Oracle Web Services Manager - Securing Your Web Services

Autor : 

Sitaraman Lakshminarayanan

Vydavateľ : 

Packt Publishing

Aspektu bezpečnosti sa v množine SW riešení postavených na Servisne Orientovanej Architektúre (SOA) prikladá čoraz väčšia pozornosť. Informácie, ktoré tu prúdia majú veľakrát citlivú povahu a teda je absolútne dôležité zaistiť, aby komunikačný kanál, po ktorom sa tieto vymieňajú, disponoval okrem ďalších aj funkciami pre zastrešenie autentizácie, autorizácie, dôvernosti dát a integrity. Tu však vyvstáva otázka, je dostatočné riešiť tento aspekt na programatickej úrovni - teda formou na pevno zadeklarovaných pravidiel počas vývojovej fázy? Predstavme si modelovú situáciu. Spoločnosť disponuje 15 službami (rozumej webovými službami teda tzv. „web-services“), z ktorým je 5 využívaných len interne, 3 tak interne ako aj ohraničenou skupinou obchodných partnerov a zvyšok dostupných verejnosti. Predstavme si ďalej, že povaha informácií prúdiaca v druhej skupine služieb je taká, že vyžaduje zabezpečenie šifrovaním pomocou verejného kľúča a voči tretej skupine sa konzumenti autentizujú užívateľským menom a heslom získaným na verejnom web portály spoločnosti. Toľko k zakresleniu aktuálneho stavu z príkladu. Ak by boli pravidlá takého riešenia zadefinované napevno, ako dlho by asi trvala na príklad zmena pravidiel v druhej skupine servisov v prípade, že by spoločnosť potrebovala tieto vypublikovať pre nového obchodného partnera? Aká nákladná by takáto zmena bola? Posuňme celú situáciu ešte ďalej, povedzme že tento nový obchodný partner vyžaduje iný spôsob zaistenia bezpečnosti napríklad formou autentifikácie cez svoju databázu užívateľských kont. Ako by prebiehal proces zmeny potom? Nanešťastie je takto zakreslená situácia len teoretickým modelom a praxi býva všetko zvyčajne oveľa komplikovanejšie. S prihliadnutím na predostreté skutočnosti je teda nutné posunúť riadenie aspektu bezpečnosti do novej na to pripravenej vrstvy a zastrešiť ho cez pre tento účel navrhnutý komponent - Web Services Manager (WSM). Vyššie načrtnutou problematikou sa zaoberá aj táto kniha a aplikáciu už spomenutých funkcií pre zastrešenie autentizácie, autorizácie, dôvernosti dát a integrity implementuje za pomoci riešenia spoločnosti Oracle, Oracle Web Services Manager (OWSM). 

Samotná publikácia je veľmi dobre štruktúrovaná, svojim spôsobom pripomína proces odbaľovania cibule. Skladá sa z trinástich kapitol, v ktorých postupne uvádza aj neznalého čitateľa do problematiky a veľmi zrozumiteľným spôsobom mu odkrýva všetky zákonitosti implementovania aspektu bezpečnosti v SOA. Všetky kapitoly sú jednotne koncipované čo sa tiež nemalou mierou podieľa na tom, aby sa čitateľ v texte tak povediac nestratil. Ako veľmi prínosne som ocenil aj tzv. Notes (poznámky), ktoré veľmi dobre dokresľujú celú situáciu a vhodným spôsobom ponúkajú informácie inak len ťažko do textu zakomponovateľné. Celá kniha je pretkaná veľkým množstvom príkladov, vrátane reálnej klient-server aplikácie založenej na JAVA (strana server) a .NET(strana klient). Neustále poukazovanie na interoperabilitu medzi platformami JAVA a .NET a jej prezentácia formou už spomenutého príklad je ďalšie plus ktoré treba vyzdvihnúť.

Kapitola č.1 načrtáva problematiku zabezpečenia webových služieb z pohľadu jej počiatočnej analýzy. Rieši otázky: prečo jej treba prikladať náležitú pozornosť, z akého dôvodu je nutné túto tému riešiť separátne a nevkĺbiť ju napr. do bezpečnosti sieťovej infraštruktúry. Taktiež rozoberá na čo je potrebné odpovedať si pri procese rozhodovania či nasadiť tento komponent v svojom SOA riešení.

Kapitola č.2 ide hlbšie a vo všeobecnej rovine rozoberá čo so sebou prináša implementácia zabezpečenia webových služieb. Pojednáva o potrebe štandardizácie a centralizácie tejto funkcionality, prepojenia na existujúce riešenia pre centrálnu správu identít a predkladá čitateľovi základné návrhové vzory pri jej komponovaní.

Kapitola č.3 prechádza zo  všeobecnej roviny a mapuje v predošlých kapitolách spomenutú problematiku na jednotlivé funkčné časti samotného OWSM pričom načrtáva, za akú časť funkcionality je ktorá z nich zodpovedná.

Kapitoly č.4, 5 a 6 riešia ako implementovať v prostredí OWSM funkcie pre zastrešenie autentizácie, autorizácie, dôvernosti dát (šifrovanie, dešifrovanie) a integrity (podpisovanie). Každá z funkcii je objasnená tak teoreticky ako aj formou príkladu (viď. nižšie).

Kapitola č.7 ponúka úvod k implementácii vlastného tzv. „policy step“ v prostredí OWSM. Vysvetľuje ako ho naprogramovať, skompilovať a nasadiť. Funkcionalita je objasnená tak teoreticky ako aj formou príkladu (viď. nižšie).

Kapitola č.8 pojednáva o zapojení OWSM do módu tzv. vysokej dostupnosti. Vykresľuje aj dva možné prípady zapojenia OWSM v tomto móde spolu s podrobným návodom pre realizáciu každého z nich.

Kapitola č.9 predstavuje funkcionalitu monitorovania zabezpečených webových služieb v prostredí OWSM. Funkcionalita je objasnená tak teoreticky ako aj formou príkladu (tvorba vlastných štatistických reportov).

Kapitoly č.10 a 11 podrobne vysvetľujú internú SOAP stavbu správ ktoré sú produkované zabezpečenými webovými službami.

Kapitola č.12 sa detailne zaoberá vzťahom medzi funkciami podpisovania a šifrovania správ produkovaných webovými službami ale hlavne tým, ako ich poradie (najskôr podpísať a potom zašifrovať alebo najskôr zašifrovať a potom podpísať) ovplyvňuje charakter zabezpečenia samotnej SOAP správy.

Kapitola č.13 objasňuje ako je možné prepojiť OWSM na komponenty určené pre centrálnu správu identít.

Ako už bolo spomenuté celá publikácie je pretkaná veľkým množstvom príkladov pre dokreslenie problematiky. Ten nosný, cez ktorý autor objasňuje ako v praxi funguje implementácia autentizácie, autorizácie, dôvernosti dát a integrity vhodne poukazuje aj na schopnosť interoperability naprieč viacerými vývojovými platformami. Je tu reálne implementované zabezpečenie služby voči užívateľskému menu a heslu pochádzajúcemu jednak zo štandardného súboru a tiež z „MS ActiveDirectory“, šifrovanie a dešifrovanie správ ako aj ich podpisovanie. Za pozitívne pokladám aj fakt, že všetky príklady je možné zrealizovať úplne zadarmo - pre tieto účely nie je nutné mať zakúpenú komerčnú licenciu k žiadnemu z použitých produktov.

Škoda, že autor sa v knihe venoval zabezpečeniu služieb výlučne cez tzv. „gateway“ a len veľmi okrajovo spomenul že je možné tieto zabezpečovať aj cez tzv. agentov pričom týchto nezaradil ani do príkladov. Toto mi naozaj chýbalo, keďže ja osobne (a z rôznych fór som zistil, že to nebol len môj prípad) som mal s implementáciou tejto funkcionality asi najväčšie problémy.

Aj navzdory spomenutým nedostatkom môžem celkovo knihu len odporučiť, avšak buď skúseným užívateľom prechádzajúcim prípadne experimentujúcim s riešením OWSM alebo začiatočníkom, ktorí sa chcú tak povediac dostať do problematiky. Kniha je velmi dobre napísaným úvovodným sprievodcom problemtikou.