Gerenciando serviços web › Segurança em serviços web

Segurança em serviços web

Ao implementar serviços web, entender as considerações de segurança importantes. A configuração padrão quando o HTTP é usado não é segura; todas as informações sem formatação enviadas entre o cliente e o servidor em chamadas de serviços web pela rede com o protocolo HTTP não estão protegidas. Isso inclui não somente dados de aplicativos, como descrições de ticket e nomes de contatos, mas também identificadores de sessão de serviço web (SID). Dependendo dos métodos de logon do aplicativo do serviço web usado, ele pode incluir senhas.

É recomendável que os administradores que implementam serviços web releiam atentamente essas informações e sigam etapas adicionais de configuração em nível de aplicativo e de rede para proteger o ambiente de seus serviços web.

Importante: a configuração padrão do serviço web usada com HTTP é arriscada e vulnerável a ameaças à segurança, que podem incluir descoberta de senha, invasões, espionagem de dados, etc.

Há três importantes configurações de segurança inter-relacionadas na implantação de serviços web:

• Que esquemas de autenticação de acesso (nível de aplicativo) esta implantação deve suportar?
• Que recursos adicionais de segurança de nível de rede esta implementação exige?
• Como estes requisitos serão impostos por meio das opções de configuração de serviços web?

A seguir está a descrição de cada recurso de segurança:

• Esquemas de autenticação em nível de aplicativo de serviço web—Para acessar os serviços web, um aplicativo cliente de serviço web deve ser autenticado com o aplicativo de serviço web. Os serviços web fornecem dois esquemas de autenticação de acesso. O primeiro é por nome do usuário/senha enquanto o outro é pela tecnologia PKI (Infra-estrutura de chave pública). Ambos trabalham com o componente de controle e gerenciamento de acesso nos serviços web, usando a política de acesso. A autenticação de acesso e o gerenciamento de acesso são os recursos de segurança mais importantes dos serviços web.

  A autenticação com métodos de nome do usuário/senha pode ser desativada usando-se o seguinte comando de configuração de segurança:

  disable_user_logon 
  

  Antes de ativar esta opção, o administrador precisa verificar se todos os clientes de serviço web para os quais uma empresa está solicitando acesso a serviços web podem realmente suportar o método alternativo de autenticação, que é o método de logon com base em PKI. A principal vantagem da tecnologia PKI é que os aplicativos clientes de serviços web não exigem contas de usuário no sistema mantidas, isto é, a manutenção, o armazenamento e a transmissão de suas senhas.

• Configuração de segurança em nível de rede—Nos dois esquemas de autenticação, nome do usuário/senha e PKI (Infraestrutura de chave pública), observe que o identificador de sessão retornado do método de logon específico (assim como todas as informações subsequentes) é transmitido como texto sem formatação quando o HTTP é usado. Além disso, se o esquema de autenticação de nome do usuário/senha for usado, a senha será enviada desprotegida (em texto sem formatação) do aplicativo cliente de serviço web para os serviços web. Durante o desenvolvimento de produto, o W3C não tinha os padrões recomendados para segurança de serviços web. Após essa fase, o WS-Security não é usado por essas implementações de serviços web para fornecer um contexto de segurança. Em vez disso, o SSL/TLS (Transport Layer Security) ponto a ponto e outros mecanismos de segurança em nível de rede (por exemplo, IPSec) são recomendados para proteger a transmissão de texto sem formatação das trocas de autenticação em nível de aplicativo, a subsequente identificação de sessão e os dados.

  Importante: O SSL (ou https) é recomendado quando serviços web são implantados para proteger as trocas de autenticação em nível de aplicativos, as transmissões subsequentes de identificação de sessão e os dados.

• Configuração de serviço web—Para permitir que os administradores imponham segurança em nível de protocolos a comunicações no nível do aplicativo de serviços web, os dois seguintes comandos de configuração de segurança são aceitos:

  require_secure_logon
  

  Esse recurso de segurança requer que você use o SSL (ou https) para chamar os métodos Login() e LoginService(). Esse recurso também fornece um método prático para proteger o nome do usuário e a senha enquanto evita a sobrecarga de SSL no restante dos serviços web.

  Importante: se você usar o comando require_secure_logon, o aplicativo de serviços web não confirmará que a segurança em nível de protocolo de comunicações está imposta aos métodos diferentes de Login() e LoginService(). A menos que outras precauções sejam tomadas, outros métodos de serviços web podem ser chamados sem segurança, causando uma maior vulnerabilidade a ameaças à segurança.

  require_secure_connection
  

  Esse recurso de segurança exige que você use o SSL para acessar qualquer parte do serviço web. Se o https for necessário, mas não for usado, então será retornada uma SOAP Fault com código UDS_SECURE_CHANNEL_REQUIRED.

  Observação: para obter mais informações sobre como configurar o SSL, consulte a documentação do container de servlet do J2EE.

Mais informações:

Especificações externas