Stefan Neusatz Guilhen Prof. Dr. Francisco Carlos da Rocha Reverbel - ppt carregar
PublicouRodrigo Mirante Alterado mais de 5 anos atrás
Apresentação em tema: "Stefan Neusatz Guilhen Prof. Dr. Francisco Carlos da Rocha Reverbel"— Transcrição da apresentação:
1 Um Serviço de Autorização Java EE Baseado em Certificados de Atributos X.509
Stefan Neusatz Guilhen Prof. Dr. Francisco Carlos da Rocha Reverbel Departamento de Ciência da Computação – Instituto de Matemática e Estatística da Universidade de São Paulo IME-USP
2 Programação Introdução IGP: evolução da ICP Propagação de credenciais
Infra-estrutura de segurança do JBoss Projeto implementado Trabalhos relacionados Conclusões e trabalho futuro IME-USP
3 Introdução JEE: especificações não estabelecem como mapear papéis e usuários. Servidores não permitem que os clientes forneçam seus próprios papéis. Restritivo: obriga a manutenção de repositórios de papéis. Serviço mais completo exige garantias adicionais de integridade e origem. IME-USP
4 IGP: evolução da ICP Extensões da ICP permitiram inclusão de informações de autorização nos CCPs. Problemas: conhecimento e validade. IGP apresentou o Certificado de Atributos como solução. Promove a separação do gerenciamento da chave pública e dos privilégios. IME-USP
5 Propagação de credenciais
Modelo Pull IME-USP
6 Propagação de credenciais
Modelo Push IME-USP
7 JBoss Security Extension
8 JBoss Security Extension
Implementação padrão baseada em JAAS. Módulos de autenticação intercambiáveis Autenticação e extração de papéis realizadas pelo mesmo componente. Suporte a arquivos de propriedades, bancos de dados e serviços de diretórios. IME-USP
9 Implementação – modelo pull
Adição de novo módulo JAAS. Não requer alterações na infra-estrutura já existente. Capaz de autenticar o cliente em um repositório configurável. Implementação de mecanismos de validação de integridade. IME-USP
10 Implementação – modelo pull
11 Implementação – modelo push
Alterações na infra-estrutura de segurança do servidor. Client-side JAAS. Mecanismo de invocação. Requer que autenticação seja realizada por outro módulo. Implementação de verificadores de revogação. IME-USP
12 Implementação – modelo push
13 Verificadores de revogação
Módulos de verificação independentes e intercambiáveis. Disponíveis para ambos os modelos. X509NoRevAvailHandler. X509CRLRevocationHandler. X509OCSPRevocationHandler. IME-USP
Akenti - gerenciamento distribuído da política de controle de acesso. Permis – controle de acesso baseado em X509 ACs e serviços de diretório. SPKI – modelo simplificado de PKI baseado no conceito de localidade. SAML/XACML – SSO e políticas de controle de acesso em XML. IME-USP
15 Conclusões e trabalho futuro
Flexibilidade na escolha do modelo de propagação a ser utilizado. Impacto mínimo de desempenho com cache de segurança habilitado. Estudo de mecanismo para passagem de X509 ACs por HTTP. Inclusão do serviço desenvolvido na distribuição do JBoss. IME-USP