Web Services und Sicherheit
Sicherheitsmaßnahmen beziehen sich im Allgemeinen sowohl auf den Schutz einzelner Server durch Authentisierung, Autorisierung und Verschlüsselung, als auch auf das Abschotten einer internen Infrastruktur durch Firewalls. Sicherheitsmechanismen für integrierte E-Business-Szenarien müssen differenzierter sein, da es um den Schutz einzelner Services und Daten geht.
Sicherheit auf der Transportebene kann mit Mechanismen, die im Internet angewendet werden, hergestellt werden. HTTPS baut eine verschlüsselte Verbindung zwischen Client und Server auf und ist für einfache Situationen, z.B. wenn ein Client ohne Umwege mit genau einem Server kommuniziert, geeignet. Jede einzelne Nachricht, die ausgetauscht wird, wird über einen verschlüsselten Kanal verschickt.
Die Tatsache, dass bei der Verwendung von HTTPS jede ausgetauschte Nachricht verschlüsselt wird, bringt zwei Nachteile mit sich:
● Auf einem Server müssen viele Nachrichten gleichzeitig ver- und entschlüsselt werden.
Dies kann negative Auswirkungen auf die Systembelastung haben. Auch sind die über einen Web Service angebotenen Informationen nicht immer vertraulich und müssen nicht immer verschlüsselt werden.
● Bei einer SOAP-Interaktion handelt es sich nicht immer um eine Point-to-Point-Verbindung.
Es können mehr als zwei SOAP-Knoten beteiligt sein. Die zusätzlichen Zwischenknoten holen aus dem SOAP-Header Informationen über durchzuführende Aktionen. Dies ist bei einer kompletten Verschlüsselung durch HTTPS nicht möglich.
Auf der Nachrichtenebene ist ein fein-granulareres Verschlüsselungs- und Signaturkonzept möglich. Dabei wird nicht der Transportkanal, sondern die Nachricht selbst geschützt.
WS-Security (OASIS WS-Security) beschreibt ein Sicherheitsmodell auf der Basis der SOAP-Nachrichtenübertragung. WS-Security integriert im Wesentlichen XML Encryption und XML Signature.
Im Web Service Framework stehen derzeit verschiedene Mechanismen zur Sicherung der Datenübertragung und zur Vergabe von Berechtigungen für die Verarbeitung von Dokumenten zur Verfügung:
● Sichere Kommunikation durch Verwendung von SSL
● Dokumentensicherheit (XML Signature)
● Authentifizierung des Client
Um einen Web Service zu verwenden, sendet ein Benutzer (oder ein anderer Client) einem Server ein Dokument mit dem Simple Object Access Protocol (SOAP). Dieses wird mit Hilfe des HTTP-Protokolls über das Netzwerk verschickt. Die Transmission des Dokuments wird entweder durch Verwendung von HTTP über SSL abgesichert, oder durch Signierung und/oder Verschlüsselung des SOAP-Dokuments durch Verwendung von OASIS WS-Security.
Weitere Informationen finden Sie in den folgenden Abschnitten:
Empfohlene
WS-Security-Szenarios
Single Sign-On für
Web-Services