管理 Web 服务 › Web 服务安全

Web 服务安全

部署 Web 服务时，需要考虑以下重要的安全注意事项： 使用 HTTP 时的默认配置是不安全的，原因在于它使用 HTTP 协议通过网络以纯文本在客户端和服务器之间发送 Web 服务调用中的所有消息。 这不仅包括应用程序数据（如票据描述和联系人姓名），而且包括 Web 服务会话标识符 (SID)；还可能包括密码，具体取决于所用的 Web 服务应用程序登录方法。 强烈建议部署 Web 服务的管理员仔细阅读此信息，并在应用程序级别和网络级别采取其他配置措施来保护其 Web 服务环境。

重要信息！ 与 HTTP 一起使用的默认 Web 服务配置是不安全的，且容易受到安全威胁（包括密码破解、会话固定和数据监视等）的攻击。

部署 Web 服务时，请考虑 3 个重要的相关安全注意事项:

• 此部署应该支持哪些（应用程序级别）访问验证方案？
• 此部署需要哪些附加的网络级别安全功能？
• 如何通过 Web 服务配置选项强制执行这些要求？

以下描述了各个安全功能：

• Web 服务应用程序级别身份验证方案 - 要访问 Web 服务，必须使用 Web 服务应用程序对 Web 服务客户端应用程序进行身份验证。 Web 服务提供了两种执行访问验证的方案。 一种是按用户名/密码验证，另一种是采用公钥基础构架 (PKI) 技术验证。 通过使用访问策略，这两种方案都适用于 Web 服务中的“访问控制和管理”组件。 访问验证和访问管理都是 Web 服务最重要的安全功能。

  要禁止通过用户名/密码进行验证，请使用以下安全配置命令：

  disable_user_logon 
  

  在启用此选项之前，管理员需要确定是否每个 Web 服务客户端（企业要求对其进行 Web 服务访问）都可以真正地支持备用验证方法（基于 PKI 的登录方法）。 PKI 技术的主要优点是 Web 服务客户端应用程序不需要维护的系统用户帐户，即密码的维护、存储和传输。

• 联网级别安全配置 - 在用户名/密码和公钥基础架构 (PKI) 这两种身份验证方案中，请注意在使用 HTTP 时，从特定登录方法返回的会话标识符（以及所有后续信息）将以纯文本形式传输。 此外，如果使用用户名/密码验证方案，密码将在未受保护的情况下（以纯文本形式）从 Web 服务客户端应用程序发送到 web 服务。 在产品开发期间，W3C 并没有给出 Web 服务安全标准的建议。 因此，这些 Web 服务实现将不使用 WS-Security 来提供安全上下文。 建议使用点对点传输层安全性 (SSL/TLS) 和其他网络级别安全机制（例如，IPSec）来保护应用程序级别验证交换以及后续会话识别和数据的其他纯文本传输。

  重要信息！ 建议在部署 Web 服务时，使用 SSL（或 https）来保护应用程序级别的验证交换以及会话标识和数据的后续传输。

• Web 服务配置 - 为了允许管理员在 Web 服务应用程序级别强制执行通信协议级别的安全保护，支持以下两个安全配置命令：

  require_secure_logon
  

  此安全功能要求您使用 SSL（或 https）调用 Login() 和 LoginService() 方法。 此功能还提供了一种便捷方法来保护用户名和密码，同时避免其余 Web 服务的 SSL 开销。

  重要信息！ 如果您使用 require_secure_logon 命令，则 Web 服务应用程序将不确定是否对 Login() 和 LoginService() 之外的方法强制执行了通信协议级别的安全。 除非采取其他安全措施，否则可能不安全地调用其他 Web 服务方法，从而提高遭受安全威胁攻击的可能性。

  require_secure_connection
  

  此安全功能要求您使用 SSL 访问 Web 服务的任何部分。 如果需要 https 但并未使用 https，则返回代码为 UDS_SECURE_CHANNEL_REQUIRED 的 SOAP Fault。

  注意：有关如何配置 SSL 的信息，请参阅您的 J2EE Servlet Container 文档。

详细信息：

外部规格