Java WebServices Security Ing. Lennon Shimokawa Miyashiro
WebService Endpoints Los WebServices pueden ser desplegados como: EJB Endpoints Servlet Endpoints
Características vulnerables Protocolos de transporte que cruzan firewalls La comunicación es iniciada por los consumidores que no tienen relación con los proveedores El formato de mensaje es texto
Transport Layer Security HTTPS: Hyper Text Transport Protocol Secure (puerto 443) SSL: Secure Sockets Layer Point-to-Point Security Autenticación, confidencialidad, integridad
Transport Layer Security Negociación del algoritmo soportado Intercambio de llaves y autenticación Encriptado simétrico y autenticación el mensaje
Message Level Security La seguridad se incluye en el mensaje SOAP End-to-End Security
Ventajas La seguridad está en el mensaje sin importar los intermediarios hasta que llegue a su destino Fine-grained: puede ser aplicado a diferentes partes del mensaje Independiente del protocolo de transporte Desventaja: complejidad y overhead
Mecanismos de seguridad Encriptación Autenticación
Iniciativas y organizaciones The World Wide Web Consortium (W3C) Organization for Advancement of Structured Information Standards (OASIS) Web Services Interoperability Organization (WS-I) Java Community Process (JCP)
Especificaciones W3C XML Encryption (XML-Enc) XML Digital Signature (XML-Sig) XML Key Management Specification (XKMS)
Especificaciones OASIS Web Services Security (WSS): SOAP Message Security Security Assertion Markup Language (SAML) eXtensible Access Control Markup Language (XACML)
Especificaciones WS-I Basic Security Profile (BSP)
Especificaciones JCP JSR 104: XML Trust Service APIs JSR 105: XML Digital Signature APIs JSR 106: XML Encryption APIs JSR 155: Web Services Security Assertions JSR 183: Web Services Message Security APIs JSR 196: Java Authentication Service Provider Interface for Containers
Message Security en JavaEE Application Server Message Security Implementation Java WSDP XWSS Security Implementation
Application Server Security Entrar a la consola administrativa Entrar a Configuración > Seguridad > Seguridad de mensajes > SOAP En Seguridad de mensajes especificar el proveedor y el proveedor de cliente Guardar la configuración