Web-сервисы SOAP

В статье  рассмотрены механизмы и технологии, которые в сочетании позволяют создать комплексную систему защиты информации для web-сервисов, использующих протокол SOAP. Рассмотрены основные угрозы web-сервисов и механизмы их нейтрализации. Рассмотрены уровни, где возможно реализовать защиту, и создана схема на базе спецификации WS-Security, что позволяет создать комплексную защиту.

Безопасность — одно из основных требований многих видов корпоративных сервисов. Это также область риска при попытках создания своих собственных сервисов, поскольку даже незначительная и незаметная ошибка может привести к серьезным уязвимостей. Эти характеристики делают обязательным стандартизации управления безопасностью, которая позволяет многим экспертам внести свой ​​вклад в стандарт и избежать каких-либо индивидуальных упущений. На сегодняшний день SOAP (Simple Object Access Protocol) является наиболее распространенным протоколом обмена структурированными сообщениями в распределенных вычислительных системах, основанный на формате XML. SOAP имеет проблемы безопасности, которые включают в себя следующее:

— SOAP не выполняет аутентификацию между конечными точками SOAP или между посредниками, поэтому нет возможности проверить происхождение SOAP сообщения.

— SOAP не предусматривает механизма для обеспечения целостности данных и конфиденциальности, как во время хранения, так и во время транспортировки.

— SOAP не предусматривает механизма для выявления перенаправление сообщения SOAP.

На данный момент существует большое количество технологий, стандартов, алгоритмов для защиты веб-сервисов. Среди них WS-Security, SSL / TLS, WS-Security Tokens, SSL / TLS X.509 Certificates, XACML, XrML, RBAC, ABAC, EPAL, XACML, UDDI, ebXML, SWSA, OWL-S, ebXML, WS-Trust, XKMS, X.509, SAML, WS-Trust, WS-Federation, IDFF, WS-Policy, WS-SecurityPolicy, WS-ReliableMessaging, WS- Reliability. Поэтому перед разработчиком и компаниями, которые имеют целью защитить свои веб-сервисы, возникает вопрос, какие именно технологии выбрать чтобы создать комплексную защиту и при этом избежать дублирования функциональности и лишних затрат на разработку. То же создание комплексной защиты веб-сервисов SOAP является целесообразным и актуальным.