Ασφάλεια Υπηρεσιών Ιστού (WS) με Παράδειγμα SOAP

Τι είναι το WS Security;

Το WS Security είναι ένα πρότυπο που ασχολείται με την ασφάλεια κατά την ανταλλαγή δεδομένων ως μέρος μιας υπηρεσίας ιστού. Αυτό είναι ένα βασικό χαρακτηριστικό του SOAP που το καθιστά πολύ δημοφιλές για τη δημιουργία υπηρεσιών ιστού.

Η ασφάλεια είναι ένα σημαντικό χαρακτηριστικό σε κάθε διαδικτυακή εφαρμογή. Δεδομένου ότι σχεδόν όλες οι διαδικτυακές εφαρμογές εκτίθενται στο διαδίκτυο, υπάρχει πάντα η πιθανότητα απειλής για την ασφάλειά τους. Επομένως, κατά την ανάπτυξη...ping Για εφαρμογές που βασίζονται στο web, συνιστάται πάντα να διασφαλίζεται ότι η εφαρμογή έχει σχεδιαστεί και αναπτυχθεί με γνώμονα την ασφάλεια.

Απειλές Ασφαλείας και Αντίμετρα

Για να κατανοήσουμε τις απειλές ασφαλείας που μπορεί να είναι εχθρικές για μια διαδικτυακή εφαρμογή, ας δούμε ένα απλό σενάριο μιας διαδικτυακής εφαρμογής και ας δούμε πώς λειτουργεί από άποψη ασφάλειας.

Ένα από τα μέτρα ασφαλείας που διατίθενται για το HTTP είναι το πρωτόκολλο HTTPS. Το HTTPS είναι ο ασφαλής τρόπος επικοινωνίας μεταξύ του πελάτη και του διακομιστή μέσω του ιστού. Το HTTPS χρησιμοποιεί το Secure Sockets Layer ή SSL για ασφαλή επικοινωνία. Τόσο ο πελάτης όσο και ο διακομιστής θα έχουν ένα ψηφιακό πιστοποιητικό για να αναγνωρίζονται ως γνήσιοι όταν λαμβάνει χώρα οποιαδήποτε επικοινωνία μεταξύ του πελάτη και του διακομιστή.

Σε μια τυπική επικοινωνία HTTPS μεταξύ του πελάτη και του διακομιστή, πραγματοποιούνται τα ακόλουθα βήματα:

1. Ο πελάτης στέλνει ένα αίτημα στον διακομιστή μέσω του πιστοποιητικού πελάτη. Όταν ο διακομιστής βλέπει το πιστοποιητικό πελάτη, κάνει μια σημείωση στο σύστημα προσωρινής αποθήκευσης, έτσι ώστε να γνωρίζει ότι η απάντηση πρέπει να επιστρέφει μόνο σε αυτόν τον πελάτη.
2. Στη συνέχεια, ο διακομιστής ελέγχει τον εαυτό του στον πελάτη στέλνοντας το πιστοποιητικό του. Αυτό διασφαλίζει ότι ο πελάτης επικοινωνεί με τον σωστό διακομιστή.
3. Όλη η επικοινωνία μεταξύ του πελάτη και του διακομιστή στη συνέχεια κρυπτογραφείται. Αυτό διασφαλίζει ότι εάν οποιοσδήποτε άλλος χρήστης προσπαθήσει να παραβιάσει την ασφάλεια και να λάβει τα απαιτούμενα δεδομένα, δεν θα μπορεί να τα διαβάσει επειδή θα είναι κρυπτογραφημένα.

Ωστόσο, ο παραπάνω τύπος ασφάλειας δεν θα λειτουργήσει σε όλες τις περιπτώσεις. Μπορεί να έρθει μια στιγμή που ο πελάτης θα μπορεί να επικοινωνεί με πολλούς διακομιστές. Ένα παράδειγμα που δίνεται παρακάτω δείχνει έναν πελάτη να επικοινωνεί ταυτόχρονα με μια βάση δεδομένων και έναν διακομιστή ιστού. Σε τέτοιες περιπτώσεις, δεν μπορούν να περάσουν όλες οι πληροφορίες μέσω του πρωτοκόλλου HTTPS.

Εδώ είναι που το SOAP έρχεται να ξεπεράσει τέτοια εμπόδια, έχοντας θέσει σε εφαρμογή την προδιαγραφή WS Security. Με αυτήν την προδιαγραφή, όλα τα δεδομένα που σχετίζονται με την ασφάλεια ορίζονται στο στοιχείο κεφαλίδας SOAP. Το στοιχείο κεφαλίδας μπορεί να περιέχει τις παρακάτω πληροφορίες:

1. Εάν το μήνυμα εντός του σώματος SOAP έχει υπογραφεί με οποιοδήποτε κλειδί ασφαλείας, αυτό το κλειδί μπορεί να οριστεί στο στοιχείο κεφαλίδας.
2. Εάν οποιοδήποτε στοιχείο μέσα στο SOAP Body είναι κρυπτογραφημένο, η κεφαλίδα θα περιέχει τα απαραίτητα κλειδιά κρυπτογράφησης, έτσι ώστε το μήνυμα να μπορεί να αποκρυπτογραφηθεί όταν φτάσει στον προορισμό του.

Σε ένα περιβάλλον πολλαπλών διακομιστών, η παραπάνω τεχνική ελέγχου ταυτότητας SOAP βοηθά με τον ακόλουθο τρόπο:

• Εφόσον το σώμα του SOAP είναι κρυπτογραφημένο, θα μπορεί να αποκρυπτογραφηθεί μόνο από τον διακομιστή ιστού που φιλοξενεί την υπηρεσία Ιστού. Αυτό οφείλεται στο πώς έχει σχεδιαστεί το πρωτόκολλο SOAP.
• Ας υποθέσουμε ότι το μήνυμα διαβιβάζεται στον διακομιστή βάσης δεδομένων μέσω ενός αιτήματος HTTP. Δεν μπορεί να αποκρυπτογραφηθεί επειδή η βάση δεδομένων δεν διαθέτει τους κατάλληλους μηχανισμούς για να το κάνει.
• Μόνο όταν το αίτημα φτάσει στον διακομιστή Ιστού ως πρωτόκολλο SOAP, θα είναι σε θέση να αποκρυπτογραφήσει το μήνυμα και να στείλει την κατάλληλη απάντηση πίσω στον πελάτη.

Θα δούμε στα επόμενα θέματα πώς μπορεί να χρησιμοποιηθεί το πρότυπο WS Security για SOAP.

Πρότυπα ασφαλείας υπηρεσιών Web

Όπως συζητήθηκε στην προηγούμενη ενότητα, το πρότυπο WS-Security περιστρέφεται γύρω από την ενσωμάτωση του ορισμού ασφαλείας στην κεφαλίδα SOAP. Τα διαπιστευτήρια στην κεφαλίδα SOAP διαχειρίζονται με 2 τρόπους.

Αρχικά, ορίζει ένα ειδικό στοιχείο που ονομάζεται UsernameToken. Αυτό χρησιμοποιείται για τη μεταβίβαση του ονόματος χρήστη και του κωδικού πρόσβασης στην υπηρεσία web. Ο άλλος τρόπος είναι να χρησιμοποιήσετε ένα Binary Token μέσω του BinarySecurityToken. Αυτό χρησιμοποιείται σε περιπτώσεις όπου χρησιμοποιούνται τεχνικές κρυπτογράφησης όπως το Kerberos ή το X.509.

Το παρακάτω διάγραμμα δείχνει τη ροή του τρόπου λειτουργίας του μοντέλου ασφαλείας στο WS Security.

Παρακάτω παρατίθενται τα βήματα που ακολουθούνται στην παραπάνω ροή εργασίας:

1. Ένα αίτημα μπορεί να σταλεί από τον πελάτη της υπηρεσίας Web στην Υπηρεσία Security Token. Αυτή η υπηρεσία μπορεί να είναι μια ενδιάμεση υπηρεσία web η οποία έχει σχεδιαστεί ειδικά για την παροχή ονομάτων χρήστη/κωδικών πρόσβασης ή πιστοποιητικών στην πραγματική υπηρεσία web SOAP.
2. Στη συνέχεια, το διακριτικό ασφαλείας μεταβιβάζεται στον πελάτη της υπηρεσίας Web.
3. Στη συνέχεια, ο πελάτης της υπηρεσίας Web καλεί την υπηρεσία web, αλλά αυτή τη φορά διασφαλίζοντας ότι το διακριτικό ασφαλείας είναι ενσωματωμένο στο μήνυμα SOAP.
4. Στη συνέχεια, η υπηρεσία Web κατανοεί το μήνυμα SOAP με το διακριτικό ελέγχου ταυτότητας και στη συνέχεια μπορεί να επικοινωνήσει με την υπηρεσία Security Token για να δει εάν το διακριτικό ασφαλείας είναι αυθεντικό ή όχι.

Το παρακάτω απόσπασμα δείχνει τη μορφή του τμήματος ελέγχου ταυτότητας που αποτελεί μέρος του εγγράφου WSDL. Με βάση το παρακάτω απόσπασμα, το μήνυμα SOAP θα περιέχει 2 επιπλέον στοιχεία, το ένα είναι το Όνομα Χρήστη και το άλλο είναι ο Κωδικός Πρόσβασης.

<xs:element name="UsernameToken">
   <xs:complexType>
      <xs:sequence>
         <xs:element ref="Username"/>
         <xs:element ref="Password" minOccurs="0"/>
      </xs:sequence>
      <xs:attribute name="Id" type="xs:ID"/>
   </xs:complexType>
</xs:element>

Όταν το μήνυμα SOAP μεταβιβάζεται μεταξύ των πελατών και του διακομιστή, το μέρος του μηνύματος που περιέχει τα διαπιστευτήρια χρήστη μπορεί να μοιάζει με αυτό που φαίνεται παραπάνω. Το όνομα του στοιχείου wsse είναι ένα ειδικό όνομα στοιχείου που ορίζεται για το SOAP και σημαίνει ότι περιέχει πληροφορίες που βασίζονται στην ασφάλεια.

Πώς να δημιουργήσετε ασφαλείς υπηρεσίες web

Ας δούμε τώρα ένα παράδειγμα ασφάλειας διαδικτυακής υπηρεσίας SOAP. Θα δημιουργήσουμε μια ασφάλεια διαδικτυακής υπηρεσίας με βάση το παράδειγμα που παρουσιάστηκε νωρίτερα στο κεφάλαιο SOAP και θα προσθέσουμε ένα επίπεδο ασφαλείας σε αυτό.

Στο παράδειγμά μας, θα δημιουργήσουμε μια απλή διαδικτυακή υπηρεσία, η οποία θα χρησιμοποιηθεί για να επιστρέψει μια συμβολοσειρά στην εφαρμογή που καλεί την διαδικτυακή υπηρεσία. Αλλά αυτή τη φορά, όταν καλείται η διαδικτυακή υπηρεσία, τα διαπιστευτήρια πρέπει να δοθούν στην καλούσα υπηρεσία. Ας ακολουθήσουμε τα παρακάτω βήματα για να δημιουργήσουμε την διαδικτυακή υπηρεσία SOAP και να προσθέσουμε τον ορισμό ασφαλείας σε αυτήν.

Βήμα 1) Το πρώτο βήμα είναι να δημιουργήσετε ένα κενό Asp.Net Web εφαρμογή. Από το Visual Studio 2013, κάντε κλικ στην επιλογή μενού Αρχείο->Νέο έργο.

Μόλις κάνετε κλικ στην επιλογή Νέο έργο, το Visual Studio θα σας δώσει ένα άλλο παράθυρο διαλόγου για να επιλέξετε τον τύπο του έργου και να δώσετε τις απαραίτητες λεπτομέρειες του έργου. Αυτό εξηγείται στο επόμενο βήμα.

Βήμα 2) Στο στάδιο αυτό,

1. Βεβαιωθείτε ότι έχετε επιλέξει πρώτα το C# Πρότυπο ιστού για εφαρμογή ιστού ASP.NET. Το έργο πρέπει να είναι αυτού του τύπου για να δημιουργηθεί ένα έργο υπηρεσιών ιστού. Επιλέγοντας αυτήν την επιλογή, το Visual Studio θα εκτελέσει στη συνέχεια τα απαραίτητα βήματα για την προσθήκη των απαραίτητων αρχείων που απαιτούνται από οποιαδήποτε εφαρμογή ιστού.
2. Δώστε ένα όνομα για το έργο σας που στην περίπτωσή μας έχει δοθεί ως "webservice.asmx"Στη συνέχεια, φροντίστε να δώσετε μια τοποθεσία όπου θα αποθηκευτούν τα αρχεία του έργου.

Μόλις τελειώσετε, θα δείτε το αρχείο έργου που δημιουργήθηκε στην εξερεύνηση λύσεων στο Visual Studio 2013.

Βήμα 3) Σε αυτό το βήμα, θα προσθέσουμε ένα αρχείο υπηρεσίας ιστού στο έργο μας.

1. Αρχικά, κάντε δεξί κλικ στο αρχείο του έργου όπως φαίνεται παρακάτω.

2. Μόλις κάνετε δεξί κλικ στο αρχείο έργου, έχετε την ευκαιρία να επιλέξετε την επιλογή "Προσθήκη->Υπηρεσία Ιστού (ASMX)" για να προσθέσετε ένα αρχείο υπηρεσίας ιστού. Απλώς δώστε ένα όνομα Υπηρεσίας Εκμάθησης για το αρχείο ονόματος υπηρεσίας ιστού.

Το παραπάνω βήμα θα εμφανίσει ένα παράθυρο διαλόγου, όπου μπορείτε να εισαγάγετε το όνομα του αρχείου της διαδικτυακής υπηρεσίας. Στο παρακάτω παράθυρο διαλόγου, εισαγάγετε το όνομα του TutorialService ως όνομα αρχείου.

Βήμα 4) Προσθέστε τον ακόλουθο κώδικα στο αρχείο Asmx της Υπηρεσίας Εκμάθησης. Το παρακάτω απόσπασμα κώδικα χρησιμοποιείται για την προσθήκη μιας προσαρμοσμένης κλάσης που θα χρησιμοποιηθεί για την αλλαγή της κεφαλίδας SOAP όταν δημιουργηθεί το μήνυμα SOAP. Επειδή τώρα θέλουμε να προσθέσουμε διαπιστευτήρια ασφαλείας στην κεφαλίδα SOAP, αυτό το βήμα είναι απαραίτητο.

      return "This is a Guru99 Web Service";
   }

   public class AuthHeader : SoapHeader
   {
      public string UserName;
      public string Password;
   }
}

Code Επεξήγηση:

1. Τώρα δημιουργούμε μια ξεχωριστή κλάση που ονομάζεται AuthHeader που είναι τύπου Κατηγορία SoapHeaderΚάθε φορά που θέλετε να αλλάξετε τι διαβιβάζεται στην κεφαλίδα SOAP, πρέπει να δημιουργήσετε μια κλάση που χρησιμοποιεί την ενσωματωμένη κλάση SoapHeader του .Net. Προσαρμόζοντας την κεφαλίδα SOAP, έχουμε πλέον τη δυνατότητα να διαβιβάζουμε ένα «Όνομα Χρήστη» και έναν «Κωδικό Πρόσβασης» όταν καλείται η υπηρεσία web.
2. Στη συνέχεια ορίζουμε τις μεταβλητές του 'UserName' και 'Password' που είναι τύπου string. Θα χρησιμοποιηθούν για τη διατήρηση των τιμών του ονόματος χρήστη και του κωδικού πρόσβασης που μεταβιβάζονται στην υπηρεσία web.

Βήμα 5) Ως επόμενο βήμα, ο ακόλουθος κώδικας πρέπει να προστεθεί στον ίδιο Αρχείο TutorialService.asmxΑυτός ο κώδικας ορίζει στην πραγματικότητα τη συνάρτηση της διαδικτυακής μας υπηρεσίας. Αυτή η συνάρτηση επιστρέφει μια συμβολοσειρά "Αυτό είναι ένα Guru99 υπηρεσία Web" στον υπολογιστή-πελάτη. Αλλά αυτή τη φορά, η συμβολοσειρά θα επιστραφεί μόνο εάν η εφαρμογή-πελάτης μεταβιβάσει τα διαπιστευτήρια στην υπηρεσία web.

public class TutorialService : System.Web.Services.WebService
{
   public AuthHeader Credentials;

   [SoapHeader("Credentials")]

   [WebMethod]
   public string Guru99WebService()
   {

      if (Credentials.UserName.ToLower() != "Guru99" ||
      Credentials.Password.ToLower() != "Guru99Password")
      {
         throw new SoapException("Unauthorized",
         SoapException.ClientFaultCode);
      }
      else
      return "This is a Guru99 Web service";
   }

Code Επεξήγηση:

1. Εδώ, δημιουργούμε ένα αντικείμενο της κλάσης AuthHeader που δημιουργήθηκε στο προηγούμενο βήμα. Αυτό το αντικείμενο θα περάσει στο δικό μας Guru99Διαδικτυακή υπηρεσία στο οποίο μπορούν να εξεταστούν προσεκτικά το όνομα χρήστη και ο κωδικός πρόσβασης.
2. Το χαρακτηριστικό [SoapHeader] χρησιμοποιείται τώρα για να προσδιορίσει ότι όταν καλείται η υπηρεσία Web, πρέπει να έχει περάσει το όνομα χρήστη και ο κωδικός πρόσβασης.
3. Σε αυτό το μπλοκ κώδικα, εξετάζουμε στην πραγματικότητα το όνομα χρήστη και τον κωδικό πρόσβασης που δίνονται κατά την κλήση της διαδικτυακής υπηρεσίας. Εάν το Όνομα Χρήστη είναι ίσο με "Guru99" και ο κωδικός πρόσβασης είναι ίσος με "Guru99Κωδικός πρόσβασης», και στη συνέχεια το μήνυμα «Αυτό είναι ένα Guru99 Web service” διαβιβάζεται στον υπολογιστή-πελάτη. Διαφορετικά, θα σταλεί σφάλμα στον υπολογιστή-πελάτη εάν δοθεί λάθος αναγνωριστικό χρήστη και κωδικός πρόσβασης.

Εάν ο κώδικας εκτελεστεί με επιτυχία, θα εμφανιστεί η ακόλουθη έξοδος όταν εκτελείτε τον κώδικα στο πρόγραμμα περιήγησης.

Παραγωγή:

Η παραπάνω έξοδος εμφανίζεται όταν εκτελείται το πρόγραμμα, πράγμα που σημαίνει ότι η υπηρεσία Web είναι πλέον διαθέσιμη. Ας κάνουμε κλικ στην Υπηρεσία Descriptσύνδεσμος ιόντων.

Από την περιγραφή της υπηρεσίας, θα μπορείτε τώρα να δείτε ότι το όνομα χρήστη και ο κωδικός πρόσβασης είναι στοιχεία του wsdl αρχείο. Αυτές οι παράμετροι πρέπει να αποστέλλονται κατά την κλήση της υπηρεσίας web.

Web Service Security καλυτερα Πρακτικές

Ακολουθούν οι παράμετροι ασφαλείας που πρέπει να λαμβάνονται υπόψη κατά την εργασία με υπηρεσίες ιστού:

1. Έλεγχος και διαχείριση αρχείων καταγραφής – Χρησιμοποιήστε την καταγραφή εφαρμογών για να καταγράψετε όλα τα αιτήματα που φτάνουν στις διαδικτυακές υπηρεσίες. Αυτό παρέχει μια λεπτομερή αναφορά σχετικά με το ποιος έχει ενεργοποιήσει την διαδικτυακή υπηρεσία και μπορεί να βοηθήσει στην ανάλυση των επιπτώσεων σε περίπτωση παραβίασης της ασφάλειας.
2. Ροή κλήσεων προς την υπηρεσία ιστού – Προσπαθήστε να σημειώσετε τη ροή των κλήσεων στις διαδικτυακές υπηρεσίες. Από προεπιλογή, μια εφαρμογή θα μπορούσε να καλέσει πολλά αιτήματα διαδικτυακών υπηρεσιών με διακριτικά ελέγχου ταυτότητας που διαβιβάζονται μεταξύ αυτών των διαδικτυακών υπηρεσιών. Όλες οι κλήσεις μεταξύ διαδικτυακών υπηρεσιών πρέπει να παρακολουθούνται και να καταγράφονται.
3. Ευαίσθητες πληροφορίες – Μην συμπεριλαμβάνετε ευαίσθητες πληροφορίες στις καταχωρήσεις καταγραφής σας, όπως κωδικούς πρόσβασης, αριθμούς πιστωτικών καρτών ή οποιεσδήποτε άλλες εμπιστευτικές πληροφορίες. Εάν υπάρχει κάποιο συμβάν που περιέχει οποιαδήποτε από αυτές τις πληροφορίες, πρέπει να απορριφθεί πριν από την καταγραφή.
4. Track Επιχειρήσεις Operaσεις - Track σημαντικές επιχειρηματικές δραστηριότητες. Για παράδειγμα, χρησιμοποιήστε εργαλεία για την καταγραφή της πρόσβασης σε ιδιαίτερα ευαίσθητες μεθόδους και επιχειρηματική λογική. Πάρτε ένα παράδειγμα ηλεκτρονικού καταστήματοςping εφαρμογή. Υπάρχουν πολλά βήματα σε μια τυπική εφαρμογή, όπως η επιλογή των ειδών που θα αγοραστούν, τα είδη που φορτώνονται στο καλάθι και, στη συνέχεια, η τελική αγορά. Όλη αυτή η επιχειρηματική ροή εργασίας πρέπει να είναι tracελέγχεται από την υπηρεσία ιστού.
5. Σωστός έλεγχος ταυτότητας – Ο έλεγχος ταυτότητας είναι ο μηχανισμός με τον οποίο οι πελάτες μπορούν να προσδιορίσουν την ταυτότητά τους με την υπηρεσία web χρησιμοποιώντας ένα συγκεκριμένο σύνολο διαπιστευτηρίων που μπορούν να αποδείξουν αυτήν την ταυτότητα. Δεν πρέπει ποτέ να αποθηκεύονται τα διαπιστευτήρια χρήστη και, ως εκ τούτου, εάν χρησιμοποιείται το WS Security για την κλήση της υπηρεσίας web, πρέπει να σημειωθεί ότι η υπηρεσία web δεν πρέπει να αποθηκεύει τα διαπιστευτήρια που αποστέλλονται στην κεφαλίδα SOAP. Αυτά θα πρέπει να απορρίπτονται από την υπηρεσία web.

Συχνές Ερωτήσεις