WS-Security
WS-Security — это предложение по добавлению безопасности уровня сообщений к сообщениям SOAP, определению стандартизированных местоположений и синтаксиса, с помощью которых маркеры безопасности (такие как сертификаты X.509 и паспорта протокола Цербер) могут переноситься в заголовках SOAP для защиты содержимого сообщений SOAP.
Безопасность веб-служб использует существующие спецификации XML Digital Signature (электронная подпись XML) и XML Encryption (шифрование XML) для регистрации результатов, соответственно, операций подписи и шифрования в синтаксисе XML. По сути, безопасность веб-служб будет стандартизировать, где блоки данных XML Signature и XML Encryption переносятся в сообщении SOAP.
Зачем это нужно?
Механизмы безопасности, такие как TLS (Transport Layer Security), недостаточны для обеспечения безопасности веб-служб. Поскольку TLS создает безопасный канал, по которому проходят сообщения, он не способен к дифференцированной защите, например, шифрованию и (или) подписанию только определенных компонентов этих сообщений. Это актуально в тех случаях, когда промежуточные субъекты должны получить доступ к неконфиденциальным частям сообщения или изменить их. Кроме того, в сценарии, когда сообщение SOAP может проходить через несколько субъектов, TLS неспособна обеспечить межабонентскую защиту. TLS позволяет защищать только каждую пересылку с вытекающими из этого пробелами в безопасности у промежуточных субъектов.
Статус
В августе 2002 года сформирован новый технический комитет OASIS для надзора за стандартизацией предложения по обеспечению безопасности веб-служб.
Вклад компании Entrust
Entrust активно участвует в новом техническом комитете OASIS, работающем над безопасностью веб-служб. Компания Entrust уже получила поддержку XML Signature и XML Encryption в наборе инструментов безопасности Entrust Authority™ для Java, которые служат фундаментом для обеспечения безопасности веб-служб. По мере продвижения спецификации, Entrust будет опираться на эту существующую поддержку для непосредственной поддержки самой спецификации безопасности веб-служб.