WS-Security est la brique essentielle de la sécurité des Web Services. Il est par conséquent difficile de concevoir que l'on puisse traiter sérieusement de ce sujet sans avoir une connaissance suffisante de cette norme. Il faut donc se contraindre à la lire, ainsi que l'ensemble des documents qui s'y rapportent, ce qui représente un exercice particulièrement pénible, mais néanmoins indispensable. Cet article tente de synthétiser les éléments les plus importants et, hélas, indispensables à la bonne compréhension de la suite du dossier. Courage !
1. Objectif et limitations de WS-Security
WS-Security est une norme OASIS [OASIS], actuellement en version 1.1 [WSSE11]. Sa publication date du 1er février 2006. Son objectif est de définir un cadre générique de sécurisation des messages SOAP. Les fonctions proposées à ce titre sont le chiffrement, la signature et le transport des jetons d'authentification et sont implémentées via l'utilisation d'extensions dans les en-têtes SOAP.
Ces extensions sont construites à partir des éléments suivants :
- XML Encryption : qui offre les fonctions de chiffrement des données et des informations critiques de l'en-tête ;
- XML Signature : pour la signature et le contrôle d'intégrité de tout ou partie du message et de l'en-tête ;
- Les jetons de sécurité : pour le transport des « déclarations » (claims) auprès du destinataire du message.
La flexibilité des technologies implémentées dans WS-Security assure la capacité de protéger différentes parties...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première