ГОСТ Р ИСО ТО 13569— 2007
предположить, что конфиденциальность данных и аутентификация паролей основываются просто на их изоля
ции от остального мира.
По мере удаления клиента от веб-сервиса WS1 сложности возрастают. Между клиентом S3 и веб-сервисом
WS1 запросы на обслуживание проходят по более широкой сети, открывая больше возможностей проверки
запросов и больше точек, где гложет быть создан и введен несанкционированный запрос. Таким образом, между
клиентом S3 и веб-сервисом WS1 требуется дополнительная защита. Как описывалось ранее, это может быть
либо аутентификация на основе сертификатов, либо IPSEC между аппаратными средствами клиента S3 и аппа
ратными средствами веб-сервиса WS1.
Для клиента S4 нахождение в демилитаризованной зоне организации означает дополнительные пробле
мы безопасности. Демилитаризованные зоны используются для обеспечения прерываний, отделяющих Интер
нет от внутренних сетей. В силу обстоятельств системы в демилитаризованной зоне подвергаются большему
риску и поэтому может потребоваться обеспечение дополнительной безопасности. Для клиента S4 комбинация
безопасности прикладного уровня и транспортного или сетевого уровня может стать подходящим способом вы
полнения политик безопасности организации.
Наконец, что касается запросов веб-сервисов из-за пределов организации клиента S5. входящие запросы,
вероятно, потребуют сложного решения. Идентификационная информации может быть защищена на приклад ном
уровне и безопасным образок» передана через демилитаризованную зону, Интернет в веб-сервис WS1. так чтобы
веб-сервис WS1 мог определить, уполномочен ли клиент S5 для запроса на обслуживание. Аналогичным образом,
входные данные запроса могут быть зашифрованы на прикладном уровне, однако шифрование данных на
прикладном уровне может быть завершено (или дешифровано) в демилитаризованной зоне, осуществлена
проверка с тем. чтобы удостовериться, что данные находятся в пределах соответствующих параметров, затем
вновь выполнено шифрование для передачи данных в веб-сервис WS1, где информация опять будет дешифрова на.
Таким образом, весь запрос веб-сервера может быть дополнительно зашифрован на транспортном или
сетевом уровне для промежуточного сервиса (возможно клиента S4) в демилитаризованной зоне, который вновь
создаст запрос веб-сервиса WS1 вероятно несколько в ином формате с тем. чтобы интерфейс веб-сервиса WS1
никогда не подвергался воздействию за пределами организации.
В кратком изложении обеспечения безопасности веб-сервисов делается вывод, что существует много воз
можных комбинаций механизма аутентификации, шифрования паролей и шифрования данных, которые отвеча ют
различным потребностям аутентификации и конфиденциальности. Существует также множество мест в типо вой
сети организации, где могут использоваться веб-сервисы. Угрозы и необходимые контрмеры зависят от мес
тоположения клиента веб-сервиса, сервера веб-сервиса, а также от сетевого тракта между двумя системами.
Существуют также другие концепции обеспечения безопасности веб-сервисов. Функционирование между
клиентом и сервером часто бывает критически важным. Устранение отказа, резервирование, восстановление и
вопросы, возникающие при непредвиденных обстоятельствах, могут сделать некоторые контрмеры более при
влекательными. Инструментальные средства разработки веб-сервисов, имеющиеся в различных компаниях, обес
печивают различные виды поддержки стандартов SSL и стандартов безопасности веб-сервисов: конкретное ин
струментальное средство может не поддержать повторное использование SSL сеанса на основе сертификатов.
Поскольку сервер приложений может обладать различными возможностями по отношению к стандартным инст
рументальным средствам, результаты могут различаться.
45