Security Requirements for a Semantic Service-oriented Architecture

Abstract

Service-oriented architectures (SOAs) are a commonly used paradigm for IT infrastructures in various fields. Due to their flexibility and the easy accessibility of their underlying web services, SOAs are the architecture of choice for more and more service providers. Semantic SOAs (SSOAs) are going one step further and are enhancing the common SOA with semantic components.However, a major success criterion of any SOA is the existence of a reliant security infrastructure. Therefore, this paper identifies security requirements for an eGovernment SSOA focusing on communication security, trust, privacy and access control. Our work is based on the architecture designed within the scope of the European research project Access-eGov, which envisions the development of a SSOAbased eGovernment platform.

Signature and Encryption on Parts of SOAP Message Based on Rampart

“…After Rampart has been loaded into the Axis2 engine, as a module to implement the WS-Security, it can do security handling to all the effective services. Rampart can also just execute security handling to one or more services or a specific method in a service [9] [10].…”

A Semantic Security Architecture for Web Services The Access-eGov Solution

“…Therefore, this section focuses on the differences and adoptions we performed for real-world deployment. The presented architecture and data flow implement all requirements gathered in [25], [26], [2].…”

“…Restricting access to valuable service resources only after trustful authorization was seen as a crucial part to heighten the overall security of the semantic service-oriented system and the reliability in general [2]. Our semantic security architecture for service-oriented systems based on the attribute-based access control paradigm [3] has already been described in [4], [5], [6] and has now successfully been implemented.…”

Eine verteilte Autorisierungsinfrastruktur unter Berücksichtigung von Datenschutzaspekten

“…Die sich wandelnde IT-Landschaft im behördlichen Umfeld einerseits und einschlägige politisch-rechtliche Vorgaben (wie die EU-Richtlinien zum Datenschutz und zur Dienstleistungserbringung [11,12]) andererseits schaffen ein Umfeld, in dem neue Antworten auf die widerstrebenden Interessen von Datenschutz und datenintensiven Geschäftsprozessen gefunden werden müssen. Das europäische Forschungsprojekt Access-eGov (http://www.accessegov.org) hat es sich zum Ziel gesetzt, in diesem Umfeld eine verteilte serviceorientierte AAI zu entwickeln, in der den Anforderungen dynamischer Autorisierung und datenschutzgerechter Zugriffskontrolle eine besondere Bedeutung beigemessen wird [9]. …”

“…Dieser verwendet das Token dazu, um auf die geschützte Ressource zuzugreifen (8). Das Token wird vom PEP geprüft, und nachdem es anerkannt wird, kann der Ressourcenzugriff gewährt werden (9). Abbildung 3 zeigt ein Sequenzdiagramm des eben beschriebenen Zugriffskontrollvorganges, das die Rolle der jeweiligen Systemakteure innerhalb der Zugriffskontrollarchitektur verdeutlicht.…”