web-services - 如何保护 RESTful Web 服务的安全？

Question

我必须实现安全 RESTful web services 。我已经使用 Google 做了一些研究，但我陷入困境。

选项:

TLS (HTTPS) +

• HTTP 基本 (pc1oad1etter)
• HTTP 摘要
• two-legged OAuth
• a Cookie-based approach
• 客户端证书(Tom Ritter 和 here)
• 使用 HMAC 签署请求和 a limited lifetime

是否还有更多可能的选择可供考虑？如果是 OAuth 那么什么版本？这还重要吗？到目前为止我读到的OAuth 2.0带有不记名 token (即没有签名)似乎是 insecure .

我在 REST based authentication 上发现了另一篇非常有趣的文章.

Secure Your REST API... The Right Way

Answer 1

还有另一种非常安全的方法。这是客户证书。知道当您通过 https 联系服务器时，服务器如何提供 SSL 证书？服务器可以向客户端请求证书，这样他们就知道客户端就是他们所说的那个人。客户端生成证书并通过安全通道将其提供给您(例如使用 USB key 进入您的办公室 - 最好是非木马的 USB key )。

您将 证书的公钥 客户端证书(及其签名者的证书，如果需要)加载到您的Web服务器中，并且Web服务器不会接受任何人的连接除了拥有其所知道的证书的相应私钥的人。它在 HTTPS 层上运行，因此您甚至可以完全跳过 OAuth 等应用程序级身份验证(取决于您的要求)。您可以抽象出一个层并创建本地证书颁发机构并签署来自客户端的证书请求，从而允许您跳过“让他们进入办公室”和“将证书加载到服务器上”步骤。

脖子疼？绝对地。对一切都好吗？没有。很安全吗？是的。

它确实依赖于客户确保其证书的安全(他们无法在线发布其私钥)，并且通常在您向客户出售服务而不是让任何人注册和连接时使用它。

无论如何，这可能不是您正在寻找的解决方案(可能不是诚实的)，但它是另一种选择。