Cesta k bezpečným webovým službám

Webové služby se mají stát dalším obrovským krokem vpřed v oblasti aplikací a transakcí založených na internetové...


Webové služby se mají stát dalším obrovským krokem vpřed v oblasti aplikací a
transakcí založených na internetové technologii. Jsou dnes klíčovou komponentou
obchodně-integračních iniciativ mnoha firem, a jejich zabezpečení by tudíž
nemělo zůstat opomenuto. Vybudování silných politik a náležité infrastruktury
může v budoucnu ušetřit mnohá trápení. Současné technologie včetně základních
nástrojů ověření totožnosti na bázi SSL a HTTP sice nabízejí pro webové služby
jisté zabezpečení, ale nové standardy nabídnou mnohem silnější ochranu. Přijetí
náležitých bezpečnostních opatření a jejich správné uvedení do praxe v
dlouhodobé perspektivě přinese úsporu času a peněz.
Ačkoli jsou webové služby poměrně nové, hlavní zásady zabezpečení zůstávají
stejné. Každé takové řešení by mělo splňovat následujících pět požadavků:
ověření totožnosti, autorizaci, důvěrnost, integritu dat a nevyvratitelnost.
Uživatelé by měli býti identifikováni, ať už prostřednictvím základního
uživatelského ID nebo kombinací s heslem či v případě silnější ochrany dat
čímsi na způsob certifikátu. Jakmile bude uživatel identifikován a ověřen, měla
by každá jeho žádost projít procesem autorizace; uživateli následně budou
poskytnuta práva a svolení požadovaný úkon provést. Navíc všechny citlivé
informace by měly zůstat přísně důvěrné v průběhu celého procesu, data by
neměla být měněna, nýbrž by si měla zachovat svou původní podobu. Jakmile dojde
k vytvoření objednávky nebo podání žádosti, musejí nastoupit nástroje pro
zajištění nevyvratitelnosti, aby skutečnost, že byla učiněna objednávka nebo
žádost, nemohl nikdo později zpochybňovat.
Zabezpečovací řešení existují i pro webové služby, ale některá z nich nejsou
nová. Ve skutečnosti mnoho takovýchto zabezpečovacích řešení pro webové služby
dnes stále používá technologii, které se už několik let používá k zabezpečení
internetových stránek zabývajících se elektronickým obchodem. Nicméně pracuje
se i na několika nových standardech a mnohé další se objeví, až se trh s
webovými službami rozroste.
Na té úplně nejzákladnější rovině může mít zabezpečení webových služeb podobu
uživatelského ID a hesla pro ověření totožnosti, seznam možných přístupů nebo
oprávnění v podobě souboru pro autorizaci, stručné shrnutí zpráv pro uchování
celistvosti dat a šifrování SSL (Secure Sockets Layer) pro zajištění
důvěrnosti. Digitální podpisy a časové údaje lze použít k zajištění
nevyvratitelnosti, nicméně jejich instalace představuje velmi složitý úkol.
Řešení, která lze dnes snadno uvést do praxe, neposkytují dostatečně silnou
zabezpečovací infrastrukturu pro tak kriticky náročnou architekturu, jakou mají
právě webové služby. Ověření totožnosti prostřednictvím uživatelského ID a
hesla anebo adresy elektronické pošty, jako je tomu v případě Microsoft
Passportu lze poměrně snadno zfalšovat, pokud komunikace není šifrována. V
důsledku toho mnohá řešení používají k šifrování síťové komunikace standard
SSL, ovšem i ten má své problémy. Asi tím největším je skutečnost, že jeho
šifrovací výpočty příliš zatěžují procesor, a tím se zásadním způsobem
transakce zpomaluje. SSL akcelerátory mohou tento proces urychlit, ale zase
jsou poměrně nákladné.Dalším problémem SSL je to, že nedokáže poskytnout
komplexní zabezpečení. Pokud transakce prochází zprostředkujícími systémy, jako
je například systém kreditní verifikace nebo smart gateway, neexistuje způsob,
jak rozpoznat, zda data nebyla záměrně pozměněna. Navíc pověřovací znaky
uživatele nelze snadno předávat přes všechny transakční řetězce, což
potenciálně zabraňuje úspěšnému provedení transakce, a tomu, kdo transakci
zahájil, znemožňuje se nalogovat do každého kroku procesu.

Nová generace
Naštěstí vznikají nová řešení, která mají poskytnout lepší zabezpečení pro
uživatele webových služeb. Společnost Microsoft teď například do svého
Passportu začlenila i standard Kerberos, který má zajistit lepší ověřování
totožnosti. Společnost Liberty Alliance zase prosazuje konkurenční produkt,
který má méně centralistický model ověření totožnosti, ale jeho specifikace
dosud nebyly definovány. Firmy jako Oblix či Netegrity pracují na vývoji
řešení, jež umožní správu uživatelských pověřovacích klíčů a přispějí k možné
spolupráci mezi různými platformami webových služeb.Jsou vyvíjeny i podpůrné
nástroje pro ověření totožnosti a pro autorizaci. Obzvláště silným řešením jsou
v tomto směru smart karty a produkty z oblasti biometrie. Navíc se též pracuje
na vývoji rámců pro ověřování totožnosti, které zajistí dokonalou kontrolu nad
celým procesem ověření totožnosti.Větší stupeň kontroly než použití prostého
SSL zajistí uživatelům několik novinek ve formátu XML. Například specifikace
XML nabízí možnost digitálně podepisovat celé dokumenty nebo jejich části. XML
šifrování zase definuje způsob šifrování a dešifrování dokumentů, ať už jako
celek nebo po částech. Další v pořadí XKMS (XML Key Management Specification)
naopak určuje způsob registrace a distribuce veřejných klíčů, přičemž ošetřuje
problémy s distribucí klíčů u transakcí, kde spolu strany předtím nebyly nikdy
v kontaktu. SAML (Security Assertion Markup Language) je mechanismus fungující
na základě formátu XML a zajišťuje výměnu informací týkajících se ověření
totožnosti a autorizace. SAML poskytne uživatelům webové služby možnost
takového podpisu, kdy uživatel prokáže svou totožnost pouze jednou, a díky tomu
bude mít ihned přístup k řadě aplikací.Nakonec je třeba zdůraznit, že žádná
architektura zabezpečení není kompletní bez určité politiky. XACML (Extensible
Access Control Markup Language) proto specifikuje způsob vyjádření postupů pro
přístup k informacím po síti.
Webové služby jsou velmi složité a tento článek se problému zabezpečení, který
je s nimi spjat, pouze letmo dotkl. Například jsem se ani nezmínili o mnoha
otázkách spojených přímo se servery jak zabránit spuštění úmyslně špatného
kódu. A i když nové technologie nepochybně zajistí větší zabezpečení webových
služeb, odpověď na otázku volající po spolehlivém zabezpečení má stále stejnou
odpověď: Klíčem k úspěchu jakékoli zabezpečovací infrastruktury jsou přesně
definované politiky zabezpečení, náležitá instalace, správa a údržba.

Popis standardů
Kerberos - Kerberos je autentifikační technologie, jež využívá k identifikaci
uživatelů šifrovacích důkazů, a lze ji tak použít k oněření totožnosti webových
služeb.
SALM (Security Assertion Markup Language) - SAML je mechanismus pracující na
bázi XML, zajištující ověření totožnosti a autorizaci informací. Poskytuje
možnost jediného podpisu pro webové služby.
XML Signature - Specifikace XML definuje způsob reprezentace digitálního
podpisu ve formátu XML, A TAK SKÝTÁ MOŽNOCT DIGITÁLNĚ PODEPISOVAT BUDTO celé
dokumenty, anebo jejich specifické sekce.
XML Enryption - Specifikace podobná XML podpisu. Definuje způsob šifrování a
dešifrování dokumentů, ať již jako celku nebo jejich částí.
XKMS (XML Key Management Specification) - Tato specifikace definuje registraci
a distribuci veřejných klíčů, ošetřuje problémy s distribucí klíčů při
transakcích, kde předtím nedošlo k žádné komunikaci mezi dvěma stranami.
XACLM (Extensible Access Control Markup Language) - XACLM specifikuje způsob
vyjádření postupů, jimiž se v síti řídí přístup k informacím.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.