Einfache Nutzung von D-Grid Zertifikaten

Transkript

1 Einfache Nutzung von D-Grid Zertifikaten Jürgen Falkner, Fraunhofer IAO Projekt Gap-SLC 5. D-Grid Security Workshop, Göttingen J. Falkner & Team PKeasy (1) D-Grid Security Workshop

2 Motivation Ausgangssituation Nutzerkreise mit geringen Erfahrungen bei der Verwendung von persönlichen Zertifikaten hohe Einstiegsschwelle ins Grid PKI-Nutzung aufwändig und komplex gleichzeitig teils hohe Sicherheitsanforderungen Ziele in Gap-SLC Senkung der Eingansschwelle ins Grid Verbreiterung der Nutzerbasis Bereitstellung von Lösungen im Bereich AAI für die CGs J. Falkner & Team PKeasy (2) D-Grid Security Workshop

3 Zugang zum GRID bisher MediGRID User identify against Registration Authority User Certificate request certificate issue certificate request VO Membership grant VO Membership sign request Zertifikatsausstellung Certification Authority VO Manager in VOMRS VO Registrierung add user to whitelist einmalig 1x pro Woche jede Anwendung User Whitelist <DN> <role> <DN> <role> Upload Proxy (Validation: 7 days) MyProxy Server login (Proxy Certificate Proxy Erzeugung/Upload Database) MediGRID Portal User Credential Validation: 2h create account authorization via dgridmap Credential Portlet Konfiguration retrieve Credential Retrieval Credential grid use um Anwendungen according to granted role zu nutzen MediGRID Application Services, Resources, etc. PKeasy (3) J. Falkner & Team D-Grid Security Workshop

4 Task 6: Vereinfachung der Authentifizierung mittels PKI-Zertifikaten für den Nutzer Problemstellung J. Falkner & Team PKeasy (5) D-Grid Security Workshop

5 Zu lösende Probleme 1) Firewall-Problematik Java Webstart und Applets laufen auf dem Nutzerrechner Proxy Upload Tool (Webstart/Applet) baut eine direkte Verbindung vom Nutzerrechner zu Port 7512 des MyProxy Servers auf Restriktive Firewalls (z.b. klinische) erlauben ausschließlich Kommunikation mit Port 80 (HTTP) und 443 (HTTPS) Lösung Implementierung als Applet / Servlet Konstrukt Das Applet läuft auch lokal beim Nutzer Proxyerzeugung weiterhin lokal Private Key des persönlichen Schlüsselpaars verlässt den Rechner nicht Upload des Proxies erfolgt zunächst an ein Servlet im Portal Dort erfolgt ein Redirect an den MyProxy Server Der Nutzer kommuniziert ausschließlich über HTTPS (Port 443 des Portals) J. Falkner & Team PKeasy (7) D-Grid Security Workshop

6 Zu lösende Probleme Bedienbarkeit Diverse Eingaben erfolgen bisher doppelt Wenn diese Eingaben differieren erfolgen Fehler, die den Nutzer verwirren Lösung: engere Integration von gput mit Credential Portlets und Login Portlets Formatswirrwarr Der Nutzer erhält sein Zertifikat i.d.r. als PKCS12 (Dateiendung.p12 ) Um ein Proxy zu erzeugen wird aber das PEM Format benötigt Ein (automatischer) Konvertierungsmechanismus ist erforderlich Problem: der Nutzer muss die Java Cryptography Extension installiert haben diese ist NICHT Bestandteil der Standard Java Runtime (rechtliche Beschränkungen in US-Ausfuhrbestimmungen) Lösung: One-Click-Installation der JCE durch gput J. Falkner & Team PKeasy (8) D-Grid Security Workshop

7 Zu lösende Probleme Proxy und Credential Lifetime Credential Lifetime muss größer sein als die voraussichtliche (und vor allem als die tatsächliche) Job-Lifetime GridSphere: Credential Lifetime muss fest im Credential Manager konfiguriert werden => Konfiguration überfordert die Endanwender Proxy Lifetime muss größer sein als die gewünschte Credential Lifetime Proxy Lifetime i.d.r. nur über Kommandozeilen-Clients frei wählbar J. Falkner & Team PKeasy (9) D-Grid Security Workshop

8 T6: Credential Management Portlet Konfiguration Credential Label MyProxy Username Credential Lifetime (in s) MyProxy Passwort Credential Label keine Häkchen! J. Falkner & Team PKeasy (10) D-Grid Security Workshop

9 Task 6: Vereinfachung der Authentifizierung mittels PKI-Zertifikaten für den Nutzer Lösung J. Falkner & Team PKeasy (11) D-Grid Security Workshop

10 Liferay Login mit PKI Browser Certificate Store Benutzerzertifikat HTTPS-Request 1 7 Angefragter Inhalt Liferay Portal Server Certificate Autologin Hook 2 Cert Verification 3 4 DN-Mapping-Service DN-Mapping-Portlet DN des Benutzerzertifikats Liferay- BenutzerID UserDN <-> Liferay Account 5 Autorisierung am Portal 6 Weiterleitung Inhalte im internen Bereich J. Falkner & Team PKeasy (12) D-Grid Security Workshop

11 Grid Proxy Upload Tool (gput) Tool ist für das Community Grid vorkonfiguriert kein Konfigurationsaufwand beim Nutzer Anpassung an unterschiedliche Umgebungen erfolgt serverseitig durch Admin Als MyProxy Username wird der DN aus dem Benutzerzertifikat verwendet eindeutige und konfliktfreie MyProxy Usernamen weniger Eingaben beim Nutzer J. Falkner & Team PKeasy (13) D-Grid Security Workshop

12 Credential Retrieval in Liferay Proxy-Erzeugung (inkl. Zert-Konvertierung) 2 Browser MyProxy-Server Client Dateisystem Aufruf GPUT-Applet Firewall 1 GPUT-Applet Proxy-Upload via HTTPS 3a Proxy- Upload via Port b 4 Credential beziehen (Eingabe MyProxy- Passwort) 5 Credential wird in Datenbank zwischengespeichert GPUT-Proxy-Servlet Grid-Anwendung Liferay Portal Server GPUT- Portlet Credential-Manager-Service Credential-Manager-Portlet 6 Proxy-Zertifikate Credential-Nutzung via Service-API J. Falkner & Team PKeasy (14) D-Grid Security Workshop

13 gput Features Keine Installationsvoraussetzung auf dem Nutzerrechner außer Standard Java Runtime Environment One-Click-Installation der Java Cryptography Extension (JCE) Automatische Formatkonvertierung des Nutzerzertifikats auf dem Nutzerrechner Lokale Erzeugung von Proxies auf dem Nutzerrechner Sicherer Proxy Upload auf einen MyProxy Server via Portal Kommunikation ausschließlich über HTTPS (Port 443) funktioniert auch in Kliniknetzwerken! MyProxy-Server ist durch den Portal-Admin via Applet-Parameter konfigurierbar Trusted CAs sind ebenfalls durch den Portal-Admin via Applet-Parameter konfigurierbar (kryptographische Verifikation der Echtheit) Enge Integration mit Authentifizierung und Credential-Verwaltung am Portal Minimierung der Eingabeaufwands Maximierung der Nutzerfreundlichkeit! J. Falkner & Team PKeasy (15) D-Grid Security Workshop

14 gput Paket gput als Komplettlösung Login / DN Management Portlet für zertifikatsbasierten Login Grid Proxy Upload Tool als Applet / Servlet Kombination Credential Management Portlet Installation Community-spezifische WAR-Datei zum Upload via Liferay Kontrollbereich Community-Anpassung durch XML-Parameter-Datei vor Build Anwendung Login mit D-Grid Zertifikat im Browser Proxy Erzeugung via gput Applet Credential Retrieval ohne vorherige Konfiguration Proxy und Credential Lifetime nach Bedarf frei anpassbar J. Falkner & Team PKeasy (16) D-Grid Security Workshop

15 Vielen Dank für Ihre Aufmerksamkeit! Fraunhofer-Institut für Arbeitswirtschaft und Organisation IAO Nobelstraße Stuttgart Jürgen Falkner Leiter Softwaretechnik und Sprecher der Fraunhofer-Allianz Cloud Computing J. Falkner & Team PKeasy (17) D-Grid Security Workshop