Sicurezza a livello di applicazione ... non riuscirò a duplicare semplicemente TLS?

TLS è utile per la sicurezza point-to-point, in cui non esiste una parte intermedia e limitata a un hop.

Application Level Security (ALS) probabilmente significa sicurezza a livello di messaggio, come la specifica WS-Security , che consentono:

• Sicurezza end to end (da punto a punto in TLS)
• Maggiore flessibilità (parti del messaggio al posto dell'intero messaggio possono essere firmate / crittografate)
• Supporto per più trasporti (TCP, UDP, ho persino visto SMTP e altro)
• Supporto per un ampio set di credenziali e attestazioni.

Gli svantaggi sono

• Nessun flusso multimediale. La sicurezza dei messaggi è fuori servizio e non è possibile un flusso di bit a meno che il ricevimento e la ritrasmissione in ordine non siano garantiti da un protocollo di supporto.
• Più lento del TCP. Gli hop multipli implicano una maggiore latenza
• Non sono disponibili acceleratori hardware (o sono difficili da trovare)
• La sicurezza dei messaggi può essere difficile da interoperare con altri fornitori. Il supporto per la sicurezza XML varia in base al fornitore.

Molto di più su questo argomento esiste su sito WCF di Microsoft.

Idealmente potresti prendere in considerazione Sicurezza del trasporto e credenziali dei messaggi:

La protezione di un servizio con entrambe le credenziali di trasporto e dei messaggi utilizza le migliori modalità di sicurezza di trasporto e dei messaggi in Windows Communication Foundation (WCF). In breve, la sicurezza a livello di trasporto fornisce integrità e riservatezza, mentre la sicurezza a livello di messaggio fornisce una varietà di credenziali che non sono possibili con meccanismi di sicurezza del trasporto rigorosi

Di solito, quando le persone dicono che non vogliono il TLS ma qualcosa chiamato "application-level", allora la pura e nuda verità è che non sanno di cosa stiano discutendo.

Attenzione al "solito", però: ci sono sono situazioni in cui TLS è insufficiente, e qualcos'altro è necessario e deve essere applicato ad un livello che può essere soprannominato "applicazione". Il caso principale è quando un cliente deve inviare richieste con una sorta di responsabilità esecutiva; in poche parole, quando le richieste devono essere firmate in modo che, in caso di problemi, la richiesta possa servire come prova durante una prova. TLS non fa firme; utilizza le firme internamente, ma solo per l'autenticazione. Il cliente può essere sicuro che parli con il server giusto (e anche viceversa, se vengono utilizzati i certificati client), ma non ha prove che possano essere convincenti agli occhi di un giudice.

Ovviamente, è improbabile che le persone che richiedono "SLA" ma non siano in grado di fornire specifiche decenti siano consapevoli di tali sottigliezze. Probabilmente stanno solo applicando un pezzo di dogma che non capiscono. Per contrastare ciò, fai come ti chiedono: implementa un Application-Level Security che consiste nello scambio di "messaggi" come "sequenze di byte" che sono identici a quanto descritto in RFC 5246 .

Questo punto è stato fatto prima, brillantemente, in un formato grafico di facile comprensione:

(Spero che gli avvocati di Scott Adams mi perdoneranno per aver citato questo straordinario pezzo di saggezza.)