WS-Security: начинание благое, но безопасность SOA не обеспечивает
Одноиз основных правил программированияговорит о том, что специализированноерешение в своей узкой области как правилобудет лучше обобщенного.
Это свойствовсегда проявляется при выработкестандартов - в них закладывается либосамая общая, либо «усредненная»модель.
В первом случае стандартполучается очень сложным, во втором - открывается поле для всевозможныхфирменных расширений, его «улучшающих».Примернотак обстоит дело со стандартами в областибезопасности SOA.
В стеке WS-* запланированаочень глобальная модель безопасности,включающая почти десяток всякихспецификаций (WS-Security,WS-SecureConversation,WS-Trust,WS-Federation,WS-Policy,а также XML DigitalSignature,SecurityTokensProfiles(для SAML,Kerberos,X.509)и т.
п.
Благодаряэтому возникает целый комплекс очевидныхпроблем для SOA:1)Не все эти стандарты реализованыодинаково во всех продуктах, что делаетразные компоненты SOA несовместимыми.2)Так как общие стандарты разрабатываютсямедленно, открывается поле для "частных"расширений вендоров, которые еще болееснижают совместимость.
Ябы не стал писать про это статью, но наднях натолкнулся на интересное выступлениена эту тему специалиста в областибезопасности Брэда Хилла (http://www.isecpartners.com/files/iSEC_HILL_AttackingXMLSecurity_bh07.pdf).В почти 200-страничной презентацииобстоятельно показывается, почему стекWS-S -- пока не лучший способ для обеспечениябезопасности для открытых в Интернетесервисов, B2B-сервисовивнутрикорпоративных web-сервисов.Вопервых, для любых внутрикорпоративныхи B2B ИТ-систем характерна более высокаястепень доверия к их пользователям, ипроблемы безопасности как правилорешаются "не внутрикорпоративнымифаерволами, а организационнымимероприятиями и [в случае B2B] адвокатами".Главное, что должна обеспечить общаяинфраструктура безопасности -- этопротоколирование всех действий и точнуюидентификацию пользователей, получившихдоступ к конкретной системе.
Это тезис,с которым сложно не согласиться.
Нодля этих задач ЛУЧШЕ всего подходитстандартный SSL, при одновременномприменении _клиентского_ и северногосертификатов.