Tema 04 Web Service Enhancements

Transcripción

1 Desarrollo de Aplicaciones Distribuidas con Servicios Web Tema 04 Web Service Enhancements Agenda Introducción Especificación n de Servicios Web Web Services Enhancements 3.0 Anexo A Criptografía Anexo B Certificados Digitales

2 Objetivos Proteger un servicio Web usando codificación n de datos con certificados X509 Aplicar políticas de WSE a Servicios Web Proteger un servicio Web usando tokens de seguridad Implementar transferencias grandes de datos con WSE Crear un servicio Web que use el protocolo TCP Encaminar una llamada a un servicio Web Evolución n de los Servicios Web Visibilidad Pico verdadero de Expectativas infladas Beneficios Percibidos Lanzamiento de la tecnológica 1999 Comienzo Divulgación Fin Divulgación Desilusión Pendiente de adopción Meseta de productividad Tiempo

3 Desilusión Las empresas no pueden enviar información n importante de sus negocios a través s de la Red vulnerables a detección No se pueden construir sistemas distribuidos de gran escala si la confiabilidad del envió de mensajes no es garantizada No siempre generan una respuesta oportuna Procesamiento puede ser demasiado largo Solo provee comunicación n punto a punto Web Service Basic Profile Define un conjunto de tecnologías relacionadas con la Web para crear un perfil estándar Un SW esta conformado con BP si implementa exactamente las mismas tecnología a que este perfil Web Service Specifications (WS-*) define un conjunto de características para hacer a los SW seguros, confiables y transaccionales WSE es la implementación n de microsoft

4 WS - Specifications Propósito establecer una serie de estándares para Servicios Web Corporativos La integridad de los mensajes es la clave para que los SW se conviertan en una solución n robusta Especificaciones: WS-Security Security WS-Reliable Messaging WS-Addressing WS * Interoperabilidad Los WS deben poder comunicarse independientemente del lenguaje y la plataforma. Esa es la función n de WS-I I Basic Profile

5 WS - * Componible Las especificaciones de los SW son independiente unas a otras Se puede implementar las que sean necesarias Esto es posible gracias a que cada especificación n usa una cabecera SOAP distinta WS - * Seguridad SSL no es lo que se desea Se requiere seguridad en función n al mensaje El mensaje lleva con sigo la información de seguridad WS - Trust WS - Security

6 WS - * Descripción n y Descubrimiento El documento WSDL provee una forma de exponer los tipos y métodos m soportados por el SW Una política define los requerimientos y preferencias de uso de un SW P.E.. Todos los mensajes que reciba deben estar codificados WS-Policy WS - * Mensajería a y Entrega Se debe asegurar que un mensaje alcance su destino Todas las partes deben conocer donde esta el mensaje y si llego a su destino WS Reliable Messaging

7 WS - * Transacciones Es una forma de coordinar operaciones múltiples de negocios relacionados, para que puedan tener éxito o fallar en conjunto. WS Coordination WS Atomic WS - Business Web Service Enhancements Es la implementación n de Microsoft de WS- Specifications WSE aplica las especificaciones de una forma transparente en nuestras aplicaciones Modifica automáticamente ticamente los mensajes SOAP

8 Infraestructura de WSE Aplicación Serializar Deserializar Filtros WSE SOAP Filtros WSE Deserializar Serializar Servicio Web Infraestructura de WSE

9 Cómo usamos WSE? Instalar el redistribuible de WSE en la máquina donde esta el SW Agregar las referencias a los ensamblados de WSE Configurar el archivo web.config Modificaciones al Web.config Agregar la referencia al ensamblado de WSE 3.0 <compilation debug="true"> <assemblies> <add assembly="microsoft.web.services3, Version= , Culture=neutral, PublicKeyToken=31BF3856AD364E35" /> </assemblies assemblies> </compilation compilation>

10 Modificaciones al Web.config Agregar una nueva sección al Web.config <configsections> <section name="microsoft.web.services3" type="microsoft.web.services3.configuration.webservicesc onfiguration, Microsoft.Web.Services3, Version= , Culture=neutral, PublicKeyToken=31bf3856ad364e35" /> </configsections configsections> Modificaciones al Web.config Registrar las extensiones SOAP de WSE 3 <webservices> <soapextensionimportertypes> <add type="microsoft.web.services3.description.wseextensionimporter, Microsoft.Web.Services3, Version= , Culture=neutral, PublicKeyToken=31bf3856ad364e35" /> </soapextensionimportertypes soapextensionimportertypes> <soapserverprotocolfactory type="microsoft.web.services3.wseprotocolfactory, Microsoft.Web.Services3, Version= , Culture=neutral, PublicKeyToken=31bf3856ad364e35" /> </webservices webservices>

11 Cómo usamos WSE en el cliente? Podemos usar la herramienta WSE WseWsdl3.exe para generar las clases proxy El proxy debe heredar de la clase WebServicesClientProtocol en lugar de SoapHttpClientProtocol La clase SoapContext Uno de los principales objetos de la infraestructura de WSE Almacena las especificaciones de los servicios Web Nos permite acceder a los detalles de las solicitudes y las respuestas

12 WS - Diagnostics Provee mecanismos para hacer un seguimiento a los mensajes que se intercambian. Cada solicitud es almacenada en una etiqueta inputmessage o outputmessage. Nos permite acceso a las distintas etapas del procesamiento del mensaje. WS - Security Es una especificación n de seguridad que provee herramientas para asegurar la integridad de los mensajes transmitidos en términos de: Autentificación. n. Integridad. Autorización.

13 Técnicas para conversaciones seguras en Web Secure Sockets Layer Desventajas de las técnicas t de seguridad existentes para Web SSL funciona a nivel del protocolo de transporte Provee autentificación n y codificación n sólida s de punto a punto No permite que un mensaje pueda ser examinado por servicios intermedios No permite enviar mensajes por firewalls que dejan pasar trafico por el puerto 80 Si los mensajes se deben enviar a través s de varios puntos una nueva conexión n SSL se debe realizar en cada punto Costosas operaciones criptográficas deben realizarse por cada nueva conexión n SSL

14 WS - Security Seguridad basada en mensajes WS-Security Security Solo se firma o codifica partes del mensaje en lugar del mensaje completo Intermediarios pueden ver partes del mensaje que son específicos para ellos Intermediarios puede aportar nuevos encabezados al mensaje para efectos de bitácora o auditoria El mensaje puede ser enviado a través s de diferentes protocolos de transporte HTTP, SMTP, FTP y TCP

15 WS-Security Security - Cómo funciona? WS-Security Security brinda mecanismos para lograr: Integridad del mensaje Usando firmas digitales para asegurar que el mensaje no fue cambiado Confidencialidad Codificación n XML para asegurar que solo quien debe recibir el mensaje puede entenderlo Autenticación n y Autorización Identificación n de quien envía a el mensaje y que derechos tiene para realizar operaciones WS-Security Security - Autenticación Username Token Permite representar las credenciales de un usuario de la forma nombre de usuario/ Contraseña Las credenciales de un usuario se envían en la clase UsernameToken Se agregan al mensaje SOAP usando: ProxyWSE.RequestSoapContext.Security.Tokens.Add( new UsernameToken( Username Username, MyPass, PasswordOption.SendPlainText));

16 WS-Security Security - Integridad Existen varias opciones para firmar digitalmente el contenido del mensaje configurando la propiedad SignatureOptions IncludeAction IncludeAddressing IncludeTimestamp IncludeSoapBody WS - Security La recomendación n en WSE 3.0 es usar los filtros: SendSecureFilter ReceiveSecureFilter Junto con una política para implementar la seguridad en un servicio Web

17 WS - Policy Una política especifica un conjunto de requerimientos, preferencias y capacidades de uso que los clientes deben cumplir para poder comunicarse con un servicio. Una política esta orientada principalmente a la seguridad WS - Policy Aserción n (Assertion( Assertion). Un requerimiento, preferencia o capacidad individual. Una o más m s aserciones forman una política Expresión n (Expression( Expression) Un documento xml que contiene una o más m aserciones y las respectivas clases que las implementan

18 WS - Policy Definir el archivo de política en el web.config <microsoft.web.services3> <policy filename="wse3policycache.config" /> </microsoft.web.services3 microsoft.web.services3> WS - Policy El archivo de la política <policies xmlns=" <extensions> <extension name="usernameforcertificatesecurity" type="microsoft.web.services3.design.usernameforcertificateasse rtion, Microsoft.Web.Services3, Version= , Culture=neutral, PublicKeyToken=31bf3856ad364e35" /> </extensions extensions> <policy name="bankservicepolicy"> <usernameforcertificatesecurity > </usernameforcertificatesecurity usernameforcertificatesecurity> <requireactionheader /> </policy policy> </policies policies>

19 Turnkey security assertions AnonymousForCertificateSecurity kerberossecurity mutualcertificate10 mutualcertificate11 usernameovertransportsecurity usernameforcertificatesecurity Custom Escenarios posibles Cliente y servidor que se comunican a través de Internet Aplicación Gateway que se comunica a través s de Internet

20 Custom Assertion En caso de que las aserciones existentes no satisfagan nuestros requerimientos podemos implementar nuestra propia aserción Configurar el archivo de la política Crear una extensión Crear un nuevo elemento dentro del elemento Policy Crear una clase que herede de PolicyAssertion e implementar sus métodos abstractos Crear un filtro que procesará el mensaje WS - Messaging Los servicios Web están n construidos tradicionalmente en HTTP El propósito de WS Messaging es expandir el soporte de protocolos e incluir el protocolo TCP Se pueden enviar mensajes SOAP sin usar un servidor Web Se amplia el modelo de comunicación n en base a solicitud/respuesta.

21 WS - Messaging Alojar un servicio Web fuera de IIS y ASP.NET Uri address = new Uri("soap.tcp://localhost/tcpstockservice "soap.tcp://localhost/tcpstockservice"); SoapReceivers.Add(new EndpointReference(address), typeof(stockservice (StockService)); WS - Messaging Soporte de MTOM (SOAP( Message Transmission Optimization Mechanism) Permite a una aplicación n enviar y recibir grandes cantidades de datos MTOM codifica el mensaje en bloques binarios que están n optimizados para transporte MTOM puede funcionar sin problema con las demás s WS

22 WS - Routing Permite configurar una topología a de red transparente Configura una computadora intermedia como un router Los clientes se comunican con el router WS - Routing Habilitar routing en el web.config <system.web> <httphandlers> <add verb="*" path="*.asmx ="*.asmx type="microsoft.web.services3.messaging.soaphttp Router, Microsoft.Web.Services3, Version= , Culture=neutral, PublicKeyToken=31bf3856ad364e35" /> </httphandlers httphandlers>

23 WS - Routing Habilitar routing en el web.config <microsoft.web.services3> <referral> <cache name="referralcache.config" /> </referral referral> </microsoft.web.services3 microsoft.web.services3> WS - Routing El archivo del router <r:referrals xmlns:r=" al"> <r:ref>< ><r:for>< ><r:exact> mx </r:exact r:exact></ ></r:for>< ><r:if/> <r:go>< ><r:via> r:via></ ></r:go> <r:refid>uuid:fa e77-962a- 81c5e292f2ae</r:refId r:refid></ ></r:ref></ ></r:referrals>

24 Anexo A. Criptografía La criptografía a según n la RAE He aquí una definición no muy afortunada... La Real Academia Española define criptografía a (del griego: oculto + escritura) como: "el arte de escribir con clave secreta o de modo enigmático tico". Puede ser interesante y llamativa, pero resulta muy poco ajustada para los tiempos actuales. vea la siguiente diapositiva Imprecisiones de esta definición - Arte: la criptografía ha dejado de ser un arte: es una ciencia. - Escritura de documentos: no sólo se escriben mensajes; se envían o se guardan en un computador diversos tipos de documentos y formatos (TXT, DOC, EXE, DLL, JPG,...). - Se supone una clave: los sistemas actuales usan una o dos. En varias aplicaciones de Internet entran en juego 4 claves. - Clave secreta: existirán sistemas de clave secreta que usan una sola clave y sistemas de clave pública (muy importantes) que usan dos: una clave privada (secreta) y la otra pública. - Representación enigmática: la representación binaria de la información podría ser enigmática para nosotros los humanos pero no para los computadores... es su lenguaje natural.

25 Una definición n más m s técnica t de criptografía Criptografía He aquí una definición más formal... Rama inicial de las Matemáticas y en la actualidad también de la Informática y la Telemática, que hace uso de métodos y técnicas con el objeto principal de cifrar, y por tanto proteger, un mensaje o archivo por medio de un algoritmo, usando una o más claves. Esto dará lugar a diferentes tipos de sistemas de cifra, denominados criptosistemas, que nos permiten asegurar al menos tres de los cuatro aspectos básicos de la seguridad informática: la confidencialidad o secreto del mensaje, la integridad del mensaje y autenticidad del emisor, así como el no repudio mutuo entre emisor (cliente) y receptor (servidor). Confidencialidad e integridad Criptosistema M Usurpación de identidad por un intruso (I) Cualquier medio de transmisión es inseguro Medio de Transmisor C Transmisión C Receptor M T MT R Cifrador Mensaje cifrado Descifrador Confidencialidad Integridad Interceptación del mensaje por un intruso (I) Estos dos aspectos básicos de la seguridad informática, el de la confidencialidad y el de integridad (además de la disponibilidad del sistema y el no repudio) serán muy importantes en un entorno de intercambio de información segura a través de Internet.

26 Tipos de criptosistemas Clasificación de los criptosistemas Según el tratamiento del mensaje se dividen en: Cifrado en bloque (IDEA, AES, RSA*...) 64 ó 128 bits Cifrado en flujo (A5, RC4, SEAL...) cifrado bit a bit Según el tipo de claves se dividen en: Cifrado con clave secreta Sistemas simétricos Cifrado con clave pública Sistemas asimétricos (*) Como veremos en otro capítulo, sistemas como RSA no cifran por bloques propiamente tal: cifran un número único. Criptosistemas simétricos y asimétricos Criptosistemas simétricos: Existirá una única clave (secreta) que deben compartir emisor y receptor. Con la misma clave se cifra y se descifra por lo que la seguridad reside en mantener dicha clave en secreto. Criptosistemas asimétricos: Cada usuario crea un par de claves, una privada y otra pública, inversas dentro de un cuerpo finito. Lo que se cifra en emisión con una clave, se descifra en recepción con la clave inversa. La seguridad del sistema reside en la dificultad computacional de descubrir la clave privada a partir de la pública. Para ello, usan funciones matemáticas de un solo sentido o con trampa.

27 Criptosistemas simétricos Cifrado con criptosistemas de clave secreta M Medio de k Transmisión k C C E K MT D K M Texto Texto Base protegida Criptograma protegida Base C no permitido Integridad Intruso M no permitido Confidencialidad La confidencialidad y la integridad se lograrán si se protegen las claves en el cifrado y en el descifrado. Es decir, se obtienen simultáneamente si se protege la clave secreta. DES, DES, TDES, IDEA, CAST, RC5, RC5, AES, AES, Criptosistemas asimétricos (parte 1) Cifrado con clave pública del receptor (intercambio de claves RSA) Clave pública del usuario B Medio de Transmisión Clave privada del usuario B M Usuario A E B MT D B M D B C C Usuario B Criptograma protegida M no permitido Observe que se cifra con la clave pública E B del destinatario B. Intruso Las cifras E B y D B (claves) son inversas dentro de un cuerpo Confidencialidad Un sistema similar es el intercambio de clave de Diffie y Hellman (DH)

28 Criptosistemas asimétricos (parte 2) Cifrado con clave privada del emisor (firma digital RSA) M Usuario A Clave privada del usuario A Medio de Transmisión D A MT E A M C C Usuario B protegida Criptograma C no permitido Integridad Se firma sobre un hash h(m) del mensaje, por ejemplo SHA-1. Intruso Las cifras D A y E A (claves) son inversas dentro de un cuerpo Firmas: RSA y DSS Clave pública del usuario A Observe que se cifra con la clave privada D A del emisor A. La firma DSS estará basada en el algoritmo de cifra de ElGamal. Anexo B. Certificados Digitales Qué son los certificados digitales? Un certificado digital es un documento que contiene diversos datos, entre ellos el nombre de un usuario y su clave pública, y que es firmado por una Autoridad de Certificación (AC). Como emisor y receptor confiarán en esa AC, el usuario que tenga un certificado expedido por ella se autenticará ante el otro, en tanto que su clave pública está firmada por dicha autoridad. Una de las certificaciones más usadas y un estándar en la actualidad en infraestructuras de clave pública PKIs (Public-Key Infrastructure) es X

29 Certificado digital X.509 X.509 está basado en criptografía a asimétrica y firma digital. En X.509 se define un framework (una capa de abstracción) para suministrar servicios de autenticación n a los usuarios del directorio X.500. La autenticación n se realiza mediante el uso de certificados. - Un certificado contiene: el nombre de la AC, el nombre del usuario, la clave pública p del usuario y cualquier otra información n como puede ser un indicador de tiempo o timestamp. - El certificado se cifra con la clave privada de la AC. - Todos los usuarios poseen la clave pública p de la AC. Formato del certificado digital X.509 Versión Nº de serie Algoritmo Parámetros Autoridad de Certificación Inicio de la validez Caducidad de la validez Nombre del usuario Algoritmo Parámetros Clave pública del usuario Firma de la AC Identificador del algoritmo Período de validez Clave pública que se firma Función hash que se cifra con la clave privada de la AC

30 Campos del certificado digital X.509 V: : Versión n del certificado (actualmente V3). SN: : Número N de serie. AI: : identificador del algoritmo de firma que sirve para identificar el algoritmo usado para firmar el paquete X.509. CA: : Autoridad certificadora. T A : Periodo de validez. A: : Propietario de la clave pública p que se está firmando. P: : Clave pública p más m s identificador de algoritmo utilizado y más s parámetros si son necesarios. Y{I}:Firma digital de Y por I usando la clave privada de la unidad certificadora. CA<<A>> = CA { V, SN, AI, CA, T A, A, AP } Y<<X>> es el certificado del usuario X expedido por la autoridad certificadora Y. Autoridades de Certificación Autoridad de Certificación es un ente u organismo que, de acuerdo con unas políticas y algoritmos, certificará -por ejemplo- claves públicas de usuarios o servidores. El usuario A enviará al usuario B su certificado (la clave pública firmada por AC) y éste comprobará con esa autoridad su autenticidad. Lo mismo en sentido contrario. A clave pública AC certificado de B certificado de A AC B clave pública AC Autoridad de Certificación AC

31 Elementos de una AC El sistema de autenticación n debe tener: Una política de certificación. Un certificado de la CA. Los certificados de los usuarios (X.509). Los protocolos de autenticación, n, gestión n y obtención n de certificados: Se obtienen de bases de datos (directorio X.500). O bien directamente del usuario en tiempo de conexión n (WWW con SSL). Referencias Chapter 5, Chapter 6 Expert Service-Oriented Architecture in C# LIBRO ELECTRÓNICO DE SEGURIDAD INFORMÁTICA Y CRIPTOGRAFÍA :// toclasica.zip