WS-Security

Laurea Magistrale Laurea Magistrale in Informaticain Informatica

Reti 2 (2007/08)Reti 2 (2007/08)

dott. Federico PaoloniFederico.paoloni@unicam.it

WS-Security 2

Premessa

In tutte le applicazioni web-based è fondamentale avere un alto livello di sicurezza

I Web Services si basano su messaggi SOAP scambiati principalmente via HTTP.

Il protocollo HTTP non è stato realizzato con l’obiettivo di creare connessioni sicure

Da solo non può offrire garanzie di scambio di messaggi sicuro.

Breve Storia

Per ovviare ai problemi sono state implementate alcune soluzioni

Protocollo SSL

Crittografia Simmetrica e Asimmetrica

Kerberos

Etc.

WS-Security 3

ASPETTI DELLA SICUREZZA

WS-Security 4

AUTHENTICATION

Il processo di verifica di una identità

AUTHORIZATION

Il processo che permette l’accesso a risorse o servizi

CONFIDENTIALITY

Sicurezza che nessuna entità non autorizzata possa intercettare un dato protetto

ASPETTI DELLA SICUREZZA

WS-Security 5

IDENTIFICATION l'insieme di dati che ne

distinguono l'identità di un utente nei sistemi informativi

REPUTATION

NON – REPUDIATION

Prova che il messaggio è stato spedito da un determinato utente verso un altro

DATA INTEGRITY

Verifica che il dato non è stato compromesso

Cosa è WS-Security

SOAP necessita di tutti gli aspetti di sicurezza precedentementi descritti e per farlo utilizza una estensione WS-Security E’ uno specifico framework che fornisce delle

estensioni a SOAP

WS-Security 6

Standard Principali (1)

XML-Encryption

Fa parte del framework WS-Security

Fornisce uno standard di crittografia specifico per file XML

Può essere crittografato tutto il documento xml o solamente una specifica parte del messaggio

Garantisce la confidenzialità

WS-Security 7

Standard Principali (2)

XML-Signature

Fa parte del framework WS-Security

Permette ad un documento XML di contenere una specifica parte (FIRMA) dove è contenuto uno specifico algoritmo che rappresenta la firma digitale

La Firma viene concatenata con il documento XML e si può vericare se è stata alterata da terze parti

Garantisce Integrità e Non Ripudio

WS-Security 8

Soluzione Ibrida

WS-Security 9

Single Sign On

SAML ( Security Assertion Markup Language)

Implementa un sistema di single sign-on nel quale si avrà

Issuing Authority : Autorità che certifica l’identità, l’autenticazione e le autorizzazioni del sistema

Service Requestor : Un richiedente

Service Provider : Un servizio esposto

WS-Security 10

ESEMPIO SAML

WS-Security 11

Sicurezza in SOA con SSL

SICUREZZA CON SSL + WS-SECURITY

ESEMPIO UTILIZZO WS-SECURITY

XML - Introduzione ai concetti 14

TOKEN WS-SECURITY

XML - Introduzione ai concetti 15

Autenticazione tramite nome utente e pwd<wsse:UsernameToken>

<wsse:Username>giovanni</wsse:Username><wsse:Password Type="wsse:PasswordText">password</wsse:Password>

</wsse:UsernameToken>

Autenticazione tramite certificato X509<wsse:BinarySecurityToken ValueType="wsse:X509v3“ EncodingType="wsse:Base64Binary"Id="SecurityToken-f49bd662-59a0-401a-ab23-1aa12764184f">MIIHdjCCB...</wsse:BinarySecurityToken>

XML - Introduzione ai concetti 16

FINE