[發明專利]建立基于程序切片的Web服務安全分析模型的方法

有效

• 申請號: 200910069325.4
• 申請日: 2009-06-18
• 公開（公告）號: CN101588363A
• 公開（公告）日: 2009-11-25
• 發明（設計）人: 李曉紅;馮志勇;劉然;徐超;許光全
• 申請（專利權）人: 天津大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/36
• 代理公司: 天津市北洋有限責任專利代理事務所
• 代理人: 劉國威

1.一種建立基于程序切片的Web服務安全分析模型的方法，其特征是，包括下列步驟：

建立切片器模塊，用于：通過指定合理的切片配置屬性，計算Java程序的切片，提 供功能接口供本模型中的網絡web服務分析模塊調用，來獲取與切片準則相關的程序抽 象即程序的信息流；

建立Web服務分析模塊，用于：

(1)獨立Web服務的安全分析：第一步解析WSDL協議，WSDL是Web?Service? Description?LanguageWeb服務描述語言，獲取在Web服務描述的具體信息，包括對 操作的抽象定義，綁定到這些操作的具體協議，綁定的一個網絡端點規范以及進行操 作的網絡端點；第二步調用構建完成的切片器模塊功能接口，以獲取的服務接口作為 切片配置，對Web服務的源碼進行切片，獲得外部接口的信息流；第三步查看需要 保護的關鍵信息是否存在于接口信息流中，判斷信息是否泄漏，完成對獨立Web服 務的安全分析；

(2)Web服務網絡的安全分析：基于切片結果以及對獨立Web服務安全分析結 果，分析信息傳遞過程，查看關鍵信息是否在兩個Web服務間被傳遞泄露，判斷在 服務網絡中安全漏洞擴散的問題；

建立安全報告模塊，用于：設計安全報告的組成結構，包括具有安全漏洞的接口， 被泄露的關鍵信息，從內部措施和外部措施兩個角度研究緩和方案的內容，內部措施 包括修改網絡web服務源碼、將對應的方法設為私有和改變方法名稱，實現危險接 口的屏蔽；外部措施包括添加安全控制模塊實現簽名和加密，添加安全管理模塊實現 身份驗證和訪問控制。

2.根據權利要求1所述的一種建立基于程序切片的Web服務安全分析模型的方法，其特征 是，所述的建立切片器模塊中，切片器模塊包括以下3個子模塊：

(1)切片器引擎：讀入配置文件，調用開源的程序依賴分析框架/庫提供程序依賴 分析功能接口構建系統依賴圖，使用基于迭代的切片算法收集源程序中屬于當前切片 的語句，組成切片；

(2)切片準則：屬于執行切片的配置文件的組成結構，在切片準則中指定切片類 型type、范圍scope以及作為切片中心的具體語句criteria；

(3)切片結果處理單元即post?processor：通過post?processor，完成從jimple結果 到Java語句的映射轉換，Java是一種程序編程語言，jimple是Java編程語言的中間表 達形式。