Se um aplicativo lida com informações confidenciais e não usa criptografia no nível da mensagem, ele só deve ter permissão para se comunicar por meio de um canal de transporte criptografado. A tag <transportSender> não deve especificar http porque a comunicação com este URL não será criptografada.

O WS-Security é um aprimoramento do SOAP que fornece integridade e confidencialidade da mensagem de ponta a ponta, independentemente do protocolo de transporte. Quando o WS-Security não é usado, as mensagens contam com a segurança do transporte para integridade e confidencialidade. Se um serviço retransmitir mensagens para outros serviços, as mensagens serão expostas ao mecanismo de transporte mais fraco usado entre os pontos de retransmissão. O WS-Security elimina a dependência de segurança do transporte e protege a mensagem em si.

A ausência de um parâmetro InflowSecurity no arquivo de configuração do Apache Axis 2 indica que a segurança da mensagem recebida não está ativada.

A seguinte configuração do Apache Axis 2 Rampart não requer que mensagens de entrada sejam criptografadas, já que a tag <items> não contém uma diretiva Encrypt:

<service>
...
	<parameter name="InflowSecurity">
		<action>
			<items>Timestamp Signature</items>
			...
		</action>
	</parameter>
</service>

A criptografia no nível da mensagem SOAP garante a verdadeira confidencialidade de ponta a ponta. As mensagens SOAP podem ser enviadas por meio de vários protocolos de transporte, como HTTPS, HTTP, TCP, SMTP, UDP, etc. A criptografia no nível da mensagem garante a confidencialidade da mensagem, independentemente do protocolo de transporte. Um cenário comum entre os serviços da Web é retransmitir mensagens SOAP entre os serviços, portanto, a criptografia no nível da mensagem significa que os remetentes e destinatários das mensagens não precisam se preocupar com toda a segurança de transporte entre os pontos de retransmissão.

Qualquer parte de uma mensagem que não seja assinada tem a possibilidade de ser interceptada e modificada sem ser detectada pelo destinatário. Sem uma assinatura, um destinatário não pode verificar criptograficamente se o conteúdo de uma mensagem é autêntica.

A seguinte configuração do provedor de serviços diz ao Axis 2 para aceitar mensagens não assinadas:

<service>
...
	<parameter name="InflowSecurity">
		<action>
			<items>Timestamp Encrypt</items>
			...
		</action>
	</parameter>
</service>

Um carimbo de data/hora de segurança indica a atualização de uma mensagem. Se um invasor interceptar uma mensagem e retransmiti-la posteriormente, o receptor pode rejeitar o ataque de repetição porque o carimbo de data/hora indicará que a mensagem é obsoleta. Opcionalmente, os carimbos de data/hora podem incluir um atributo de expiração que impõe um limite rígido sobre a validade da semântica de segurança.

Para evitar que invasores adulterem os carimbos de data/hora, os carimbos de data/hora devem ser assinados. Sem um carimbo de data/hora assinado, pode ser possível interceptar uma mensagem SOAP, modificar o carimbo de data/hora e enviar a mensagem sem o conhecimento do receptor. Nessas circunstâncias, um invasor tem a possibilidade de induzir um destinatário a aceitar uma mensagem mal-intencionada.

A seguinte configuração do Rampart do Apache Axis 2 omite a diretiva Timestamp da tag <items> para que o serviço não exija que as solicitações contenham carimbos de data/hora.

<service>
...
      <action>
        <items>Signature Encrypt</items>
...
</service>

A criptografia no nível da mensagem SOAP garante a verdadeira confidencialidade de ponta a ponta. As mensagens SOAP podem ser enviadas por meio de vários protocolos de transporte, como HTTPS, HTTP, TCP, SMTP, UDP, etc. A criptografia no nível da mensagem garante a confidencialidade da mensagem, independentemente do protocolo de transporte. Um cenário comum entre os serviços da Web é retransmitir mensagens SOAP entre os serviços, portanto, a criptografia no nível da mensagem significa que os remetentes e destinatários das mensagens não precisam se preocupar com toda a segurança de transporte entre os pontos de retransmissão.

Exemplo 1: A seguinte configuração do Apache Axis 2 Rampart não requer que mensagens de saída sejam criptografadas, pois a tag <items> não contém uma diretiva Encrypt:

<service>
...
	<parameter name="OutflowSecurity">
		<action>
			<items>Timestamp Signature</items>
			...
		</action>
	</parameter>
</service>

Qualquer parte de uma mensagem que não seja assinada tem a possibilidade de ser interceptada e modificada sem a modificação ser detectada pelo destinatário. Sem uma assinatura, um receptor não pode verificar criptograficamente a integridade ou origem do conteúdo da mensagem.

A seguinte configuração do provedor de serviços diz ao Axis 2 para enviar carimbos de data/hora não assinados:

<service>
...
	<parameter name="OutflowSecurity">
		<action>
			<items>Timestamp Encrypt</items>
			...
		</action>
	</parameter>
</service>