Web services

Capítulo 10: Seguridad de servicios Web
Crear aplicaciones ASP.NET seguras
Autenticación, autorización y comunicación segura
J.D. Meier, Alex Mackman, Michael Dunner y Srinath Vasireddy
Microsoft Corporation
Octubre de 2002

Consulte la Página de entrada como punto de partida y para obtener una descripción completa del documento Crear aplicaciones ASP.NET seguras.
Resumen
Este capítulose centra en la seguridad de los servicios Web en el nivel de la plataforma, mediante las características subyacentes de IIS y ASP.NET. Para la seguridad de los mensajes, Microsoft está desarrollando el kit de desarrollo de servicios Web, que permite generar soluciones de seguridad conforme a la especificación WS-Security, que forma parte de la iniciativa Global XML Architecture (GXA).
ContenidoModelo de seguridad para los servicios Web
Arquitectura de seguridad para plataformas/transporte
Estrategias de autenticación y autorización
Configurar la seguridad
Transmitir credenciales para la autenticación de servicios Web
Transferir el llamador original
Subsistema de confianza
Obtener acceso a recursos del sistema
Obtener acceso a recursos de red
Obtener acceso a los objetos COMUtilizar certificados de cliente con los servicios Web
Comunicación segura
Resumen

En este capítulo se describe cómo desarrollar y aplicar las técnicas de autenticación, autorización y comunicación seguras para proteger los servicios Web de ASP.NET y los mensajes de los servicios Web. También se describe la seguridad desde el punto de vista de los servicios Web y se explica cómo autenticar yautorizar los llamadores, además de cómo transferir el contexto de seguridad a través de los servicios Web. Encontrará también información, desde la perspectiva del cliente, para llamar a los servicios Web mediante credenciales y certificados para admitir la autenticación por parte del servidor.
Modelo de seguridad para los servicios Web
La seguridad de los servicios Web puede aplicarse en tresniveles distintos:
● Seguridad (de punto a punto) para plataformas/transporte
● Seguridad (personalizada) para aplicaciones
● Seguridad (de extremo a extremo) para mensajería

Cada enfoque ofrece una serie de beneficios y desventajas, que se detallan a continuación. La elección del enfoque depende en gran medida de las características de la arquitectura y las plataformas que vayan autilizarse para el intercambio de los mensajes.

Nota: tenga en cuenta que este capítulo se centra en la seguridad de plataformas y aplicaciones. La seguridad de los mensajes se efectúa mediante la iniciativa de arquitectura de servicios Web XML global (GXA) y, en especial, la especificación de seguridad WS-Security. Durante el período de escritura de este documento, Microsoft ha lanzado una versión detecnología de prueba de Web Services Development Kit (WSDK). De este modo podrá desarrollar soluciones de seguridad para mensajería conformes a la especificación de seguridad WS-Security. Si desea obtener más información, consulte http://msdn.microsoft.com/webservices/building/wsdk/ (en inglés).

Seguridad (de punto a punto) para plataformas/transporte
Puede utilizarse el canal de transporteentre dos puntos finales (cliente de servicios Web y servicios Web) para garantizar la seguridad de punto a punto. La ilustración 10.1 refleja este escenario.

{Insert figure: CH10 – Web Services Security – Transport Level.gif}
Ilustración 10.1
Seguridad para plataformas/transporte
Cuando se utiliza la seguridad de plataformas, que presupone un entorno de sistema operativo Microsoft® Windows®estrechamente integrado, por ejemplo, en intranets corporativas:
● El servidor Web (IIS) proporciona autenticación básica, implícita, integrada y mediante certificados.
● El Servicio Web de ASP.NET hereda algunas funciones de autenticación y autorización de ASP.NET.
● Puede utilizarse SSL y/o IPSec para aplicar capacidades de integridad y confidencialidad para los mensajes.

Escenarios...