Avec WS-Security,
Microsoft
définit des schémas W3C
XML Schema pour sécuriser les messages SOAP.
Par Hervé AGNOUX, de la SARL diaam informatique, pour
XMLfr et le groupe XML Sécurité d'Annecy Multimédia.
lundi 5 novembre 2001
Microsoft propose pour examen WS-Security, (Web Services Security),
une spécification pour construire des services web sécurisés. Techniquement, Microsoft a construit WS-Security
sur SOAP.
WS-Security propose 3
mécanismes pour améliorer la sécurité d'une transaction :
- la
certification, pour l'attestation des documents,
- l'intégrité,
pour assurer que les document est intact,
- la
confidentialité, pour protéger la diffusion du message.
WS-Security propose un nouvel
espace de nom pour mettre en oeuvre cette spécification.
Au sein des messages SOAP, il
propose un schéma pour définir les certificats ; il montre comment utiliser XML Signature pour protéger l'intégrité, et XML Encryption pour protéger la confidentialité.
La spécification aborde également la gestion des erreurs ;
elle recommande vivement de mettre en place un mécanisme pour détecter les
renvois de message, mécanisme à base d'horodateur ou de numéro séquentiel, par
exemple.
Ces techniques de sécurité ne peuvent se suffire à elles
même, et il faut les mettre en relation avec d'autres services. En particulier,
Microsoft propose WS-Routing,
pour définir le cheminement des messages, et surtout WS-Licence,
pour inclure des certificats X509 ou des tickets
Kerberos.
Autres articles:
Copyright 2001,
Hervé AGNOUX.
|
