Zabezpečení webových služeb (ws security) - definice z techopedie

Definice - Co znamená zabezpečení webových služeb (WS Security)?

Zabezpečení webových služeb (WS Security) je specifikace, která definuje způsob implementace bezpečnostních opatření ve webových službách, které je chrání před vnějšími útoky. Je to sada protokolů, které zajišťují bezpečnost zpráv založených na SOAP implementací principů důvěrnosti, integrity a autentizace.

Protože webové služby jsou nezávislé na jakékoli implementaci hardwaru a softwaru, protokoly WS-Security musí být dostatečně flexibilní, aby vyhovovaly novým bezpečnostním mechanismům a poskytovaly alternativní mechanismy, pokud přístup není vhodný. Protože zprávy založené na SOAP procházejí více zprostředkovateli, musí být bezpečnostní protokoly schopny identifikovat falešné uzly a zabránit interpretaci dat v jakémkoli uzlu. WS-Security kombinuje nejlepší přístupy k řešení různých bezpečnostních problémů tím, že umožňuje vývojáři přizpůsobit konkrétní bezpečnostní řešení pro část problému. Například vývojář může vybrat digitální podpisy pro nevypovědení a Kerberos pro autentizaci.

Techopedia vysvětluje zabezpečení webových služeb (zabezpečení WS)

Cílem WS-Security je zajistit, aby komunikace mezi dvěma stranami nebyla přerušena nebo interpretována neoprávněnou třetí stranou. Musí být zajištěno, že zpráva byla skutečně odeslána odesílatelem, a odesílatel by měl být ujištěn, že příjemce nemůže odmítnout přijetí zprávy. Nakonec by data odeslaná během komunikace neměla být změněna neautorizovaným zdrojem. Všechna data související se zabezpečením jsou přidána jako součást záhlaví SOAP. Při aktivaci bezpečnostních mechanismů je tedy na vytváření zpráv SOAP uvalena značná režie.

Záhlaví SOAP WS-Security:

Vývojář si může zvolit jakýkoli základní bezpečnostní mechanismus nebo sadu protokolů k dosažení svého cíle. Zabezpečení je implementováno pomocí záhlaví, které se skládá ze sady párů klíč-hodnota, kde se hodnota přiměřeně mění se změnami použitého použitého bezpečnostního mechanismu. Tento mechanismus pomáhá identifikovat identitu volajícího. Pokud je použit digitální podpis, záhlaví obsahuje informace o tom, jak byl podepsán obsah a umístění klíče použitého k podepsání zprávy.

Informace týkající se šifrování jsou také uloženy v záhlaví SOAP. Atribut ID je uložen jako součást záhlaví SOAP, což zjednodušuje zpracování. Časové razítko se používá jako další úroveň ochrany proti útokům na integritu zprávy. Při vytvoření zprávy je ke zprávě označující, kdy byla vytvořena, přidruženo časové razítko. Další časová razítka se používají pro ukončení zprávy a pro označení, kdy byla zpráva přijata v cílovém uzlu.

Mechanismy ověřování zabezpečení WS

• Přístup s uživatelským jménem a heslem: Kombinace uživatelského jména a hesla je jedním ze základních použitých autentizačních mechanismů a je analogický s metodami autentizace založenými na HTTP Digest a Basic. Prvek tokenu uživatelského jména se používá k předávání pověření uživatele k ověření. Heslo lze přenášet jako prostý text nebo ve formátu digest. Při použití přístupu digest je heslo šifrováno pomocí hashovací techniky SHA1.
• Přístup X.509: Tento přístup identifikuje uživatele infrastrukturou veřejného klíče, která mapuje certifikát X.509 na konkrétního uživatele. Vyšší zabezpečení lze přidat pomocí veřejného klíče a soukromého klíče k šifrování a dešifrování certifikátu X.509. Aby se zajistilo, že zprávy nebudou přehrávány, lze nastavit časový limit pro odmítnutí zpráv, které dorazí po uplynutí určité doby.
• Kerberos: Koncept lístku tvoří základní mechanismus Kerberosu. Klient se musí autentizovat pomocí distribučního centra klíčů (KDC) pomocí kombinace uživatelského jména a hesla nebo certifikátu X.509. Po úspěšném ověření se uživateli udělí lístek udělující lístek (TGT). Pomocí TGT se klient pokusí získat přístup ke službě udělování vstupenek (TGS). V tomto kroku skončily první dvě role identifikace a autorizace. Klient poté požádá o servisní lístek (ST) k získání konkrétního zdroje z TGS a je mu udělen ST. Klient používá ST pro přístup ke službě.
• Digitální podpis: XML podpisy se používají k ochraně zprávy před úpravami a interpretací. Podpis musí být proveden spolehlivou stranou nebo skutečným odesílatelem.
• Šifrování: Šifrování XML se používá k ochraně dat před interpretací tím, že je nečitelné neoprávněné třetí straně. Lze použít symetrické i asymetrické přístupy.

WS-Security umožňuje vhodně využít stávající bezpečnostní mechanismy, aby se předešlo jakémukoli režijnímu zatížení při zavádění nových mechanismů.