XML- und Webservice- Sicherheit

Transkript

1 XML- und Webservice- Sicherheit 3. Web Service Security 3.2 WS-Security Erweiterungsstandards

2 Gliederung 1. WSDL 2. WS-Policy 3. WS-SecurityPolicy Literatur: J. Rosenberg and D. Remy, Securing Web Services with WS- Security. SAMS Publishing, Indianapolis, USA, WSDL Version 2 Part 0: Primer (

3 Gliederung Die IBM-Microsoft-Roadmap für WS-Security WS-Secure Conversation WS-Federation WS-Authorization WS-Policy WS-Trust WS-Privacy Zeit WS-Security SOAP Foundation

4 1. WSDL-Web Service Description Language WSDL = Schema für SOAP-Nachrichten Eine WSDL-Datei besteht aus drei Teilen: What: Welche Daten werden ausgetauscht? How: Wie werden die Daten ausgetauscht? Where: Wo finde ich den Webservice? SOAP-Entwicklungsumgebungen (z.b. Apache AXIS) wandeln WSDL-Beschreibungen direkt in Sourcecode für die SOAP- Kommunikation um Eine SOAP-Nachricht kann dann abgesendet werden, indem der Programmierer eine lokale Methode aufruft

5 1. WSDL 2.0-Struktur <description> <documentation> Beschreibung des Dienstes in Textform <types> <interface> <binding> XML-Schema-Definition der ausgetauschten Daten Beschreibung, welche Daten in welche Richtung gesendet werden Definition des Transportprotokolls, z.b. SOAP <service> </description> Angabe der URL, unter der der Dienst zu finden ist

6 1. WSDL 1.1-Struktur <definitions> <types> <message> <porttype> <binding> XML-Schema-Definition der ausgetauschten Daten Beschreibung, welche Daten in einer Nachricht zusammengefasst werden Beschreibung, welche Nachrichten in welche Richtung gesendet werden Definition des Transportprotokolls, z.b. SOAP <service> </description> Angabe der URL, unter der der Dienst zu finden ist

7 1. WSDL-Beispiel Beispiel-Szenario: The GreatH Hotel Reservation Service Hotel GreatH (ein imaginäres Hotel) möchte es Reisebüros erlauben, Zimmer direkt über das Internet zu buchen. Dazu muss Hotel GreatH einen Webservice und die dazu gehörende Beschreibung veröffentlichen. Es sollen folgende zwei Funktionen realisiert werden: CheckAvailability. Um die Verfügbarkeit von freien Zimmern zu überprüfen, muss der Client das Check-In-Datum, das Check-Out-Datum und den Zimmertyp angeben (checkavailability-nachricht). Der Webservice gibt den Preis in US-Dollar zurück, wenn ein Zimmer verfügbar ist, und NULL falls kein Zimmer frei ist (checkavailabilityresponse-nachricht). MakeReservation. Um eine Reservierung vorzunehmen, muss der Client Name, Adresse und Kreditkartennummer angeben. Der Webservice gibt hier entweder eine Bestätigungsnummer zurück, oder eine Fehlermeldung.

8 1. WSDL-Beispiel <?xml version="1.0" encoding="utf-8"?> <description xmlns=" targetnamespace= " xmlns:tns= " xmlns:ghns = " xmlns:wsoap= " xmlns:soap=" xmlns:wsdlx= " <documentation>...</documentation> <types>...</types> <interface>...</interface> <binding>...</binding> <service>...</service> </description>

9 1. WSDL-Beispiel <?xml version="1.0" encoding="utf-8"?> <description...> <documentation> This document describes the GreatH Web service. Additional application-level requirements for use of this service -- beyond what WSDL 2.0 is able to describe -- are available at </documentation> <types>...</types> <interface>...</interface> <binding>...</binding> <service>...</service> </description>

10 1. WSDL-Beispiel <types> <xs:schema xmlns:xs=" targetnamespace=" xmlns=" <xs:element name="checkavailability" type="tcheckavailability"/> <xs:complextype name="tcheckavailability"> <xs:sequence> <xs:element name="checkindate" type="xs:date"/> <xs:element name="checkoutdate" type="xs:date"/> <xs:element name="roomtype" type="xs:string"/> </xs:sequence> </xs:complextype> <xs:element name="checkavailabilityresponse" type="xs:double"/> <xs:element name="invaliddataerror" type="xs:string"/> </xs:schema> </types>

11 1. WSDL-Beispiel <interface name = "reservationinterface" > <fault name = "invaliddatafault" element = "ghns:invaliddataerror"/> <operation name="opcheckavailability" pattern=" style=" wsdlx:safe = "true"> <input messagelabel="in" element="ghns:checkavailability" /> <output messagelabel="out" element="ghns:checkavailabilityresponse" /> <outfault ref="tns:invaliddatafault" messagelabel="out"/> </operation> </interface>

12 1. WSDL-Beispiel <description...> <documentation>...</documentation> <types>...</types> <interface>...</interface> <binding name="reservationsoapbinding" interface="tns:reservationinterface" type=" wsoap:protocol=" <fault ref="tns:invaliddatafault" wsoap:code="soap:sender"/> <operation ref="tns:opcheckavailability" wsoap:mep=" </binding> <service>...</service> </description>

13 1. WSDL-Beispiel <?xml version="1.0" encoding="utf-8"?> <description...> <documentation>...</documentation> <types>...</types> <interface>...</interface> <binding>...</binding> <service name="reservationservice" interface="tns:reservationinterface"> <endpoint name="reservationendpoint" binding="tns:reservationsoapbinding" address =" </service> </description>

14 2. WS-Policy Beispiele für Sicherheitspolicies Das Passwort muss mindestens 12 Zeichen lang sein und mindestens 3 nicht-alphanumerische Zeichen enthalten. Es muss alle 2 Tage gewechselt werden, alte Passwörter dürfen nicht mehr wiederverwendet werden. (Einhaltung der Policy kann automatisiert werden.) Um ein X.509-Zertifikat zu erhalten, muss der Antragsteller mit dem signierten PKCS#10-Request, der zusätzlich noch einmal mit dem PGP-Schlüssel der CA verschlüsselt sein muss, und seinem Personalausweis bei der Registrierungsstelle vorbeikommen. Diese fragt beim angegebenen Einwohnermeldeamt nach, ob die Adresse noch stimmt. (Diese Policy kann nicht automatisiert werden.)

15 2. WS-Policy Erlaubt es, Sicherheitsanforderungen von Webservices (speziell WS- Security, WS-Trust und WS-SecureConversation) zu spezifizieren, z.b. Algorithmen für Verschlüsselung und Signatur, Vertraulichkeit bestimmter Nachrichtenteile, Akzeptanz bestimmter Arten von Security Tokens (z.b. Passwörter oder X.509-Zertifikate). Bindung dieser Vorgaben an den Webservice. Bestandteile des Standards WS-Policy: XML-Konstrukte zur Beschreibung von Policies (nicht notwendigerweise nur Sicherheitspolicies) WS-PolicyAttachment: Beschreibt, wie Policies zu WSDL oder UDDI hinzugefügt werden können WS-PolicyAssertions: Standard-Assertions, die in vielen Policies verwendet werden können. WS-SecurityPolicy: Beschreibt Policy Assertions, die sicherheitsrelevant sind.

16 2. WS-Policy <wsp:policy xmlns:sp=".../securitypolicy" xmlns:wsp=".../policy" > <wsp:exactlyone> <sp:aesrsa768 /> <sp:tripledesrsa768 /> </wsp:exactlyone> </wsp:policy> Diese Policy beschreibt zwei Ciphersuites mit je einem symmetrischen und einem Public-Key-Algorithmus. Sie ist von der Bedeutung her äquivalent zu den nachfolgenden Policies. In WS-Policy definierte Elemente haben den Präfix wsp ; dies sind die drei Elemente <wsp:policy>, <wsp:exactlyone> und <wsp:all>. In WS-SecurityPolicy definierte Elemente haben den Präfix sp.

17 2. WS-Policy <wsp:policy xmlns:sp=".../securitypolicy" xmlns:wsp=".../policy" > <wsp:exactlyone> <wsp:all> <sp:aesrsa768 /> </wsp:all> <wsp:all> <sp:tripledesrsa768 /> </wsp:all> </wsp:exactlyone> </wsp:policy>

18 2. WS-Policy - Normalform <wsp:policy xmlns:sp=".../securitypolicy" xmlns:wsp=".../policy" > <wsp:exactlyone> <wsp:all> alternative with assertion --> <sp:requirederivedkeys /> </wsp:all> <wsp:all /> alternative without --> </wsp:exactlyone> <wsp:exactlyone> <wsp:all> <sp:wssusernametoken10 /> </wsp:all> <wsp:all> <sp:wssusernametoken11 /> </wsp:all> </wsp:exactlyone> </wsp:policy> kann in die folgende Normalform umgewandelt werden

19 2. WS-Policy - Normalform <wsp:policy xmlns:sp=".../securitypolicy" xmlns:wsp=".../policy" > <wsp:exactlyone> <wsp:all> <sp:requirederivedkeys /><sp:wssusernametoken10 /> </wsp:all> <wsp:all> <sp:requirederivedkeys /><sp:wssusernametoken11 /> </wsp:all> <wsp:all> <sp:wssusernametoken10 /> </wsp:all> <wsp:all> <sp:wssusernametoken11 /> </wsp:all> </wsp:exactlyone> </wsp:policy>

20 2. WS-Policy Die Transformation in die Normalform ist möglich, weil die definierten Tags folgende mathematische Eigenschaften haben: Kommutativität: Assertions innerhalb von wsp:all und wsp:exactlyone dürfen vertauscht werden. Assoziativität gilt für wsp:all und wsp:exactlyone. Idempotenz gilt für wsp:all und wsp:exactlyone. Distributivgesetz: wsp:all ist distributiv über wsp:exactlyone

21 2. WS-Policy - Attachment Standalone-Policy mit Verweis auf einen Webservice: <wsp:policyattachment> <wsp:appliesto> <wsa:endpointreference xmlns:fabrikam=" " > <wsa:address> </wsa:address> </wsa:endpointreference> </wsp:appliesto> <wsp:policyreference URI=" policies#rmpolicy" /> </wsp:policyattachment>

22 2. WS-Policy - Attachment Einbindung der Policy in WSDL (1.1/1.2): Eine Policy kann an verschiedenen Stellen eingebunden werden, und bezieht sich dann auf unterschiedliche Ebenen der Webservice- Definition. Beispiel: Sinnvolle Sicherheitspolicies auf den verschiedenen Stufen von WSDL: message/type: XML-Verschlüsselung wird verlangt für Kreditkarteninformation binding: SSL-Verschlüsselung für SOAP over http, S/MIME für SOAP over smtp. service: Der Webclient kann bestimmte Typen von SSL- Serverzertifikaten verlangen.

23 2. WS-Policy - Attachment

24 2. WS-Policy - Attachment (01) <wsdl11:definitions name="stockquote" targetnamespace=" xmlns:tns=" xmlns:fab=" xmlns:rmp=" xmlns:sp=" xmlns:wsdl=" xmlns:wsoap12=" xmlns:wsp=" xmlns:wsu=" > (02) <wsp:policy wsu:id="rmpolicy" > (03) <rmp:rmassertion> (04) <rmp:inactivitytimeout Milliseconds="600000" /> (05) <rmp:baseretransmissioninterval Milliseconds="3000" /> (06) <rmp:exponentialbackoff /> (07) <rmp:acknowledgementinterval Milliseconds="200" /> (08) </rmp:rmassertion> (09) </wsp:policy>

25 2. WS-Policy - Attachment (10) <wsp:policy wsu:id="x509endpointpolicy" > (11) <sp:asymmetricbinding> (12) <wsp:policy> <!-- Details omitted for readability --> (13) <sp:includetimestamp /> (14) <sp:onlysignentireheadersandbody /> (15) </wsp:policy> (16) </sp:asymmetricbinding> (17) </wsp:policy> (18) <wsp:policy wsu:id="securemessagepolicy" > (19) <sp:signedparts> (20) <sp:body /> (21) </sp:signedparts> (22) <sp:encryptedparts> (23) <sp:body /> (24) </sp:encryptedparts> (25) </wsp:policy> (26) <wsdl11:import namespace=" location=" />

26 2. WS-Policy - Attachment (27) <wsdl11:binding name="stockquotesoapbinding" type="fab:quote" > (28) <wsoap12:binding style="document" (29) transport=" /> (30) <wsp:policyreference URI="#RmPolicy" wsdl11:required="true" /> (31) <wsp:policyreference URI="#X509EndpointPolicy" wsdl11:required="true" /> (32) <wsdl11:operation name="getlasttradeprice" > (33) <wsoap12:operation soapaction=" stock/quote/getlasttradepricerequest" /> (34) <wsdl11:input> (35) <wsoap12:body use="literal" /> (36) <wsp:policyreference URI="#SecureMessagePolicy" wsdl11:required="true" /> (37) </wsdl11:input> (38) <wsdl11:output> (39) <wsoap12:body use="literal" /> (40) <wsp:policyreference URI="#SecureMessagePolicy" (41) wsdl11:required="true" /> (42) </wsdl11:output> (43) </wsdl11:operation> (44) </wsdl11:binding> (45) </wsdl11:definitions>

27 3. WS-SecurityPolicy WS-SecurityPolicy definiert Assertions, die für die WS-*-Spezifikationen wichtig sind

28 3. WS-SecurityPolicy 5. Protection Assertions 5.1 Integrity Assertions SignedParts Assertion SignedElements Assertion 5.2 Confidentiality Assertions EncryptedParts Assertion EncryptedElements Assertion 5.3 Required Elements Assertion RequiredElements Assertion 6. Token Assertions 6.1 Token Inclusion Token Inclusion Values 6.2 Token Properties [Derived Keys] Property 6.3 Token Assertions UsernameToken Assertion IssuedToken Assertion X509Token Assertion KerberosToken Assertion SpnegoContextToken Assertion SecurityContextToken Assertion SecureConversationToken Assertion SamlToken Assertion RelToken Assertion HttpsToken Assertion 7. Security Binding Properties 7.1 [Algorithm Suite] Property 7.2 [Timestamp] Property 7.3 [Protection Order] Property 7.4 [Signature Protection] Property 7.5 [Token Protection] Property 7.6 [Entire Header and Body Signatures] Property 7.7 [Security Header Layout] Property Strict Layout Rules

29 3. WS-SecurityPolicy 8. Security Binding Assertions 8.1 AlgorithmSuite Assertion 8.2 Layout Assertion 8.3 TransportBinding Assertion 8.4 SymmetricBinding Assertion 8.5 AsymmetricBinding Assertion 9. Supporting Tokens 9.1 SupportingTokens Assertion 9.2 SignedSupportingTokens Assertion 9.3 EndorsingSupportingTokens Assertion 9.4 SignedEndorsingSupportingTokens Assertion 9.5 Example 10. WSS: SOAP Message Security Options 10.1 Wss10 Assertion 10.2 Wss11 Assertion 11. WS-Trust Options 11.1 Trust10 Assertion 12. Security Considerations 13. Acknowledgements 14. References Appendix A - Assertions and WS- PolicyAttachment A.1 Endpoint Policy Subject Assertions A.1.1 Security Binding Assertions A.1.3 Token Assertions A.1.4 WSS: SOAP Message Security 1.0 Assertions A.1.5 WSS: SOAP Message Security 1.1 Assertions A.1.6 Trust 1.0 Assertions A.2 Operation Policy Subject Assertions A.2.1 Supporting Token Assertions A.3 Message Policy Subject Assertions A.3.1 Supporting Token Assertions A.3.2 Protection Assertions A.4 Assertions With Undefined Policy Subject A.4.1 General Assertions A.4.2 Token Usage Assertions A.4.3 Token Assertions A.4.4 WSS: SOAP Message Security 1.0 Assertions A.4.5 WSS: SOAP Message Security 1.1 Assertions A.4.6 Trust 1.0 Assertions

30 3. WS-SecurityPolicy (01) <wsp:policy> (02) <sp:symmetricbinding> (03) <wsp:policy> (04) <sp:protectiontoken> (05) <wsp:policy> (06) <sp:kerberosv5apreqtoken sp:includetoken=".../includetoken/once" /> (07) </wsp:policy> (08) </sp:protectiontoken> (09) <sp:signbeforeencrypting /> (10) <sp:encryptsignature /> (11) </wsp:policy> (12) </sp:symmetricbinding> (13) <sp:signedparts> (14) <sp:body/> (15) <sp:header Namespace=" /> (16) </sp:signedparts> (17) <sp:encryptedparts> (18) <sp:body/> (19) </sp:encryptedparts> (20) </wsp:policy>