Comment extraire des informations supplémentaires du certificat SSL pour autoriser l'accès au client WebService sur WAS

Question

Pour expliquer ma situation, je vais commencer par un exemple. Supposons qu'il existe deux clients WS (WebService) A & B avec des certificats de confiance.

Maintenant, en cours d'exécution normale, lorsque A & B appelle WAS (serveur d'applications Websphere) via SSL où résident mes services Web, WAS approuve les deux en raison de leurs certificats de confiance et autorise l'accès au WS requis. Ce que nous aimons avoir est d'autoriser seulement A not B à accéder à WS sur WAS, donc après la vérification des certificats est-il possible d'extraire des informations utilisateur (de l'administration WAS ou Java) qui seront mappées au rôle défini dans WAS pour accéder à WS

Answer 1

Cela ressemble plutôt que de programmer cela dans l'application, vous pouvez simplement utiliser un modèle de révocation à la place. SSL a été conçu de sorte qu'une autorité de certification (probablement vous dans ce cas) puisse révoquer des certificats, alors pourquoi ne pas l'utiliser à la place?

Il est difficile de vous donner des conseils concrets sans savoir sur quelle plate-forme vous êtes ou comment vous faites toutes vos connexions SSL et autres, mais en mettant en place une autorité de certification centrale qui signe tous les certificats qui sortent et maintient un liste de révocation semble que cela fonctionnerait très bien. Vous n'avez pas non plus besoin d'ajouter quoi que ce soit à l'application (autre que de supprimer des connexions SSL non-valides).