パスワード タイプとして PasswordText を使用することは、実際のパスワードを平文で送信していることを示すことにつながります。WS-Security UsernameToken プロファイルは、UsernameToken <Password> タグで送信されるテキストが実際のパスワードだけでなく、パスワード派生物を代わりに含めることもできることを示しています。しかし、パスワード派生物ではなく実際のパスワードを送信するのが開発者にとっては一般的です。暗号化されていないパスワードまたはパスワード ハッシュを送信すると、トラフィックの傍受者に資格情報が公開されます。

セキュリティ タイムスタンプは、メッセージの新しさを示します。攻撃者がメッセージを傍受して後で再送信した場合、タイムスタンプでメッセージが古くなっていることが示されるため、受信者がリプレイ攻撃を拒否できます。オプションで、タイムスタンプに、セキュリティのセマンティクスを有効とする期間を厳しく制限する有効期限属性を含めることができます。

攻撃者がタイムスタンプを改ざんするのを防ぐために、タイムスタンプに署名する必要があります。署名されたタイムスタンプがないと、受信者が気づかないまま、攻撃者が SOAP メッセージを傍受し、タイムスタンプを変更し、メッセージを送信する可能性があります。このような状況では、攻撃者が、悪意のあるメッセージを受け入れるように受信者をだます可能性があります。

次のクライアント設定は、署名されていないタイムスタンプを受け入れるように Axis 2 に指示します。

<axisconfig name="AxisJava2.0">
...
	<parameter name="InflowSecurity">
		<action>
			<items>Timestamp Encrypt</items>
			...
		</action>
	</parameter>
</axisconfig>

セキュリティ タイムスタンプは、メッセージの新しさを示します。攻撃者がメッセージを傍受して後で再送信した場合、タイムスタンプでメッセージが古くなっていることが示されるため、受信者がリプレイ攻撃を拒否できます。オプションで、タイムスタンプに、セキュリティのセマンティクスを有効とする期間を厳しく制限する有効期限属性を含めることができます。

攻撃者がタイムスタンプを改ざんするのを防ぐために、タイムスタンプに署名する必要があります。署名されたタイムスタンプがないと、受信者が気づかないまま、攻撃者が SOAP メッセージを傍受し、タイムスタンプを変更し、メッセージを送信する可能性があります。このような状況では、攻撃者が、悪意のあるメッセージを受け入れるように受信者をだます可能性があります。

次のクライアント設定は、署名されていないタイムスタンプを送信するように Axis 2 に指示します。

<axisconfig name="AxisJava2.0">
...
	<parameter name="OutflowSecurity">
		<action>
			<items>Timestamp Encrypt</items>
			...
		</action>
	</parameter>
</axisconfig>

暗号化されていないチャネルを介して平文のパスワードを送信すると、SOAP メッセージを盗聴できる攻撃者に資格情報が公開される可能性があります。

例 1: Axis2 クライアントの次の設定では、UsernameToken (パスワード) が使用されています。

<axisconfig name="AxisJava2.0">
...
    <parameter name="OutflowSecurity">
      <action>
        <items>UsernameToken</items>
        <user>bob</user>
        <passwordCallbackClass>org.apache.rampart.samples.PWCBHandler</passwordCallbackClass>
        <passwordType>PasswordText</passwordType>
      </action>
    </parameter>
...
</axisconfig>

Rampart WS-Security モジュールが有効になっていません。WS-Security は、トランスポート プロトコルに関係なく、エンドツーエンドのメッセージの整合性と機密性を提供する SOAP の拡張機能です。WS-Security が使用されていない場合、メッセージは整合性と機密性をトランスポート セキュリティに依存します。サービスがメッセージを他のサービスにリレーする場合、メッセージはリレー ポイント間で使用される最も弱いトランスポート メカニズムにさらされます。WS-Security は、トランスポート セキュリティへの依存を排除し、メッセージ自体にセキュリティを組み込みます。

サーバー設定ファイルで axis.development.system が true に設定されている場合、システムは開発環境として動作します。また、スタック トレースを、システムまたはアプリケーションに関する情報を漏洩する可能性のある SOAP レスポンスで送信します。

axis.disableServiceList が false に設定されている場合に、サーブレット ルートで GET が実行されると、Apache Axis は利用可能なサービスのリストを返します。サービス リストには、一般アクセスが許可されていない機能のリストが含まれている場合があります。