比较灵活的理想的安全模型。该模型采用四层体系架构MVCS,也就是模型M、视图V、控制器C、安全S四层体系，主张将安全独立作为一层考虑，有助于降低系统的耦合度，并能减少维护成本。该模型遵照W3C的XML加密规范，同时又具有自己的特点，加密算法可以由用户自由选择，是一种便利、可靠、稳健、通用的安全模型，以期推动国内信息安全领域研究的新发展。关键词：排列码，加密，XML安全，SOA架构基于排列码加密算法的XML安全技术研究与应用iiSTUDYONANDAPPLICATIONOFTHEXMLSECURITYTECHNOLOGYBASEDONPERMUTATIONCODEENCRYPTIONALGORITHMABSTRACTThepapermainlystudiesonavailableachievementinthefieldofxmlsecurity,alsoappliesthepermutationcodeencryptionalgorithm,whichhavegotindependentintellectualpropertyrighttothisfieldatthesametime.Thearticlehasdetailedintroducedtheprincipleofpermutationcodeencryptionalgorithm,andrealizingpermutationcodeencryptionalgorithmfor8-bitblockwithjava.Nowthestudyinthehomelandlimitedinthestageofverificationandrealizationforxmlencryption.xmlsecuritydetailedintopracticeinpopularserviceorientedarchitectureisanalyzedandstudiedinthisarticle.Thefirststephassummedupoutonekindofcomparativelynimbleandidealsafemodel,modeladoptfourlayersofsystemframeMVCS,modelM,viewV,controllerC,securityS.Securityisindependentbeingconsideredasalayer,whichhelpreducesystematicdegreeofcoupling,cuttingdownupkeepcost.ThemodelcomplieswithW3CxmlencryptsStandards,hascharacteristicinselfatthesametime,Theencryptionalgorithmcanbefreetochoosebyuser,thesafemodelisfacilitating,reliable,solidanduseduniversally,expecttodrivethenewdevelopmentinthefieldofinformationsecurity.KEYWORDS:permutationcode,xmlsecurity,encryption,serviceorientedarchitecture原创性声明本人郑重声明：所呈交的学位论文，是本人在导师指导下，进行研究工作所取得的成果。除文中已经注明引用的内容外，本学位论文的研究成果不包含任何他人创作的、已公开发表或者没有公开发表的作品的内容。对本论文所涉及的研究工作做出贡献的其他个人和集体，均已在文中以明确方式标明。本学位论文原创性声明的法律责任由本人承担。学位论文作者签名：日期：关于学位论文版权使用授权的说明本人完全了解河北工业大学关于收集、保存、使用学位论文的规定。同意如下各项内容：按照学校要求提交学位论文的印刷本和电子版本；学校有权保存学位论文的印刷本和电子版，并采用影印、缩印、扫描、数字化或其它手段保存论文；学校有权提供目录检索以及提供本学位论文全文或者部分的阅览服务；学校有权按有关规定向国家有关部门或者机构送交论文的复印件和电子版；在不以赢利为目的的前提下，学校可以适当复制论文的部分或全部内容用于学术活动。（保密的学位论文在解密后适用本授权说明）学位论文作者签名：日期：导师签名：日期：河北工业大学硕士学位论文1第一章绪论§1-1课题的研究背景根据近些年切身的经历和体验，深切感受到新技术的突飞猛进。XML技术和信息安全技术，为现在这个信息化的时代注入了加速剂，根据这两种技术的应用也飞速的发展起来，但是现在企业级的应用，尤其是国内很多企业还没有意识到信息发展需要安全技术的支撑，大部分大中企业都是应用国外的安全手段和规范，但是这好比是自己的保险柜却用别人的锁，甚至一些小型企业直接使用已经被废弃的加密算法，简直就是掩耳盗铃，更有甚者在其应用里根本就没有安全保证。所以研究一把自己的锁，使用自己的技术来捍卫信息产业是一个亟待解决的问题。1-1-1XML的由来和发展随着Web应用越来越广泛和深入，电子商务的飞速发展，HTML就不够用了。HTML过于简单的语法使它在表达复杂信息方面显得力不从心，因为现在主流的浏览器都只是纯粹的解释平台，用户不能自己定义属性节点，浏览器只能解释规定好的有限的标记，这种设计上的缺陷，严重限制了信息大爆炸所带来的网络的蓬勃发展，虽然html短期内不会很快退出WEB的历史舞台，但种种因素使得HTML似乎已经到了穷途末路的地步。尽管HTML推出了一个又一个版本，并增加了脚本、表格、帧等表达功能，但始终满足不了不断提出的更高要求，这时，人们在此把目光转向了HTML之源---SGML。但是SGML实在是太庞大了，而且语法太复杂了，仅仅是制作出能够全面实现SGML的浏览器就是一个大难题，更别提让人们去掌握和运用它了。于是SGML的开发者们制定了一个秀该SGML标准的方案。这就诞生了XML(eXtensibleMarkupLanguage，可扩展标记语言)。XML技术自诞生之日起就预示了它辉煌的未来，特别是随着近几年来WEBService的蓬勃发展，XML越来越多的活跃在数据交换和存储领域，例如XML使得不同平台下的数据交换得以实现，是XML使WEB产业中涌现出一系列的新发展。XML现在已经成为当今IT业中昀热门的话题之一，有人称“XML是网络的第二次革命”[1]。1-1-2XML安全性问题的产生信息安全是另一个快速增长的领域，随着网络的爆炸性的发展，其安全性问题日益受到人们的关注。在利用像Internet这样的公开性网络进行通信或者商业活动时，一个非常重要并且很现实的问题是如何保证信息在通信中的保密性、完整性和认证，确保这一点是Internet实用化的关键，近几年来，越来越多的公司利用Xml来传输结构化数据，由于XML几乎能够封装任何种类的数据,也逐渐成为交换数据的业界标准。因此现在许多的Web应用系统、电子商务、ERP以及CRM系统都倾向使用XML来封装数据以及交换数据。使用XML来封装数据具有很多优点,因为用XML封装数据不仅可以在数据中封装数据代表的意义,也可以和其它的XML数据来源交换数据。XML除了可以封装数据之外,依靠XML对消息、协议的封装标准也正在制订或已经制订。随着XML的迅速发展,XML的重要性也越来越清楚地表现出来。由于XML语言只是一种面向数据的标记规范,所以它通常总是力求准确清晰地说明数据本身的涵义,即基于排列码加密算法的XML安全技术研究与应用2使对于一些非常陌生的XML文件,人们也很容易理解其所要表达的内容,从这个意义上讲,XML数据是完全开放的。因此,一旦含有商业信息的XML文档被别有用心的人直接得到,泄密几乎是必然的,同时也可以对它进行随意改变和伪造数据。确保数据的机密性以及确保数据的完整性,也随着XML的迅速发展变得越来越重要。§1-2XML安全的现状与发展目前国外XML技术的应用已经相当广泛，各种相应的标准，软件也是层出不穷，不断更新，随着XML技术的不断突现的优势，可以集成不同的数据源，数据的多样显示，数据的本地计算和处理，数据的粒状更新和它的数据与表现形式的分立等众多优点已经使它得到了更广阔的应用。使用XML加密，每一方都可以保持与任何通信方的安全或非安全状态，也就是说可以在同一个文档中交换安全的和非安全的数据，这在以前是不可想象的。使用XML加密可以对整个文档进行加密，可以对XML文件中元素进行加密，同样也可以对XML文件中的元素内容进行加密，这样是基于XML文件传输的数据中有着更加灵活的安全机制。另一种保障XML文件安全性的方法就是XML数字签名（digitalsignature）,XML数字签名是对现有的数字签名的扩展，是在他的周围建立一些结构，使其用XML文档的形式表达出来，与XML加密一样，XML数字签名可以实现对一部分XML进行签名，也可以对整个文件进行签名[2]（本课题不对数字签名做过多讨论）。这样就可以使信息在交换过程中保证数据的保密性、完整性、真实性和不可否认性，从而使通信双方（或多方）都能顺利进行。在国外，对这种技术的应用已经比较成熟。近年来在W3C（TheWorldWideWebConsortium）、IETF（TheInternetEngineeringTaskForce）以及OASIS（OrganizationfortheAdvancementofStructuredInformationStandards）等机构的领导下制定了有关XML安全和Web服务安全的一系列标准，还有许多标准仍在完善中。1999年10月，W3C发布了XML数字签名工作草案。2002年3月，W3C颁发了XML加密标准。2002年4月，IBM、微软和VerSign公司制定了WebService安全规范。并且提交给了OASIS组织。2004年4月6日，OASIS制定了OASISWS_Security1.0标准（WS-Security2004）作为正式官方的标准。2005年2月微软官方网站发布了WSE2.0SP3。它支持WS_Security,WS-Policy等一系列标准。WSE旨在帮助软件程序员增进网络服务应用程序安全性的工具包。它可让公司用户使用微软和其他诸如IBM、Sun微系统这类软件巨头的昀新安全技术[3]。但是国内对于XML技术的应用研究以及XML安全方面的研究却仍然处于学习阶段。研究都不太深入，大部分研究都局限于对XML加密规范的验证实现阶段，应用也不是十分的广泛，尤其国内软件行业中，更是满足于对SOA概念的陶醉当中，然而，XML技术的广泛应用是不可阻挡的趋势。XML技术正在逐渐的被人们所接受，并应用到实际工作中去。河北工业大学硕士学位论文3§1-3本项目研究的主要内容及目标本课题主要包括以下几个方面：1、深入分析、探讨XML相关安全技术规范内容，跟踪相关技术的发展和昀新动态。2、探讨如何实现利用XML加密技术实现数据的安全，包括机密性、完整性、可靠性和不可否认性。3、努力在现有的XML安全技术的基础上，实现XML文档的自由加密，所谓自由加密是指不仅能对XML文档的整体进行加密，还要根据需要对XML文档的局部（比如部分元素或者元素的内容）进行不同粒度的加密