Pregunta Diferencia entre los mecanismos de seguridad de WS


¿Qué ventajas hay entre la implementación de mensajes SOAP sobre SSL al modificar web.xml / ejb-jar.xml VS modificando el WSDL con una WS-Policy?

Nuestro proyecto puede lograr su objetivo de que nuestros clientes (nosotros mismos) accedan al Servicio web a través de una conexión segura mediante la adición de una garantía de transporte, pero no estamos seguros de si esa es una solución completa / correcta.


6
2018-04-19 14:25


origen


Respuestas:


Con SSL, obtiene un cifrado punto a punto entre el cliente y el servicio. Si el servicio no es el destinatario final del mensaje, sino un proxy que enruta este mensaje a otro servicio, no tiene cifrado entre los dos servicios, o debe configurarlo también.

WS-Security configurado a través de WS-Policy tiene el potencial de proporcionarle un cifrado de extremo a extremo entre el cliente y el destinatario final del mensaje, ya que puede cifrar el cuerpo del mensaje. No es necesario configurar SSL para cada par de entidades en comunicación. Cada proxy solo puede enrutar el mensaje, como se define en el encabezado.

Dicho esto, si no necesita garantías de extremo a extremo, pero el punto a punto es suficiente (que es su escenario, por lo que yo entiendo), diría que usar SSL es una opción justa.

Otra cosa a considerar es que las implementaciones de WS-Security del cliente y el servicio deben poder interoperar. SSL en general es bastante maduro, pero mi experiencia personal es que las implementaciones de WS-Security no lo son. Por lo tanto, si tiene diferentes WS- * Stacks para cliente y servidor, podría ser un poco de piratería y prueba y error encontrar una configuración de política que funcione para ambos.


4
2018-04-19 14:40