Введення в безпеку Web-сервісів

Виникає питання, яким чином брандмауер XML використовує підписи і шифрування XML для захисту SOAP-серверів? Адже, не дивлячись на те, що можливості цих двох технологій були продемонстровані на численних прикладах, необхідно з'ясувати, як застосовувати ці дві специфікації при використанні брандмауера XML для захисту SOAP-серверів, особливо якщо врахувати жодна з них не є специфічною для SOAP. Потрібно зрозуміти, чому вся інформація, що стосується підпису, була поміщена в заголовок SOAP, а не в тіло SOAP.

Специфікація консорціуму OASIS “Безпека Web-сервісів” детально визначає, як застосовувати технології підпису і шифрування XML при обміні SOAP-повідомленнями. Цей стандарт отримує елементи низького рівня з розглянутих вище специфікацій (“Цифровий підпис XML” і “Шифрування XML”) і задає високорівневий синтаксис для обгортання в SOAP-повідомленнях інформації про безпеку.

Специфікація “Безпеку Web-сервісів” описує механізм безпечного обміну SOAP-повідомленнями. Вона забезпечує наступну функціональність:

1. Цілісність повідомлення;

2. Призначену для користувача аутентифікацію;

3. Конфіденційність.

Розглянемо Лістинг 9 - це SOAP-повідомлення, яке несе інформацію про безпеку згідно синтаксису специфікації “Безпека Web-сервісів”. Лістинг 9 - цей той же самий SOAP-запит GetSpecialDiscountedBookingForPartners, який неодноразово приводився в цьому розділі. Проте цього разу заголовок запиту передає інформацію про цифровий підпис відповідно до даної специфікації.