वेब सेवा सुरक्षा (ws सुरक्षा) - टेकपीडिया से परिभाषा

परिभाषा - वेब सेवा सुरक्षा (WS Security) का क्या अर्थ है?

वेब सेवा सुरक्षा (डब्ल्यूएस सुरक्षा) एक विनिर्देश है जो परिभाषित करता है कि बाहरी हमलों से बचाने के लिए वेब सेवाओं में सुरक्षा उपायों को कैसे लागू किया जाता है। यह प्रोटोकॉल का एक सेट है जो गोपनीयता, अखंडता और प्रमाणीकरण के सिद्धांतों को लागू करके SOAP आधारित संदेशों के लिए सुरक्षा सुनिश्चित करता है।

क्योंकि वेब सेवाएँ किसी भी हार्डवेयर और सॉफ़्टवेयर कार्यान्वयन से स्वतंत्र हैं, इसलिए WS- सुरक्षा प्रोटोकॉल को नए सुरक्षा तंत्र को समायोजित करने और वैकल्पिक तंत्र प्रदान करने के लिए पर्याप्त लचीला होना चाहिए यदि कोई दृष्टिकोण उपयुक्त नहीं है। क्योंकि एसओएपी-आधारित संदेश कई बिचौलियों को पीछे छोड़ते हैं, सुरक्षा प्रोटोकॉल को नकली नोड्स की पहचान करने और इन नोड्स पर डेटा व्याख्या को रोकने में सक्षम होने की आवश्यकता होती है। WS- सुरक्षा विभिन्न सुरक्षा समस्याओं से निपटने के लिए सबसे अच्छा तरीका जोड़ती है, जिससे डेवलपर समस्या के एक हिस्से के लिए किसी विशेष सुरक्षा समाधान को अनुकूलित कर सके। उदाहरण के लिए, डेवलपर प्रमाणीकरण के लिए गैर-अस्वीकरण और केर्बरोस के लिए डिजिटल हस्ताक्षर का चयन कर सकता है।

Techopedia वेब सेवा सुरक्षा (WS सुरक्षा) की व्याख्या करता है

डब्ल्यूएस-सुरक्षा का उद्देश्य यह सुनिश्चित करना है कि दो पक्षों के बीच संचार एक अनधिकृत तीसरे पक्ष द्वारा बाधित या व्याख्या नहीं है। रिसीवर को यह सुनिश्चित करने की आवश्यकता है कि संदेश वास्तव में प्रेषक द्वारा भेजा गया था, और प्रेषक को आश्वस्त होना चाहिए कि प्राप्तकर्ता संदेश प्राप्त करने से इनकार नहीं कर सकता है। अंत में, संचार के दौरान भेजे गए डेटा को किसी अनधिकृत स्रोत द्वारा परिवर्तित नहीं किया जाना चाहिए। सुरक्षा से संबंधित सभी डेटा SOAP हेडर के भाग के रूप में जोड़े जाते हैं। इसलिए, सुरक्षा तंत्र के सक्रिय होने पर SOAP संदेश के गठन पर एक बहुत ही ओवरहेड लगाया जाता है।

WS- सुरक्षा SOAP हैडर:

डेवलपर अपने लक्ष्य को प्राप्त करने के लिए किसी भी अंतर्निहित सुरक्षा तंत्र या प्रोटोकॉल के सेट को चुनने के लिए स्वतंत्र है। सुरक्षा को एक हेडर का उपयोग करके कार्यान्वित किया जाता है जिसमें कुंजी-मूल्य युग्मों का एक सेट होता है जहां उपयोग किए गए अंतर्निहित सुरक्षा तंत्र में परिवर्तन के साथ मूल्य उचित रूप से बदलता है। यह तंत्र कॉलर की पहचान की पहचान करने में मदद करता है। यदि डिजिटल हस्ताक्षर का उपयोग किया जाता है, तो हेडर में इस बात की जानकारी होती है कि सामग्री पर हस्ताक्षर कैसे किए गए हैं और संदेश पर हस्ताक्षर करने के लिए उपयोग की जाने वाली कुंजी का स्थान।

एन्क्रिप्शन से संबंधित जानकारी भी SOAP हेडर में संग्रहीत होती है। आईडी विशेषता को SOAP हेडर के भाग के रूप में संग्रहीत किया जाता है, जो प्रसंस्करण को सरल करता है। संदेश अखंडता पर हमलों के खिलाफ सुरक्षा के अतिरिक्त स्तर के रूप में टाइमस्टैम्प का उपयोग किया जाता है। जब कोई संदेश बनाया जाता है, तो एक टाइमस्टैम्प संदेश के साथ जुड़ा होता है जो यह बताता है कि कब बनाया गया था। संदेश की समाप्ति के लिए और गंतव्य नोड पर संदेश प्राप्त होने पर इंगित करने के लिए अतिरिक्त टाइमस्टैम्प का उपयोग किया जाता है।

WS- सुरक्षा प्रमाणीकरण तंत्र

• उपयोगकर्ता नाम / पासवर्ड दृष्टिकोण: उपयोगकर्ता नाम और पासवर्ड संयोजन उपयोग किए जाने वाले बुनियादी प्रमाणीकरण तंत्रों में से एक है, और HTTP डाइजेस्ट और बेसिक प्रमाणीकरण विधियों के अनुरूप है। उपयोगकर्ता नाम टोकन तत्व प्रमाणीकरण के लिए उपयोगकर्ता क्रेडेंशियल्स को पास करने के लिए उपयोग किया जाता है। पासवर्ड को सादे पाठ के रूप में या पाचन प्रारूप में ले जाया जा सकता है। जब पाचन दृष्टिकोण का उपयोग किया जाता है, तो SHA1 हैशिंग तकनीक का उपयोग करके पासवर्ड एन्क्रिप्ट किया जाता है।
• X.509 दृष्टिकोण: यह दृष्टिकोण उपयोगकर्ता को एक सार्वजनिक कुंजी अवसंरचना द्वारा पहचानता है जो किसी विशेष उपयोगकर्ता के लिए X.509 प्रमाणपत्र को मैप करता है। X.509 प्रमाणपत्र को एन्क्रिप्ट और डिक्रिप्ट करने के लिए सार्वजनिक कुंजी और एक निजी कुंजी का उपयोग करके अधिक सुरक्षा जोड़ी जा सकती है। यह सुनिश्चित करने के लिए कि संदेशों को फिर से नहीं लिखा गया है, एक निश्चित अवधि के बाद आने वाले संदेशों को अस्वीकार करने के लिए समय सीमा निर्धारित की जा सकती है।
• केर्बरोस: एक टिकट की अवधारणा केर्बोस के अंतर्निहित तंत्र का निर्माण करती है। उपयोगकर्ता को उपयोगकर्ता नाम / पासवर्ड संयोजन या X.509 प्रमाणपत्र का उपयोग करके मुख्य वितरण केंद्र (KDC) के साथ प्रमाणित करने की आवश्यकता होती है। सफल प्रमाणीकरण पर, उपयोगकर्ता को टिकट देने वाला टिकट (TGT) दिया जाता है। टीजीटी का उपयोग करते हुए, ग्राहक टिकट देने वाली सेवा (टीजीएस) तक पहुंचने का प्रयास करता है। इस कदम पर, पहचान और प्राधिकरण की पहली दो भूमिकाएं खत्म हो गई हैं। क्लाइंट तब TGS से एक विशेष संसाधन प्राप्त करने के लिए सेवा टिकट (ST) का अनुरोध करता है और उसे ST प्रदान किया जाता है। सेवा का उपयोग करने के लिए क्लाइंट ST का उपयोग करता है।
• डिजिटल सिग्नेचर: एक्सएमएल हस्ताक्षर का उपयोग संदेश को संशोधन और व्याख्या से बचाने के लिए किया जाता है। हस्ताक्षर एक विश्वसनीय पार्टी या वास्तविक प्रेषक द्वारा किया जाना चाहिए।
• एन्क्रिप्शन: एक्सएमएल एन्क्रिप्शन का उपयोग डेटा को अनधिकृत तीसरे पक्ष के लिए अपठनीय बनाकर व्याख्या से बचाने के लिए किया जाता है। सममित और असममित दोनों तरीकों का उपयोग किया जा सकता है।

WS- सुरक्षा मौजूदा सुरक्षा तंत्र को नए तंत्र को शामिल करने में किसी भी ओवरहेड को रोकने के लिए उचित रूप से लाभ उठाने की अनुमति देता है।