SOA secure Sicherheitsaspekte Serviceorientierter Architekturen

Transkript

1 CM Network e.v. 7. Symposium: IT-Sicherheit SOA secure Sicherheitsaspekte Serviceorientierter Architekturen Dipl.-Wirtsch.-Inf. Stefan Krecher

2 Übersicht Service Orientierte Architekturen SOA Komponenten SOA Security SAML WS-Security JBoss Security CM Network Symposium 2

3 SW-Architektur traditioneller Ansatz I Multi-Tier Architektur Komponentenmodelle (zb. EJB) Model-View-Controller Festverdrahtete Geschäftsprozesse Rollenbasierte Zugriffsberechtigung Bei überbetrieblichen Geschäftsprozessen oft Medienbrüche Problem: Legacy-Anwendungen CM Network Symposium 3

4 SW-Architektur traditioneller Ansatz II Frontend (Web) Frontend (GUI) EJB (Mitarbeiter) SAP EJB (Session, Geschäftslogik) Host Legacy EJB (Persistenz) Kunde Legacy- DB Importmodul DB Zulieferer CM Network Symposium 4

5 Service Orientierte Architekturen I Bereitstellung von Services über definierte Schnittstellen Geschäftsprozessorientierung Geschäftsprozesse laufen asynchron ab Adapter für bestehende Anwendungen Lose Koppelung von Services Beschreibung der Orchestrierung zb. mit BPM BPEL Aktivitätsdiagrammen Beispiel: Kaufauftrag Service: Entgegennahme des Kaufauftrags Service: Preisermittlung und Beauftragung von Subunternehmern Service: Rechnungserstellung Service: Warenauslieferung CM Network Symposium 5

6 Service Orientierte Architekturen II Auftrag Subunternehmer 1 Subunternehmer 2 Fakturierung Auslieferung CM Network Symposium 6

7 SOA Komponenten Service Repository Verzeichnis der Services Enterprise Service Bus verbindet Services BPM Beschreibt einen Geschäftsprozess Adapter Schnittstelle, zb. Webservice Service-Provider Service-Consumer CM Network Symposium 7

8 Bedrohungsszenarien Manipulation der Abfrage Manipulation der Antwort Verlust der Vertraulichkeit Unberechtigter Aufruf von Services Identitäts-Hijacking CM Network Symposium 8

9 SOA Security Überprüfung der Vertrauenswürdigkeit eines Kommunikationspartners Überprüfung der Integrität einer Nachricht. Überprüfung der Berichtigung zur Nutzung eines Dienstes. Unterschiedliche Rollen (interne Service-Consumer, externe Service-Consumer) Bereitstellung interner Services für externe Nutzer. Aufstellen einer Security-Policy. Entkopplung der Logik von der Security-Policy CM Network Symposium 9

10 Sicherheitsebenen Sicherheit auf der Transportebene HTTPS / SSL VPN Firewall Sicherheit auf Anwendungsebene Security Frameworks (zb. SAML) Webservice Security CM Network Symposium 10

11 Security Assertion Markup Language (SAML) Entwickelt vom OASIS-Konsortium (2001) XML-basiert Beschreibt die Struktur von Sicherheitsinformationen Ermöglicht SSO Webanwendungen/ Webservices Erweiterung: Shibboleth CM Network Symposium 11

12 SAML Komponenten SAML-Assertions Aussagen über bestimmte Berechtigungen SAML-Protokoll Kommunikation zwischen SAML-Requester/ -Responder SAML-Bindings Übertragungsprotokolle SAML-Profile Einbindung von Assertions Web-Browser-Profil WS-Security-Profil CM Network Symposium 12

13 Web Services Security (WS-Security) OASIS-Konsortium SOAP-Erweiterung zur Sicherung von Vertraulichkeit und Integrität von WS-Messages SOAP Message Security (OASIS) XML-Encryption (W3C) XML-Signature (W3C) Username Token Profile (OASIS) X.509 Token Profile (OASIS) Basic Security Profile (WS-I) CM Network Symposium 13

14 WS-Security Unterstützung WS-Security Tools und Unterstützung Java WebService Developer Pack (sun) WSS4J (Apache) opensaml Unterstützung des Application-Server (zb. JBoss, BEA Weblogic) XML-Gateway Proxy vor Webservices CM Network Symposium 14

15 JBoss Security I JBossSX JBoss Security Framework Service integration layer JAAS und non-jaas PAM LoginModule, CertRoleLoginModule Security Interceptor CM Network Symposium 15

16 JBoss Security II Server-Konfiguration <?xml version="1.0" encoding="utf-8"?> <jboss-ws-security xmlns=" xmlns:xsi=" xsi:schemalocation=" <key-store-file>web-inf/wsse.keystore</key-store-file> <key-store-password>jbossws</key-store-password> <trust-store-file>web-inf/wsse.truststore</trust-store-file> <trust-store-password>jbossws</trust-store-password> <config> <sign type="x509v3" alias="wsse"/> <encrypt type="x509v3" alias="wsse"/> <requires> <signature/> <encryption/> </requires> </config> </jboss-ws-security> CM Network Symposium 16

17 JBoss Security II Client-Konfiguration <?xml version="1.0" encoding="utf-8"?> <jboss-ws-security xmlns=" xmlns:xsi=" xsi:schemalocation=" <config> <sign type="x509v3" alias="wsse"/> <encrypt type="x509v3" alias="wsse/ <requires> <signature/> <encryption/> </requires> </config> </jboss-ws-security> CM Network Symposium 17

18 Ausblick Notwendig: Aufbau eines Service Repositories mit Regeln und Berechtigungen Tool-Unterstützung Kombination mehrerer Sicherheitsebenen Security-Policy Sicherheit im Anwendungsdesign vorsehen CM Network Symposium 18

19 Literatur CM Network Symposium 19