Software Architektur Serviceorientierte Architektur und Sicherheit von Christian Schwerdtfeger & Matthias Folz

Software ArchitekturService orientierte Architektur und Sicherheit

von Christian Schwerdtfeger & Matthias Folz

Einleitung

© Hochschule für Technik und Wirtschaft des Saarlandes 2

• Sicherheit in Service-orientierten Architekturen hat hohe Relevanz

• Nicht nur kritische Anwendungen wie Online-Banking benötigen Sicherheit in der Kommunikation und Autorisation

Überblick

• Vorstellung relevanter Kommunikatiosnmechanismen• Sicherheitsaspekte

• Einführung in übliche Identifikations- und Authentifikationsmechanismen

• Methoden der Authentifikationsgarantierung

• Veranschaulichung anhand von 2 Beispielen


Kommunikation

• Vielzahl an Kommunikationsmöglichkeiten für SOA’s vorhanden

• Beispiele sind:• SOAP• RMI (bzw. RPC‘s in Nicht-Java Umgebungen)• REST• SDO

• DCOM


Kommunikation - SOAP

• Früher: Simple Object Access Protocol• Mittlerweile wird SOAP nicht mehr als Akronym benutzt

sondern als vollständiger Name• Fast ausschließlich in Webservices verwendet• Bedient sich anderer Standards wie XML, TCP oder http• Erkauft sich hohe Flexibilität mit großem Overhead


Kommunikation - RMI

• Steht für „Remote Method Invocation“, einen „Entfernten Methoden Aufruf“

• Entfernt steht in diesem Kontext für „auf einer anderen JVM“, diese kann sich auf demselben oder einem anderen Rechner befinden.

• Sehr hoher Abstraktionsgrad• Klare Umsetzung einer Client-Server-Architektur


Sicherheit

• Identifikation und Authentifikation


Sicherheit - SAML

• Security Assertion Markup Language• Von der OASIS standardisiertes Framework zum Austausch

von Security Informationen• Auf XML basierend• Kann sowohl für „Single Sign-On“ Anwendungen als auch für

„Identity Federations“ verwendet werden• Einfache Verarbeitung der Daten


Kommunikation - SAML


Sicherheit - Kerberos

Kerberos:• Single-Sign-On

• Kann mehrere Services zur Authentifizierung dienen


Sicherheit - Kerberos


11

22

3344

55

Sicherheit -Shibboleth

• Single Sign-On Authentifizierungsdienst• Verteilte Authentifizierung und Autorisierung• Nutzer bekommt bei Authentifizierung einen digitalen Ausweis• Dienste wissen nicht warum der Nutzer einen Ausweis hat,

sondern überprüfen nur OB er einen Ausweis hat.


Sicherheit - Shibboleth

• Client will auf geschützten Dienst zugreifen, ist nicht angemeldet.

• Dienst leitet Client zu einem „Identity Provider“ weiter.• Client meldet sich beim „Identity Provider“ an, erhält digitalen

Ausweis und wird an den Dienst zurückgeleitet von dem er kam.

• Dienst erkennt den digitalen Ausweis und gewährt dem Nutzer den Zugriff


Sicherheit – WS-Security

• Von der OASIS spezifiziertes Security Modell für Webservices• Vereint viele unterschiedliche Sicherheitsmechanismen zu

einem gemeinsamen Konzept• Bspw. XML-Canonicalization, XML-Signature, XML-

Encryption, SAML- und Kerberos-Profile• Garantiert nicht nur „Punkt-zu-Punkt“-Sicherheit, sondern

„Ende-zu-Ende“-Sicherheit


Sicherheit - OpenID

OpenID:• Single-Sign-On

• Ermöglicht wie Kerberos auch das Authentifizieren für mehrere Services

• Benutzer und sein Authentifizierungsdienst anhand der sogenannten OpenID erkennbar, z.B. [email protected]

• Verfahren zur Delegation der Authentifizierung an andere Dienste


Sicherheit - XACML

XACML:• XML-Basiert

• System zum durchsetzen von Sicherheitsrichtlinien

• Kontextabhängig


Sicherheit - XACML


Authentitätsgarantierung

• Wichtig für Simple Authentifikationsferfahren

• Auch nützlich für Dienste ohne Authentifikation

• Stellt sicher das die Authentifikation für die Dauer der Nutzung valide bleibt


Authentitätsgarantierung - SSL

• Für Kommunikation in ungesicherten Netzen• Tauscht automatisch Schlüssel mit den Gesprächspartnern• Setzt im ISO/OSI-Model am Transport-Layer an

• Höhere Schichten des ISO/OSI-Models werden dadurch nicht beeinflust

• Dienste können über Zertifikate verifiziert werden


Authentitätsgarantierung - VPN

• Spannt ein virtuelles Netzwerk• Ermöglicht somit das verbinden von Sicheren netzen über

unsichere Verbindungen• Vielfältige Methoden ein VPN zu erzeugen

• IPSec

• OpenVPN(TSL/SSL)

• SSH

• Etc

• Vielfältige Authentifizierungsmethoden


Authentitätsgarantierung – GnuPG/PGP

• Hybrides Verfahren• Vereinigt somit die Vorzüge symmetrischer wie

asymmetrischer Verfahren


Beispiel – e-Mail

• Eines der meistgenutzten Kommunikationsmittel der Welt• Große Schwächen im Bereich der Sicherheit• „Punkt-zu-Punkt“-Sicherheit kann mittels SSL gewährleistet

werden• „Ende-zu-Ende“-Sicherheit ohne zusätzliche

Sicherheitsmaßnahmen nicht möglich• Diese kann mit Hilfe digitaler Signaturen oder

Verschlüsselungsmechanismen wie PGP hergestellt werden


Beispiel - Jabber

• Instant Messaging System• XML-Basiert• Erweiterbar• Z.B. anbieten von Transportdiensten• Anbieten von Ressourcen auch möglich• Kann über SSL gesichert werden• PGP wird hier gerne eingesetzt für Ende2Ende Verbindungen


Documents

Software Architektur Serviceorientierte Architektur und Sicherheit von Christian Schwerdtfeger & Matthias Folz