Моя безопасность

В самом деле, у него естьнабор явных преимуществ:1)Он решает как задачу безопаснойаутентификации (по сертификату);2)Он защищает трафик от пользователя ксистеме;3)Что еще более важно -- он совершенноОДИНАКОВО реализован во всех системах,в том числе старых -- пяти и даже болеелетней давности;4)Он покрывает 99% процентов того, что нужнодля решения реальных задач.Модельже безопасности на уровне сообщений,примененная в WS-S, не дает в этом смысленикаких преимуществ, так как опять-такив 99% случая все, что от нее требуется --это аутентификация пользователей.
Ноон также неодинаково реализован нановых и старых системах, а применениеагентов-посредников тоже не всегдаудобно и эффективно.
Также WS-S (в конечномитоге за счет XML Digital Signature) опирается нашифрование больших объемов данныхоткрытыми ключами - очень ресурсоемкаяоперация по сравнению с симметричнымшифрованием в SSL.
Поэтому при использованиидля интеграции внутрикорпоративныхсистем WS-Security оказывается менее адекватен,чем SSL.Нои _самостоятельное_ применение этого стека дляинтернет-бизнеса пока просто опасно.Так как WS-S задает модель безопасностина уровне сообщений, то каждый разпроектируя композитную систему,ИТ-разработчик по сути строит свойпротокол безопасности не осознаваяэтого.
Нет вопросов -- специалисты,которые в таких вещах хорошо разбираютсяне работают в обычных компаниях, а значиттакой протокол будет почти наверняка ущербен с самого начала.
WS-Securityплох тем, что для его реализациииспользуется работа многих слоев (отXML Encryption, XML Digital Signature, Security Tokens Profiles(SAML, Kerberos, X.509), WS-Trust, WS-Federation и т.п) -- слишкоммного точек для потенциальной атаки,слишком сложно заставить все этоскоординировано работать.БрэдХилл показывает в своей презентациикак можно эти уязвимости использовать,какие есть стандартные "дыры" вреализации этих спецификаций, например,в XML Парсере.
Эти дыры можно было быотключить настройками, но сегодняшниепродукты таких настроек не предоставляют.И в любом случае получается слишкоммного предположений о квалификациисреднего корпоративного разработчика.Вместес тем, стек WS-S создает ряд бизнес-возможностей,таких, как цифровые деньги, DRM-применения,распределенная аутентификация, итранзакции, в которых участвуют многосторон.