HTTPS'imiz varsa neden REST hizmet güvenliğine ihtiyacımız var?

Web hizmeti için amazon benzeri güvenlikten bahseden bu mükemmel makaleye http://www.thebuzzmedia.com/designing-a-secure-rest-api-without-oauth-authentication/ atıfta bulunuyorum . Yine de HTTPS kullanıyorsak, takımda neden buna ihtiyacımız olduğunu sordum. Gerçekten bana göründüğü gibi cevap veremedim ama bağırsak aksini söylese de haklı olabilirler.

Ayrıca HTTPS'nin çalışmayabileceği REST hizmetleri sağlarken yerler var mı? 3. taraf web siteleri gibi mi?

Herkes Web Hizmetleri genel interwebs üzerinde güvence deneyimi varsa, lütfen deneyiminizi biraz ışık tutuyor.

Şimdiden teşekkürler.

EDIT: Açıklamak için Ben kullanıcı kimlik doğrulaması değil, daha çok istemci kimlik doğrulaması hakkında konuşuyorum. Kullanıcı kimlik doğrulamasının HTTPS + REST üzerinden düz metin olduğu varsayılabilir.

Benim endişem bu HTTPS üzerinden istemci bitiş noktası hala istemci uygulaması olmadan web hizmetimi kullanabilirsiniz rağmen her şey plai metin olduğundan, herkes hala istemcim olmadan web hizmeti kullanmak için izin verir.

HTTPS kullanıyorsa neden Gmail'e (veya kullanıcı hesapları olan başka bir siteye) kullanıcı adımızı ve şifremizi vermemiz gerekiyor? Cevap, sorunuzun cevabı ile aynıdır.

HTTPS , her şeyden önce sunucu ve istemci arasında şifreli bir bağlantı sağlar.

HTTPS'e özgü güven, tarayıcı yazılımına önceden yüklenmiş olarak gelen büyük sertifika yetkililerine dayanır (bu, bana kime güvenmem gerektiğini söylemek için sertifika yetkilisine güveniyorum (örn. VeriSign / Microsoft / vb.) Demeye eşdeğerdir).

Sunucu her kullanıcıya bir sertifika vermedikçe, sunucu başka bir kimlik doğrulama yöntemi olmadan istemciye güvenemez.

HTTPS gizli dinleme ve "ortadaki adam" saldırılarını önlemede çok iyidir. Bir oturum için tüm trafiği şifrelediği için.

Ancak çoğu insan, tarayıcılarıyla birlikte gelen ve kendi kişisel sertifikalarını nasıl oluşturacakları veya tarayıcıyı kullanmak için nasıl yapılandıracakları konusunda hiçbir fikri olmayan varsayılan sertifikaları kullandığından.

Bu, bir kimlik doğrulama iletişim kutusunu gizlice dinlemekten vb. Korumak dışında HTTPS'yi kullanıcı kimlik doğrulaması için oldukça işe yaramaz hale getirir.

HTTPS, kanalın güvenliğini sağlamak, arayanın kim olduğunu veya dikkate almanız gereken diğer birçok şeyi kanıtlamakla ilgilidir. Kimlik doğrulama, yetkilendirme ve taşıma katmanı şifrelemesi, göz önünde bulundurmanız gerekenlerin yalnızca küçük bir kısmıdır. Web uygulamalarıyla ilgili bilinen güvenlik açıklarının çoğu REST API'leri için çok geçerlidir. Giriş doğrulamasını, oturum kırmayı, uygunsuz hata mesajlarını, dahili çalışan güvenlik açıklarını vb. Dikkate almanız gerekir. Bu büyük bir konudur.

Robert

İstemci SSL sertifikalarına yaklaşabilir ve güvenliği API'den ayırabilirsiniz. Bu yaklaşımın en büyük dezavantajı, gittikçe daha fazla müşteri API'nizi tükettikçe pahalı olacak olan operasyon yüküdür.

Her halükarda, HTTP temel kimlik doğrulaması, genel olarak tüketilen hizmetlerin büyük çoğunluğu için uygundur.