1. Nauni skup sa meunarodnim ueem Sinergija 2009.

ZATITA WEB SERVISA

Gojko Grubor Angelina Njegu Univerzitet Singidunum Danijelova 32, Beograd. e-mail: ggrubor@singidunum.ac.rs e-mail: anjegus@singidunum.ac.rs Saetak: Web servisi (WS) se baziraju na XML, SOAP i OSI standardu raunarskih mrea. Organizacije koriste SOA za podrku aplikacija kritinih za misiju. SOA istie otkrivanje dinamikih servisa, kompoziciju i interoperabilnost. Tehnologija WS se sve vie koristiti za implementaciju SOA, iako se SOA moe implementirati korienjem drugih tehnologija. Da bi SOA postigla svoje ciljeve, aplikacije moraju biti pouzdane i bezbedne. Za zatitu WS predloen je veliki broj standarda zatite. Cilj ovog rada je pregled bezbednosnih izazova WS i raspoloivih standarda za njihovu zatitu. Kljune rei: web servisi, SOA, dimenzije zatite, servisi zatite, kontrole zatite. Abstract : The Web services are based on XML, SOAP and computer network OSI model. The SOAs are used by organizations for mission critical applications. A SOA emphasizes dynamic service discovery, composition, and interoperability. Web services technology are increasingly becoming the SOA implementation of choice, albeit a SOA could be implemented by another technology. To truly meet its goals, applications must be secure and reliable. A large number of security standards have been proposed for Web services. The main goal of this paper is to provide an overview of Web services associated security challenges, and the standards available for securing them. Key words: web services, SOA, security dimensions, security services, security controls.

1. UVOD
Glavne funkcionalnosti WS-a su otkrivanje, prenos poruka, portali, uloge i koordinacija (orkestracija, koreografija). Za otkrivanje WS razvijen je standard UDDI1, [6], koji omoguava meusobno dinamiko pretraivanje WS. Svaki WS kreira deljivi WSDL interfejs za dinamiko povezivanje sa novim servisima bez dodatnog programiranja, izmene konfiguracije i intervencije korisnika. Poruke WS-a se alju u XML formatu. U veini WS-a postoje dva tipa SOAP poruka: zahtevi i odgovori. WS-i meusobno mogu komunicirati serijski, paralelno ili asinhrono, zavisno od aplikacije ili protokola koji ih podravaju. Web portal obezbeuje itljiv interfejs za funkcionalnosti WS-a i pristup veem broju izvora podataka nego sam WS. Uloge podnosioca zahteva, provajdera odgovora i servisa i posrednika su sastavne komponente web baziranih SOA. Podnosilac zahteva inicira transakciju WS-a, provajder prihvata zahtev, obezbeuje odgovor i uspostavlja standardne servise za zatitu- autentifikaciju, autorizaciju, ifrovanje i neporecivost. WSDL i servis otkrivanja ne obezbeuju standardno pregovaranje, ako neki zahtevi to trae. Ovi standardi su u toku razvoja. Posredni WS je onaj koji je pozvan u lancu transakcije. Primer posrednog WS-a je XML kapija (gateway). Iz perspektive podnosioca zahteva postoji samo jedan provajder servisa, ali ih moe biti vie. Koordinacija je orkestracija u SOA organizacije i koreografija izmeu SOA vie organizacija kada u WS-u uestvuje vie uloga. Iako se
1

Akronimi i skraenice su date u poglavlju 4. Akronimi i skraenice

Raje Baniia bb, Bijeljina, Tel. +387 55 21 31 32, 55 21 31 33 -mail: univerzitet@sinergija.edu.ba www.sinergija.edu.ba.

110

1. Nauni skup sa meunarodnim ueem Sinergija 2009.

standardi zatite WS-a ubrzano razvijaju i poboljavaju i dalje su nereeni neki bezbednosni izazovi.

2. ZATITA WEB SERVISA

2.1.Taksonomija pretnji WS-a Upotrebljiva taksonomija pretnji za WS-e prikazana je u tabeli T. 1, [5].
T.1. Taksonomija pretnji za WS-e
1. 2. 3. 4. 5. 6. 7. 8. 9. 10. Pretnja Izmena poruke (IP) Gubitak poverljivosti (GP) Falsifikovanje poruke (FP) ovek u sredini (S) Lano predstavljanje principala (LPP) Lano predstavljanje (LP) Ponovljeno slanje delova poruke (PSDP) Ponovljeno slanje poruke (PSP) Odbijanje izvravanja servisa (DoS) Implementacija defektnog softvera Opis napada ubaci, ukloni ili modifikuje informaciju u poruci neovlaeni korisnik otvori informacije u poruci napada alje lanu poruku u ime validnog poiljaoca napada je izmeu poiljaoca i provajdera i menja poruke napada alje naizgled validne poruke sa stvarnim podacima legitimnog korisnika (principala) napada pravi naizgled validne poruke sa lanim podacima napada ukljuuje delove jedne ili vie prethodno poslatih poruka u novu poruku napada ponovo alje prethodno poslatu poruku napada troi resurse sistema koji ne izvrava validni zahtev moe dovesti do iskoristivih ranjvosti za udaljeni pristup

2.2.Taksonomija napada na web servise

Taksonomija napada na web servise prikazana je u tabeli T. 2, [3], [5]. T. 2. Taksonomija napada na web servise
1. 2. 3. 4. 5. 6 Templejt kda Nasilan napad pretraivaem Transverzalni napad na direktorijum Skeniranje WSDL Napad otkrivanjem registara Napad na kontrole zatite Napad renikom Napad na format linije programskog kda Plavljenje bafera Napadi prepoznavanja informacije o razvoju web aplikacije mogu ukazati na potencijalne bagove otkriva neobjavljen WS ponavljanjem zahteva za WS pomou URL obrazaca, npr., CGI (Common Gateway Interface) programom napada pristupa restriktivnim fajlovima unutar WS-a u cilju otkrivanja pasvorda servera ili izvrnih fajlova za skrivene komande vet napada locira WS, uklonjen iz ranije generisanih WSDL i pristupa WS-u ako su loe konfigurisani (npr. LDAP, X.500, UDDI, ebXML itd.), registri sadre autentifikacione i druge informacije o WS-u identifikacija, autentifikacija i autorizacija korisnika pre davanja prava pristupa, koje obezbeuje UDDI standard Napad za poveanje privilegija mogu na sisteme sa slabom pasvord zatitom ranjivost formata linije programskog kda nastaje zbog greke programera; bag moe omoguiti napadau da preuzme kontrolu nad programom i hostom na kojem program radi ranjivost prepunjenog bafera u komponentama WS-a, omoguava kompromitovanje/preuzimanje kontrole nad WS i obaranje servisa ( DoS napad).

1. 2.

3.

2.3. Uobiajeni faktori rizika web servisa

Web servisi imaju veinu istih faktora rizika kao i ostali programi, ali tradicionalne tehnologije zatite - firewalls, IDS/IPS, SSL/TLS nisu adekvatne, zato to firewalls obino proputaju HTTP, a SSL/TLS ne titi od posrednika koji izvrava napad ovek u sredini. Uobiajeni faktori rizika WS-a odnose se na pet dimenzija zatite WS-a: razmene poruka, resursa, pregovaranja, upravljanja poverenjem i funkcija kontrola zatite. Glavni faktori
Raje Baniia bb, Bijeljina, Tel. +387 55 21 31 32, 55 21 31 33 -mail: univerzitet@sinergija.edu.ba www.sinergija.edu.ba.

111

1. Nauni skup sa meunarodnim ueem Sinergija 2009.

rizika SOAP i osnovni bezbednosni problemi WS-a su, to SOAP ne obezbeuje, [15]: autentifikaciju, zatitu integriteta i poverljivosti, detekciju ponovljenog slanja poruka, robusni mehanizam za autentifikaciju ulaza u registar, otpornost na DoS napade itd.
2.4. Standardi, servisi i tehnologije zatite web servisa Znaajniji koncepti zatite WS-a ukljuuju, [5], [1]: identifikaciju i autentifikaciju, autorizaciju, integritet, neporecivost, poverljivost i privanost. Od veine navedenih rizika mogu zatititi WS-i i

HTTP standardi (W3C). Pokrivanje pretnji servisima zatite prikazano je u tabeli T. 3.

T. 3. Pokrivanje pretnji standardima zatite
IP XML ifrovanje (WS-security) XML digitalni potpis X X X Token zatite WS X Adresiranje WS X SSL/TLS X X X* X X* X* X SSL/TLS sa sertifikatom klijenta X X X X X X X HTTP autentifikacija X X X *Pretnje se ublaavaju samo za poruke provajdera poiljaocu zahteva, a ne obrnuto GP X FP S X LPP X X X LP X X X PSDP X X PSP DoS

Oigledno je da nema kontrola zatite koji spreavaju DoS i DDoS napade, a detaljna specifikacija standardnih kontrola zatite SOA data je u literaturi [5]. PKI infrastruktura podrava veinu WS-a, zato to se najvei deo zatite WS-a zasniva na ifrovanju i digitalnom potpisu XML i/ili SSL/TLS, koji koriste X.509 digitalni sertifikat za skladitenje kriptografskih parametara, [4]. Osnovni bezbednosni izazovi koji nisu adekvatno reeni u zatiti WS-a su: poricanje, poverenje, eksploatacija tajnih kanala, kompromitovani servisi, irenje malicioznih programa, DoS napadi i nekorektna implementacija servisa. Glavno teite razvoja metodologije za zatitu WS-a (perspektivna je metodologija S-vektora) usmereno je na PKI, protokole zatite, sigurne programske jezike i zrele procese za proizvodnju softvera, [2], [3]. Referentni model zatite WS-a u OSI modelu mrea (ali ne striktno hijerarhijski), prikazan je na slici Sl. 1. Servisi na OSI i XML bezbednosnim slojevima tite SOAP razmenu poruka u prenosu, sa mehanizmima zatite IPsec, SSL/TLS, XML Encryption i XML Signature na razliitim
slojevima, [7], [8]. Iznad XML security sloja su samostalni standardi izgraeni na SOAP, WS-Security i WS-SecureConversation, XACML (moe definisati politiku pristupa za svaki sistem) i SAML (moe definisati potvrdu pristupa u svakom okruenju, [5].

Sl. 1. Referentni model zatite web servisa

Raje Baniia bb, Bijeljina, Tel. +387 55 21 31 32, 55 21 31 33 -mail: univerzitet@sinergija.edu.ba www.sinergija.edu.ba.

112

1. Nauni skup sa meunarodnim ueem Sinergija 2009.

3.

ZAKLJUAK

Primarni cilj SOA je da napravi kolekciju softverskih servisa dostupnih preko standardnih protokola, ija se funkcionalnost moe automatski otkriti i integrisati u aplikaciju. Standardi zatite WS-a ne obezbeuju razvoj robusnih i pouzdanih WS-a. Zahteva se sistem inenjerski pristup i slojeviti sistem zatite WS-a. Za upravljanje identitetom koriste se PKI sertifikati unutar SOA. Bezbednosne zahteve dimenzija zatite SOA moe podrati vei broj standarda zatite, ali ne i za kontrolisanu odgovornost (accountability) i od D/DoS napada.

4. AKRONIMI I SKRAENICE:
1. DoS/DDoS (Dianil of Service/Distributed Dianil of Service): odbijanja servisa/distriburani napad odbijanja izvravanja servisa. 2. ebXML (Electronic Business XML): modularan set specifikacija za B2B transakcije sa XML. 3. Federation: kolekcija meusobno poverljivih domena 4. HTTPS (HyperText Transfer Protocol over SSL/TLS): HTTP prenoen preko SSL/TLS. 5. IDS/IPS (Intrusion Detection Systems/ Intrusion Protection Systems): detektori upada/zatite od upada u sistem. 6. Kerberos: algoritam za verifikaciju identiteta principala na otvorenoj mrei (NT Win OS). 7. LDAP (Lightweight Directory Access Protocol): aplikativni protokol za zahteve i modifikaciju servisa PKI direktorijuma koji rade preko TCP/IP protokola. 8. PKI (Public Key Infrastructure): infrastrukturna komponenta zatite sa javnim kljuem. 9. SAML (Security Assertions Markup Language): okvir za autentifikaciju i autorizaciju razmene informacija u XML formatu (tzv., assertions). 10. SOA (Service-Oriented Architecture): kolekcija servisa, koji meusobno komuniciraju preko podataka ili dva i vie servisa koji koordiniranju neke aktivnosti. 11. SOAP: protokol na XML za razmenu struktuiranih informacija u mrenom okruenju. 12. SSL/TLS (Secure Socket Layer/Transport Layer Security): zatitini protokoli izmeu aplikativnog i transportnog sloja. 13. UDDI (Universal Description, Discovery, and Integration): zatvorn servis na XML za otkrivanje WS-a i provajdera WS-a. 14. WSDL (Web Services Description Language): XML format za opisivanje mrenih servisa za prenos poruka; komplementaran je UDDI standardu. 15. Web Service: softverska komponenta/sistem za podrku interakcije ineroperabilnih maina ili aplikacija preko mree. 16. WS-Security (Web Services Security): okvir za ugradnju mehanizam zatite u SOAP poruke. 17. XML Encryption: proces za ifrovanje/deifrovanje XML dokumenata/delova dokumenata. 18. X.509 sertifikat: standard digitalnog sertifikata u PKI sistemu.

LITERATURA
1. Bishop, M., (2003), Computer Security: Art and Science, Pearson Education. 2. Grubor G., (2007), Razvoj i upravljanje programom zatite zasnovanim na modelu sazrevanja procesa,doktorska disertacija, Univerzitet Singidunum, Beograd. 3. Milosavljevi M., Grubor G., (2006), Osnovi bezbednosti i zatite IS, Univerzitet Singidunum. 4. http://csrc.nist.gov/publications/nistpubs/, NIST SP 800-32, (2003), Introduction to Public Key Technology and the Federal PKI Infrastructure. 5. Singhal A., at all, (2007), Guide to Secure Web Services, NIST SP 800-95, http://csrc.nist.gov/publications/nistpubs/,. 6. http://www.oasis-open.org/specs/index.php#uddiv3.0.2, (2006), UDDI v3.0.2. 7. http://www.oasis-open.org/specs/index.php#wssv1.1, (2007), WS-Security v1.1. http://www.w3.org/TR/2002/REC-xmlenc-core-20021210/, (2008), XML Encryption Syntax

Raje Baniia bb, Bijeljina, Tel. +387 55 21 31 32, 55 21 31 33 -mail: univerzitet@sinergija.edu.ba www.sinergija.edu.ba.

113