INTEGRANTES
Laura Valderrama
Luisa Castaeda
Andrs Jaramillo
Ivn Santa
UNIVERSIDAD PONTIFICIA BOLIVARIANA
SISTEMA DE FORMACIN AVANZADA
MEDELLN
2015
"World wide web" by Svilen.milev - Own work. Licensed under CC BY-SA 3.0 via Wikimedia Commons - http://commons.wikimedia.org/wiki/File:World_wide_web.jpg#mediaviewer/File:World_wide_web.jpg
Agenda
Gua para Servicios Web Seguros
1
2
3
4
5
6
Mesera
Cocineros
Cocinero
Jefe
Orden
Comida
Administrador
MEN
Descubrimiento
Lenguaje en Comn : Espaol
Figura 1. Ejemplo de servicios en la vida real. Autores
Servicio
Web
Proveedor 1
Servicio
Web
Proveedor 2
Servicio Web
Orquestador
Servicio Web
Intermediario
Solicitud
SOAP
UDDI
Servicio Web
Proveedor 3
Descubrimiento
Respuesta
SOAP
WSDL
Servicio
Web
Solicitante
Portal Web
Figura 2. .Componentes y roles, SOA con servicios Web. Autores
Elementos de Seguridad
Identificacin y autenticacin
Autorizacin
Integridad
No Repudio
Confidencialidad
Privacidad
Dimensiones de Seguridad
Mensajera Segura
HTTPS
Cifrado XML y firmado XML
WS-Security
Proteccin de Recursos
Negociacin de Contratos
Relaciones de confianza
Requerimientos para software seguro
Estndares de Seguridad
Figura 5. Especificaciones y estndares dirigidos a seguridad de SOAs SINGHAL, Anoop, et al. Guide to Secure Web Services. NIST. 2007
Figura 6. Especificaciones y estndares dirigidos a seguridad de SOAs SINGHAL, Anoop, et al. Guide to Secure Web Services. NIST. 2007
Figura 7. Amenazas controladas por estndares de web services actuales SINGHAL, Anoop, et al. Guide to Secure Web Services. NIST. 2007
Authentication Service-to-Service
La autenticacin es requerida para limitar el acceso a los
recursos, las autenticaciones se pueden realizar
empleando varios mtodos como son entregar Tokens en
una conexin http, o pasar certificados SSL/TTS, o
pasando Tokens junto con la solicitud SOAP.
Los Token de autenticacin se realizan generalmente
mediante el estndar OASIS WS-Security, el cual
permite varios mtodos de autenticacin como son:
usernames, X.509 PKI certificates, Kerberos tickets, o
SAML assertions
Service Chaining
A veces, un proveedor de servicios puede no ser capaz
de realizar las acciones que un usuario o solicitante
desea que ste realice, pero sabe de un servicio Web
remoto que si puede. El proveedor de servicios puede
invocar otro servicio a distancia para satisfacer la peticin
del solicitante, que se conoce como encadenamiento de
servicios. El proveedor de servicios puede usar una
asercin SAML, un mensaje WS-Security o ambos para
asegurar la confianza entre los los WS.
Liberty Alliance
El Liberty Alliance tiene como objetivo desarrollar
un marco de alianza de identidades basada en
estndares adecuados para las empresas y los
gobiernos.
Liberty Alliance ha definido el marco de servicios
web de identidad, que define cmo los servicios
Web pueden interactuar en nombre de un usuario
mediante el uso adecuado de SAML mediante la
definicin de varios servicios, entre ellos los
siguientes:
SAML
SAML (Security Assertions Markup Language) es un entorno basado en
XML para servicios Web, permite el intercambio de informacin de
autorizacin y autenticacin entre diferentes sitios Web.
SAML es flexible y extensible y est diseado para ser utilizado por
otros estndares. Integra protocolos y entornos de mensajera ya
presentes en la industria, como XML Signature, XML Encryption y
SOAP.
Entre las ventajas que aporta SAML una de las mas importantes es
single sign-on
Consiste en que los usuarios se autentifiquen en un proveedor de
identidad sitio web y despus tengan acceso a servicios/recursos en
los proveedores de servicio sin autentificacin adicional.
Security SAML
Es importante reconocer que una vez que una asercin SAML se ha
emitido, no es posible controlar su difusin. Una entidad que recibe una
asercin SAML puede drselo a otras entidades, potencialmente
maliciosos como parte del sistema.
Hay una serie de tcnicas que pueden mitigar esta amenaza,
incluyendo:
Cifrado de la asercin, para impedir a un tercero vea lo que se est
tratando de enviar.
La firma de todo el mensaje, utilizando WS-Security en una respuesta
de SOAP o SSL / TLS en una respuesta HTTP. De esta manera, un
atacante debe reenviar el mensaje completo para tener xito.
La aplicacin de los perodos de validez, esto reducir al mnimo la
cantidad de tiempo durante el cual un atacante puede ejecutar con xito
un ataque de repeticin.
Intro
Who
is
sending
this
message?
Is
the
authen1cated
subject
en1tled
to
access?
Can
it
be
proved
that
this
transac1on
occurred?
Was
the
message,
or
the
system,
tampered
with?
Can
the
informa1on
be
read
while
it
is
in
transit?
In
storage?
Can
personally
iden1able
informa1on
be
released
to
the
public?
Is
it
vulnerable
to
a
denial
of
service
a?ack
(brute
force
or
otherwise)?
Can
it
be
proven
that
the
sender
and
the
recipient
did
in
fact
send
and
receive
the
message?
How
easy
is
it
to
apply
or
change
a
security
policy
rule
or
congura1on
parameter?
Proxy Agents
Figura 9. Amenazas controladas por estndares de web services actuales SINGHAL, Anoop, et al. Guide to Secure Web Services. NIST. 2007
Intro
A u t h e n 1 c a 1 o n ,
authoriza1on
and
access
control
are
need
to
migrate
a
legacy
applica1on
to
a
Web
service
architecture
Legacy Authentication
AUTHENTICATION
OWN
PROPIERTY
AUTHENTICATION
WS-SECURITY
IPsec or SSL/TLS
SSO(IDEALLY)
Figura 11. .Legacy Authentication. Autores
NO RETAIN PRIVILEGES
Authentication
Rely on
PKI
Cer1cates
Transition: APPI
Legacy
Applica1ons
USERNAME
PASSWORDS
SECURITY
DATABASE
Migrate
Rely on
Cer1cates
(privileges)
SECURITY
OF
THE
APPLICATION
Filter
Requests
Data
Integrity of Data
Sta1c
Passwords
Dynamic
Passwords
Biometric
Intro
Analizadores XML
Procedural languages
C y C++
Java
Microsofts .NET languages: C#
and VB.NET
XML
ebXML
Ataques Comunes
Privilege Escalation Attacks.
Diccionary attack.
Buffer Overflow Exploits.
Safe programming.
Memory allocation countermeasures.
Compiler-Based countermeasures.
Symlink Attacks.
Explotating Unprotected Administrator Interfaces.
Incorrectly configured access control security levels.
Incorrectly configured SSL security levels.
Autentication of administrators.
Internal, informative application error messages returned to users.
Attacks on Confidentiality.
Sniffing.
Attacks
COMAND INJECTION
Attacks (2)
Preguntas
GRACIAS !