Especificación de seguridad WS
La especificación WS-Security de servicios web describe las mejoras en las mensajería SOAP para proporcionar calidad de protección a través de la integridad de los mensajes, la confidencialidad de mensajes y una autenticación única de mensajes. Estos mecanismos se pueden utilizar para acomodar una gran variedad de modelos de seguridad y tecnologías de cifrado.
Un servicio web es una aplicación modular autocontenida y autodescriptiva que se puede publicar, descubrir e invocar en una red mediante los protocolos de red estándares. Normalmente, XML se utiliza para etiquetar los datos, SOAP se utiliza para transferir los datos, WSDL se utiliza para describir los servicios disponibles e UUDI para hacer una lista de los servicios disponibles.
La especificación de seguridad WS es uno de los distintos estándares de seguridad que se pueden utilizar para asegurar un servicio web. Proporciona seguridad a nivel de mensaje, lo cual significa que es independiente del protocolo de transporte y que se puede utilizar para cualquier enlace de servicio web, por ejemplo HTTP, SOAP y RMI. También proporciona un mecanismo general para asociar señales de seguridad con el contenido del mensaje.
Mecanismos de seguridad
La especificación de seguridad WS proporciona los tres siguientes mecanismos para asegurar los servicios web a nivel de mensaje:
- Autenticación
- Este mecanismo utiliza una señal de seguridad para validar el usuario y determinar si un cliente es válido en un contexto determinado. Un cliente puede ser un usuario final, una máquina, una aplicación o una importación. Sin autenticación, un atacante puede utilizar técnicas de suplantación para enviar un mensaje SOAP modificado al proveedor de servicios.
- Integridad
- Este mecanismo utiliza la firma de mensajes para asegurarse de que la información no se modifique, se altere o se pierda de forma accidental o no autorizada. Cuando se implementa la integridad, se genera una firma digital XML en el contenido de un mensaje SOAP. Si los datos del mensaje cambian de forma ilegal, la firma no se valida. Sin la integridad, un atacante puede utilizar técnicas de manipulación indebida para interceptar un mensaje SOAP entre el cliente de servicio web y el servidor y luego modificarlo.
- Confidencialidad
- Este mecanismo utiliza el cifrado de mensajes para asegurarse de que ningún proceso o parte no autorizada pueda acceder o revelar la información del mensaje. Cuando un mensaje SOAP se cifra, sólo el servicio que conozca la clave de confidencialidad podrá descifrar y leer el mensaje. Sin la confidencialidad, un atacante puede utilizar técnicas de escuchas no autorizadas para interceptar un mensaje SOAP y leer la información contenida.
| Recurso web | Ubicación |
|---|---|
| Especificación de seguridad WS OASIS | http://www.oasis-open.org/specs/index.php#wssv1.0 |
| Capítulos 9 y 21 del manual IBM Redbook SG246461 WebSphere Version 6 Web Services Handbook - Development and Deployment | http://www.redbooks.ibm.com/abstracts/sg246461.html?Abrir |
Aunque el redbook que se menciona en la tabla muestra cómo se utilizan los servicios web y los editores de descriptor de despliegue EJB de Rational® Application Developer para editar las propiedades de WS-Security, existe una correlación directa entre estos editores y el editor de despliegue de módulos IBM Integration Designer .
Autenticación
En la autenticación, se inserta una señal de seguridad en el mensaje de solicitud de una importación. En función del tipo de señal de seguridad que se utiliza, la señal de seguridad también se puede insertar en el mensaje de respuesta de una exportación.
Se utilizan distintos tipos de señales de seguridad en la autenticación, incluidas las siguientes:
- Señales de nombre de usuario
- Señales binarias, por ejemplo señales X.509 y señales Lightweight Third Party Authentication (LTPA).
- Señales personalizadas, por ejemplo señales XML y señales binarias personalizadas.
Las señales de nombre de usuario se utilizan simplemente para validar los nombres de usuario y las contraseñas. Dichas señales son la única manera de establecer seguridad en la autenticación básica (y por este motivo la autenticación básica sólo se debería utilizar en redes seguras como sitios HTTPS o intranets corporativas). Cuando un servidor de servicio web recibe una señal de seguridad, el nombre de usuario y la contraseña se extraen y pasan a un directorio de personas para ser verificados. Si la combinación de nombre de usuario y contraseña es válida, el resultado se devuelve al servidor y el mensaje se acepta y se procesa. Al utilizar la autenticación básica, las señales de nombre de usuario sólo pasan en el mensaje de solicitud de una importación y no se pasan en el mensaje de respuesta de una exportación.
En este release de IBM Integration Designer, las señales de nombre de usuario (tal como se utilizan en la autenticación básica) son la única forma de señal de seguridad que se documenta exhaustivamente. Si desea obtener información detallada de otros tipos de señales de seguridad, como las señales binarias o las señales personalizadas, debería consultar los recursos web enumerados en la tabla.
Arquitectura de seguridad de mensajes
Estos componentes se describen individualmente en la tabla siguiente.
| Componente | Descripción | |
|---|---|---|
| 1 | Generador de solicitudes | En el lado cliente (importación), el generador de solicitudes define las restricciones de seguridad en el mensaje de solicitud SAO saliente con uno o más mecanismos de seguridad, por ejemplo la firma digital, el cifrado o las señales de seguridad. |
| 2 | Consumidor de solicitudes | En el lado de servidor (exportación), el consumidor de solicitudes define las restricciones de seguridad en el mensaje de solicitud SOAP entrante, por ejemplo garantizando que:
Las propiedades de seguridad WS que define el consumidor de solicitudes deben coincidir con las que ha definido el generador de solicitudes. |
| 3 | Generador de respuestas | En el lado de servidor (exportación), el generador de respuestas define las restricciones de seguridad en el mensaje de respuestas SOAP saliente con uno o más mecanismos de seguridad, por ejemplo la firma digital, el cifrado o las señales de seguridad. |
| 4 | Consumidor de respuestas | En el lado cliente (importación), el consumidor de respuestas define las restricciones de seguridad en el mensaje de respuesta SOAP entrante, por ejemplo garantizando que:
Las propiedades de seguridad WS que define el consumidor de respuestas deben coincidir con las que ha definido el generador de respuestas. |
Ventajas de la seguridad WS
La seguridad WS conlleva muchísimas ventajas, por ejemplo:
- Se pueden asegurar distintas partes de un mensaje y de distintas maneras. Por ejemplo, puede utilizar la integridad en la señal de seguridad (ID de usuario y contraseña) y la confidencialidad en el cuerpo de mensaje SOAP.
- Se pueden utilizar intermediarios y se puede proporcionar seguridad completa a nivel de mensaje mediante cualquier número de intermediarios.
- La seguridad WS trabaja en varios transportes y es independiente del protocolo de transporte subyacente.
- Es posible utilizar la autenticación de los usuarios individuales y de varias identidades de partes.