Mestrado em Sistemas e Computação Arquitetura Cross-Plataforma para Autenticação e Autorização de Aplicações Comerciais Projeto Rasea Cleverson Sacramento.

Mestrado em Sistemas e Computação

Arquitetura Cross-Plataforma paraAutenticação e Autorização de

Aplicações ComerciaisProjeto Rasea

Cleverson [email protected]

Mestrado em Sistemas e Computação

Agenda

• Introdução• Motivação• Objetivos• Arquitetura Rasea

– Independência de Plataforma– Integração– Gateway– Agent

• Modelo de Segurança• Referências

Introdução

• Citações

– “Pouca ou nenhuma segurança deixa a sua empresa vulnerável, mas uma ênfase exagerada (...) inibe o crescimento e prosperidade da empresa. O desafio é atingir um equilíbrio entre a segurança e a produtividade” (MITNICK, 2003, pg. 8)

– “A segurança da aplicação não é apenas tecnologia (...)” (BUEGE, 2003, pg. 106)

– Colocar citação sobre reuso

– Colocar citação sobre SOA

Mestrado em Sistemas e Computação

Introdução

• A quem se destina?

– Empresas de Desenvolvimento de Software e Profissionais Autônomos

• Produtividade no desenvolvimento de novos sistemas.

• Aumento da competitividade.

– Organizações clientes• Unificação da base de usuários e do controle de acesso às aplicações.

• Redução de custo na manutenção do controle de acesso.

• Maior controle na autorização às aplicações.

• Apenas uma conta para acessar todos os sistemas.

• Login único

Mestrado em Sistemas e Computação

Introdução

• Conceito

– Autenticação• Identificação do usuário

– Autorização• O que o usuário pode fazer na aplicação

– Segurança??? Autorização? da Aplicação• Vertical• Horizontal

Mestrado em Sistemas e Computação

Escopo

Aplicação =

regra denegócio

+regra de

segurança

Aplicação =

regra denegócio

+regra de

segurança

Introdução

Mestrado em Sistemas e Computação

Introdução

Mestrado em Sistemas e Computação

regrade

negócio

regrade

negócio

regra desegurança

Introdução

Mestrado em Sistemas e Computação

regrade

negócio

regrade

negóciofi

ltro

regrade

acesso

Introdução

• Glossário

– Aplicação: software implantado ou em desenvolvimento??? em uma organização.

– Aplicação parceira: é uma aplicação que deseja usufruir dos benefícios do Rasea.

– Agent: componente Rasea, que acessa o gateway, e deve ser conectado a uma aplicação parceira.

– Gateway: servidor Rasea que possui toda a regra de segurança.

– Single Sign-On: após logar em uma aplicação, o processo não precisará se repetir para as demais.

Mestrado em Sistemas e Computação

Motivação

Mestrado em Sistemas e Computação

(B)(B)

(C)(C)

(A)(A)

(D)(D)

(E)(E)

Descentralização

-Re-implementação-Bases redundantes-Dificuldade na implantação de melhorias do modelo de segurança

Motivação

• Soluções existentes– JAAS

• Framework para autorização e autenticação de uma aplicação

– Seam Security e jGuard• Implementação do JAAS

– Josso• Solução de Single Sign-On

– Drools• Motor de regras

– Sentinel• Biblioteca para controle de acesso

Mestrado em Sistemas e Computação

Objetivos

• Primário– Definir uma Abordagem????? Orientada à Serviço que suporte o controle

centralizado de autorização e a autenticação unificada dos usuários às aplicações comerciais.

• Secundários– Garantir que a arquitetura proposta beneficie aplicações comerciais em

diferentes plataformas, tais como Java e .NET.

– Implementar a solução proposta e disponibilizá-la à comunidade, regida por uma licença Open Source.

– Reduzir o custo no desenvolvimento de software a partir do reuso do serviço de segurança.

Mestrado em Sistemas e Computação

Arquitetura Rasea

Mestrado em Sistemas e Computação

• Rasea?

cRoss-plAtaform

Security for Enterprise ApplicationsArquitetura Cross-Plataforma para Segurança de Aplicações Comerciais

Arquitetura Rasea

Mestrado em Sistemas e Computação

Independência de Platafoma

Integração

Servidor Agente

Economia

Arquitetura Rasea

Mestrado em Sistemas e Computação

(C)(C)

(D)(D)

(B)(B)

(A)(A)

(E)(E)

(F)

Arquitetura Rasea PIM

• PIM: Platform-Independent Model

– Utilização de WebService para integração das aplicações parceiras.

– Para o cliente, os detalhes tecnológicos do servidor são abstraídos.

– Aplicação dos conceitos SOA.

Mestrado em Sistemas e Computação

Arquitetura Rasea PIM

Mestrado em Sistemas e Computação

aplicaçãoparceira

aplicaçãoparceira

agen

t

gateway

SOAP

Arquitetura Rasea PIM

Mestrado em Sistemas e Computação

agen

t

gatewaySOAP

Java .NET PHP etc.

Arquitetura Rasea Integração

• Frameworks??? Tecnologias??– Integração com tecnologias de mercado– JAAS, jGuard, JBoss Seam, JSF, Struts, ASP, .NET,

etc.

• Single Sign-On– Josso: Single Sign-On Open Source

Mestrado em Sistemas e Computação

Arquitetura Rasea Integração

Mestrado em Sistemas e Computação

autorização

autenticação

LDAP SGBD Embeddedetc.

gateway

Arquitetura Rasea Integração

Mestrado em Sistemas e Computação

(colocar referência)

(A)(B)

(C)

Arquitetura Rasea Integração

Mestrado em Sistemas e Computação

aplicaçãoparceira

aplicaçãoparceira

rase

a

SOAP

joss

o

LDAP

RASEA

JOSSO

(A) (B)

(C)

SOAP

Arquitetura Rasea Gateway

• Rascunho!!!– Utiliza o JBoss Seam– I18N– Escolha da base de autenticação– WebServices– Telas de cadastro– Concessão de Permissão

Mestrado em Sistemas e Computação

Arquitetura Rasea Agent

• Rascunho!!!– Agent JBoss Seam– Agent .NET– WS Proxy

Mestrado em Sistemas e Computação

Modelo de Segurança

• Rascunho!!!– Modelo de segurança do Windows– UML– Comparação com o modelo RBAC

Mestrado em Sistemas e Computação

26

Referências

• BUEGE, Brian et al. Segurança Contra Hackers J2EE e Java: desenvolvendo aplicações seguras com a tecnologia Java. São Paulo: Futura. 2003.

• MITNICK, Kevin D.; SIMON, Willian L., A Arte de Enganar: controlando o fator humano na segurança da informação. São Paulo: Pearson Makron Books. 2003.

• http://java.sun.com/j2se/1.5.0/docs/guide/security/jaas/JAASRefGuide.html

• http://www.josso.org/confluence/display/JOSSO1/Architecture+Overview