Web サービスのセキュリティ

Web サービスを展開する際は、セキュリティに関する重要な考慮事項を理解しておく必要があります。 HTTPを使用する場合、その初期設定にはセキュリティ上の脆弱性があります。つまり、Webサービスコール内の全情報は、HTTPプロトコルを使用してネットワーク上のクライアントとサーバ間を平文で送信されてしまいます。この情報には、チケットに関する説明や連絡先名などのアプリケーションデータだけでなく、Web サービスのセッション ID （SID）が含まれます。さらに、Web サービスアプリケーションで使用するログイン方法によってはパスワードも含まれます。

Web サービスを展開する管理者は、この情報を熟読して十分に理解し、アプリケーションおよびネットワークの両方のレベルで追加の設定手順を実行して、Web サービス環境を確実に保護するように努めてください。

重要： HTTPで使用するデフォルトの Webサービスには、セキュリティ上の脆弱性があるため、パスワードの漏洩、セッションの固定、データの盗み見などのセキュリティの脅威に曝されています。

Webサービスを展開するときは、以下に示す相互に関連した3つのセキュリティ事項について考慮する必要があります。

展開をサポートするために必要なアプリケーションレベルのアクセス認証スキーマ
展開に必要なネットワークレベルの追加機能
Webサービス設定オプションを使って、これらの要件を施行する方法

以下に、各セキュリティ機能について説明します。

Web サービスアプリケーションレベルの認証スキーマ - Web サービスにアクセスするには、Web サービスクライアントアプリケーションが Web サービスアプリケーションで認証される必要があります。 Webサービスのアクセス認証用に2種類のスキーマが用意されています。ユーザ名/パスワードによる認証と、パブリックキーインフラストラクチャ（PKI）テクノロジによる認証です。どちらの認証もアクセスポリシーを使用して、Web サービスのアクセスコントロール/管理コンポーネントと連動します。アクセス認証およびアクセス管理は、Webサービスで最も重要なセキュリティ機能です。
ユーザ名/パスワードによる認証は、以下のセキュリティ設定コマンドを使用して無効にできます。
```
disable_user_logon 
```
管理者はこのオプションを有効にする前に、Webサービスにアクセスするために企業で使用する各Webサービスクライアントが別の認証方法（PKIベースのログイン方法）を実際にサポートできるかどうかを確認する必要があります。 PKI テクノロジの大きなメリットは、システムユーザアカウントの管理（つまり、システムユーザのパスワードの管理、保存、および送信）が Web サービスクライアントアプリケーションで不要である点です。
ネットワークレベルのセキュリティ設定 - ユーザ名/パスワード認証およびパブリックキーインフラストラクチャ（PKI）認証のどちらの認証スキーマでも、HTTP を使用する場合は、特定のログイン方法（および続いて送受信されるすべての情報）から返されるセッション ID が平文で送受信されることに注意してください。さらに、ユーザ名/パスワード認証スキーマを使用している場合、パスワードは保護されない平文の状態でWebサービスクライアントアプリケーションからWebサービスへ送信されます。製品開発中は、W3CによるWebサービスセキュリティの勧告基準はありませんでした。このため、これらのWebサービスの実装では、安全なコンテキストを提供するWSセキュリティが使用されません。代わりに、ポイントツーポイントトランスポートレイヤセキュリティ（SSL/TLS）や、ネットワークレベルのその他のセキュリティ方式（IPSecなど）を使用してネットワークを保護してください。こうしないと、アプリケーションレベルの認証交換、およびそれに続いて送受信されるセッションIDとデータが、すべて平文のまま送受信されます。
重要： Web サービスを展開するときは、SSL（または https）を使用して、アプリケーションレベルの認証交換、および続いて送受信されるセッション ID とデータを保護することをお勧めします。
Web サービス設定 - 管理者は次の 2 つのセキュリティ設定コマンドを使用して、Web サービスアプリケーションレベルで、プロトコルレベルのセキュリティを施行した通信を確立できます。
```
require_secure_logon
```
このセキュリティ機能では、Login()およびLoginService()メソッドのコールにSSL（https）を使用する必要があります。この機能は、他のWebサービスにかかるSSLのオーバーヘッドを回避すると同時に、ユーザ名およびパスワードを保護することにも役立ちます。

重要： require_secure_logonコマンドを使用すると、Webサービスアプリケーションは、Login()およびLoginService()以外のメソッドについて、通信でプロトコルレベルのセキュリティが施行されていることを確認しません。このため、他のセキュリティ対策が講じられていない場合、Login()およびLoginService()以外のWebサービスメソッドは保護されない状態で呼び出されるため、セキュリティが非常に脆弱になります。
```
require_secure_connection
```
このセキュリティ機能では、WebサービスにアクセスするためにSSLを使用する必要があります。 httpsが必要であるにも関わらず使用されない場合は、SOAP FaultがUDS_SECURE_CHANNEL_REQUIREDコードと共に返されます。

注： SSL の設定方法の詳細については、J2EE サーブレットコンテナのドキュメントを参照してください。