Methodische Entwicklung

Transkript

1 Methodische Entwicklung sicherer CORBA-Anwendungen Jan Jürjens Software & Systems Engineering Informatik, TU München Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen

2 Sicherheit Unternehmen sind zunehmend abhängig von Computernetzwerken. Angriffe bringen ein zunehmendes Risiko. Vernetzte Systeme können anonym und aus sicherer Distanz angegriffen werden. Vernetzte Computer müssen sicher sein. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 1

3 Probleme Viele Schwachstellen in Entwürfen sicherheitskritischer Systeme, manchmal erst nach Jahren gefunden. Beispiel (1997): NSA Hackerteam bricht in U.S. Department of Defense Computer und U.S. Stromversorgungssystem ein. Simuliert Stromausfälle und Notrufausfälle. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 2

4 Gründe Korrekter Entwurf sicherer Systeme schwierig. Entwicklern fehlt oft Sicherheitsausbildung. Sicherheitserwägungen im Nachhinein. Kann Sicherheitsmechanismen nicht blind einsetzen (meiste Angriffe nutzen Systemkontext). Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 3

5 CORBA Zugangskontrolle Zugriffssteuerungspolitik für Objektaufrufe kontrolliert Zugang eines Client zu bestimmtem Objekt über bestimmte Methode. Realisiert durch Object Request Broker (ORB) und Security Service. Client Target request ORB access decisions Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 4

6 Zugangsentscheidungsfunktionen Zugangsentscheidungsfunktionen entscheiden über Zugangserlaubnis. Abhängig von aufgerufener Operation, Privilegien des Client-Owners, Kontrollattributen des Zielobjektes. Zugangskontrolle mithilfe von Schutzgebieten (statt einzelner Objekte). Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 5

7 Ausführungszusammenhang Zugang hängt vom Ausführungskontext mit Credentials ab: eigene Credentials, von aufrufenden Objekten empfangene Credentials, an aufzurufene Objekten zu schickende aufrufende Credentials. Aktueller Ausführungskontext eines Programmes in Current Objekt, von ORB gelesen. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 6

8 Zugangskontrollpolitiken Methode kann Rechte bei aufrufendem Objekt fordern: g get Recht kontrolliert Zugang zu Methoden, die Informationen zurückgeben. s set Recht kontrolliert Zugang zu Methoden, die Informationen im aufgerufenen Objekt ändern. u use Recht kontrolliert Zugang zu Methoden, die Aufgabe ausführen lassen. m manage Recht kontrolliert Zugang zu normalen Benutzern unzugänglichen Methoden. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 7

9 Zugangsentscheidungsobjekte Access decision objects (ADO s) setzen Politiken durch. Können auf Anwendungsebene definiert werden. ADO s erlauben differenzierte Sicherheitspolitiken. Aber: Zugangserlaubnis abhängig von Ausführungszusammenhang und Laufzeitparametern. Authentifizierung diffizil. Indirekte Zugangserlaubnis mittels Credentials. Schwierig zu sehen, welche Objekte Erlaubnis erhalten. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 8

10 Lösung: UML Unified Modeling Language (UML): visuelles Modellieren OO Systeme verschiedene Ansichten eines Systems hoher Abstraktionsgrad möglich de-facto Industriestandard (OMG) Standard-Erweiterungsmechanismen Formale Semantik für automatisierte Analyse, Konsistenztests, beweiskräftige Sicherheitsanalysen... Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 9

11 UMLsec Bislang einzige Erweiterung für Entwicklung sicherer Systeme. UML Spezifikationen auf Schwachstellen im Entwurf auswerten etablierte Regeln des Security Engineering ausdrücken und Entwicklern ohne Sicherheitsausbildung zur Verfügung stellen Sicherheit von frühen Entwicklungsphasen an, im Systemkontext kosten-effiziente Zertifizierungen Hier: korrekte Verwendung der CORBA Zugangskontrolle Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 10

12 UML: Überblick Customer Business Request good Pay Wait Deliver Reclaim Pack1 Pack2 +Cls1 +Cls2a <<access>> Cls2b Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 11

13 Benutzter Teil der UML Aktivitätsdiagramm: Kontrollfluß zwischen Systemkomponenten Klassendiagramm: Klassenstruktur des Systems Sequenzdiagramm: Interaktion zwischen Komponenten durch Nachrichtenaustausch Zustandsdiagramm: dynamisches Komponentenverhalten Einsatzdiagramm: Komponenten in physikalischer Umgebung Package: Systemteile zusammenfassen Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 12

14 Das UMLsec Profil Häufige Sicherheitsanforderungen als Stereotypen mit Tags (Vertrauchlichkeit, Integrität,... ). Assoziierte Bedingungen evaluieren Spezifikationen und zeigen mögliche Schwachstellen. Überprüft, dass formulierte Sicherheitseigenschaften Sicherheitspolitik durchsetzen. Überprüft, dass UML Spezifikation Sicherheitseigenschaften erfüllt. Z.B.: Sicherheitsattribute von Kommunikationsbeziehungen Validierung: Präzise Semantik für Verhalten. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 13

15 Entwicklungsprozess (1) Zugangskontrollanforderungen für kritische Objekte formulieren. (2) ADO s mit passenden Zugangskontrollbedingungen definieren. (3) Überprüfen, dass ADO s Objekte hinreichend schützen. (4) Überprüfen, dass Zugangskontrolle konsistent mit Funktionalität. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 14

16 Beispiel: Finanzanwendung Local Browser <<Internet>> Server Store <<Internet>> Server Dienste von Internetbank und Finanzberater für lokalen Benutzer. Objekte brauchen Privilegien (Schritt 1). Objekte von Bank lesen und schreiben Finanzdaten zwischen und Uhr. Objekte von Finance benutzen Micropayment Schlüssel fünf Mal pro Woche. Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 15

17 Finanzanwendung: Klassendiagramm CORBASecArch chkado() «call» «call» MicGd limit: Bool chkado() «call» «call» «call» FinGd slot: Bool chkado() «call» ExcGd chkado() StoFi FinData: Exp Read():Exp Write(arg:Exp) «protected» {ADO=FinGd} «call» «protected» FinEx {ADO=ExcGd} ExcData: Exp Read():Exp «protected» MicSi {ADO=MicGd} MicroKey: Keys Sign(req:Exp):Exp Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 16

18 Finanzanwendung: ADO s (step 2) slot wahr zwischen und Uhr. FinGd CheckReq chkado(sig) [sig=bank slot=true] WaitReq /return limit wahr bis Zugang fünf Mal gewährt. MicGd CheckReq chkado(sig) WaitReq [sig=finan limit=true] /return Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 17

19 Finanzanwendung: Validerung Verifizieren: ADO s geben hinreichenden Schutz (Schritt 3). Zugangskontrolle konsistent mit Funktionalität (Schritt 4). Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 18

20 Werkzeugunterstützung Zeichenwerkzeug (Rational Rose,... ) mit XMI (XML Metadata Interchange) zu: Analysewerkzeug (AutoFocus) Testsequenzgenerierung Verifikation Codegenerierung Weiterhin in Arbeit: Standardisierung Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 19

21 Security im Software Engineering Anwendungsprojekte mit UMLsec und AutoFocus: Projekt FairPay des Bundesministerium für Wirtschaft Common Electronic Purse Specifications Java Security elektronisches Ausschreibungssystem elektronische Geldbörse für Palmtop Internet-Sicherheitsprotokolle verschiedene Projekte mit Industriepartnern secse Jan Jürjens, TU München: Entwicklung sicherer CORBA-Anwendungen 20