MessageSecurityReceiver_impl.java

  1. /*
  2.  * GovWay - A customizable API Gateway 
  3.  * https://govway.org
  4.  * 
  5.  * Copyright (c) 2005-2025 Link.it srl (https://link.it). 
  6.  * 
  7.  * This program is free software: you can redistribute it and/or modify
  8.  * it under the terms of the GNU General Public License version 3, as published by
  9.  * the Free Software Foundation.
  10.  *
  11.  * This program is distributed in the hope that it will be useful,
  12.  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13.  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  14.  * GNU General Public License for more details.
  15.  *
  16.  * You should have received a copy of the GNU General Public License
  17.  * along with this program.  If not, see <http://www.gnu.org/licenses/>.
  18.  *
  19.  */


  22. package org.openspcoop2.security.message.engine;

  24. import java.util.ArrayList;
  25. import java.util.Iterator;
  26. import java.util.List;
  27. import java.util.Map;

  29. import javax.xml.namespace.QName;
  30. import javax.xml.soap.SOAPElement;
  31. import javax.xml.soap.SOAPHeaderElement;

  33. import org.openspcoop2.message.OpenSPCoop2Message;
  34. import org.openspcoop2.message.constants.ServiceBinding;
  35. import org.openspcoop2.message.soap.reference.Reference;
  36. import org.openspcoop2.protocol.sdk.Busta;
  37. import org.openspcoop2.protocol.sdk.constants.CodiceErroreCooperazione;
  38. import org.openspcoop2.security.SecurityException;
  39. import org.openspcoop2.security.message.IMessageSecurityReceiver;
  40. import org.openspcoop2.security.message.MessageSecurityContext;
  41. import org.openspcoop2.security.message.MessageSecurityUtilities;
  42. import org.openspcoop2.security.message.SubErrorCodeSecurity;
  43. import org.openspcoop2.security.message.authorization.IMessageSecurityAuthorization;
  44. import org.openspcoop2.security.message.authorization.MessageSecurityAuthorizationRequest;
  45. import org.openspcoop2.security.message.authorization.MessageSecurityAuthorizationResult;
  46. import org.openspcoop2.security.message.constants.SecurityConstants;
  47. import org.openspcoop2.security.message.saml.SAMLBuilderConfigConstants;



  51. /**
  52.  * Classe per la gestione della Sicurezza  (role:Receiver)
  53.  *
  54.  * @author Lorenzo Nardi (nardi@link.it)
  55.  * @author $Author$
  56.  * @version $Rev$, $Date$
  57.  * 
  58.  */
  59. public class MessageSecurityReceiver_impl extends MessageSecurityReceiver{


  62.     protected MessageSecurityReceiver_impl(MessageSecurityContext messageSecurityContext) {
  63.         super(messageSecurityContext);
  64.     }

  66.     @Override
  67.     protected boolean process(OpenSPCoop2Message message,Busta busta, org.openspcoop2.utils.Map<Object> ctx) {
  68.         try{
  69.             
  70.             
  71.             IMessageSecurityReceiver receiverInterface = this.messageSecurityContext.getMessageSecurityReceiver();
  72.             
  73.             
  74.             
  75.             
  76.             // ** Fix per SOAPFault (quando ci sono le encryptionParts o le signatureParts, la Sicurezza fallisce se c'e' un SOAPFault) **
  77.             if(ServiceBinding.SOAP.equals(message.getServiceBinding())){
  78.                 if(message.isFault() || message.castAsSoap().getSOAPBody().hasFault()){
  79.                     
  80.                     if(MessageSecurityUtilities.processSOAPFault(this.messageSecurityContext.getIncomingProperties()) == false){
  81.                         return true; // non devo applicare la sicurezza.
  82.                     }
  83.                     
  84.                 }   
  85.             }
  86.             else if(ServiceBinding.REST.equals(message.getServiceBinding())){
  87.                 if(message.isFault() || message.castAsRest().isProblemDetailsForHttpApis_RFC7807()){
  88.                     
  89.                     if(MessageSecurityUtilities.processProblemDetails(this.messageSecurityContext.getIncomingProperties()) == false){
  90.                         return true; // non devo applicare la sicurezza.
  91.                     }
  92.                     
  93.                 }   
  94.             }
  95.             
  96.             String action = (String) this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.ACTION);
  97.             if(action==null || "".equals(action.trim())){
  98.                 return true; // nessuna action: non devo applicare la sicurezza.
  99.             }
  100.             
  101.             
  102.             
  103.             
  104.             // ** Inizializzazione parametri **
  105.             
  106.             // Authentication class from properties
  107.             String authClass = (String) this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.AUTHORIZATION_CLASS);
  108.             // MustUnderstand from properties
  109. //          boolean mustUnderstandValue = false;
  110. //          Object mustUnderstand = this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.MUST_UNDERSTAND);
  111. //          if(mustUnderstand!=null){
  112. //              mustUnderstandValue = Boolean.parseBoolean((String)mustUnderstand);
  113. //          }
  114.             String actor = this.messageSecurityContext.getActor();
  115.             if("".equals(this.messageSecurityContext.getActor()))
  116.                 actor = null;
  117.             
  118.             
  119.             
  120.             
  121.             // ** Verifico presenza header sicurezza ** /
  122.             if(receiverInterface.checkExistsWSSecurityHeader()) {
  123.                 if(this.messageSecurityContext.existsSecurityHeader(message, actor)==false){
  124.                     this.msgErrore =  "Header Message Security, richiesto dalla configurazione (action:"+action+"), non riscontrato nella SOAPEnvelope ricevuta";
  125.                     if(action.contains(SecurityConstants.ACTION_SIGNATURE)){
  126.                         this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_FIRMA_NON_PRESENTE;
  127.                     }
  128.                     else if(SecurityConstants.containsActionEncryption(action) ||
  129.                             SecurityConstants.containsActionDecryption(action)){
  130.                         this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_CIFRATURA_NON_PRESENTE;
  131.                     }
  132.                     else{
  133.                         this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_NON_PRESENTE;
  134.                     }
  135.                     return false;
  136.                 }
  137.                 
  138.                 // se e' richiesta la verifica SAML la faccio.
  139.                 if(action.contains(SecurityConstants.ACTION_SAML_TOKEN_SIGNED) || action.contains(SecurityConstants.ACTION_SAML_TOKEN_UNSIGNED)) {
  140.                     String samlVersion = (String) this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.SAML_VERSION_XMLCONFIG_ID);
  141.                     if(samlVersion!=null && !"".equals(samlVersion)) {
  142.                         
  143.                         SOAPHeaderElement securityHeader = this.messageSecurityContext.getSecurityHeader(message, actor); // verificato prima
  144.                         SOAPElement samlToken = this.messageSecurityContext.getSAMLTokenInSecurityHeader(message.getFactory(), securityHeader, samlVersion);
  145.                         if(samlToken==null) {
  146.                             this.msgErrore =  "SAMLToken (versione:"+samlVersion+"), richiesto dalla configurazione (action:"+action+"), non riscontrato nell'header Message Security presente all'interno della SOAPEnvelope ricevuta";
  147.                             this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_TOKEN_NON_PRESENTE;
  148.                             return false;
  149.                         }
  150.                         
  151.                         String samlConfirmationType = (String) this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.SAML_SUBJECT_CONFIRMATION_VALIDATION_METHOD_XMLCONFIG_ID);
  152.                         if(samlConfirmationType!=null && !"".equals(samlConfirmationType)) {
  153.                             String confirmationMethod = this.messageSecurityContext.getSAMLTokenSubjectConfirmationMethodInSecurityHeader(message.getFactory(), samlToken, samlVersion);
  154.                             if(confirmationMethod==null) {
  155.                                 this.msgErrore =  "SAMLToken (versione:"+samlVersion+"), richiesto dalla configurazione (action:"+action+"), non possiede un metodo di subject confirmation";
  156.                                 this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_TOKEN_NON_VALIDO;
  157.                                 return false;
  158.                             }
  159.                             
  160.                             String atteso = null;
  161.                             if(SecurityConstants.SAML_SUBJECT_CONFIRMATION_VALIDATION_METHOD_XMLCONFIG_ID_HOLDER_OF_KEY.equals(samlConfirmationType)) {
  162.                                 atteso = SecurityConstants.SAML_VERSION_XMLCONFIG_ID_VALUE_20.equals(samlVersion) ? 
  163.                                         SAMLBuilderConfigConstants.SAML_CONFIG_BUILDER_SUBJECT_CONFIRMATION_METHOD_HOLDER_OF_KEY_SAML_20 :
  164.                                             SAMLBuilderConfigConstants.SAML_CONFIG_BUILDER_SUBJECT_CONFIRMATION_METHOD_HOLDER_OF_KEY_SAML_10;
  165.                             }
  166.                             else if(SecurityConstants.SAML_SUBJECT_CONFIRMATION_VALIDATION_METHOD_XMLCONFIG_ID_SENDER_VOUCHES.equals(samlConfirmationType)) {
  167.                                 atteso = SecurityConstants.SAML_VERSION_XMLCONFIG_ID_VALUE_20.equals(samlVersion) ? 
  168.                                         SAMLBuilderConfigConstants.SAML_CONFIG_BUILDER_SUBJECT_CONFIRMATION_METHOD_SENDER_VOUCHES_SAML_20 :
  169.                                             SAMLBuilderConfigConstants.SAML_CONFIG_BUILDER_SUBJECT_CONFIRMATION_METHOD_SENDER_VOUCHES_SAML_10;
  170.                             }
  171.                             if(atteso!=null) {
  172.                                 if(atteso.equals(confirmationMethod)==false) {
  173.                                     this.msgErrore =  "SAMLToken (versione:"+samlVersion+"), richiesto dalla configurazione (action:"+action+"), possiede un metodo di subject confirmation ("+confirmationMethod+") diverso da quello atteso ("+atteso+")";
  174.                                     this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_TOKEN_NON_VALIDO;
  175.                                     return false;
  176.                                 }
  177.                             }
  178.                         }
  179.                         
  180.                     }
  181.                 }
  182.             }
  183.             
  184.             
  185.             
  186.             
  187.             // ** Raccolgo elementi "toccati" da Security per pulirli ** /
  188.             List<Reference> elementsToClean = null;
  189.             if(ServiceBinding.SOAP.equals(message.getServiceBinding())){
  190.                 elementsToClean = receiverInterface.getDirtyElements(this.messageSecurityContext, message.castAsSoap());
  191.             }
  192.             
  193.             
  194.             
  195.             
  196.             // ** Verifica cifratura/firma elementi richiesti dalla configurazione ** /
  197.             List<SubErrorCodeSecurity> listaErroriRiscontrati = new ArrayList<SubErrorCodeSecurity>();
  198.             Map<QName, QName> notResolved = null;
  199.             if(ServiceBinding.SOAP.equals(message.getServiceBinding())){
  200.                 notResolved = receiverInterface.checkEncryptSignatureParts(this.messageSecurityContext,elementsToClean, message.castAsSoap(),listaErroriRiscontrati);
  201.             }
  202.             if(listaErroriRiscontrati.size()>0){
  203.                 StringBuilder bf = new StringBuilder();
  204.                 for (Iterator<?> iterator = listaErroriRiscontrati.iterator(); iterator.hasNext();) {
  205.                     SubErrorCodeSecurity subCodiceErroreSicurezza = (SubErrorCodeSecurity) iterator.next();
  206.                     if(bf.length()>0){
  207.                         bf.append(" ; ");
  208.                     }
  209.                     bf.append(subCodiceErroreSicurezza.getMsgErrore());
  210.                 }
  211.                 this.messageSecurityContext.getLog().error(bf.toString());
  212.                 this.msgErrore =  bf.toString();
  213.                 this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_NON_PRESENTE;
  214.                 this.listaSubCodiceErrore.addAll(listaErroriRiscontrati);
  215.                 return false;
  216.             }
  217.             
  218.             
  219.             
  220.             
  221.             // ** Applico sicurezza tramite engine **/
  222.             receiverInterface.process(this.messageSecurityContext, message, busta, ctx);
  223.             
  224.             
  225.             
  226.             
  227.             
  228.             // ** Verifica elementi cifrati come element, possibile solo dopo la decifratura ** //
  229.             List<SubErrorCodeSecurity> listaErroriInElementi = new ArrayList<SubErrorCodeSecurity>();
  230.             if(ServiceBinding.SOAP.equals(message.getServiceBinding())){
  231.                 receiverInterface.checkEncryptionPartElements(notResolved, message.castAsSoap(), listaErroriInElementi);
  232.             }
  233.             if(listaErroriInElementi.size()>0){
  234.                 StringBuilder bf = new StringBuilder();
  235.                 for (Iterator<?> iterator = listaErroriInElementi.iterator(); iterator.hasNext();) {
  236.                     SubErrorCodeSecurity subCodiceErroreSicurezza = (SubErrorCodeSecurity) iterator.next();
  237.                     if(bf.length()>0){
  238.                         bf.append(" ; ");
  239.                     }
  240.                     bf.append(subCodiceErroreSicurezza.getMsgErrore());
  241.                 }
  242.                 this.messageSecurityContext.getLog().error(bf.toString());
  243.                 this.msgErrore =  bf.toString();
  244.                 this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_NON_PRESENTE;
  245.                 this.listaSubCodiceErrore.addAll(listaErroriInElementi);
  246.                 return false;
  247.             }
  248.             
  249.             
  250.             
  251.             
  252.             // ** Lettura Subject Certificato **/
  253.             try{
  254.                 this.subject=receiverInterface.getCertificate();
  255.             }catch(Exception e){
  256.                 this.messageSecurityContext.getLog().error("GetPrincipal Message-Security(Receiver) error: "+e.getMessage(),e);
  257.             }

  259.             
  260.             
  261.             
  262.             // ** Autorizzazione Message Security **/
  263.             if (authClass != null) {
  264.                 try {
  265.                     IMessageSecurityAuthorization auth = (IMessageSecurityAuthorization)org.openspcoop2.utils.resources.Loader.getInstance().newInstance(authClass);
  266.                     MessageSecurityAuthorizationRequest req = new MessageSecurityAuthorizationRequest();
  267.                     req.setBusta(busta);
  268.                     req.setSecurityPrincipal(this.subject);
  269.                     req.setMessageSecurityContext(this.messageSecurityContext);
  270.                     req.setMessage(message);
  271.                     MessageSecurityAuthorizationResult result = auth.authorize(req);
  272.                     if(!result.isAuthorized()){
  273.                         this.msgErrore =  "Mittente della busta ["+busta.getTipoMittente()+busta.getMittente()+
  274.                                 "] (subject:"+this.subject+") non autorizzato ad invocare il servizio ["+busta.getServizio()+"] erogato dal soggetto ["+busta.getTipoDestinatario()+busta.getDestinatario()+"]";
  275.                         if(result.getErrorMessage()!=null){
  276.                                 this.msgErrore = this.msgErrore + "(" +result.getErrorMessage()+")";
  277.                         }
  278.                         if(result.getException()!=null){
  279.                             this.messageSecurityContext.getLog().error(this.msgErrore,result.getException());
  280.                         }
  281.                         this.codiceErrore = CodiceErroreCooperazione.SICUREZZA_AUTORIZZAZIONE_FALLITA;
  282.                         return false;
  283.                     }
  284.                 }
  285.                 catch (Exception e) {
  286.                     throw new Exception("Errore di Processamento durante l'autorizzazione: " + e.getMessage());
  287.                 }
  288.             }
  289.             
  290.             
  291.             
  292.             
  293.             
  294.             // ** Pulizia elementi "toccati" da MessageSecurity per pulirli ** /
  295.             // NOTA: Clean dipendente dall'implementazione
  296.             try{
  297.                 boolean detachValue = true; // per default l'header WSS viene eliminato
  298.                 Object detach = this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.DETACH_HEADER_WSS); // per backward compatibility
  299.                 if(detach!=null){
  300.                     detachValue = Boolean.parseBoolean((String)detach);
  301.                 }
  302.                 if(detach==null) {
  303.                     detach = this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.DETACH_SECURITY_INFO);
  304.                     if(detach!=null){
  305.                         detachValue = Boolean.parseBoolean((String)detach);
  306.                     }
  307.                 }
  308.                 
  309.                 boolean removeAllIdRefValue = this.messageSecurityContext.isRemoveAllWsuIdRef();
  310.                 Object removeAllIdRef = this.messageSecurityContext.getIncomingProperties().get(SecurityConstants.REMOVE_ALL_WSU_ID_REF);
  311.                 if(removeAllIdRef!=null){
  312.                     removeAllIdRefValue = Boolean.parseBoolean((String)removeAllIdRef);
  313.                 }
  314.                 
  315.                 if(ServiceBinding.SOAP.equals(message.getServiceBinding())){
  316.                     receiverInterface.cleanDirtyElements(this.messageSecurityContext, message.castAsSoap(), elementsToClean, detachValue, removeAllIdRefValue);
  317.                 }
  318.                 else {
  319.                     if(detachValue) {
  320.                         receiverInterface.detachSecurity(this.messageSecurityContext, message.castAsRest());
  321.                     }
  322.                 }

  324.             } catch (SecurityException e) {
  325.                 this.messageSecurityContext.getLog().error("Errore durante il clean del messaggio: " + e.getMessage(), e);
  326.                 throw new Exception("Errore durante la cleanMessage: " + e.getMessage());
  327.             }
  328.             
  329.             
  330.             
  331.         } catch (Exception e) {
  332.             
  333.             String prefix = "Generatosi errore durante il processamento Message-Security(Receiver): ";
  334.             
  335.             this.messageSecurityContext.getLog().error(prefix+e.getMessage(),e);
  336.             
  337.             this.msgErrore =  prefix+"Generatosi errore durante il processamento Message-Security(Receiver): "+e.getMessage();
  338.             this.codiceErrore = CodiceErroreCooperazione.SICUREZZA;
  339.             
  340.             if(e instanceof SecurityException){
  341.                 SecurityException securityException = (SecurityException) e;
  342.                 if(securityException.getMsgErrore()!=null){
  343.                     this.msgErrore = prefix+securityException.getMsgErrore();
  344.                 }
  345.                 if(securityException.getCodiceErrore()!=null){
  346.                     this.codiceErrore = securityException.getCodiceErrore();
  347.                 }
  348.             } 
  349.             
  350.             return false;
  351.         }
  352.         return true;
  353.     }

  355.     
  356. }
Created with JaCoCo 0.8.8.202204050719