Sicurezza e Web Services

I Web Services hanno rapidamente permesso la standardizzazione e la diffusione di un nuovo modello di comunicazione business to business.

Le motivazioni sono da ricercarsi nelle scelte tecnicologiche e nelle condizioni che hanno posto i padri del modello, caratterstiche che si riassumono in: formato dei dati XML, scalabilità, flessibilità, estensibilità.

Proprio grazie all'ultima delle proprietà elencate, è stato possibile aggiungere, allo stack di protocolli propri dei WS, un ulteriore blocco, necessario a garantire uno scambio dei dati sicuro tra le parti in causa.

Infatti, tutto ciò che rientra nel dominio di sicurezza dei WSs viene gestito in maniera slegata da uno stack protocollare aggiuntivo definito dalle organizzazioni OASIS e W3C, lo stack di sicurezza appunto.

Sicurezza intesa nel senso più ampio del termine, non solo autenticazione e autorizzazione ma anche integrità dei dati. Obbiettivo raggiunto anche con l'ausilio della cifratura.

Si è scelto di evidenziare i problemi e le loro soluzioni, attraverso una sequenza di capitoli che segue un percorso cognitivo scalare. Introducendo i concetti gradualmente, nel momento in cui ne è necessaria la conoscenza.

Si parte dagli standard essenziali dei WS: HTTP, SOAP, XML, XSD, WSDL e UDDI.

Segue l’esame dei principali problemi di sicurezza, da quelli incontrati dagli esperti nella storia e di quelli propri di questo dominio. Il confronto tra le soluzioni attuali e quelle del passato (fondamentali per capire alcune scelte progettuali).

Poi un capitolo dedicato alla crittografia di base per accedere alla teoria su cui si basa lo stack di sicurezza composto da: XML-Signature, XML-Encryption e SAML.

Il protocollo che integra i tre suddetti protocolli è WS-Security e il penultimo capitolo ne approfondisce l'esame, unificando i concetti presentati in precedenza e completando la teoria con l'approfondimento delle sue caratteristiche.

Conclude il documento un esempio pratico di interoperabilità sicura tra due piattaforme distinte una in tecnologia Java e una in tecnologia .NET, dove viene esposto il codice per lo sviluppo nei due ambienti.