Upload
internet
View
111
Download
0
Embed Size (px)
Citation preview
Mestrado em Sistemas e Computação
Arquitetura Cross-Plataforma paraAutenticação e Autorização de
Aplicações ComerciaisProjeto Rasea
Cleverson [email protected]
Mestrado em Sistemas e Computação
Agenda
• Introdução• Motivação• Objetivos• Arquitetura Rasea
– Independência de Plataforma– Integração– Gateway– Agent
• Modelo de Segurança• Referências
Introdução
• Citações
– “Pouca ou nenhuma segurança deixa a sua empresa vulnerável, mas uma ênfase exagerada (...) inibe o crescimento e prosperidade da empresa. O desafio é atingir um equilíbrio entre a segurança e a produtividade” (MITNICK, 2003, pg. 8)
– “A segurança da aplicação não é apenas tecnologia (...)” (BUEGE, 2003, pg. 106)
– Colocar citação sobre reuso
– Colocar citação sobre SOA
Mestrado em Sistemas e Computação
Introdução
• A quem se destina?
– Empresas de Desenvolvimento de Software e Profissionais Autônomos
• Produtividade no desenvolvimento de novos sistemas.
• Aumento da competitividade.
– Organizações clientes• Unificação da base de usuários e do controle de acesso às aplicações.
• Redução de custo na manutenção do controle de acesso.
• Maior controle na autorização às aplicações.
• Apenas uma conta para acessar todos os sistemas.
• Login único
Mestrado em Sistemas e Computação
Introdução
• Conceito
– Autenticação• Identificação do usuário
– Autorização• O que o usuário pode fazer na aplicação
– Segurança??? Autorização? da Aplicação• Vertical• Horizontal
Mestrado em Sistemas e Computação
Escopo
Aplicação =
regra denegócio
+regra de
segurança
Aplicação =
regra denegócio
+regra de
segurança
Introdução
Mestrado em Sistemas e Computação
Introdução
Mestrado em Sistemas e Computação
regrade
negócio
regrade
negócio
regra desegurança
Introdução
Mestrado em Sistemas e Computação
regrade
negócio
regrade
negóciofi
ltro
regrade
acesso
Introdução
• Glossário
– Aplicação: software implantado ou em desenvolvimento??? em uma organização.
– Aplicação parceira: é uma aplicação que deseja usufruir dos benefícios do Rasea.
– Agent: componente Rasea, que acessa o gateway, e deve ser conectado a uma aplicação parceira.
– Gateway: servidor Rasea que possui toda a regra de segurança.
– Single Sign-On: após logar em uma aplicação, o processo não precisará se repetir para as demais.
Mestrado em Sistemas e Computação
Motivação
Mestrado em Sistemas e Computação
(B)(B)
(C)(C)
(A)(A)
(D)(D)
(E)(E)
Descentralização
-Re-implementação-Bases redundantes-Dificuldade na implantação de melhorias do modelo de segurança
Motivação
• Soluções existentes– JAAS
• Framework para autorização e autenticação de uma aplicação
– Seam Security e jGuard• Implementação do JAAS
– Josso• Solução de Single Sign-On
– Drools• Motor de regras
– Sentinel• Biblioteca para controle de acesso
Mestrado em Sistemas e Computação
Objetivos
• Primário– Definir uma Abordagem????? Orientada à Serviço que suporte o controle
centralizado de autorização e a autenticação unificada dos usuários às aplicações comerciais.
• Secundários– Garantir que a arquitetura proposta beneficie aplicações comerciais em
diferentes plataformas, tais como Java e .NET.
– Implementar a solução proposta e disponibilizá-la à comunidade, regida por uma licença Open Source.
– Reduzir o custo no desenvolvimento de software a partir do reuso do serviço de segurança.
Mestrado em Sistemas e Computação
Arquitetura Rasea
Mestrado em Sistemas e Computação
• Rasea?
cRoss-plAtaform
Security for Enterprise ApplicationsArquitetura Cross-Plataforma para Segurança de Aplicações Comerciais
Arquitetura Rasea
Mestrado em Sistemas e Computação
Independência de Platafoma
Integração
Servidor Agente
Economia
Arquitetura Rasea
Mestrado em Sistemas e Computação
(C)(C)
(D)(D)
(B)(B)
(A)(A)
(E)(E)
(F)
Arquitetura Rasea PIM
• PIM: Platform-Independent Model
– Utilização de WebService para integração das aplicações parceiras.
– Para o cliente, os detalhes tecnológicos do servidor são abstraídos.
– Aplicação dos conceitos SOA.
Mestrado em Sistemas e Computação
Arquitetura Rasea PIM
Mestrado em Sistemas e Computação
aplicaçãoparceira
aplicaçãoparceira
agen
t
gateway
SOAP
Arquitetura Rasea PIM
Mestrado em Sistemas e Computação
agen
t
gatewaySOAP
Java .NET PHP etc.
Arquitetura Rasea Integração
• Frameworks??? Tecnologias??– Integração com tecnologias de mercado– JAAS, jGuard, JBoss Seam, JSF, Struts, ASP, .NET,
etc.
• Single Sign-On– Josso: Single Sign-On Open Source
Mestrado em Sistemas e Computação
Arquitetura Rasea Integração
Mestrado em Sistemas e Computação
autorização
autenticação
LDAP SGBD Embeddedetc.
gateway
Arquitetura Rasea Integração
Mestrado em Sistemas e Computação
(colocar referência)
(A)(B)
(C)
Arquitetura Rasea Integração
Mestrado em Sistemas e Computação
aplicaçãoparceira
aplicaçãoparceira
rase
a
SOAP
joss
o
LDAP
RASEA
JOSSO
(A) (B)
(C)
SOAP
Arquitetura Rasea Gateway
• Rascunho!!!– Utiliza o JBoss Seam– I18N– Escolha da base de autenticação– WebServices– Telas de cadastro– Concessão de Permissão
Mestrado em Sistemas e Computação
Arquitetura Rasea Agent
• Rascunho!!!– Agent JBoss Seam– Agent .NET– WS Proxy
Mestrado em Sistemas e Computação
Modelo de Segurança
• Rascunho!!!– Modelo de segurança do Windows– UML– Comparação com o modelo RBAC
Mestrado em Sistemas e Computação
26
Referências
• BUEGE, Brian et al. Segurança Contra Hackers J2EE e Java: desenvolvendo aplicações seguras com a tecnologia Java. São Paulo: Futura. 2003.
• MITNICK, Kevin D.; SIMON, Willian L., A Arte de Enganar: controlando o fator humano na segurança da informação. São Paulo: Pearson Makron Books. 2003.
• http://java.sun.com/j2se/1.5.0/docs/guide/security/jaas/JAASRefGuide.html
• http://www.josso.org/confluence/display/JOSSO1/Architecture+Overview