Segurança em Webservices

JavaEvangelist Membro desde: 23/03/2004 09:57:28 Mensagens: 380 Offline

Pessoal,

Estou pesquisando sobre o desenvolvimento de webservices e gostaria de saber se vocês se preocupam com a segurança dos webservices que vcs criam ou se vcs criam webservices sem nenhum tipo de encriptação dos dados e sem passar nenhuma senha.

A princípio iremos criar webservices apenas para a rede interna da empresa, um local considerado relativamente seguro.

O que vcs costumam fazer?

Thread.start() Membro desde: 11/08/2005 14:16:04 Mensagens: 41 Offline

cara .. eu geralmente deixo aberto, mas coloco dois campos para autenticação usuario e senha. voce pode enciptar a senha se vc que desenvolve todos os clientes do webservice, mas se for desenvolvido por outras empresas .. vc terá que definir um padrao de criptografia para a senha e passar para os clientes a chave de criptografia a ser usada.... não creio ser uma opção pratica!

abraços

JavaEvangelist Membro desde: 23/03/2004 09:57:28 Mensagens: 380 Offline

Obrigado por responder, mackalister!

Tem como usar https para comunicação de web services? Estou falando besteira?

andrepestana wrote:Obrigado por responder, mackalister!

Tem como usar https para comunicação de web services? Estou falando besteira?

Olá amigo.

Não falou besteira não. Tem como utilizar certificação digital para webservices sim.

Vou te passar uns links para te ajudar.

http://www.guj.com.br/posts/list/59950.java

http://www.guj.com.br/posts/list/58762.java#309561

Utilizo aqui webservices tanto com certificado digital, quanto sem certificação.

Caso não queira comprar o certificado você pode gerar um através da própria jdk. Utilizando a ferramenta keystore.

Em meu blog tem algumas coisas que podem te ajudar.

http;//rafaelmartinsjava.blogspot.com

Abaixo vou postar um passo-a-passo para você gerar o certificado digital através da JDK.
Qualquer dúvida é só falar.

Segue o passo a passo que me foi passado para a instalação do Certificado:

PRIMEIRO PASSO (Comandos para criação do Keystore):
Keytool ?genkey ?alias <SEU_ALIAS> ?keyalg rsa ?keystore <NOME_DO_KEYSTORE>

SEGUNDO PASSO (Comandos para criação do csr):
Keytool ?certreq ?keyalg rsa ?keysize 1024 ?alias <SEU_ALIAS> ?file tissnet.csr ?keystore <NOME_DO_KEYSTORE>

TERCEIRO PASSO: Editar o arquivo .csr e copiar o conteúdo para enviar para a Certsign através do formulário no site.

QUARTO PASSO: Após receber o certificado da Certsign, salvar o conteúdo em um arquivo com a extensão .cer, importar através do comando:
keytool -import -alias <SEU_ALIAS>-keystore <NOME_DO_KEYSTORE>
-trustcacerts -file <NOME_DO_ARQUIVO.cer>

QUINTO PASSO: Configurar o arquivo server.xml, adicionando:
<Connector port="8443"
maxThreads="150" minSpareThreads="25" maxSpareThreads="75"
enableLookups="false" disableUploadTimeout="true"
acceptCount="100" keystoreFile="<CAMINHO_DO_CERTIFICADO>" keystorePass="<SENHA_DE_GERACAO_KEYSTORE>" debug="0" scheme="https" secure="true"
clientAuth="false" sslProtocol="TLS" />

Abraçao velho.. espero ter ajudao.

JavaEvangelist Membro desde: 23/03/2004 09:57:28 Mensagens: 380 Offline

Muuuuito obrigado, Rafael!

Vou testar!

Abraço,

beleza velhao...

se precisar, estamos a ordem.

Abraços

This message was edited 1 time. Last update was at 17/06/2011 08:22:47

Colegas, desculpe desenterrar o tópico.

Estou implementando o TISSNet e estou apanhando muito com esse esquema de web service com certifificado digital.

Segui os passos do Rafael, e travei no passo 3...

Implementei o TISS no localhost mesmo com glassfish, e estou tentando acessar através de um cliente. Eu recebo erro de certificado.

Alguma luz?

Notícias, artigos e o maior fórum brasileiro sobre Java