WS-Security

WS-Security（Web Services Security、WSS）は、Webサービスにセキュリティを適用する手段を提供する通信プロトコル。2004年4月19日、OASISが WS-Security 1.0 規格を公開した。2006年2月17日には 1.1 版がリリースされている。

IBM、マイクロソフト、ベリサインの開発したプロトコルに基づき、OASISが規格として標準化した。Webサービスメッセージングにおいて、どのように完全性と機密性を保持するかという仕様が含まれる。SAMLとケルベロス認証とX.509などの認証フォーマットを使用している。

WS-Security は、SOAPメッセージに署名を付与し、ヘッダを暗号化する方式を記述している。さらに、X.509 認証やケルベロス認証のようなバイナリセキュリティトークンをメッセージに付与する方式も記述されている。

WS-Security では、アプリケーション層で動作するSOAPメッセージのヘッダにセキュリティ機能を導入している。つまり、エンドツーエンドのセキュリティを保証できる。

 代替手法 
ポイントツーポイントでは、Webサービスの機密とデータ完全性は Transport Layer Security (TLS) を使っても実現できる（HTTPSなど）。しかし、WS-Security はより広範囲な、いわゆるエンドツーエンドのセキュリティを提供する。

TLSを適用することで、鍵やメッセージ署名を送信前にASCIIに符号化する必要がなくなり、オーバーヘッドが劇的に低減される。メッセージがプロキシサーバを経由する場合、サーバはクライアントからではなくプロキシからの要求としてみるため、プロキシにクライアントの鍵と認証のコピーを与えて対応するか、そのサーバが信用する証明書を持つことで対応する。しかし、プロキシが関わっているためにエンドツーエンドのセキュリティとはならず、ポイントツーポイントのセキュリティとなる。

 関連仕様 
WS-Security に関連したドラフト仕様として、以下のものがある。
 WS-SecureConversation
 WS-Federation
 WS-Authorization
 WS-Policy
 WS-Trust
 WS-Privacy
 WS-Test

 関連項目 
Webサービス
SAML
X.509

 外部リンク 
OASIS Web Services Security TC 規格文書のダウンロードリンクあり
WS-Security Specification
WS-I Basic Security Profile
Web Services Security Documentation
Web Service Security Patterns
WSS4J Apache による Java での WS-Security 実装
Apache Rampart Apache Axis2 における Java での WS-Security 実装
WSIT (Web Services Interoperability Technologies) Javaプラットフォームと Windows Communication Foundation (WCF) の間の相互運用を可能にする。

Category:ウェブ技術
Category:セキュリティソフト
Category:XMLベースの技術