WS-RM : séquence de message / WS-S : noeuds intermédiaires

**Arnaud_03** · 04/08/2008, 14h57

Bonjour,

Les deux questions que je me pose ne concerne pas directement Java, mais elles portent sur les spécifications Web Services-* :

WS-RM (ReliableMessaging) assure la livraison ordonnée une et une seule fois de messages d'une séquence. Un mécanisme d'acquittement permet à la destination des messages d'informer la source de leur bonne réception ou non. La source sera alors capable de retransmettre les messages non arrivés à destination.

Ma question : Comment peut-on concrètement définir une séquence de messages ?
En effet, lorsque j'invoque une opération d'un service web, une requête SOAP est envoyée au service qui retourne quant à lui une réponse SOAP, alors j'ai du mal à me représenter ce qui pourrait constituer une séquence de plusieurs messages...

WS-S (Security) est un mécanisme permettant de sécuriser une communication de bout-en-bout, c'est-à-dire que si un message transite par exemple d'une source S à une destination D par des intermédiaires A, B et C, les intermédiaires A, B et C vont transmettre le message jusqu'à la destination D sans être en mesure de déchiffrer le message qui ne sera lisible que par la destination D.

Ma question : Que sont ces intermédiaires ?
En effet, si l'on assimile la source à un client et la destination à un service à invoquer, je vois mal ce qui peut faire office d'intermédiaire dans la transmission d'un message SOAP...

Merci à vous pour quelques éclaircissements...

**oca** · 05/08/2008, 14h16

Imaginons que tu veuilles ajouter un user/password dans ton message
soap. Avec java, tu peux mettre un "handler" qui s'occupe d'enrichir le message
pour ajouter le user/password, cela permet de centraliser cette problématique...
Mais que se passe-t-il maintenant si tu as des services qui sont en java, et d'autre qui sont en .net (par exemple...)?

Une des solutions est de mettre la partie qui enrichit le message soap dans un service lui-même (à la place du handler). On parle alors de Security as a Service

Ce service "qui ajoute le user/password" est ce que l'on appelle "un intermédiaire". Il y a bien sûr d'autre cas de figures qui peuvent demander des intermédiaires. Attention, l'intermédiaire complique passablement les choses... Surtout si les services intermédiaires ne sont pas des services de partenaires "trustés"... WS-Security permet l'encryption, mais aussi la signature, qui permet elle de garder le message lisible, mais permet de savoir si l'intermédiaire a modifié le message ou non.

A+

**Arnaud_03** · 05/08/2008, 16h30

Merci beaucoup pour ta réponse oca !

**oca** · 05/08/2008, 20h16

Si tu t'intéresse à la sécurité, ce bouquin est pas mal du tout ...
http://www.manning.com/kanneganti/
A+

**Arnaud_03** · 06/08/2008, 09h29

Merci oca, je suis en train de regarder les chapitres accessibles directement...

Par contre, je me pose une autre question :

Dans le cas où un message SOAP transite par des intermédiaires jusqu'à une destination et que le message est chiffré et ne doit pouvoir être lu que par la destination, mais tout de même traité par les intermédiaires, il est possible de ne chiffrer que la partie sensible du message SOAP. Mais comment indiquer la méthode de déchiffrement à la destination sans que les intermédiaires ne soient eux aussi au courant ?

**oca** · 07/08/2008, 13h07

Les parties cryptées peuvent être connue de tous, l'important, c'est que les personnes "non désirée" ne puissent pas décrypter leurs contenu. Un moyen est l'utilisation d'une clé asymétrique (comme PKI ou PGP)
A+

**Arnaud_03** · 07/08/2008, 17h50

Un chiffrement par la source en clé publique et un déchiffrement par la destination en clé privée en quelque sorte ?

Sinon, je me pose toujours la question de situations qui peuvent composer une séquence de messages SOAP dans l'optique de l'utilisation de WS-ReliableMessaging (dans mes tests j'ai toujours une séquence d'un seul message...) ?