GecMeGUI. Eine SSO-enabled Cloud WebGUI mit clientseitiger Schlüsselgenerierung

Transkript

1 GecMeGUI Eine SSO-enabled WebGUI mit clientseitiger Schlüsselgenerierung Hochschule Furtwangen Frank Dölitzscher

2 Agenda Web GUI 1. Einführung 2. Absicherung des Service Zugangs 3. Web GUI Sicherung des Zugangs 4. 2 / 14

3 @ HFU Web GUI Facts & Numbers Gegründed 2009 von Prof. Dr. Reich 1 PhD Student, 5 Master-, 4 Bachelor-, 2 Hiwi-Studenten Umgebung IA [1] Software Stack SSO via Shibbolteth Google GWT GUI Java Voodoo MySQL, PowerDNS, DHCP3 OpenNebula cloud management KVM Hypervisor Linux OS (Debian)

4 Einleitung Web GUI ist ein Verfahren zur Authentifizierung und Autorisierung für Web-Applications und Services Entwickelt von Internet2/MACE Basiert auf SAML und ermöglicht SSO Ist im akademischen Umfeld weit verbreitet Wird auch an der HFU eingesetzt (z.b. Authentifizierung an der Felix-Plattform, Integration Bibliothek in DBIS System) 4 / 14

5 Web GUI Komponenten Identity Provider Java Web-Application Anbindung an Identity Management (z.b. LDAP) Authentifizierung von Benutzern Liefert Attribute an Service Provider aus Service Provider Daemon und Apache Modul (mod_shib) Verwaltet Zugriff auf Ressourcen (z.b. Auswertung von SAML-Assertions und Attributen) Discovery Service (optional) Zur Lokalisierung der Heimatorganisation des Benutzers 5 / 14

6 Authentifizierung Discovery Service Redirect zu DS Redirect zu Initiator der Session Ressourceanfragen Web GUI Redirect AssertionmitAuthentifizierungsrequest (mitattributen) über An Browser Heimatorganisation zurressource Organisation Ressourcen Identity Provider Service Provider Res1 Res2 ResN 6 / 14

7 Problem: Flexibilität Web GUI Szenario Integration von PaaS und SaaS Szenarien User stellen Services per VM bereit Services kommen und gehen Problem SP - IDP: Viele Hosts mit WebApps in SP muss bei IDP registriert werden Restart IDP dauert sehr lange => Reduzierung der Anzahl an SPs bei vielen Diensten auf vielen (virtuellen) Maschinen Lösung: Reverse Proxy (Apache) als vorgeschalteter SP Services hinter Webproxy Zwei mögliche Implementierungen

8 Einleitung Web GUI Problemstellung Idee: Reduzierung der Anzahl an Service Providern bei vielen Diensten auf vielen (virtuellen) Maschinen Begrenzte Anzahl verfügbarer öffentlicher IPv4Adressen Hohe Dynamik bei Service-Erstellung und Entfernung Integration in PaaS und SaaS Szenarien () 8 / 14

9 Überblick Web GUI Organisation Ressourceanfragen Authentifizierung Identity Provider Zugriff auf Ressource Mögliche Implementierungen: a) Virtual Host b) Location-Path based Apache Proxy (reverse) Service Provider Res1 Res2 ResN 9 / 14

10 1. Einleitung Virtual Host Szenario Zusammenfassung und Ausblick DNS-Server Alias auflösen Anfrage: Antwort: Res1.example.com IP von Proxy Host Request Apache Proxy (reverse) Proxyfied Request HTTPD Web-Applikation Service Provider Service-URL: Hostname (res1) Aus HTTP Header extrahieren VHost Mapping 10 / 14

11 Web GUI Virtual Host Szenario Bsp.: res1 ist als Alias im CNAME Ressource Record für Proxy definiert DadurchUmleitung aller Requests über Proxy Dort vhost-umsetzung auf tatsächliche Maschine Konfiguration pro vhost Aber: Name-based virtual hosting cannot be used with SSL secure servers because of the nature of the SSL protocol [Apache httpd documentation] Lösung: Wildcard Zertifikat :-( Server Name Indication (SNI) 11 / 14

12 Location-Path Szenario Web GUI DNS-Server Anfrage: Antwort: proxy.example.com IP von Proxy Host Request Apache Proxy (reverse) Proxyfied Request HTTPD Web-Applikation Service Provider Service-URL: Anhand von Location (/res1) Zielhostermitteln 12 / 14

13 Web GUI Location-Path Szenario Identifikation der Ressource via Pfa /res1 Umsetzung auf tatsächliche Maschine erfolgt in Location-Konfiguration des Proxys Konfiguration pro Location möglich HTTPS für alle Browser möglich Bsp.: Nachteil: Zwischen Anwender und Proxy kann nur das SSLZertifikat des Proxys verwendet werden. 13 / 14

14 GUI Web GUI Infrastructure and Applications (IA) 1 VM per Student Anforderungen an GUI Anbindung an das HFU Usermanagement enabled Sicher und Easy to use Analyse Authentifizierung Bachelorthesis Rechtemanagement in der - Design und Implementierung eines Benutzermanagements für Infrastructures and Applications (IA), Thomas Rübesamen, 2010

15 Marktübersicht Authentifizierung Web GUI IaaS Anbieter Amazon EC2 Flexiant Flexiscale ScaleUp SSH SSH SSH VM Public-Key Authentifizierung Passwort Public-Key VM User root root Remotezugriff root Amazon EC2 Access Key, Secret Access Key, X509 Zertifikat, Private Key Sicherheit Wo werden die Keys generiert, gespeichert, übertragen?

16 Web GUI Own GUI

17 GUI - Home Web GUI

18 GUI Create VM Wizard Web GUI

19 GUI Create VM Wizard Web GUI

20 GUI Key Generation (1) Web GUI

21 GUI Key Generation (2) Web GUI

22 Zusammenfassung für Services Reduktion von Service Providern Im Rahmen des IA-Projektes implementiert Web GUI Aktivierung per Mouse-Klick in PaaS/SaaSSzenario möglich IA WebGUI per LDAP Einfache SSH-Key Erstellung im Browser des Clients 22 / 14

23 Ausblick Web GUI Lasttest und erste Tests (fakultätsintern) SSL Proxy Beseitigung des SpoF Einarbeitung Eurer Kommentare / Anregungen 23 / 14

24 Fragen & Antworten Web GUI 24 / 14