Apache WSS4J 4.0: Новые горизонты безопасности веб-сервисов с поддержкой OpenSAML v5 и XML Security 4.0

Apache выпустила версию 4.0 WSS4J, которая является Java-реализацией основных стандартов безопасности для веб-сервисов. В этой версии были внедрены обновления OpenSAML v5 и XML Security 4.0.0.

WSS4J предоставляет реализации спецификаций OASIS Web Services Security (WS-Security) от комитета OASIS по безопасности веб-сервисов. Включает реализации безопасности SOAP-сообщений и профили токенов для использования с именем пользователя, сертификатом X.509, SAML и Kerberos.

Apache WSS4J представляет собой Java-библиотеку, которую можно применять с Apache Axis или Apache CXF для защиты SOAP-сообщений на основе стандартов WS-Security. Она выполняет шифрование, проверку и подписание SOAP-сообщений, обеспечивая их конфиденциальность и целостность. Библиотека использует Apache Santuario для шифрования SOAP-сообщений и поддерживает как симметричное, так и асимметричное шифрование. Она совместима с серверами и клиентами на базе JAX-RPC, а также с .NET.

Кроме обеспечения конфиденциальности и целостности, WSS4J предоставляет функциональность для обеспечения целостности сообщений с помощью XML-подписей, которые применяются к SOAP-запросам. Обычно подписываются такие элементы, как заголовки SOAP, тело, временные метки, WS-Addressing, а также любые токены в заголовке безопасности.

В дополнение к защите конфиденциальности и целостности сообщений, WSS4J предлагает различные методы аутентификации клиентов, включая имя пользователя и пароль в UsernameToken, добавленное в заголовок безопасности, токены Kerberos, заявления SAML (вместе с “HolderOfKey”) и асимметричную подпись.

Спецификация безопасности веб-сервисов OASIS является основой для защиты веб-сервисов на платформе WebSphere Application Server.

Обновления WSS4J начинаются с интеграции с OpenSAML v5. OpenSAML — это набор библиотек с открытым кодом на Java, предназначенных для реализации языка разметки утверждений безопасности (SAML) в проекте Shibboleth. В настоящее время доступная версия OpenSAML 5 основана на Java 17.

Новая версия WSS4J также переходит на поддержку версии 4 Apache XML Security для Java. Эта библиотека включает стандартный API JSR-105 (Java XML Digital Signature) и зрелую реализацию XML-подписей и шифрования на основе DOM, а также более современные реализации XML-подписей и шифрования на основе StAX (потоковую).

Кроме того, обновление WSS4J устанавливает JDK 17 в качестве минимально поддерживаемой версии. Apache WSS4J 4.0 уже доступен. WSS4J на GitHub