Gestione dei servizi Web › Sicurezza dei servizi Web

Sicurezza dei servizi Web

Quando si effettua la distribuzione dei servizi Web, comprendere le importanti considerazioni di protezione. Quando si utilizza il protocollo HTTP, la configurazione predefinita non è protetta. Se la rete utilizza questo protocollo, tutte le informazioni in formato di testo semplice trasmesse nelle chiamate dei servizi Web tra i client e i server non sono protette. Questo include non solo i dati dell'applicazione, come le descrizioni dei ticket e i nomi dei contatti, ma anche gli ID delle sessioni di servizio Web (SID). A seconda dei metodi di accesso all'applicazione del servizio Web utilizzati, può includere delle password.

Si consiglia che gli amministratori che si occupano della distribuzione dei servizi Web consultino attentamente queste informazioni ed eseguano le procedure di configurazione aggiuntive ai livelli di applicazione e di rete al fine di proteggere l'ambiente dei servizi Web.

Importante la configurazione dei servizi Web che utilizza il protocollo HTTP non è protetta e pertanto è vulnerabile alle minacce dal mondo esterno. Tali minacce possono includere i tentativi di lettura delle password, il session-fixation, lo spionaggio dei dati e altro ancora.

Ci sono tre fattori principali relativi alla protezione da tenere in considerazione quando si distribuiscono i servizi Web:

• Quali schemi di autenticazione per l'accesso (al livello di applicazione) deve supportare la distribuzione?
• Quali altre funzioni di protezione al livello di rete richiede la distribuzione?
• In che modo devono essere applicati questi requisiti tramite le opzioni di configurazione dei servizi Web?

Le risposte a queste domande sono descritte di seguito.

• Schemi di autenticazione livello applicazione servizi Web—Per accedere ai servizi Web, un'applicazione client di servizi Web dev'essere autenticata con l'applicazione servizi Web. I servizi Web offrono due schemi di autenticazione per l'accesso. Il primo schema è rappresentato dal nome utente e dalla password; il secondo dalla tecnologia PKI (Public Key Infrastructure, infrastruttura a chiave pubblica). Nei servizi Web entrambi gli schemi lavorano a stretto contatto con il controllo dell'accesso e con il componente di gestione dell'accesso, utilizzando infatti la stessa policy di accesso. L'autenticazione per l'accesso e la gestione dell'accesso rappresentano le funzioni di protezione più importanti per i servizi Web.

  L'autenticazione che si basa sui metodi nome utente e password può essere disabilitata utilizzando il comando di configurazione della protezione seguente:

  disable_user_logon 
  

  Prima di abilitare questa opzione, l'amministratore deve determinare se ciascun client dei servizi Web, per cui un'organizzazione richiede l'accesso ai servizi Web, può effettivamente fornire il supporto per il metodo di autenticazione alternativo, ovvero il metodo di accesso basato su PKI. Il vantaggio principale della tecnologia PKI sta nel fatto che le applicazioni client dei servizi Web non richiedono la gestione degli account degli utenti di sistema, ovvero la gestione, la custodia e la trasmissione delle password.

• Configurazione di sicurezza livello di rete—Tenere presente che in entrambi gli schemi di autenticazione, quello basato sui nomi utente/password e quello basato sulla tecnologia PKI, gli ID di sessione restituiti dal metodo di accesso specifico (e tutte le altre informazioni correlate) vengono trasmessi in formato di testo semplice se si utilizza il protocollo HTTP. Inoltre, se si utilizza lo schema di autenticazione basato sul nome utente/password, la password viene inviata non protetta (in formato di testo semplice) dall'applicazione client ai servizi Web. Durante lo sviluppo del prodotto, W3C (World Wide Web Consortium) non aveva stabilito standard per la protezione dei servizi Web. Di conseguenza, la protezione dei servizi Web non è una funzionalità utilizzata da queste implementazioni di servizi per garantire un ambiente protetto. Si consiglia invece l'uso di protocolli di protezione al livello di trasporto punto a punto (SSL/TLS) e altri meccanismi di protezione al livello di rete (ad esempio, IPSec) per proteggere le trasmissioni di dati in formato di testo semplice per lo scambio delle informazioni sull'autenticazione al livello di applicazione e le trasmissioni degli ID di sessione e dei dati correlati.

  Importante Si consiglia l'uso del protocollo SSL (o https) quando si distribuiscono i servizi Web per proteggere gli scambi delle informazioni relative all'autenticazione al livello di applicazione e le trasmissioni degli ID di sessione e dei dati correlati.

• Configurazione servizi Web—Per applicare la protezione delle comunicazioni (basate su protocollo) al livello dell'applicazione dei servizi Web, sono disponibili i due comandi di configurazione della protezione seguenti:

  require_secure_logon
  

  Questa funzione di protezione richiede l'uso del protocollo SSL (o https) per il richiamo dei metodi Login() e LoginService(). Questa funzione fornisce un metodo pratico per proteggere il nome utente e la password e allo stesso tempo evita il sovraccarico del protocollo SSL per ciò che riguarda gli altri aspetti dei servizi Web.

  Importante se si utilizza il comando require_secure_logon, l'applicazione dei servizi Web non confermerà che la protezione al livello di protocollo per le comunicazioni è applicata per metodi diversi da Login() e LoginService(). A meno che non vengano implementate altre precauzioni, è possibile che altri metodi per i servizi Web vengano richiamati senza misure di protezione, rendendo i sistemi più vulnerabili e quindi più esposti alle minacce dal mondo esterno.

  require_secure_connection
  

  Questa funzione di protezione richiede l'utilizzo del protocollo SSL per accedere a qualsiasi parte del servizio Web. Se è richiesto il protocollo https ma non viene utilizzato, viene restituito un errore SOAP con codice UDS_SECURE_CHANNEL_REQUIRED.

  Nota: per ulteriori informazioni sulle modalità di configurazione del protocollo SSL, consultare la documentazione del contenitore servlet J2EE.

Ulteriori informazioni:

Specifiche esterne