Séminaire Web Services

LES WEB SERVICES
ET LEUR SECURITÉ

SÉMINAIRE SECURITÉ
LES WEB SERVICES ET LEUR SECURITÉ

DÉFINITION - WEB SERVICES

•

•

DÉFINITION - WEB SERVICES

•

•

•

•

WEB SERVICES

Web Services
Registry

Web Service Web Services
Provider Client

COMPOSANTS

•Extensible Markup Language
XML •A uniform data representation and exchange
mechanism.

•Universal Description, Discovery, and Integration
UDDI •A mechanism to register and locate WS based
application.

•Web Services Description Language
WSDL •A standard meta language to described the services
offered.

SOAP •Simple Object Access Protocol
•A standard way for communication.

SAML
•XML-based open standard for exchanging
authentication and authorization data between
security domains

XML VS HTML

<html>
<body>
<h2>John Doe</h2
<p>2 Backroads Lane<br>
New York<br>
045935435<br>
john.doe@gmail.com<br>
</p>
</body>
</html>

XML VS HTML

<?xml version=1.0?>
<contact>
<name>John Doe</name>
<address>2 Backroads Lane</address>
<country>New York</country>
<phone>045935435</phone>
<email>john.doe@gmail.com</email>
</contact>

WEB SERVICE DESCRIPTION LANGUAGE

•

•

•









WEB SERVICE DESCRIPTION LANGUAGE

<message name="GetStockPriceRequest">
<part name="stock" type="xs:string"/>
</message>
<message name="GetStockPriceResponse">
<part name="value" type="xs:string"/>
</message>

<portType name=“StocksRates">
<operation name=“GetStockPrice">
<input message=“GetStockPriceRequest"/>
<output
message=“GetStockPriceResponse"/>
</operation>
</portType>

SIMPLE OBJECT ACCESS PROTOCOL

•

•

•

•






<?xml version="1.0" encoding="UTF-8" ?>
<soap:Envelope xmlns:soap=
"http://schemas.xmlsoap.org/soap/envelope/">
<soap:Body>
<GetAirportInformation>
<AirportIdentifier>N99</AirportIdentifier>
</GetAirportInformation>
</soap:Body>
</soap:Envelope>


<soap:Envelope xmlns:soap=
"http://schemas.xmlsoap.org/soap/envelope/">
<soap:Body>
<GetAirportInformationResponse>
<GetAirportInformationResult>
<Name>Brandywine Airport</Name>
<Location>West Chester, PA</Location>
<Length unit="feet">3347</Length>
</GetAirportInformationResult>
</GetAirportInformationResponse>
</soap:Body>
</soap:Envelope>

SECURITY ASSERTION MARKUP LANGUAGE
(SAML)

COMMENT SÉCURISER LES WEB SERVICES ?

POURQUOI SÉCURISER CES FLUX ?

ATTEINTE À LA RÉPUTATION

•

•

•

•

•

FUITE D’INFORMATION

•

•

•

•

•

•

DENI DE SERVICE

•







•

•

NON RESPECT DES SLAs

•

•

•

•

•

•

LES TYPES D’ATTAQUE

XML-Based • Utilise les faiblesses du langage XML (ex: entity expansion)

Bugs in back- • Beaucoup de technologies utilisées impliquent un risque de
bug élevé.
end systems
Code • Les attaques XML injection sont simples à entreprendre. Ce
sont les attaques les plus répandues.
Injection
Denial of • Flux important de messages, envoi de centaines d’éléments
encryptés peuvent mettre à mal un système complet et
Service affecter les SLAs.

Man in the • Les messages peuvent être interceptés. Ceci pose des soucis
de routage des messages et également d’intégrité.
Middle

ATTAQUE XML : ENTITY EXPANSION

<!DOCTYPE foo [
<!ENTITY a "1234567890" >
<!ENTITY b "&a;&a;&a;&a;&a;&a;&a;&a;" >
<!ENTITY c "&b;&b;&b;&b;&b;&b;&b;&b;" >
<!ENTITY d "&c;&c;&c;&c;&c;&c;&c;&c;" >
<!ENTITY e "&d;&d;&d;&d;&d;&d;&d;&d;" >
<!ENTITY f "&e;&e;&e;&e;&e;&e;&e;&e;" >
<!ENTITY g "&f;&f;&f;&f;&f;&f;&f;&f;" >
<!ENTITY h "&g;&g;&g;&g;&g;&g;&g;&g;" >
<!ENTITY i "&h;&h;&h;&h;&h;&h;&h;&h;" >
<!ENTITY j "&i;&i;&i;&i;&i;&i;&i;&i;" >
<!ENTITY k "&j;&j;&j;&j;&j;&j;&j;&j;" >
<!ENTITY l "&k;&k;&k;&k;&k;&k;&k;&k;" >
<!ENTITY m "&l;&l;&l;&l;&l;&l;&l;&l;" >
]>

<foo>&m;</foo>

ATTAQUE XML : XML ATTRIBUTE BLOWUP

<?xml version="1.0"?>
<foo
a1=""
a2=""
...
a10000=""
/>

DENI DE SERVICE
Directement sur le Service
SOAP
<soapenv:Envelope
xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:tem="http://tempuri.org/">
<soapenv:Header/>
<soapenv:Body>
<tem:Login>
<tem:loginID>
John Doe<a1>….</a1>
</tem:loginID>
<tem:password>
muahahah
</tem:password>
</tem:Login>
</soapenv:Body>
</soapenv:Envelope>
Via le Portail
HTML Frontal Web WS de gestion des comptes

Login: John Doe <a1>…</a1>
Password: ********

ATTAQUE XML : XML INJETION

<?xml version="1.0" encoding="ISO-8859-1"?>
<users>
<user>
<uname>joepublic</uname>
<pwd>r3g</pwd>
<uid>10<uid/>
<mail>joepublic@example1.com</mail>
</user>
<user>
<uname>janedoe</uname>
<pwd>an0n</pwd>
<uid>500<uid/> <mail>janedoe@example2.com</mail>
</user>
</users>

Username: alice
Password: iluvbob
E-mail: alice@example3.com</mail></user><user><uname>Hacker</uname>
<pwd>l33tist</pwd><uid>0</uid><mail>hacker@exmaple_evil.net</mail>

ATTAQUE XML : XML INJETION

<users>
<user>
<uname>joepublic</uname>
<pwd>r3g</pwd>
<uid>10<uid/>
<mail>joepublic@example1.com</mail>
</user>
……
<user>
<uname>Alice</uname>
<pwd>iluvbob</pwd>
<uid>501<uid/>
<mail>alice@example3.com</mail>
</user><user><uname>Hacker</uname><pwd>l33tist</pwd><uid>0</uid>
<mail>hacker@example_evil.net</mail>
</user>
</users>

INJETION Xpath

• Authentification basée sur l’expression:
//user[name='$login' and pass='$pass']/account/text()

• Injection
$login = whatever' or '1'='1' or 'a'='b
$pass = whatever

• Exploitation de la précédence de l’opérateur AND
• L’expression devient
//user[name='whatever' or '1'='1' or 'a'='b' and pass=‘whatever']/account/text()
= TRUE
TRUE OR FALSE

WEB SERVICES

COMMENT SÉCURISER CES FLUX ?

LES QUESTIONS À SE POSER

•

•

•

•

•

•

COMMENT SE PROTÉGER ?

Message integrity (signature)
• Ensure message integrity. Support for XML Signature.

Message confidentiality (encryption)
• Ensure end-to-end data privacy. Support for both SSL and XML. Encryption are essential.

Authentication (SAML)
• Verifying the identity of the requestor.

Access Control (SAML)
• Ensuring that the requestor has appropriate access to the resource.

Schema Validation (WSDL)
• Ensuring intergrity of the structure and content of the message.

Security Standards (WS-Security)
• Supporting standards based security functions such as WS-Security.

Malicious attack protection (Black List)
• Supporting protection against the lastest Web Services and XML-Based attacks.

WS-SECURITY

WS-Trust WS-Federation LibertyAlliance
Trust
relationships XKMS SAML

WS-Policy
SOAP WS-Security WS-Reliability Access
XACML SAML

XML Encryption Implémentations les plus
XML courantes
XML Signature

HTTP HTTP Auth
Sécurité habituelle des
applications Web
TCP SSL / TLS

IP IPSec

WS-SECURITY

<soap:Envelope
xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<soap:Header>
<wsse:Security
xmlns:wsse="http://schemas.xmlsoap.org/ws/2002/04/secext">
<ds:Signature>
<ds:SignatureValue>DJbchm5gK...</ds:SignatureValue>
...
</ds:Signature>
</wsse:Security>
</soap:Header>
<soap:Body id="MsgBody">
...
</soap:Body>
</soap:Envelope>

WEB SERVICES

UNE SOLUTION : LE PAREFEU
APPLICATIF

FIREWALL APPLICATIF VS FIREWALL XML

PARE-FEU APPLICATIF

Détection PARE-FEU XML
d’attaques Détection
propres aux d’attaques Détection
applications communes : d’attaques
propres aux
SQL injection, services web
XSS, etc. (WSDL, …)

PROBLÉMATIQUE DES FIREWALLS
STANDARDS

X

X

PROBLÉMATIQUE DES FIREWALLS
STANDARDS

WEB APPLICATION FIREWALL

Legitimate Traffic
Malicious Application Activity
Internet Application Floods
Network Attacks & Floods
Not allowed Services

PRINCIPALES FONCTIONNALITÉS D’UN
FIREWALL XML

BEE-WARE V5

•

•

•

•

MANAGEMENT CENTRALISÉ

•

•

•

• ʼ
•

•

TRAITEMENT DES FLUX PAR WORKFLOW

•

•

•

•

FIREWALL APPLICATIF

•

•

•

FIREWALL APPLICATIF (SUITE)

•

•

•

•

PRINCIPE DU REVERSE PROXY DANS i-Suite

XML FIREWALL MODULE SPÉCIFICATIONS

LE MARCHÉ –
ACTEURS PRINCIPAUX ET CHALLENGERS

DÉMO DE MANIPULATION D’UN FLUX XML

SOAP MESSAGE SIGNATURE + HEADER
INSERTION

SOAP BODY ENCRYPTION
(doGoogleSearchResponse)

SOAP MESSAGE SIGNATURE VALIDATION

VALIDATION DU SHÉMA WSDL

<?xml version="1.0" encoding="utf-8"?>
<nomComplet>Prenom Nom</nomComplet>

<nomComplet>Prenom <b> Nom </b></nomComplet>

REQUÊTES

•

•

•

DÉMO SÉCURITÉ DES WEBSERVICES

CONCLUSION

•

•

•

Séminaire Web Services

Recommandé

Recommandé

Contenu connexe

Similaire à Séminaire Web Services

Similaire à Séminaire Web Services (20)

Plus de e-Xpert Solutions SA

Plus de e-Xpert Solutions SA (20)

Dernier

Dernier (20)

Séminaire Web Services

Notes de l'éditeur