Tutorial - Web Service Security mit WS-SecureConversation

WS-SecureConversation) Akademie )AUTORFabian FassottOrientation in Objects GmbH) Beratung )Veröffentlicht am: 24.1.2009WS-SECURECONVERSATION) Projekte )Das Tutorial beschreibt die Erstellung eines Web Services, der Benutzer perUsernameToken authentifiziert und dann per WS-SecureConversation Session-Keyszur Gewährleistung von Vertraulichkeit und Integrität erzeugt, um den nachfolgendenNachrichtenfluss zu sichern.Orientation in Objects GmbHWeinheimer Str. 68D-68309 MannheimTel. +49 (0) 6 21 - 7 18 39 - 0Fax +49 (0) 6 21 - 7 18 39 - 50Java, XML, UML, XSLT, Open Source, JBoss, SOAP, CVS, Spring, JSF, Eclipsewww.oio.de info@oio.de) Artikel )WS-SECURECONVERSATIONHäufig müssen Nachrichten zwischen Client und Web Serviceverschlüsselt und signiert werden. Hierfür existiert WS-Security[1]. Für eine einzeln zu sichernde Nachricht kann ein zufälligerSchlüssel generiert werden und beispielsweise mit dem PublicKey-Zertifikat des Web Services verschlüsselt übertragen werden.Dies geschieht für jede einzelne Nachricht erneut. PublicKey-Kryptographie ist jedoch langsam. Symmetrische Verfahrensind um ein Vielfaches schneller. Hier setzt WS-SecureConversation(WS-SC) [2] an. Mit WS-SC können mehrere Nachrichten durch diegleichen symmetrischen Schlüssel geschützt werden. Der Aufwanddurch die Verwendung von Public Key-Kryptographie wirdminimiert.Die Aushandlung der Session Keys (bspw. einer zum Verschlüsselnund einer zum Signieren, einer für beides geht jedoch ...