基於SOAP的WebService安全

Question

我爲我們的客戶創建了一個Web服務，並使用帶有PasswordDigest的用戶名令牌（帶有時間戳，隨機數和加密密碼）來保護它。其中一個客戶端使用的軟件不支持PasswordDigest，只有純文本的用戶名和密碼。

我對SOAP-Header中的純文本密碼感到有些不舒服。但整個流量正在使用HTTPS進行保護。

我的問題：使用HTTPS，即使將安全要求從PasswordDigest更改爲PasswordText，它是否仍然足夠安全？

我的要求是：

• 客戶端必須使用一個用戶名進行身份驗證，因爲我必須知道哪些客戶端訪問Web服務和
• 任何人在這方面的中間人絕在SOAP標頭中看不到純文本密碼！

Answer 1

您可能還想查看WS-Security擴展名爲SOAP。

至於你的問題，我不會害怕在HTTPS上使用明文密碼，但正如@Anshu所說，確保你的服務不會對HTTP響應！此外，請注意，技術上可行並且經常看到企業代理有效地對HTTPS流量執行MitM「攻擊」...

Cheers，

Answer 2

如果您正在使用HTTPS，你也許能夠做掉PasswordDigest和使用PasswordText，但你必須確保你永遠不會支持不安全的請求。