Java WebServices Security Ing. Lennon Shimokawa Miyashiro

Presentación del tema: "Java WebServices Security Ing. Lennon Shimokawa Miyashiro"— Transcripción de la presentación:

1 Java WebServices Security Ing. Lennon Shimokawa Miyashiro http://lshimokawa.net lshimokawa@gmail.com

2 WebService Endpoints Los WebServices pueden ser desplegados como: EJB Endpoints Servlet Endpoints

3 Características vulnerables Protocolos de transporte que cruzan firewalls La comunicación es iniciada por los consumidores que no tienen relación con los proveedores El formato de mensaje es texto

4 Transport Layer Security HTTPS: Hyper Text Transport Protocol Secure (puerto 443) SSL: Secure Sockets Layer Point-to-Point Security Autenticación, confidencialidad, integridad

5 Transport Layer Security Negociación del algoritmo soportado Intercambio de llaves y autenticación Encriptado simétrico y autenticación el mensaje

6 Message Level Security La seguridad se incluye en el mensaje SOAP End-to-End Security

7 Ventajas La seguridad está en el mensaje sin importar los intermediarios hasta que llegue a su destino Fine-grained: puede ser aplicado a diferentes partes del mensaje Independiente del protocolo de transporte Desventaja: complejidad y overhead

8 Mecanismos de seguridad Encriptación Autenticación

9 Iniciativas y organizaciones The World Wide Web Consortium (W3C) Organization for Advancement of Structured Information Standards (OASIS) Web Services Interoperability Organization (WS-I) Java Community Process (JCP)

10 Especificaciones W3C XML Encryption (XML-Enc) XML Digital Signature (XML-Sig) XML Key Management Specification (XKMS) http://www.w3.org/Security/

11 Especificaciones OASIS Web Services Security (WSS): SOAP Message Security Security Assertion Markup Language (SAML) eXtensible Access Control Markup Language (XACML)

12 Especificaciones WS-I Basic Security Profile (BSP) http://www.ws-i.org/

13 Especificaciones JCP JSR 104: XML Trust Service APIs JSR 105: XML Digital Signature APIs JSR 106: XML Encryption APIs JSR 155: Web Services Security Assertions JSR 183: Web Services Message Security APIs JSR 196: Java Authentication Service Provider Interface for Containers

14 Message Security en JavaEE Application Server Message Security Implementation Java WSDP XWSS Security Implementation

15 Application Server Security Entrar a la consola administrativa Entrar a Configuración > Seguridad > Seguridad de mensajes > SOAP En Seguridad de mensajes especificar el proveedor y el proveedor de cliente Guardar la configuración