Laurea Magistrale in Informatica Reti 2 (2007/08) WS-Security Laurea Magistrale in Informatica Reti 2 (2007/08) dott. Federico Paoloni Federico.paoloni@unicam.it

Premessa In tutte le applicazioni web-based è fondamentale avere un alto livello di sicurezza I Web Services si basano su messaggi SOAP scambiati principalmente via HTTP. Il protocollo HTTP non è stato realizzato con l’obiettivo di creare connessioni sicure Da solo non può offrire garanzie di scambio di messaggi sicuro. WS-Security

Breve Storia Per ovviare ai problemi sono state implementate alcune soluzioni Protocollo SSL Crittografia Simmetrica e Asimmetrica Kerberos Etc. WS-Security

ASPETTI DELLA SICUREZZA AUTHENTICATION Il processo di verifica di una identità AUTHORIZATION Il processo che permette l’accesso a risorse o servizi CONFIDENTIALITY Sicurezza che nessuna entità non autorizzata possa intercettare un dato protetto WS-Security

ASPETTI DELLA SICUREZZA IDENTIFICATION l'insieme di dati che ne distinguono l'identità di un utente nei sistemi informativi REPUTATION NON – REPUDIATION Prova che il messaggio è stato spedito da un determinato utente verso un altro DATA INTEGRITY Verifica che il dato non è stato compromesso WS-Security

Cosa è WS-Security SOAP necessita di tutti gli aspetti di sicurezza precedentementi descritti e per farlo utilizza una estensione WS-Security E’ uno specifico framework che fornisce delle estensioni a SOAP WS-Security

Standard Principali (1) XML-Encryption Fa parte del framework WS-Security Fornisce uno standard di crittografia specifico per file XML Può essere crittografato tutto il documento xml o solamente una specifica parte del messaggio Garantisce la confidenzialità WS-Security

Standard Principali (2) XML-Signature Fa parte del framework WS-Security Permette ad un documento XML di contenere una specifica parte (FIRMA) dove è contenuto uno specifico algoritmo che rappresenta la firma digitale La Firma viene concatenata con il documento XML e si può vericare se è stata alterata da terze parti Garantisce Integrità e Non Ripudio WS-Security

Soluzione Ibrida WS-Security

Single Sign On SAML ( Security Assertion Markup Language) Implementa un sistema di single sign-on nel quale si avrà Issuing Authority : Autorità che certifica l’identità, l’autenticazione e le autorizzazioni del sistema Service Requestor : Un richiedente Service Provider : Un servizio esposto WS-Security

ESEMPIO SAML WS-Security

Sicurezza in SOA con SSL

SICUREZZA CON SSL + WS-SECURITY

ESEMPIO UTILIZZO WS-SECURITY XML - Introduzione ai concetti

XML - Introduzione ai concetti TOKEN WS-SECURITY Autenticazione tramite nome utente e pwd <wsse:UsernameToken> <wsse:Username>giovanni</wsse:Username> <wsse:Password Type="wsse:PasswordText">password</wsse:Password> </wsse:UsernameToken> Autenticazione tramite certificato X509 <wsse:BinarySecurityToken ValueType="wsse:X509v3“ EncodingType="wsse:Base64Binary" Id="SecurityToken-f49bd662-59a0-401a-ab23-1aa12764184f" >MIIHdjCCB...</wsse:BinarySecurityToken> XML - Introduzione ai concetti

XML - Introduzione ai concetti FINE XML - Introduzione ai concetti