一种基于Kerberos扩展的Web服务安全框架

一种基于Kerberos扩展的Web服务安全框架 A New Web Service Security Framework Based on Kerberos 1 2 3 first-author 张立强，男，博士生，现从事可信云计算、系统安全性量化分析、访问控制等方面的研究. E-mail:zhanglq@whu.edu.cn 张立强，男，博士生，现从事可信云计算、系统安全性量化分析、访问控制等方面的研究. E-mail: zhanglq@whu.edu.cn zhanglq@whu.edu.cn 4 corresp 何凡，E-mail:hefan@whut.edu.cn 何凡，E-mail:hefan@whut.edu.cn hefan@whut.edu.cn 5 2 3 6 武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072 武汉大学 空天信息安全与可信计算教育部重点实验室，湖北 武汉 430072 State Key Laboratory of Aerospace Information Security and Trusted Computing, Ministry of Education, Wuhan University, Wuhan 430072, Hubei, China State Key Laboratory of Aerospace Information Security and Trusted Computing, Ministry of Education, Wuhan University, Wuhan 430072, Hubei, China 武汉大学 软件工程国家重点实验室，湖北 武汉 430072 武汉大学 软件工程国家重点实验室，湖北 武汉 430072 State Key Laboratory of Software Engineering, Wuhan University, Wuhan 430072, Hubei, China State Key Laboratory of Software Engineering, Wuhan University, Wuhan 430072, Hubei, China 武汉大学 计算机学院，湖北 武汉 430072 武汉大学 计算机学院，湖北 武汉 430072 School of Computer, Wuhan University, Wuhan 430072, Hubei, China School of Computer, Wuhan University, Wuhan 430072, Hubei, China 武汉理工大学 计算机科学与技术学院，湖北 武汉 430070 武汉理工大学 计算机科学与技术学院，湖北 武汉 430070 School of Computer Science and Technology, Wuhan University of Technology, Wuhan 430070, Hubei, China School of Computer Science and Technology, Wuhan University of Technology, Wuhan 430070, Hubei, China 中兴通信有限公司，陕西 西安710065 中兴通信有限公司，陕西 西安710065 ZTE Corporation, Xi'an 710065, Shaanxi, China ZTE Corporation, Xi'an 710065, Shaanxi, China 湖北省电力公司，湖北 武汉 430077 湖北省电力公司，湖北 武汉 430077 Hubei Electric Power Company, Wuhan 430077, Hubei, China Hubei Electric Power Company, Wuhan 430077, Hubei, China Web服务安全问题集中表现在信任建立、端到端消息安全保障以及资源访问控制等方面.传统的Web安全框架如Atlassian Seraph和Apache Shiro无法同时解决消息安全保护和跨域访问控制的问题.本文提出并实现一种基于Kerberos的Web服务安全框架--KBW2SF，它包括用户认证、消息安全通信、服务访问控制三个核心功能.用户认证使用Kerberos作为底层协议在服务请求发和提供方之间建立信任关系；安全通信使用WS-Security规范及Kerberos票据中的密钥保证消息端到端的完整性和机密性；服务访问控制基于Kerberos票据中的用户角色信息，由服务提供方对来访用户进行角色映射 (跨域访问) 和权限鉴定，以此保护服务资源不被非法或者低权限用户访问.同时，KBW2SF引入缓存管理机制提高应用效率，降低安全机制对Web服务应用的影响程度.通过应用场景的实验分析，该框架不但能够有效解决Web服务消息的安全性以及跨域访问控制问题，而且具有较高的效率，具备一定的实际应用价值. The security of Web Service has confronted with a series of challenges, such as the establishment of the trust model among the different communicators, the guarantee of the confidential messages from end to end, and the accomplishment of cross-domain access control to various service resources. This paper proposes a new secure framework for web service based on Kerberos which named KBW2SF. It is made up of three core modules: authentication, secure communication and access control. Moreover, aiming to minimize the influence of security features on the performances of Web applications, KBW2SF utilizes caching mechanism to promise the efficiency of application and assesses it through an experiment. The result shows KBW2SF could resolve the security problems in Web applications effectively and efficiently. Web服务 Web服务安全 Kerberos 访问控制 Web service Web service security Kerberos access control 引言 1 Web服务是一种新型的、分布式网络环境下的计算方法.在现有标准和规范的支持下，各异构平台之间通过Web服务实现松散耦合，进行动态交互和组合，不必关心各平台内部的具体实现.Web服务广泛应用的同时，也带来了诸多的安全性问题，集中表现在以下几个方面：1) 信任的建立：Web服务的异构和分布式应用环境带来的一个问题是如何建立通信实体之间的信任关系 [ 1 1 ~ 3 3 1~3 ] .2) 消息端到端的安全性：Web服务消息传输过程中可能经过多个中间节点，如何保证消息端到端的安全是一个非常现实的问题 [ 4 4 ] .3) 跨域访问控制：在服务调用和组合的过程中，跨域访问是非常频繁的，但同一个用户在不同安全域所具有的身份和权限不同.如何实现域间的身份映射，协调用户在不同安全域之间的权限，合理保护资源不被非法访问是Web服务亟需解决的另一个安全问题 [ 5 5 ] . 现有的Web安全框架和Web服务安全框架仍然无法解决上述问题.Seraph [ 6 6 ] 是一个功能可定制的开源J2EE Web应用程序安全框架，在服务方法调用层面以及消息传输过程中的安全方面缺乏相应的保护机制.Apache Shiro [ 7 7 ] 是一个强大并易于使用的Java开源安全框架，在处理认证、授权、会话管理以及加密方面表现出较好的特质，但在跨域访问和服务方法层面却没有提出有效的访问控制方案.WS-Security规范 [ 8 8 ] 提供了对Web服务的机密性、完整性和可用性的保护，但是它只是一套框架，本身并不提供完整的安全性解决方案. Kerberos [ 9 9 ] 协议是一种能够在不安全网络中实现安全认证的协议，可以对通信实体进行身份认证；WS-Security是一个通用的服务安全通信规范.二者结合能够有效地解决上述Web服务安全问题：1) Kerberos支持相互身份认证，通信双方可以对对方进行身份认证，建立信任；2) Kerberos协议安全地分发通信双方的共享密钥，结合WS-Security规范，能够有效地保证消息端到端的安全性；3) Kerberos提供跨域访问身份认证的支持，且Kerberos票据提供可扩展字段，能够在票据中加入用户身份信息，作为服务对用户授权的依据.此举能够有效地解决Web服务跨域访问控制问题. 本文提出一种基于Kerberos的Web服务安全框架--KBW2SF，包括用户认证、安全通信、服务访问控制三个核心功能.KBW2SF框架基于WSS4J [ 10 10 ] (Web Service Security For Java) 扩展实现，使其支持基于Kerberos的用户认证、安全通信以及服务授权. Kerberos协议 1 Kerberos是一种网络认证协议，用于在不安全的网络中实现通信实体之间的身份认证.Kerberos协议流程 [ 11 11 ] 涉及三个逻辑实体：用户Client、应用服务端Server以及密钥分发中心KDC，其中KDC包括认证服务器AS和票据授权服务器TGS.认证流程分为3次交互、6个步骤，按照时间顺序，第一次交互发生在客户端和KDC的认证服务器AS之间，第二次在于客户端和KDC的票据授权服务器TGS之间，第三次交互则是在客户端和应用服务端之间.如 图 1 图 1 所示. 1) Client和AS的交互 客户端通过用户名和密码登录KDC，向KDC中的AS发送请求信息，该消息是一个明文信息，包括客户端自身的信息 c 、要请求的TGS以及时间戳. AS接收到请求消息后，根据客户端信息验证用户，然后产生一个Client和TGS之间的随机会话密钥 K c-tgs 以及使用TGS密钥 K tgs-kdc 进行加密的Client访问TGS的票据TGT，其中TGT的内容包括客户端信息 c 、票据有效期以及 K c-tgs ，并且TGT的内容使用 K tgs-kdc 加密.AS返回给Client的所有信息使用Client的密钥 K c-as 进行加密，以此保证只有合法的Client才能正确的解开返回的报文内容. Client接收到返回消息之后，使用 K c-as 解密报文，得到和TGS之间的会话密钥 K c-tgs ，以及访问TGS的票据TGT. 2) Client和TGS的交互 当Client申请服务时，Client向TGS请求访问服务的票据.Client向TGS发送的消息内容包括：上一轮得到的TGT、目标服务器信息以及认证符Authenticator, 其中认证符的内容包括客户端信息和时间戳，使用Client和TGS之间的会话密钥 K c-tgs 加密，TGS解密之后将得到的客户端信息和TGT中的客户端信息进行比较，防止假冒. TGS接收到请求消息之后，从消息中获取TGT并使用 K tgs-kdc 将其解密，得到 K c-tgs 以及Client信息 c ，并使用 K c-tgs 对Authenticator解密也得到客户端信息 c ′，将 c 和 c ′进行比较验证Client身份.验证通过之后，TGS产生Client和Server之间的随机会话密钥 K c-s 和访问目标服务器的票据ST，ST的内容包括：客户端信息 c 、客户端与服务端之间的会话密钥 K c-s 以及有效期等，ST的内容经过服务器端密钥 K s-kdc 加密. 3) Client和Server的交互 Client向服务端发送请求消息，消息内容包括：ST、服务器信息以及认证符Authenticator′，其中认证符的内容包括：客户端信息 c 和时间戳.认证符的内容使用Client和服务端之间的会话密钥 K c-s 加密. 服务端接收到请求消息之后，从消息中获取ST并使用 K s-kdc 将其解密，得到 K c-s 以及Client信息 c ，并使用 K c-tgs 对Authenticator′解密也得到客户端信息 c ′和时间戳，将 c 和 c ′进行比较验证Client身份.验证通过之后，将时间戳加1，并使用 K c-s 对其加密返回给Client. Client接收到返回消息对其解密，检查时间戳是否被正确更新.如果正确更新，客户端可以信赖服务器，并可以向服务器发送服务请求. KBW2SF框架设计 1 KBW2SF在服务提供者与服务请求者之间建立安全消息通道，保障SOAP消息的机密性和完整性，其中消息机密性通过SOAP消息加密实现，而消息完整性通过基于Kerberos票据的SOAP消息签名实现.同时，KBW2SF利用Kerberos票据实现对服务用户的访问控制，访问控制采用基于角色的访问控制RBAC机制. 体系结构 2 KBW2SF在体系结构上分为支撑环境层、核心功能层和应用层 (见 图 2 图 2 ). KBW2SF支撑环境层主要是Kerberos及数据管理.其中部署了Kerberos系统，并对其原有数据库BDB进行改造，实现Kerberos系统和安全信息库LDAP数据源的集成.为支持上层基于角色的访问控制机制，需要部署服务授权所需的关系型数据库，该数据库中包含访问控制列表、服务资源列表以及域间的角色映射表. KBW2SF核心功能层包括三个核心功能模块：用户认证、安全通信和服务授权.用户认证实现了Kerberos客户端，当用户登录时调用Kerberos客户端实现基于Kerberos的用户认证，同时缓存服务器返回的票据.安全通信提供服务请求方与服务提供方之间交互消息的机密性和完整性保护.服务请求方消息处理过程包括Kerberos票据的换取和传递、SOAP消息加密和签名；服务提供方消息处理过程包括Kerberos票据的解析和SOAP消息的验证和解密.服务授权处理过程包括解析Kerberos票据获取用户角色信息、进行域间角色映射 (如果是跨域访问)、对服务进行访问控制以及访问的缓存管理. KBW2SF应用层面向应用开发人员，对底层的实现进行封装，开发人员在实际应用中调用各类功能接口，不必关注底层的实现机制. 详细设计 2 数据模式设计 3 KBW2SF支撑环境层数据管理包括两部分，一部分是LDAP数据，用于管理基本的安全信息，包括用户、角色、Kerberos Principal等；另一部分是关系型数据库，用于管理应用服务器自身的服务资源信息、不同安全域间的角色映射信息以及权限信息. 为使对Kerberos的操作更为简洁，将Kerberos数据库与LDAP数据进行集成.LDAP数据管理KBW2SF中的全局数据信息，包括域、用户、角色以及Principal等. 在服务访问控制方面，采用基于角色访问控制RBAC机制，建立了用户、角色、权限的映射关系，每个用户被赋予具有一定权限的角色，服务根据角色进行授权.服务的访问控制涉及服务资源、用户、角色、角色映射等数据信息，并且需要建立它们之间的联系，其关联关系如 图 3 图 3 所示. 用户通过RoleIds属性关联多个角色，每个角色根据RoleId和RealmId属性关联目标域中的一个RoleId，因此用户在目标域中具有一个或多个角色，每个角色到权限表中查找能够访问的目标服务和操作.如果满足至少有一个角色具有访问目标服务及操作的权限就允许用户访问该资源. 用户认证模块设计 3 用户通过Web安全协议将认证信息发送到门户服务器，门户服务器根据接收到的认证信息查询本地缓存中是否具有对应用户的TGT, 如果存在则不用再次访问KDC，直接登陆成功；如果不存在则登录到KDC验证用户身份.用户登录阶段流程如 图 4 图 4 所示. 如果本地缓存中没有对应用户的TGT，则门户服务器充当Kerberos认证客户端，将用户名发送给KDC，KDC返回用户身份票据TGT，用户将密码转换成密钥，若能正确解开票据则认证通过，显示用户登录成功. 安全通信设计 3 用户登录后，其TGT票据被缓存在门户服务器上.当用户请求服务时，首先在本地服务票据缓存中查找是否存在目标服务器的ST，如果存在则无需再次向KDC申请ST，直接将ST的摘要序列化到SOAP消息，同时对SOAP消息进行签名和加密.如果缓存中不存在ST，则必须先到TGTSessionCache中找出对应的TGT，然后持TGT到KDC获取客户端与目标服务器的通信会话密钥 K c-s 以及访问目标服务器的票据ST，并将ST存入本地ST缓存中. 客户端使用 K c-s 对SOAP中敏感信息加密，并把ST序列化到SOAP消息中，同时对SOAP消息进行签名.服务端截获SOAP消息，对SOAP消息中的ST进行解析，验证客户端身份并获取ST中的 K c-s ，同时验证SOAP消息签名并使用 K c-s 对SOAP消息加密部分进行解密.整个流程如 图 5 图 5 所示. 服务授权设计 3 用户访问服务资源时，如果是跨域访问，则首先访问域间角色映射缓存和权限缓存，如果两者中都有访问记录，则直接允许服务调用，如果任何一个缓存中没有访问记录，则都要访问角色映射数据表和权限数据表进行授权，如果鉴权通过，则把本次访问记录写到域间角色映射缓存和本地角色权限缓存中.服务授权过程设计示意如 图 6 图 6 所示. 如果是本地访问，首先在本地角色权限缓存中查找是否存在权限记录，如果存在则无需访问权限数据表直接授权，如果不存在则需要访问角色权限数据表进行鉴权，若是鉴权通过，则要把该角色对目标服务和操作权限写到权限缓存中，同一角色再次访问该服务时不必再次进行鉴权. KBW2SF框架实验分析 1 为了验证KBW2SF的功能及性能，将该框架部署在汽车装备系统中.汽车装配流程包括安装车架服务、安装发动机服务以及安装车轮服务.汽车装配系统使用Web服务框架CXF进行服务发布和消费.在服务发布和消费时，服务提供方与服务请求方分别加载CXF自身提供的消息拦截器，在拦截器中调用KBW2SF框架的安全接口实现相关功能. 实验环境配置如下：主机处理器为Intel Core2双核3.16 GHz，内存4 GB，硬盘300 GB，安装Tomcat 6.0.20、MySQL5.0和Apache CXF2.3.3. 下面详细介绍KBW2SF在CXF中的应用过程. 服务发布 2 服务发布基于CXF，发布服务时使用CXF自身提供的消息拦截器，通过配置拦截器初始化参数Map键值对激活KBW2SF的安全功能.服务发布时激活Kerberos票据验证、消息解密、服务授权等功能.安装车架服务发布如下： 〈jaxws:server id="frameInstallWS" address="/frameInstallService"〉   〈jaxws:serviceBean〉   〈ref bean="frameInstallService"/〉   〈/jaxws:serviceBean〉   〈jaxws:inInterceptors〉   〈ref bean="kbw2sfInInterceptor"/〉   〈/jaxws:inInterceptors〉 〈/jaxws:server〉 〈bean id="frameInstallService" class="com.kbw2sf.security.case.server.frameInstallServiceImpl"/〉 拦截器配置如下： 〈bean id="kbw2sfInInterceptor"   class="com.kbw2sf.security.foundation. KBW2SFInInterceptor"〉   〈constructor-arg〉   〈map〉     〈entry key="action" value="KerberosTokenSigned"/〉     〈entry key="soapBodyMode" value="decryption"/〉     〈entry key="permissionMode" value="authorization"/〉    〈/map〉 〈/constructor-arg〉 〈/bean〉 服务访问 2 服务访问时，客户端配置CXF自身提供的消息拦截器，通过配置拦截器初始化参数激活框架中不同安全功能.服务访问时激活Kerberos票据签名、消息加密等安全功能.消费安装车架服务的客户端代理配置如下： 〈jaxws:client id="frameInstallServiceClient"   address= http://127.0.0.1:335/ws/services/frameInstallService http://127.0.0.1:335/ws/services/frameInstallService   serviceClass="com.kbw2sf.security.case.client.frameInstallService"〉   〈jaxws:outInterceptors〉 〈ref bean="kbw2sfOutInterceptor" /〉 〈/jaxws:outInterceptors〉 〈/jaxws:client〉 客户端拦截器配置： 〈bean id="kbw2sfOutInterceptor"   class="com.kbw2sf.security.foundation. KBW2SFOutInterceptor"〉   〈constructor-arg〉   〈map〉     〈entry key="action" value="KerberosTokenSigned"/〉     〈entry key="soapBodyMode" value="encryption"/〉     〈entry key="passwordCallbackClass" value=     "com.kbw2sf.security.case.ClientPswCallbackHandler"/〉   〈/map〉   〈/constructor-arg〉 〈/bean〉 性能评估 2 框架性能通过服务访问过程中所消耗的时间进行评估.各个时间参数定义如下： ●消息头准备时间 T mhp ：用户登录到系统以后，请求Web服务时，SOAP消息头的准备时间，包括服务票据的获取、票据序列化、消息签名等过程所用时间之和； ●消息加密时间 T mc ：对需要保护的SOAP消息部分进行加密处理的时间； ●消息头处理时间 T mh ：服务端对SOAP消息头进行处理的时间，包括票据解析、签名验证等过程所用时间之和； ●消息解密时间 T md ：对加密的SOAP消息部分进行解密处理的时间； ●服务授权时间 T sa ：目标服务对访问用户进行鉴权的时间； ●服务响应时间 T all ：从客户端发出服务调用到收到服务响应所花费的时间. 针对下列4种典型应用场景分别进行实验，分析KBW2SF各部分功能在应用过程中的时间消耗： A.同一用户访问不同服务器的不同服务资源的时间消耗； B.同一用户多次访问同一服务器的不同服务资源的时间消耗； C.同一用户多次访问同一服务器的同一服务资源的时间消耗； D.不使用任何安全功能的时间消耗. 统计结果如 表 1 表 1 所示. 场景 T mhp T mc T mh T md T sa T all A 1 526.7 53.3 1 167.7 40.7 1 633 5 393.7 B 2 51 3 39 220 407.3 C 3.7 48.7 2 39.3 1 112.7 D 0 0 0 0 0 20 从 表 1 表 1 中可以看出，在不使用任何安全功能时正常服务请求响应时间为20 ms.在应用KBW2SF安全功能的情况下，访问不同服务器上的不同服务时响应时间最长，原因在于票据缓存和权限中没有访问记录，需要重新申请访问服务器的ST和对服务进行授权；而访问相同服务器上的不同服务时，无需重新申请ST，只需重新鉴权，所以大部分时间用在消息加解密和服务鉴权上，但相比场景A时间已经大大缩减.而访问同一服务器上的同一服务，响应时间基本是消息加解密时间和不加任何安全功能的响应时间之和，响应时间进一步缩短. 通过场景C的实验结果可以看出，总消耗时间为112.7 ms，相对于场景A的总消耗时间5 393.7 ms具有明显改善，引入缓存管理机制后框架应用效率得到很大的提升.虽然初始访问某一服务器时访问效率较低，却仍在可接受的范围之内，而后续的访问效率极高，并且在现实的某些行业应用中，访问的目标服务资源大都相对集中，因而该框架具有现实的应用价值. 结论 1 本文提出并实现了一种基于Kerberos的Web服务安全框架KBW2SF.KBW2SF框架在实现了用户认证、安全通信、服务授权等核心功能的同时，具有较高的效率，能够确保服务访问过程中的机密性和完整性，支持跨域访问.KBW2SF框架在以下方面还需要进一步增强：1) 进一步提高首次访问某一服务器资源的响应效率.随着Web服务资源的分布范围越来越广，在一次业务处理过程中访问的服务器数量不断增多，而本文提供的框架在第一次访问某一应用服务器的资源时，访问效率仍然较低.2) 框架的用户认证功能支持代理认证功能. 参考文献 何倩, 王芳, 柴华昕, 等.Web服务认证技术综述[J].桂林电子科技大学学报, 2013, 33(3):246-252. HE Q, WANG F, CHAI H X, et al.Survey on Web service authentication technologies[J].Journal of Guilin University of Electronic Technology, 2013, 33(3):246-252(Ch). 杨晓晖, 王虹, 江丽军, 等.一种基于信任度量的Web服务跨域访问控制模型[J].山东大学学报 (理学版), 2014, 49(9):115-122.DOI:10.6040/j.issn.1671-9352.2.2014.342. YANG X H, WANG H, JIANG L J, et al.A Web service cross-realm access control model[J].Journal of Shandong University (Natural Science), 2014, 49(9):115-122.DOI:10.6040/j.issn.1671-9352.2.2014.342(Ch). 刘玲霞, 王东霞, 黄敏桓.一个Web服务可信体系结构[J].计算机科学, 2014, 41(12):30-32.DOI:10.118961/j.issn.1002-137z.2014.12.007. LIU L X, WANG D X, HUANG M H.A trusted architecture of Web service[J].Computer Science, 2014, 41(12):30-32.DOI:10.118961/j.issn.1002-137z.2014.12.007(Ch). 李瑞, 陶明.基于WS-Security的Web服务安全的实现[J].计算机与现代化, 2008, 2008(12):131-133. LI R, TAO M.Web service security implement based on WS-Security[J].Computer and Modernization, 2008, 2008(12):131-133(Ch). 贺正求, 吴礼发, 洪征, 等.Web服务安全问题研究[J].计算机科学, 2010, 37(8):32-39. HE Z Q, WU L F, HONG Z, et al.Research on Web service security[J].Computer Science, 2010, 37(8):32-39(Ch). Atlassian.Seraph[EB/OL].[2016-06-10] . http://docs.atlassian.com/atlassian-seraph/latest/index.html http://docs.atlassian.com/atlassian-seraph/latest/index.html . Apache.Shiro[EB/OL].[2016-06-10] . http://shiro.apache.org/ http://shiro.apache.org/ . OASIS.WS-Security Core Specification 1.1[EB/OL].[2015-10-10] . http://www.oasis-open.org/committees/download.php/16790/wss-v1.1-spec-os-SOAPMessageSecurity.pdf http://www.oasis-open.org/committees/download.php/16790/wss-v1.1-spec-os-SOAPMessageSecurity.pdf . MIT.Kerberos, the Network Authentication Protocol[EB/OL].[2016-06-10] . http://web.mit.edu/kerberos/ http://web.mit.edu/kerberos/ . Apache.WSS4J[EB/OL].[2016-06-10] . http://ws.apache.org/wss4j/ http://ws.apache.org/wss4j/ . JASON G.Kerberos:The Definitive Guide [M].Sebastopol:O'Reilly, 2003. 10.14188/j.1671-8836.2017.02.001 TP309 whdxxblxb-62-2-95 国家自然科学基金资助项目 (61303024);江苏省自然科学基金资助项目 (BK20130372) 2016-09-16 2017-04-24 2020-12-09 版权所有© 2017 《武汉大学学报 (理学版)》编辑部 Copyright © 2017 Journal of Wuhan University (Natural Science Edition). All rights reserved. 2017 武汉大学学报 (理学版) 2 62