Sécurité des services Web

Lors du déploiement des services Web, consultez les remarques de sécurité importantes. En cas d'utilisation du protocole HTTP, la configuration par défaut n'est pas sécurisée, comme c'est le cas pour toutes les informations sur les appels de services Web échangées par le client et le serveur sur le réseau, en texte brut, à l'aide du protocole HTTP. Cela inclut non seulement des données d'application, telles que des descriptions de ticket et des noms de contact, mais également les identificateurs de session de service Web (SID). Selon les méthodes de connexion à l'application de service Web utilisées, des mots de passe peuvent être inclus.

Nous conseillons vivement aux administrateurs qui déploient des services Web de lire attentivement ces informations et de réaliser des actions de configuration supplémentaires au niveau de l'application et du réseau afin de sécuriser leur environnement de service Web.

Important : la configuration par défaut du service Web utilisée avec HTTP n'est pas sécurisée et elle est donc vulnérable aux menaces de sécurité telles que le vol des mots de passe, le blocage de session et l'espionnage des données.

Le déploiement des services Web doit prendre en considération trois questions de sécurité interdépendantes :

Quelles sont les méthodes d'authentification d'accès (niveau applicatif) que ce déploiement doit prendre en charge ?

Quelles sont les fonctions de sécurité supplémentaires dont ce déploiement a besoin en matière de mise en réseau ?

Comment ces exigences seront-elles appliquées par l'intermédiaire des options de configuration du service Web ?

Voici une description de chacune des fonctions de sécurité :

Méthodes d'authentification au niveau de l'application de service Web : pour pouvoir accéder aux services Web, une application client de service Web doit être authentifiée auprès de l'application de service Web. Les services Web proposent deux méthodes d'authentification d'accès. Il est possible de recourir à la combinaison nom d'utilisateur/mot de passe ou à la technologie d'infrastructure de clés publiques (PKI). Ces deux méthodes fonctionnent en collaboration avec le composant de gestion et contrôle d'accès des services Web, en utilisant notamment les politiques d'accès. L'authentification et la gestion d'accès sont les fonctions de sécurité les plus importantes des services Web.

La commande de configuration de la sécurité suivante permet de désactiver les méthodes d'authentification recourant à la combinaison nom d'utilisateur/mot de passe :

disable_user_logon

Avant d'activer cette option, l'administrateur doit déterminer si chaque client de service Web pour lequel une entreprise demande un accès aux services Web peut réellement prendre en charge l'autre méthode d'authentification, c'est-à-dire la méthode de connexion basée sur PKI. L'avantage principal de la technologie d'infrastructure de clés publiques (PKI) vient de ce que les applications client de services Web ne nécessitent pas que le système assure la gestion des comptes d'utilisateur (maintenance, stockage et transmission de leurs mots de passe).

Configuration de la sécurité pour la mise en réseau : qu'il s'agisse de la méthode d'authentification par nom d'utilisateur/mot de passe ou par infrastructure de clés publiques (PKI), vous remarquerez que l'identificateur de session renvoyé par la méthode de connexion choisie (ainsi que toutes les informations qui en découlent) est transmis en texte brut lorsque le HTTP est utilisé. De plus, lorsque la méthode d'authentification par nom d'utilisateur/mot de passe est utilisée, l'application client du service Web envoie le mot de passe aux services Web sans le protéger (en texte brut). Le W3C n'a pas recommandé de norme pour la sécurité des services Web pendant la phase de développement du produit. C'est pourquoi ces implémentations de services Web n'utilisent pas WS-Security pour créer un contexte sécurisé. Il est donc recommandé d'utiliser le protocole SSL/TLS de point à point ainsi que d'autres mécanismes de sécurité au niveau du réseau (par exemple, le protocole IPSec) afin de protéger le texte transmis lors des échanges d'authentification au niveau de l'application qui, sans cela, apparaît en clair, ainsi que l'identification et les données de session transmises ultérieurement.

Important : Il est conseillé d'utiliser le protocole SSL (ou https) lors du déploiement des services Web afin de protéger les échanges d'authentification au niveau de l'application ainsi que les transmissions ultérieures d'identification et de données de session.

Configuration du service Web : les deux commandes de configuration de sécurité suivantes sont prises en charge afin de permettre aux administrateurs de sécuriser les communications à l'aide d'un protocole au niveau de l'application de services Web :

require_secure_logon

Cette fonction de sécurité nécessite que vous utilisiez un protocole SSL (ou https) pour appeler les méthodes Login() et LoginService(). Elle constitue également une méthode pratique de protection du nom d'utilisateur et du mot de passe, tout en évitant la surcharge du protocole SSL pour les autres services Web.

Important : si vous utilisez la commande require_secure_logon, l'application de services Web ne confirmera pas que la sécurisation des communications par protocole est appliquée pour les méthodes autres que Login() et LoginService(). Si vous ne prenez pas d'autres précautions, il se peut que les autres méthodes de services Web soient appelées de façon non sécurisée, ce qui accroît la vulnérabilité aux menaces sur la sécurité.

require_secure_connection

Cette fonction vous oblige à utiliser le protocole SSL pour accéder à n'importe quelle partie du service Web. Si le protocole https est requis, mais reste inutilisé, une erreur SOAP reprenant le code UDS_SECURE_CHANNEL_REQUIRED est renvoyée.

Remarque : Pour plus d'informations sur la configuration du protocole SSL, reportez-vous à la documentation du conteneur de servlets J2EE.

Informations complémentaires :