Aspetti di sicurezza dei web services

L’ambiente informatico di oggi si sta evolvendo verso un sistema altamente distribuito nel quale il software costituisce la forza motrice, caratterizzato da innovazioni tecnologiche come i web services, che possono essere connessi e utilizzati come elementi di base per la realizzazione di funzioni specifiche. In tale ambito le informazioni si scambiano attraverso più canali e in direzioni diverse, per consentire agli utenti di ottenere tutte le informazioni di cui hanno bisogno, indipendentemente dalla posizione e dalla piattaforma hardware. L’integrazione dei sistemi legacy (sistemi informativi di valore ereditati dal passato), tramite la conversione delle funzionalità originarie in interfacce implementate come servizi web, offre interessanti vantaggi, come uno scambio di dati più semplice e rapido all’interno e all’esterno delle organizzazioni e maggiori opportunità di connessione fra le aziende e i clienti.
Il problema principale nello sviluppo di servizi web che incapsulano sistemi legacy è quello della sicurezza. Di solito ogni applicazione legacy è protetta da una propria politica di sicurezza, con la quale il gestore del sistema specifica gli utenti autorizzati e le abilitazioni di ciascuno alle funzionalità e ai dati dell’applicazione. Nel momento in cui un’azienda espone le proprie applicazioni legacy tramite servizi web, è necessario creare un’infrastruttura di sicurezza che garantisca l’accesso agli utenti autorizzati e protegga l’integrità e la riservatezza dei messaggi scambiati attraverso la rete intranet/internet.
La tesi s’inserisce nel contesto descritto con lo studio e lo sviluppo di un caso di studio, con il quale è stato possibile verificare concretamente le possibilità offerte da queste nuove tecnologie. Lo scenario implementato consiste in un servizio web “protetto” da una politica di sicurezza, configurabile da un amministratore delle politiche. La politica di sicurezza è descritta da un documento XML strutturato seguendo le specifiche WS-Policy e WS-SecurityPolicy. Questo consente di intervenire sulla politica di sicurezza senza modificare il codice sorgente del servizio web, ma semplicemente aggiornando un file XML.
Il servizio web sviluppato espone alcune funzionalità di un sistema legacy esistente. Il sistema legacy gestisce l’aggiornamento dell’anagrafica clienti aziendale da parte della forza di vendita.
Utilizzando la libreria di classi WSE della Microsoft, che supporta la specifica WS-Security, è stato implementato un servizio web caratterizzato da una politica di sicurezza basata sullo scambio di credenziali definite da WS-Security. Il consumatore, per accedere all’interfaccia pubblica del servizio web, deve fornire delle credenziali (nome utente e password, oppure un certificato digitale valido), in modo che il servizio web possa autenticare il chiamante. Una volta autenticato, il web service è in grado di verificare se il chiamante ha diritto di usufruire del servizio.
In un contesto aziendale, nel quale sono presenti diversi servizi, ognuno con una politica di sicurezza differente, l’adozione di un meccanismo di sicurezza basato su queste specifiche può rappresentare una buona soluzione.
Infatti, è possibile centralizzare la gestione della sicurezza dei vari servizi, implementando un web service con la funzione di PAP (Policy Administration Point). Tramite il PAP l’amministratore del sistema può impostare i requisiti di sicurezza dei servizi aziendali. L’interfaccia del servizio web espone un metodo che gestisce l’aggiornamento del file XML (“push della politica di sicurezza”). Il servizio di gestione delle politiche PAP può invocare il metodo, comunicando la nuova politica di sicurezza definita dall’amministratore del sistema.
Ogni servizio web ha il vincolo di attivare, nel momento in cui un chiamante invoca un suo metodo pubblico, un modulo software PEP (Policy Enforcement Point), che analizza il messaggio SOAP ricevuto e lo confronta con la politica di sicurezza.
Il modulo software PDP (Policy Decision Point) invia al chiamante una risposta SOAP con i dati richiesti se le credenziali fornite soddisfano i requisiti di sicurezza specificati, altrimenti genera un messaggio d’errore che descrive il problema riscontrato.