web services सुरक्षित वेब सेवाएं: एसओएपी+डब्लूएस-सुरक्षा बनाम एचटीटीपीएस पर आरईएसटी। कौनसा अच्छा है?




web-services security (9)

जैसा कि आप कहते हैं, आरईएसटी बैंकों के लिए काफी अच्छा है, इसलिए आपके लिए पर्याप्त होना चाहिए।

सुरक्षा के दो मुख्य पहलू हैं: 1) एन्क्रिप्शन और 2) पहचान।

एसएसएल / एचटीटीपीएस में प्रेषण तार पर एन्क्रिप्शन प्रदान करता है। लेकिन आपको यह सुनिश्चित करने की भी आवश्यकता होगी कि दोनों सर्वर पुष्टि कर सकें कि वे जानते हैं कि वे किससे बात कर रहे हैं। यह एसएसएल क्लाइंट प्रमाण पत्र, शेयर रहस्य, आदि के माध्यम से हो सकता है।

मुझे यकीन है कि कोई ऐसा मामला बना सकता है कि एसओएपी "अधिक सुरक्षित" है लेकिन शायद किसी भी महत्वपूर्ण तरीके से नहीं। नग्न मोटरसाइकिलवादी समानता प्यारा है लेकिन अगर सटीक यह इंगित करेगा कि पूरा इंटरनेट असुरक्षित है।

मैं किसी भी माध्यम से सुरक्षा विशेषज्ञ नहीं हूं, लेकिन मैं आरईएसटी-स्टाइल वेब सेवाओं को बनाने का पक्ष लेता हूं।

एक नई सेवा बनाने में जिसमें डेटा को सुरक्षित करने की आवश्यकता होती है, वह सुरक्षित हो जाती है। हमने एक बहस दर्ज की है कि कौन सा दृष्टिकोण अधिक सुरक्षित है - डब्लूएस-सुरक्षा के साथ एचटीटीपीएस या एसओएपी डब्ल्यूएस के साथ आरईएसटी।

मैं इस धारणा के तहत हूं कि हम सभी वेब सेवा कॉल के लिए HTTPS का उपयोग कर सकते हैं और यह दृष्टिकोण सुरक्षित होगा। जिस तरह से मैं इसे देखता हूं, "यदि एचटीटीपीएस बैंक और वित्तीय वेबसाइटों के लिए पर्याप्त है, तो यह मेरे लिए काफी अच्छा है"। दोबारा, मैं इस जगह में विशेषज्ञ नहीं हूं, लेकिन मुझे लगता है कि इन लोगों ने इस समस्या के बारे में काफी कठिन विचार किया है और एचटीटीपीएस के साथ सहज हैं।

एक सहकर्मी असहमत है और कहता है कि एसओएपी और डब्लूएस-सुरक्षा जाने का एकमात्र तरीका है।

इस पर पूरे बोर्ड पर वेब लगता है।

शायद यहां समुदाय प्रत्येक के पेशेवरों और विपक्षों पर वजन कर सकता है? धन्यवाद!


wiki आलेख देखें:

प्वाइंट-टू-पॉइंट स्थितियों में गोपनीयता लेयर सिक्योरिटी (टीएलएस) के उपयोग के माध्यम से वेब सेवाओं पर गोपनीयता और डेटा अखंडता भी लागू की जा सकती है, उदाहरण के लिए, https पर संदेश भेजकर।

डब्लूएस-सिक्योरिटी हालांकि मूल नोड से संदेश भेजने के बाद तक संदेशों की अखंडता और गोपनीयता बनाए रखने की व्यापक समस्या को संबोधित करता है, जिससे अंत तक सुरक्षा समाप्त हो जाती है।

अर्थात्:

  • एचटीटीपीएस एक परिवहन परत (बिंदु-से-बिंदु) सुरक्षा तंत्र है
  • डब्ल्यूएस-सिक्योरिटी एक एप्लीकेशन लेयर (एंड-टू-एंड) सुरक्षा तंत्र है।

एचटीटीपीएस पर आरईएसटी एक सुरक्षित विधि होनी चाहिए जब तक कि एपीआई प्रदाता प्रमाणीकरण को सर्वर समाप्त नहीं करता है। वेब एप्लिकेशन के मामले में हम जो भी करते हैं, वह एचटीटीपीएस और कुछ प्रमाणीकरण / प्रमाणीकरण के माध्यम से वेब एप्लिकेशन तक पहुंच रहा है, परंपरागत रूप से वेब अनुप्रयोगों में सुरक्षा समस्याएं नहीं थीं, फिर भी शेष एपीआई बिना किसी समस्या के सुरक्षा मुद्दों का सामना करेगी!


एचटीटीपीएस नेटवर्क पर संदेश के संचरण को सुरक्षित करता है और सर्वर की पहचान के बारे में ग्राहक को कुछ आश्वासन प्रदान करता है। यह आपके बैंक या ऑनलाइन स्टॉक ब्रोकर के लिए महत्वपूर्ण है। ग्राहक को प्रमाणित करने में उनकी रूचि कंप्यूटर की पहचान में नहीं है, बल्कि आपकी पहचान में है। इसलिए कार्ड नंबर, उपयोगकर्ता नाम, पासवर्ड इत्यादि का उपयोग आपको प्रमाणीकृत करने के लिए किया जाता है। आमतौर पर कुछ सावधानियों को यह सुनिश्चित करने के लिए लिया जाता है कि सबमिशन को छेड़छाड़ नहीं किया गया है, लेकिन पूरे सत्र में जो कुछ भी होता है, उसे आपके द्वारा शुरू किया गया माना जाता है।

डब्ल्यूएस-सुरक्षा संदेश की सृजन से इसकी खपत तक गोपनीयता और अखंडता संरक्षण प्रदान करता है। तो यह सुनिश्चित करने के बजाय कि संचार की सामग्री केवल सही सर्वर द्वारा पढ़ी जा सके, यह सुनिश्चित करता है कि इसे केवल सर्वर पर सही प्रक्रिया द्वारा ही पढ़ा जा सके। यह मानने के बजाय कि सुरक्षित रूप से शुरू किए गए सत्र में सभी संचार प्रमाणीकृत उपयोगकर्ता से हैं, प्रत्येक पर हस्ताक्षर किए जाने चाहिए।

नग्न मोटरसाइकिलों को यहां शामिल करने वाला एक मनोरंजक स्पष्टीकरण है:

http://blogs.msdn.com/vbertocci/archive/2005/04/25/end-to-end-security-or-why-you-shouldn-t-drive-your-motorcycle-naked.aspx

तो डब्ल्यूएस-सुरक्षा एचटीटीपीएस की तुलना में अधिक सुरक्षा प्रदान करता है, और एसओएपी आरईएसटी की तुलना में एक समृद्ध एपीआई प्रदान करता है। मेरी राय यह है कि जब तक आपको वास्तव में अतिरिक्त सुविधाओं या सुरक्षा की आवश्यकता न हो, आपको एसओएपी और डब्ल्यूएस-सिक्योरिटी के ओवरहेड को छोड़ना चाहिए। मुझे पता है कि यह एक पुलिस-आउट का थोड़ा सा है, लेकिन इस बारे में निर्णय कि वास्तव में कितनी सुरक्षा वास्तव में उचित है (न केवल निर्माण करने के लिए क्या ठंडा होगा) उन लोगों द्वारा की जानी चाहिए जो समस्या को गहराई से जानते हैं।


मैं हर दिन इस जगह में काम करता हूं इसलिए मैं इसे बंद करने के प्रयास में इस पर अच्छी टिप्पणियों को सारांशित करना चाहता हूं:

एसएसएल (HTTP / एस) केवल एक परत सुनिश्चित करता है:

  1. सर्वर से जुड़ा हुआ प्रमाणपत्र प्रमाण पत्र प्रस्तुत करता है (हालांकि इसे DNS विषाक्तता के माध्यम से धोखा दिया जा सकता है)।
  2. संचार परत एन्क्रिप्टेड है (कोई छिपाने वाला नहीं)।

डब्ल्यूएस-सुरक्षा और संबंधित मानकों / कार्यान्वयन पीकेआई का उपयोग करते हैं कि:

  1. ग्राहक की पहचान साबित करें।
  2. साबित करें कि संदेश में पारगमन (एमआईटीएम) में संशोधन नहीं किया गया था।
  3. सर्वर को क्लाइंट को प्रमाणीकृत / अधिकृत करने की अनुमति देता है।

अंतिम बिंदु सेवा अनुरोधों के लिए महत्वपूर्ण है जब ग्राहक (कॉलर) की पहचान जानने के लिए सर्वोपरि है IF उन्हें सेवा से ऐसे डेटा प्राप्त करने के लिए अधिकृत होना चाहिए। मानक एसएसएल एक तरफा (सर्वर) प्रमाणीकरण है और ग्राहक की पहचान करने के लिए कुछ भी नहीं करता है।


Brace yourself, here there's another coming :-)

आज मुझे अपनी प्रेमिका को एचटीटीपीएस के विरोध में डब्लूएस-सिक्योरिटी की अभिव्यक्तिशील शक्ति के बीच अंतर को समझाना पड़ा। वह एक कंप्यूटर वैज्ञानिक है, इसलिए यदि वह सभी एक्सएमएल मुम्बो जंबो को नहीं जानता है तो वह समझती है (शायद मुझसे बेहतर) क्या एन्क्रिप्शन या हस्ताक्षर का मतलब है। हालांकि मैं एक मजबूत छवि चाहता था, जो उसे वास्तव में समझ सकता है कि चीजों के लिए क्या उपयोगी है, इसके बजाय उन्हें कैसे लागू किया जाता है (कुछ समय बाद, वह इससे बच नहीं आई :-))।

तो यह इस तरह चला जाता है। मान लीजिए कि आप नग्न हैं, और आपको अपनी मोटरसाइकिल को एक निश्चित गंतव्य पर ले जाना है। (ए) मामले में आप पारदर्शी सुरंग से गुजरते हैं: अश्लील व्यवहार के लिए गिरफ्तार नहीं होने की आपकी एकमात्र आशा यह है कि कोई भी नहीं देख रहा है। यह वास्तव में सबसे सुरक्षित रणनीति नहीं है जिसके साथ आप बाहर आ सकते हैं ... (लड़के के माथे से पसीने की बूंद देखें :-))। यह स्पष्ट रूप से एक पोस्ट के बराबर है, और जब मैं "समकक्ष" कहता हूं तो मेरा मतलब है। (बी) मामले में, आप एक बेहतर स्थिति में हैं। सुरंग अपारदर्शी है, इसलिए जब तक आप इसमें यात्रा करते हैं तो आपका सार्वजनिक रिकॉर्ड सुरक्षित है। हालांकि, यह अभी भी सबसे अच्छी स्थिति नहीं है। आपको अभी भी घर छोड़ना है और सुरंग प्रवेश द्वार तक पहुंचना है, और सुरंग के बाहर एक बार शायद आपको उतरना होगा और कहीं चलना होगा ... और यह एचटीटीपीएस के लिए जाता है। सच है, आपका संदेश सुरक्षित है जबकि यह सबसे बड़ी चक्कर को पार करता है: लेकिन एक बार जब आप दूसरी तरफ पहुंचे तो आपको वास्तव में पता नहीं चलेगा कि वास्तविक बिंदु तक पहुंचने से पहले कितने चरणों को पार करना होगा जहां डेटा संसाधित किया जाएगा। और निश्चित रूप से उन सभी चरणों HTTP से भिन्न कुछ का उपयोग कर सकते हैं: एक शास्त्रीय एमएसएमक्यू जो बफर अनुरोध करता है जिसे तुरंत सेवा नहीं दी जा सकती है, उदाहरण के लिए। क्या होता है अगर कोई आपके प्री-प्रोसेसिंग लिम्बो में रहते हुए आपके डेटा को छिपाता है? हम्म। (इस "एचएम" को वाक्य के अंत में मॉर्फियस द्वारा उल्लिखित एक के रूप में पढ़ें "क्या आपको लगता है कि यह हवा है जिसे आप सांस ले रहे हैं?")। इस रूपक में पूर्ण समाधान (सी) दर्दनाक रूप से तुच्छ है: अपने आप पर कुछ सूखे कपड़े प्राप्त करें, और विशेष रूप से मोटरसाइकिल पर हेलमेट !!! तो आप पर्यावरण की अपारदर्शी पर भरोसा किए बिना सुरक्षित रूप से चारों ओर जा सकते हैं। रूपक उम्मीदवार स्पष्ट है: गंदगी स्तर की सुरक्षा के रूप में, कपड़े या मतलब के आधार पर कपड़े आपके साथ आते हैं। इसके अलावा, आप एक भाग को कवर करने का निर्णय ले सकते हैं लेकिन एक और प्रकट कर सकते हैं (और आप इसे व्यक्तिगत आधार पर कर सकते हैं: हवाईअड्डा सुरक्षा आपके जैकेट और जूते को बंद कर सकती है, जबकि आपके डॉक्टर के पास उच्च पहुंच स्तर हो सकता है), लेकिन याद रखें कि छोटी आस्तीन शर्ट हैं बुरी आदत भले ही आपको अपने दांतों पर गर्व है :-) (बेहतर पोलो, या टी-शर्ट)।

मुझे यह कहते हुए खुशी हो रही है कि उसे बिंदु मिल गया! मुझे कहना है कि कपड़े रूपक बहुत शक्तिशाली है: मैं नीति की अवधारणा को पेश करने के लिए इसका इस्तेमाल करने के लिए प्रेरित था (डिस्को क्लब आपको खेल के जूते में नहीं जाने देगा; आप अपने अंडरवियर में किसी बैंक में पैसे वापस नहीं ले सकते , जबकि सर्फ पर खुद को संतुलित करते समय यह पूरी तरह स्वीकार्य दिखता है, और इसी तरह) लेकिन मैंने सोचा कि एक दोपहर के लिए यह पर्याप्त था ;-)

वास्तुकला - डब्ल्यूएस, जंगली विचार

सौजन्य: http://blogs.msdn.com/b/vbertocci/archive/2005/04/25/end-to-end-security-or-why-you-shouldn-t-drive-your-motorcycle-naked.aspx


यदि आपका आरईएसटीफ़ुल कॉल HTTP अनुरोध के एचटीएमएल बॉडी में एम्बेडेड एक्सएमएल संदेश भेजता है, तो आपको जो भी सुरक्षा सुविधाओं का उपयोग करते समय अपने एक्सएमएल संदेशों में डब्लूएस-सिक्योरिटी जैसे एक्सएमएल एन्क्रिप्शन, सर्टिफिकेट इत्यादि के सभी लाभ प्राप्त करने में सक्षम होना चाहिए एसएसएल / टीएलएस एन्क्रिप्शन जैसे http से उपलब्ध हैं।


आरईएसटी सुरक्षा परिवहन निर्भर है जबकि एसओएपी सुरक्षा नहीं है।

आरईएसटी अंतर्निहित परिवहन से सुरक्षा उपायों को विरासत में लेता है जबकि एसओएपी डब्ल्यूएस-सुरक्षा के माध्यम से अपना खुद का परिभाषित करता है।

जब हम आरईएसटी के बारे में बात करते हैं, HTTP पर - सभी सुरक्षा उपायों को लागू किया जाता है HTTP को विरासत में मिलाया जाता है और इसे परिवहन स्तर की सुरक्षा के रूप में जाना जाता है।

परिवहन स्तर की सुरक्षा, तार पर होने पर ही आपका संदेश सुरक्षित करती है - जैसे ही यह तार छोड़ देती है, संदेश अब और सुरक्षित नहीं होता है।

लेकिन, डब्लूएस-सिक्योरिटी के साथ, इसका संदेश स्तर सुरक्षा - भले ही संदेश परिवहन चैनल छोड़ देता है, फिर भी यह सुरक्षित रहेगा। साथ ही - संदेश स्तर की सुरक्षा के साथ आप आंशिक रूप से संदेश को एन्क्रिप्ट कर सकते हैं [संपूर्ण संदेश नहीं, बल्कि केवल वे हिस्सों जिन्हें आप चाहते हैं] - लेकिन परिवहन स्तर की सुरक्षा के साथ आप इसे नहीं कर सकते हैं।

डब्ल्यूएस-सिक्योरिटी में प्रमाणीकरण, अखंडता, गोपनीयता और गैर-अस्वीकार करने के उपाय हैं जबकि एसएसएल गैर अस्वीकार का समर्थन नहीं करता है [2-पैर वाले ओएथ के साथ]।

प्रदर्शन-वार एसएसएल में डब्ल्यूएस-सुरक्षा से बहुत तेज है।

धन्यवाद...


मेरे पास अभी तक कोई टिप्पणी जोड़ने की आवश्यकता नहीं है या मैंने इसे बेल के जवाब में अभी जोड़ा होगा। मुझे लगता है कि बेल ने दो दृष्टिकोणों के शीर्ष स्तर के पेशेवरों और विपक्ष को संक्षेप में करने का बहुत अच्छा काम किया है। बस कुछ अन्य कारक जिन्हें आप विचार करना चाहते हैं:

1) क्या आपके ग्राहकों और आपकी सेवा के बीच के अनुरोधों को मध्यस्थों के माध्यम से जाने की आवश्यकता है जिन्हें पेलोड तक पहुंच की आवश्यकता है? यदि ऐसा है तो डब्ल्यूएस-सुरक्षा एक बेहतर फिट हो सकती है।

2) असल में प्रमाणीकरण नामक सुविधा का उपयोग कर ग्राहकों की पहचान के रूप में सर्वर को आश्वासन के साथ सर्वर प्रदान करने के लिए एसएसएल का उपयोग करना संभव है। हालांकि, इसे कॉन्फ़िगर करने की जटिलता के कारण कुछ विशेष परिदृश्यों के बाहर इसका अधिक उपयोग नहीं होता है। तो बेल सही है कि डब्ल्यूएस-सेक यहां एक बेहतर फिट है।

3) सर्टिफिकेट प्रबंधन मुद्दों के लिए आम तौर पर एसएसएल सामान्य रूप से सेटअप और रखरखाव (सरल विन्यास में) के लिए एक भालू का थोड़ा सा हो सकता है। किसी ऐसे व्यक्ति को जो जानता है कि यह आपके मंच के लिए कैसे करना है, यह एक बड़ा प्लस होगा।

4) अगर आपको कुछ प्रकार के क्रेडेंशियल मैपिंग या पहचान फेडरेशन करने की आवश्यकता हो सकती है तो डब्ल्यूएस-सेक ओवरहेड के लायक हो सकता है। ऐसा नहीं है कि आप आरईएसटी के साथ ऐसा नहीं कर सकते हैं, आपके पास आपकी मदद करने के लिए केवल कम संरचना है।

5) चीजों के क्लाइंट साइड पर सही जगहों पर सभी डब्लूएस-सिक्योरिटी गोप प्राप्त करना आपको लगता है कि इससे ज्यादा दर्द हो सकता है।

अंत में हालांकि यह वास्तव में ऐसी कई चीजों पर निर्भर करता है जिन्हें हमें जानने की संभावना नहीं है। ज्यादातर स्थितियों के लिए मैं कहूंगा कि या तो दृष्टिकोण "पर्याप्त सुरक्षित" होगा और इसलिए यह मुख्य निर्णय लेने वाला कारक नहीं होना चाहिए।





soap