Sujet PFE SIQ
Sécurité des plateformes basées sur les Web Services
Proposé par :
Mr AMROUCHE Hakim ESI ( [email protected] )
Un service web est un composant applicatif (programme) mis à la disposition d’autres systèmes sur un réseau. Un web services disposant de méthodes que l’on peut invoquer à distance en utilisant des protocoles standards ( http ). Les services Web présentent l’avantage d’être indépendants des plateformes et réutilisables.Il a une interface décrite en un format traitable, au format XML, par l’ordinateur(WSDL). Les autres systèmes (web services, applications,….) communiquent avec les web services en utilisant des messages SOAP, au format XML, transmis avec le protocole HTTP.
Une plateforme basée sur les web services est confrontée à plusieurs types d’attaques et menaces. Ces attaques sont du à des failles dans la communication (message SOAP) entre les web services. Ces attaques souvent appelé « XML-based attacks » exploitent les vulnérabilités de XML tel que : XPath injection , XML-based denial of service (XDoS) , XML injection attack,schema poisoning attack…etc. Pour faire face à ces attaques, les messages SOAP échangés doivent être alors analysé et vérifié afin de détecter d’éventuelles attaques.
Les systèmes actuels utilisés pour sécuriser les applications réseaux tel que les firewalls et les IDS ne sont pas capable de détecter et de traiter ce genred’attaques.
L’objectif de ce travail est de développer un système qui permet de détecter les attaques les plus fréquentes sur les plateformes basées sur les web services. En détaille, le travail consiste à:
· Etablir une étude bibliographique pour recenser les différents types d’attaques.
· Concevoir un système pour faire face a ces attaques.
· Implémenter un prototype.
· Effectuer une série de tests pour évaluer le système
Mots clés :Web services, sécurité, SOAP, XML-basedattacks .
Outils de développement : Langage JAVA
Référence :
· Haiping Xu, Abhinay Reddyreddy, and Daniel F. Fitch : Defending Against XML-Based Attacks Using State-Based XML Firewall , 2011