Protegendo Aplicativos de Serviços da Web no Nível de Transporte
A segurança no nível de transporte é mecanismo bem conhecido e utilizado com frequência para proteger a comunicação HTTP na Internet e intranet. A segurança de nível de transporte pode ser usada para proteger mensagens de serviços da Web. A funcionalidade da segurança no nível de transporte é independente da funcionalidade fornecida pela segurança no nível de mensagem (WS-Security) ou autenticação básica HTTP.
Antes de Iniciar
- Utilize a segurança no nível de mensagem quando a segurança for essencial para o
aplicativo de serviço da Web. A autenticação básica HTTP utiliza um nome de usuário e senha para autenticar um cliente de serviço para um terminal seguro. A autenticação básica é codificada no pedido HTTP que carrega a mensagem
SOAP. Quando o servidor de aplicativos recebe o pedido HTTP, o nome do usuário
e a senha são recuperados e verificados utilizando o mecanismo de autenticação
específico do servidor.Importante: Com a segurança no nível da mensagem, se você não estiver usando a porta Secure Sockets Layer (SSL) de saída padrão 443, certifique-se de que o terminal de saída dinâmico para SSL esteja configurado adequadamente para sua configuração.
- Utilize a segurança no nível de transporte para ativar a autenticação básica. A segurança no nível de transporte pode ser ativada ou desativada independentemente da segurança no nível de mensagem. A segurança no nível de transporte fornece segurança mínima. É possível usar essa configuração quando um serviço da Web é um cliente para outro serviço da Web.
- Utilize a SSL para confidencialidade e integridade e a HTTP Basic Authentication para autenticação.
- Utilize a SSL para confidencialidade e integridade e o WS-Security para autenticação. Por exemplo, é possível usar um token de Nome de Usuário ou um token LTPA para autenticação.
- Utilize o WS-Security para confidencialidade e integridade e para autenticação.
Sobre Esta Tarefa
A segurança de nível de transporte pode ser usada para proteger mensagens de serviços da Web. No entanto, a funcionalidade da segurança no nível de transporte é independente da funcionalidade que é fornecida por WS-Security ou HTTP Basic Authentication.
O SSL e o TLS fornecem recursos de segurança incluindo autenticação, proteção de dados e suporte a token criptográfico para conexões HTTP protegidas. Para executar com HTTPS, o endereço da porta de serviço precisa estar no formato https://. A integridade e confidencialidade de dados de transporte, incluindo mensagens SOAP, e a autenticação básica de HTTP, são confirmadas quando se utiliza SSL e TLS.
Os aplicativos de serviços da Web podem utilizar também cifras aprovadas por
FIPS (Federal Information Processing Standard) para conexões TLS mais protegidas.
O WebSphere Application Server usa o pacote JSSE (Java™ Secure Sockets Extension) para suportar o SSL e TLS.
Esta tarefa é uma das diversas maneiras que você pode configurar a segurança do nível de transporte de saída HTTP para um serviço da Web que atua como um cliente para outro servidor do serviço da Web. Também é possível configurar a segurança do nível de transporte de saída HTTP com uma ferramenta de montagem ou utilizando as propriedades Java. Se você não configurar a segurança de nível de transporte de saída HTTP, o tempo de execução dos serviços da Web irá diferir do tempo de execução da Java Platform, Enterprise Edition (Java EE) no produto WebSphere para uma configuração efetiva da Secure Sockets Layer (SSL). Se não houver configuração SSL no tempo de execução de segurança do Java EE no produto WebSphere, as propriedades do sistema JSSE (Java Secure Socket Extension) serão utilizadas.
Você pode definir propriedades de transporte HTTP adicionais para aplicativos de serviços da Web. Utilize as propriedades adicionais para gerenciar o conjunto de conexões para conexões de saída HTTP, configurar a codificação de conteúdo da mensagem HTTP, ativar a conexão persistente HTTP e reenviar o pedido HTTP quando ocorrer um tempo limite.