সুরক্ষিত ওয়েব পরিষেবাদি: এইচটিটিপিএস বনাম এসওএপি + ডাব্লুএস-সুরক্ষা সম্পর্কে বিশ্রাম দিন। কোনটা ভাল? [বন্ধ]


181

আমি কোনও উপায়ে সুরক্ষা বিশেষজ্ঞ নই, তবে আমি রেস্ট স্টাইল ওয়েব পরিষেবাদি তৈরির পক্ষে আছি।

একটি নতুন পরিষেবা তৈরি করার ক্ষেত্রে এটির সুরক্ষিতভাবে প্রেরণ করা ডেটা থাকা দরকার। আমরা কোন বিতর্কটি প্রবেশ করেছি যার মধ্যে কোন পদ্ধতিটি আরও সুরক্ষিত - HTTPS সহ REST বা WS- সুরক্ষা সহ একটি SOAP WS।

আমি এই ছাপের মধ্যে আছি যে আমরা সমস্ত ওয়েব পরিষেবা কলের জন্য এইচটিটিপিএস ব্যবহার করতে পারি এবং এই পদ্ধতিটি সুরক্ষিত থাকবে। যেভাবে আমি এটি দেখছি তা হ'ল, "যদি এইচটিটিপিএস ব্যাংক এবং আর্থিক ওয়েবসাইটগুলির জন্য যথেষ্ট ভাল হয় তবে এটি আমার পক্ষে যথেষ্ট ভাল"। আবার, আমি এই জায়গাতেও বিশেষজ্ঞ নই, তবে আমি ভাবব যে এই লোকেরা এই সমস্যাটি সম্পর্কে যথেষ্ট কঠোর চিন্তা করেছে এবং এইচটিটিপিএসে আরামদায়ক।

সহকর্মী একমত নন এবং বলেছেন এসওএপি এবং ডাব্লুএস-সুরক্ষা একমাত্র উপায়।

ওয়েব এটির সমস্ত বোর্ড জুড়ে মনে হচ্ছে।

হতে পারে এখানকার সম্প্রদায়ের প্রত্যেকের উপকার ও বিবেকের বিষয়টি বিবেচনা করতে পারে? ধন্যবাদ!


9
এটি মূলত পরিবহন স্তরের সুরক্ষা এবং বার্তা স্তরের সুরক্ষার পছন্দ
ফ্ল্যাশ

কেবল যুক্ত করতে .. iseebug.com/category/web-service
ভাইবস

উত্তর:


133

এইচটিটিপিএস নেটওয়ার্কের মাধ্যমে বার্তাটি সঞ্চারিত করে এবং ক্লায়েন্টকে সার্ভারের পরিচয় সম্পর্কে কিছুটা আশ্বাস দেয়। এটি আপনার ব্যাংক বা অনলাইন স্টক ব্রোকারের কাছে গুরুত্বপূর্ণ। ক্লায়েন্টকে প্রমাণীকরণে তাদের আগ্রহ কম্পিউটারের পরিচয় নয়, তবে আপনার পরিচয়ের ক্ষেত্রে। সুতরাং কার্ড নম্বর, ব্যবহারকারীর নাম, পাসওয়ার্ড ইত্যাদি আপনাকে প্রমাণীকরণ করতে ব্যবহৃত হয়। এরপরে সাধারণত কিছু সাবধানতা অবলম্বন করা হয় যাতে সাবমিশনের সাথে কোনও বিঘ্ন ঘটেনি, তবে সামগ্রিকভাবে অধিবেশনটিতে যা কিছু ঘটে তা আপনার দ্বারা শুরু করা হয়েছে বলে বিবেচিত হয়।

ডাব্লুএস-সিকিউরিটি তার ব্যবহারের জন্য বার্তা তৈরি থেকে গোপনীয়তা এবং অখণ্ডতা সুরক্ষা সরবরাহ করে। সুতরাং যোগাযোগের বিষয়বস্তু কেবলমাত্র সঠিক সার্ভার দ্বারা পড়া যায় তা নিশ্চিত করার পরিবর্তে এটি নিশ্চিত করে যে এটি কেবলমাত্র সার্ভারে সঠিক প্রক্রিয়া দ্বারা পড়তে পারে। সুরক্ষিতভাবে শুরু করা অধিবেশনটিতে সমস্ত যোগাযোগ সত্যায়িত ব্যবহারকারীর কাছ থেকে প্রত্যেকে স্বাক্ষর করতে হবে তা ধরে নেওয়ার পরিবর্তে।

এখানে নগ্ন মোটরসাইক্লিস্টদের জড়িত একটি মজাদার ব্যাখ্যা:

https://docs.microsoft.com/archive/blogs/vbertocci/end-to-end-security-or-why-you-shouldnt-drive-your-motorcycle-naked

সুতরাং ডাব্লুএস-সুরক্ষা এইচটিটিপিএসের চেয়ে বেশি সুরক্ষা দেয় এবং এসওএপি আরএসটি-র চেয়ে আরও সমৃদ্ধ এপিআই সরবরাহ করে। আমার মতামতটি হ'ল যদি না আপনার অতিরিক্ত বৈশিষ্ট্য বা সুরক্ষা প্রয়োজন হয় তবে আপনার এসওএপি এবং ডাব্লুএস-সুরক্ষা এর ওভারহেড এড়ানো উচিত নয়। আমি জানি এটি কিছুটা কপ-আউট তবে কতটুকু সুরক্ষা আসলে ন্যায্য (কেবল কী তৈরি করতে শীতল হবে তা নয়) এই সিদ্ধান্তগুলি যারা তাদের ঘনিষ্ঠভাবে সমস্যাটি জানেন তাদের দ্বারা নেওয়া উচিত।


একটি অতিরিক্ত পয়েন্ট - সংক্রমণ সুরক্ষার জন্য ট্রান্সমিশন ইনিশিয়েটারের প্রমাণীকরণ প্রয়োজন। উদাহরণস্বরূপ, এসএসএইচ থাকা ভাল নয়, যদি প্রত্যেকে পাসওয়ার্ডটি জানে। বিতরণ অ্যাপ্লিকেশনগুলিতে মাল্টি-লেয়ার সুরক্ষা গুরুত্বপূর্ণ is আইডেন্টিটি, অখণ্ডতা, জবাবদিহিতা চিন্তা করুন
আইডেন বেল 12'09

20
আমি অন্য দিন একটি আকর্ষণীয় মিশ্রণ দেখেছি। আমাদের একটি বৃহত, এফ 500 গ্রাহক আরইএসটি এবং এসওএপি (কেবল পঠনযোগ্য ডেটা অ্যাক্সেসের জন্য আরএসইএস, বাকিদের জন্য এসওএপি) ব্যবহার করছেন এবং বিভিন্ন সুরক্ষা স্কিম ব্যবহার না করার জন্য উভয়ের জন্য ডাব্লুএস-সেক ব্যবহার করার সিদ্ধান্ত নিয়েছে। তারা আরএসটি কলের জন্য এইচটিটিপি শিরোনামগুলিতে ডাব্লুএস-সেকার শিরোনামের তথ্য স্থাপন করে এটি করছে। তাদের সুরক্ষা মধ্যস্থতাকারী জানে কীভাবে চেকগুলি করতে উভয় অবস্থান থেকে তাদের টেনে আনতে হয়। প্রথমবার আমি এই পদ্ধতিটি দেখেছি।
স্যফিটস

65

আরওএসটি সুরক্ষা পরিবহন নির্ভর যখন এসওএপি সুরক্ষা না থাকে।

আরওএসটি অন্তর্নিহিত পরিবহন থেকে সুরক্ষার ব্যবস্থা উত্তরাধিকার সূত্রে প্রাপ্ত হয় যখন এসওএপি ডাব্লুএস-সুরক্ষা মাধ্যমে তার নিজস্ব সংজ্ঞা দেয়।

যখন আমরা আরএসটিপি নিয়ে, HTTP- র উপরে কথা বলি - এইচটিটিপি প্রয়োগ করা সমস্ত সুরক্ষা ব্যবস্থা উত্তরাধিকার সূত্রে প্রাপ্ত হয় এবং এটি পরিবহণ স্তরের সুরক্ষা হিসাবে পরিচিত।

পরিবহন স্তরের সুরক্ষা, কেবল আপনার বার্তাটি কেবল তারে থাকা অবস্থায়ই সুরক্ষিত করে - তারের ছেড়ে যাওয়ার সাথে সাথে বার্তাটি আর সুরক্ষিত হয় না।

তবে, ডাব্লুএস-সুরক্ষা সহ এর বার্তা স্তর সুরক্ষা - যদিও বার্তাটি পরিবহন চ্যানেলটি ছেড়ে দেয় এটি এখনও সুরক্ষিত থাকবে। এছাড়াও - বার্তা স্তর সুরক্ষার সাথে আপনি বার্তাটি আংশিকভাবে এনক্রিপ্ট করতে পারেন [পুরো বার্তাটি নয়, কেবল আপনি যে অংশগুলি চান] - তবে পরিবহন স্তর সুরক্ষা সহ আপনি এটি করতে পারবেন না।

ডাব্লুএস-সিকিউরিটির প্রমাণীকরণ, অখণ্ডতা, গোপনীয়তা এবং অ-প্রত্যাখ্যানের জন্য পদক্ষেপ রয়েছে যখন এসএসএল অ-প্রত্যাখ্যানকে সমর্থন করে না [এটি 2-লেগড ওআউথ দিয়ে]।

কর্মক্ষমতা অনুযায়ী এসএসএল ডাব্লুএস-সিকিউরিটির তুলনায় খুব দ্রুত is

ধন্যবাদ ...


1
আমার ক্ষমা চাই তবে আমার এটিকে সংশোধন করা দরকার। REST ফর উইকির দিকে তাকান : আরইএসটি প্রথমে এইচটিটিপি-র প্রসঙ্গে বর্ণিত হয়েছিল, তবে এটি কেবল সেই প্রোটোকলের মধ্যেই সীমাবদ্ধ নয়। ডাব্লুএস-সিকিউরিটির সাথে এসওএপি-র কোনও সম্পর্ক নেই এবং উভয় ক্ষেত্রেই কিছুটা হলেও অন্তর্নিহিত পরিবহনের উপর নির্ভর করে আরএসইএসটি / এসওএপি উভয় বাস্তবায়ন। এসওএপি এক্সএমএল-ভিত্তিক এবং এর মধ্যে ডাব্লুএস-সুরক্ষা পরে অ্যাপ্লিকেশন-ডেটা সুরক্ষা বাস্তবায়ন হিসাবে স্তরযুক্ত হয়েছিল। অন্যথায় ভাল তথ্য।
ড্যারেল টিগু

13
আমি উপরে উল্লিখিত হিসাবে বিশ্রাম কোনও নির্দিষ্ট পরিবহণের উপর নির্ভর করে না - যদিও বেশিরভাগ সময়ে এটি HTTP এর প্রসঙ্গে ব্যাখ্যা করা হয়েছিল। তবে, আরআরইএসটি কোনও সুরক্ষা সম্পর্কে কথা বলেন না t এটি সম্পূর্ণ সুরক্ষার জন্য অন্তর্নিহিত পরিবহনের উপর নির্ভর করে - এটি এইচটিটিপি বা যেকোন কিছু হোক। এসওএপি-তে এটি স্পষ্টভাবে একটি সুরক্ষা মানকে সংজ্ঞায়িত করে যা পরিবহণের উপর নির্ভর করে না। ডাব্লুএস-সুরক্ষা এসওএপি জন্য ডিজাইন করা হয়েছে। আপনি যদি SOAP এর সাথে পরিবহন স্তরের সুরক্ষা ব্যবহার করতে চান তবে কোনও সমস্যা নেই, আপনি এটি ব্যবহার করতে পারেন। REST একটি স্থাপত্য নিদর্শন, এটি সুরক্ষা সম্পর্কে কথা বলে না।
প্রভাত সিরওয়ার্দেনা

সুপার প্রবথ! ধন্যবাদ এটি কার্যকর ছিল
সানলিও

22

প্রযুক্তিগতভাবে, আপনি যেভাবে এটি শব্দ করেছেন, তাও সঠিক নয়, কারণ এসওএপি পদ্ধতির যোগাযোগ নিরাপদ নয়, এবং বিশ্রাম পদ্ধতিটি বৈধ ব্যবহারকারীদের অনুমোদনের বিষয়ে কিছু বলেনি।

HTTPS দ্বারা থেকে আক্রমণকারীদের বাধা দেয় eavesdropping দুটি সিস্টেমের মধ্যে যোগাযোগ করুন। এটিও যাচাই করে যে হোস্ট সিস্টেম (সার্ভার) আসলে হোস্ট সিস্টেম যা ব্যবহারকারী অ্যাক্সেস করতে চায়।

ডাব্লুএস-সুরক্ষা অননুমোদিত অ্যাপ্লিকেশনগুলি (ব্যবহারকারীদের) সিস্টেমে অ্যাক্সেস করা থেকে বাধা দেয়।

যদি একটি রেস্ট্রিক্ট সিস্টেমে ব্যবহারকারীদের প্রমাণীকরণের উপায় থাকে এবং ডাব্লুএস-সুরক্ষা সহ একটি এসওএপি অ্যাপ্লিকেশন এইচটিটিপিএস ব্যবহার করে, তবে সত্যই উভয়ই সুরক্ষিত। এটি উপাত্ত উপস্থাপন এবং অ্যাক্সেস করার আলাদা উপায়।


19

দেখুন উইকি নিবন্ধ:

পয়েন্ট-টু-পয়েন্ট পরিস্থিতিতে গোপনীয়তা এবং ডেটা অখণ্ডতাও ট্রান্সপোর্ট লেয়ার সিকিউরিটি (টিএলএস) ব্যবহারের মাধ্যমে ওয়েব পরিষেবাদিতে প্রয়োগ করা যেতে পারে, উদাহরণস্বরূপ, https- র মাধ্যমে বার্তা প্রেরণ করে।

ডাব্লুএস-সিকিউরিটি তবে উত্স নোড থেকে কোনও বার্তা প্রেরণ না হওয়া পর্যন্ত বার্তাগুলির অখণ্ডতা এবং গোপনীয়তা বজায় রাখার বিস্তৃত সমস্যাটির সমাধান করে, যা সুরক্ষার শেষের তথাকথিত প্রস্থান সরবরাহ করে।

এটাই:

  • এইচটিটিপিএস একটি পরিবহন স্তর (পয়েন্ট-টু-পয়েন্ট) সুরক্ষা ব্যবস্থা
  • ডাব্লুএস-সুরক্ষা একটি অ্যাপ্লিকেশন স্তর (শেষ থেকে শেষ) সুরক্ষা ব্যবস্থা।

15

আপনি যেমনটি বলেছেন, আরআরইএসটি ব্যাংকগুলির পক্ষে যথেষ্ট ভাল তাই আপনার পক্ষে যথেষ্ট ভাল হওয়া উচিত।

সুরক্ষার জন্য দুটি প্রধান দিক রয়েছে: 1) এনক্রিপশন এবং 2) পরিচয়।

এসএসএল / এইচটিটিপিএসে প্রেরণ তারের মাধ্যমে এনক্রিপশন সরবরাহ করে। তবে আপনাকে এটিও নিশ্চিত করতে হবে যে উভয় সার্ভারই ​​নিশ্চিত করতে পারে যে তারা কার সাথে কথা বলছে। এটি এসএসএল ক্লায়েন্টের শংসাপত্র, ভাগ গোপন ইত্যাদির মাধ্যমে হতে পারে can

আমি নিশ্চিত যে কেউ মামলা করতে পারে যে এসওএপি "আরও সুরক্ষিত" তবে সম্ভবত কোনও উল্লেখযোগ্য উপায়ে নয়। নগ্ন মোটরসাইক্লিস্ট সাদৃশ্যটি দুর্দান্ত তবে সঠিক যদি বোঝা যায় যে পুরো ইন্টারনেটটি নিরাপত্তাহীন।


13

আমার কাছে এখনও কোনও মন্তব্য যুক্ত করার জন্য প্রয়োজনীয় প্রতিনিধি নেই বা আমি এটি কেবল বেলের উত্তরে যুক্ত করতে পারতাম। আমি মনে করি বেল দুটি পদ্ধতির শীর্ষ স্তরের উপকারিতা এবং কনসগুলির সংক্ষিপ্তকরণের খুব ভাল কাজ করেছেন। আপনি কয়েকটি অন্যান্য বিষয় বিবেচনা করতে পারেন যা:

1) আপনার ক্লায়েন্ট এবং আপনার পরিষেবার মধ্যে অনুরোধগুলি কি মধ্যস্থতাকারীদের মধ্য দিয়ে যেতে হবে যার জন্য পেডলোড অ্যাক্সেস প্রয়োজন? যদি তা হয় তবে ডাব্লুএস-সুরক্ষা আরও ভাল ফিট হতে পারে।

2) মিউচুয়াল অথেন্টিকেশন নামে একটি বৈশিষ্ট্য ব্যবহার করে ক্লায়েন্টদের পরিচয় হিসাবে সার্ভারটি নিশ্চয়তার সাথে সরবরাহ করতে SSL ব্যবহার করা সম্ভব actually যাইহোক, এটি কনফিগার করার জটিলতার কারণে কিছু খুব বিশেষায়িত দৃশ্যের বাইরে খুব বেশি ব্যবহার হয় না। বেল তাই ঠিক যে ডাব্লুএস-সেক এখানে অনেক ভাল ফিট।

3) সাধারণভাবে শংসাপত্র পরিচালনার সমস্যাগুলির কারণে SSL সাধারণত সেটআপ এবং বজায় রাখার জন্য কিছুটা ভালুক হতে পারে। আপনার প্ল্যাটফর্মের জন্য কীভাবে এটি করতে হয় জানেন এমন কাউকে থাকা এক বৃহত্তর প্লাস হবে।

৪) আপনার যদি কিছু শংসাপত্রের ম্যাপিং বা পরিচয় ফেডারেশন করার দরকার পড়ে তবে ডাব্লুএস-সেকের ওভারহেডের মূল্য হতে পারে। আপনি বিশ্রামের সাথে এটি করতে পারবেন না এমন নয়, আপনাকে সাহায্য করার জন্য আপনার কাছে কম কাঠামো আছে।

৫) সমস্ত ডাব্লুএস-সিকিউরিটি গোপন বিষয়গুলির ক্লায়েন্টের পক্ষে সঠিক স্থানে প্রবেশ করা আপনার কষ্টের চেয়ে বেশি ব্যথা হতে পারে you

শেষ পর্যন্ত যদিও এটি সত্যিকারের অনেকগুলি বিষয়ের উপর নির্ভর করে যা আমরা জানি না। বেশিরভাগ পরিস্থিতিতে আমি বলব যে উভয় পদ্ধতিরই "যথেষ্ট সুরক্ষিত" হবে এবং তাই এটিই সিদ্ধান্ত নেওয়ার মূল কারণ নয়।


ব্যাংকিং অন্যতম "সর্বাধিক" পরিস্থিতি নয়।
ব্রায়ান ব্রাইস

11
Brace yourself, here there's another coming :-)

আজ আমি আমার বান্ধবীকে এইচটিটিপিএসের বিপরীতে ডাব্লুএস-সুরক্ষার মত প্রকাশের শক্তির মধ্যে পার্থক্যটি ব্যাখ্যা করতে হয়েছিল। তিনি একজন কম্পিউটার বিজ্ঞানী, তাই এমনকি যদি তিনি সমস্ত এক্সএমএল জাম্বু জাম্বো না জানেন তবেও তিনি বোঝেন (সম্ভবত আমার চেয়ে ভাল) এনক্রিপশন বা স্বাক্ষরের অর্থ কী। তবে আমি একটি দৃ image় চিত্র চেয়েছিলাম, যা কীভাবে কীভাবে কার্যকর করা হয় তার চেয়ে কী কী কী জিনিসগুলির জন্য কার্যকর তা তাকে সত্যই বুঝতে পারে (এটি কিছুটা পরে এসেছিল, সে এড়ায় নি :-))।

সুতরাং এটি এই মত যায়। ধরুন আপনি নগ্ন হয়ে পড়েছেন এবং আপনাকে আপনার মোটরসাইকেলটি একটি নির্দিষ্ট গন্তব্যে চালাতে হবে। (এ) ক্ষেত্রে আপনি স্বচ্ছ টানেলের মধ্য দিয়ে যাচ্ছেন: অশ্লীল আচরণের জন্য গ্রেপ্তার না হওয়ার আপনার একমাত্র আশা হ'ল যে কেউ খুঁজছেন না। এটি হ'ল সর্বাধিক সুরক্ষিত কৌশল নয় যার সাথে আপনি বেরিয়ে আসতে পারেন ... (লোকটির কপাল থেকে ঘামের ড্রপ লক্ষ্য করুন :-))। এটি পরিষ্কারভাবে একটি পোষ্টের সমতুল্য এবং যখন আমি "সমতুল্য" বলি তখন এটি বোঝায়। (খ) ক্ষেত্রে, আপনি আরও ভাল পরিস্থিতিতে আছেন। সুড়ঙ্গটি অস্বচ্ছ, সুতরাং যতক্ষণ আপনি এটিতে ভ্রমণ করেন ততক্ষণ আপনার সর্বজনীন রেকর্ডটি নিরাপদ। তবে এটি এখনও সেরা পরিস্থিতি নয়। আপনাকে এখনও বাড়ি ছেড়ে টানেলের প্রবেশদ্বারে পৌঁছতে হবে এবং একবার টানেলের বাইরে সম্ভবত আপনাকে নামতে হবে এবং কোথাও হেঁটে যেতে হবে ... এবং এটি এইচটিটিপিএসের জন্য যায়। এটা ঠিক যে, আপনার বার্তাটি সবচেয়ে বড় বিশৃঙ্খলা অতিক্রম করার সময় নিরাপদ: তবে একবার আপনি এটি অন্যদিকে বিতরণ করলে আপনি জানেন না যে ডেটা প্রক্রিয়া করা হবে এমন আসল পয়েন্টে পৌঁছানোর আগে এটি কত পর্যায়ে যেতে হবে। এবং অবশ্যই এই সমস্ত ধাপগুলি HTTP এর চেয়ে আলাদা কিছু ব্যবহার করতে পারে: একটি ধ্রুপদী এমএসএমকিউ যা অনুরোধগুলি বাফার করে যা এই মুহুর্তে সরবরাহ করা যায় না, উদাহরণস্বরূপ। কেউ যদি প্রিপ্রোসেসিং লিম্বোতে থাকে তখন কেউ আপনার ডেটা লুকার করে? হুঁ। (এই "এইচএম" পড়ুন বাক্যটির শেষে মরফিয়াস যেমনটি বলেছিলেন "" আপনি কী শ্বাস ফেলছেন বলে মনে করেন? ")। এই রূপকের সম্পূর্ণ সমাধান (সি) বেদনাদায়কভাবে তুচ্ছ: নিজের উপর মোটামুটি রঙিন পোশাক নিন এবং বিশেষত মোটরসাইকেলের সময় হেলমেটটি পান !!! সুতরাং আপনি পরিবেশের অস্বচ্ছতার উপর নির্ভর না করে নিরাপদে ঘুরে আসতে পারেন। রূপকটি আশাবাদী পরিষ্কার: ম্যাসেজের স্তরের সুরক্ষার মতো পোশাকগুলি আপনার সাথে গড় বা পার্শ্ববর্তী অবকাঠামো নির্বিশেষে আসে। তদুপরি, আপনি একটি অংশ কভার করার সিদ্ধান্ত নিতে পারেন তবে অন্যটি প্রকাশ করতে পারেন (এবং আপনি ব্যক্তিগত ভিত্তিতে এটি করতে পারেন: বিমানবন্দর সুরক্ষা আপনার জ্যাকেট এবং জুতা খুলে ফেলতে পারে, তবে আপনার ডাক্তারের উচ্চতর অ্যাক্সেসের স্তর থাকতে পারে) তবে মনে রাখবেন যে ছোট্ট হাতা শার্টগুলি খারাপ অনুশীলন এমনকি যদি আপনি আপনার বাইসপস :-) নিয়ে গর্বিত হন (ভাল একটি পোলো, বা একটি টি-শার্ট)।

আমি খুশি যে এই কথাটি বলতে পেরে! আমার বলতে হবে যে জামাকাপকের রূপকটি খুব শক্তিশালী: আমি নীতি ধারণাটি প্রবর্তনের জন্য এটি ব্যবহার করতে প্রলুব্ধ হয়েছিল (ডিস্কো ক্লাবগুলি আপনাকে খেলাধুলার জুতোতে দেবে না; আপনি আপনার অন্তর্বাসের কোনও ব্যাংকে টাকা তুলতে যেতে পারবেন না) , যদিও কোনও সার্ফে নিজেকে ভারসাম্য করার সময় এটি পুরোপুরি গ্রহণযোগ্য চেহারা; এবং এমন কি) তবে আমি ভেবেছিলাম যে এক বিকেলের জন্য এটি যথেষ্ট ছিল ;-)

আর্কিটেকচার - ডাব্লুএস, বন্য ধারণা as

সৌজন্য: http://blogs.msdn.com/b/vbertocci/archive/2005/04/25/end-to-end-security-or-why-you-shouldn-t-drive-your-momot سائیکل- naked। aspx


1
Https এবং ws- সুরক্ষার মধ্যে পার্থক্য তৈরি করতে আপনি দিয়েছিলেন দুর্দান্ত এবং সাধারণ উপমা। তবে আসল ইন্টারনেটে, আমাদের বেশিরভাগ সময় আমরা আমাদের মোটরসাইকেলটি নগ্ন চালাতে থাকি: ডি এবং ডাব্লুএস-সিকিউরটি সর্বত্র প্রয়োগ করা পারফরম্যান্স এবং ব্যয়ের দিক থেকে একটি ওভারকিল হবে। সুতরাং যেখানে আমাদের পোশাক পরিধান করা প্রয়োজন এবং যেখানে পোশাক পরিধান করা অনিবার্য হবে সেই পরিস্থিতি বিবেচনা করে আমরা এই উপমাটি তৈরি করতে পারি।
শশাঙ্কাহোলিক

9

আমি এই স্পেসে প্রতিদিন কাজ করি তাই এটিকে বন্ধ করার প্রয়াসে আমি এ সম্পর্কে ভাল মন্তব্যগুলি সংক্ষিপ্ত করতে চাই:

এসএসএল (এইচটিটিপি / গুলি) কেবল একটি স্তর নিশ্চিত করে:

  1. সার্ভারের সাথে সংযুক্ত হচ্ছে এটির পরিচয় প্রমাণ করার জন্য একটি শংসাপত্র উপস্থাপন করা হচ্ছে (যদিও এটি ডিএনএসের বিষক্রিয়ার মাধ্যমে ছদ্মবেশী হতে পারে)।
  2. যোগাযোগ স্তর এনক্রিপ্ট করা হয় (কোনও শ্রুতিমধুরতা নেই)।

ডাব্লুএস-সুরক্ষা এবং সম্পর্কিত মান / প্রয়োগগুলি পিকেআই ব্যবহার করে যে:

  1. ক্লায়েন্টের পরিচয় প্রমাণ করুন।
  2. প্রমাণ করুন বার্তাটি ইন ট্রানজিটে (এমআইটিএম) সংশোধিত হয়নি।
  3. সার্ভারকে ক্লায়েন্টকে অনুমোদন / অনুমোদনের অনুমতি দেয়।

পরিষেবা অনুরোধগুলির জন্য শেষ পয়েন্টটি গুরুত্বপূর্ণ যখন ক্লায়েন্টের পরিচয় (কলার) পরিচয়টি জানার পক্ষে যদি তাদের কাছে পরিষেবা থেকে এই জাতীয় ডেটা পাওয়ার অনুমতি দেওয়া উচিত তবে তা জানা উচিত to স্ট্যান্ডার্ড এসএসএল একতরফা (সার্ভার) প্রমাণীকরণ এবং ক্লায়েন্ট সনাক্ত করতে কিছুই করে না।


5

উত্তরটি আপনার নির্দিষ্ট প্রয়োজনীয়তার উপর নির্ভর করে।

উদাহরণস্বরূপ, আপনার ওয়েব বার্তাগুলি বা গোপনীয়তা রক্ষা করার দরকার নেই এবং আপনার সমস্ত প্রয়োজন শেষ পক্ষগুলিকে প্রমাণীকরণ করা এবং বার্তার অখণ্ডতা নিশ্চিত করা? যদি এটি হয় - এবং এটি প্রায়শই ওয়েব পরিষেবাদির সাথে থাকে - এইচটিটিপিএস সম্ভবত ভুল হাতুড়ি।

তবে - আমার অভিজ্ঞতা থেকে - আপনি যে সিস্টেমটি তৈরি করছেন তার জটিলতা উপেক্ষা করবেন না। কেবল এইচটিটিপিএসই সঠিকভাবে মোতায়েন করা সহজ নয়, তবে ট্রান্সপোর্ট লেয়ার সুরক্ষার উপর নির্ভর করে এমন একটি অ্যাপ্লিকেশন ডিবাগ করা সহজ (প্লেইন এইচটিটিপি ওভার)।

শুভকামনা।


5

এইচটিপিপিএসের মাধ্যমে REST একটি সুরক্ষিত পদ্ধতি হওয়া উচিত যতক্ষণ না API সরবরাহকারী কোনও সার্ভারের শেষে অনুমোদনের প্রয়োগ করে। ওয়েব অ্যাপ্লিকেশনের ক্ষেত্রে আমরা যা করি তা হল এইচটিটিপিএস এবং কিছু প্রমাণীকরণ / অনুমোদনের মাধ্যমে কোনও ওয়েব অ্যাপ্লিকেশন অ্যাক্সেস করা tradition


4

যদি আপনার আরইএসটিফুল কলটি এইচটিপিএল অনুরোধের এইচটিএমএল বডিটিতে এম্বেড করা এক্সএমএল বার্তাগুলি প্রেরণ করে তবে আপনি যে কোনও সুরক্ষা বৈশিষ্ট্য ব্যবহার করার সময় আপনার এক্সএমএল বার্তায় যেমন ডাব্লুএস-সুরক্ষা যেমন সমস্ত এক্সএমএল এনক্রিপশন, সার্টিফিকেটস ইত্যাদির সুবিধা অর্জন করতে সক্ষম হন এসএসএল / টিএলএস এনক্রিপশন হিসাবে HTTP থেকে উপলব্ধ।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.