Segurana em Web Services

Introduo
Construir Web Services seguros implica em entender as ameaas em que os servios esto expostos
e ter definido qual nvel de segurana deve ser alcanado. A maneira mais eficaz de se implementar
segurana em aplicaes estar em consonncia com os princpios, padres e prticas. Os impactos
negativos de uma falha de segurana podem comprometer os dados confidnciais, ceder acesso no
autorizado e at mesmo comprometer a reputao e confiabilidade da instituio que esta prestando
o servio.
Para prover aos sistemas que utilizam a tecnologia de Web Services as seguintes recomendaes so
apresentadas:
Segurana no nvel de aplicao:
Prover a cifrao das mensagens trocadas entre as partes utilizando XML Encryption Syntax
and Processing e Decryption Transform for XML Signature (XMLenc) conforme a
Especificao Tcnica do GT 2 - Segurana recomenda na Tabela 8 Especificaes para
Segurana Desenvolvimento de Sistemas.
Prover a autenticao de chaves e o gerenciamento de certificados utilizando XML Key
Management Specification (XKMS 2.0) conforme a Especificao Tcnica do GT 2 Segurana recomenda na Tabela 8 Especificaes para Segurana Desenvolvimento
de Sistemas.
Prover a assinatura digital utilizando XML Signature Syntax and Processing (XMLsig)
conforme a Especificao Tcnica do GT 2 - Segurana recomenda na Tabela 8
Especificaes para Segurana Desenvolvimento de Sistemas.
Segurana no nvel de transporte:
Prover a segurana utilizando o componente Transferncia de Dados em Redes Inseguras
conforme a Especificao Tcnica do GT 2 - Segurana recomendada na Tabela 5
Especificaes para Segurana Comunicao de dados.
Mnimo de segurana recomendado:
O mnimo segurana exigido para troca de informaes entre as aplicaes que utilizem Web
Services com os protocolos HTTP ou SMTP a utilizao de segurana no nvel de
aplicao utilizando o componente Transferncia de Dados em Redes Inseguras conforme a
Especificao Tcnica do GT 2 - Segurana recomendada na Tabela 5 Especificaes
para Segurana Comunicao de dados.
Os servidores que provem servios de Web Services devero utilizar Certificado Digital da
AC-raiz nos padres da ICP-Brasil para que se possa garantir de autenticidade das
informaes trocadas entre as partes.
Para servios que necessitem de autenticao como usurio, senha ou qualquer outro
mecanismo de autenticao, recomenda-se que tal informao seja transportada de forma
criptografada na sesso de HEADER quando houver a utilizao do protocolo de acesso
SOAP.