De la seguridad en Servicios Web para .Net - Willy .Net

{Insert figure: CH10 - Web Service Certificate Authentication – TrustedSubsystem.gif}Ilustración 10.8El servicio Web autentica la aplicación Web de confianzaSi la lógica de autorización del servicio Web requiere varias funciones, la aplicaciónWeb podrá enviar certificados distintos según la función a la que pertenezca elllamador. Por ejemplo, puede utilizarse un certificado para miembros de un grupoAdministradores (con permisos para actualizar los datos de una base de datosservidor) y otro certificado para el resto de los usuarios (con autorización paraoperaciones de lectura exclusivamente).Nota: en escenarios como éste existe la posibilidad de utilizar un servidor decertificados local (al que sólo pueden obtener acceso los dos servidores) paraadministrar todos los certificados de aplicación Web.En este escenario:La aplicación Web autentica a sus usuarios mediante certificados de cliente.La aplicación Web actúa como equipo selector y autoriza a sus usuarios,además de controlar el acceso al servicio Web.La aplicación Web llama al servicio Web y transmite un certificado distinto querepresenta a la aplicación (o, quizás, un rango de certificados basados en lapertenencia a funciones del llamador).El servicio Web autentica la aplicación Web y confía en la aplicación paraejecutar la autorización de cliente necesaria.Se utiliza IPSec entre el servidor de aplicaciones Web y el servidor deservicios Web a fin de proporcionar un control de acceso adicional. IPSec evitalos intentos de acceso no autorizado desde otros equipos. La autenticaciónmediante certificados del servidor de servicios Web también evita el acceso noautorizado.Implementación de solucionesPara utilizar la autenticación de certificados en el servicio Web de un escenario comoéste, utilice un proceso independiente para llamar al servicio Web y transmitir elcertificado. No deben manipularse los certificados directamente desde la aplicación