Federated Identity Management Verwendung von SAML, Liberty und XACML in einem Inter Campus Szenario d.marinescu@gmx.de 1 Fachbereich Informatik
Inhalt Grundlagen Analyse Design Implementierung Demo Zusammenfassung d.marinescu@gmx.de 2 Fachbereich Informatik
Grundlagen Single Sign On (SSO) Zugriffskontrolle d.marinescu@gmx.de 3 Fachbereich Informatik
Grundlagen SSO Ursachen: Verbreitung der Web Anwendungen und der Web Dienste Erstellung der Web Anwendungen als eine Aggregation mehrer Dienste Wachsender Bedarf an Benutzer Freundlichkeit Wachsender Bedarf an Sicherheit d.marinescu@gmx.de 4 Fachbereich Informatik
Grundlagen SSO d.marinescu@gmx.de 5 Fachbereich Informatik
Grundlagen SSO Definition Die Fähigkeit eines Benutzers sich einmal anzumelden und damit bei mehreren Anwendungen gleichzeitig angemeldet zu sein, die normalerweise ihre eigenen getrennte Anmeldung erfordern würden. d.marinescu@gmx.de 6 Fachbereich Informatik
Grundlagen SSO Muster Lösungen: Portal Security token Beispiel: cookie Cross Domain SSO (CDSSO) Zentrales Verzeichnis (Beispiel: Passport) Federated SSO (Beispiel: SAML and Liberty ) d.marinescu@gmx.de 7 Fachbereich Informatik
Grundlagen Federated SSO Anwendung: B2B Kontext Verknüpfen und austauschen von Informationen zu digitale Identität zwischen Entitäten Entitäten: Service Providers (SP) Identity Providers (IdP) d.marinescu@gmx.de 8 Fachbereich Informatik
Grundlagen Federated SSO SP Hub model Quelle: Ping Identity d.marinescu@gmx.de 9 Fachbereich Informatik
Grundlagen Federated SSO IDP Hub model Quelle: Ping Identity d.marinescu@gmx.de 10 Fachbereich Informatik
Grundlagen Federated SSO Cross Domain Quelle: Ping Identity d.marinescu@gmx.de 11 Fachbereich Informatik
Grundlagen Zugriffskontrolle Definition Einschränkungszugriff auf Ressourcen auf Basis der Identität eines Verbrauchers AccessControl Subjects Permissions d.marinescu@gmx.de 12 Fachbereich Informatik
Grundlagen Zugriffskontrole Arten der Zugriffskontrolle: Discretionary Access Control (DAC) Mandatory Access Control (MAC) Role Based Access Control (RBAC) d.marinescu@gmx.de 13 Fachbereich Informatik
Grundlagen Zugriffskontrole XACML extensible Access Control Markup Language OASIS Standard Policy Sprache Sprache für Beschreibung von Zugriffskontroll Abfragen und Antworten Definiert einen Weg, Authorisierungsentscheidungen unter Berücksichtigung von Policies zu treffen d.marinescu@gmx.de 14 Fachbereich Informatik
Grundlagen Zugriffskontrole XACML Architektur Quelle: IBM d.marinescu@gmx.de 15 Fachbereich Informatik
Analyse Identity Wachsende Anzahl von Internet Transaktionen Vertraulichkeit wird benötigt Identity > Kern d.marinescu@gmx.de 16 Fachbereich Informatik
Analyse Identity Management Market Höhere Bedeutung Wachsende Wirtschaftszweig (10 Milliarden $ in 2 3 Jahren) M&A > VC investieren in Identity Management d.marinescu@gmx.de 17 Fachbereich Informatik
Analyse Compliance Datenschutzgesetze um ein höheres Schutzniveau zu sichern EU Directive on Data Protection Sarbanes Oxley Act (SOX) Alle Unternehmen müssen diese Anforderungen erfüllen Automatisierte Compliance durch Identity Management Produkte d.marinescu@gmx.de 18 Fachbereich Informatik
Analyse Identity Management Produkte Geeignet für große Unternehmen Federated Identity Management teilweise möglich Teuer d.marinescu@gmx.de 19 Fachbereich Informatik
Analyse Motivation Ziel Kleine Unternehmen müssen Datenschutzgesetze erfüllen Existierende Identity Management Produkte sind zu teuer SSO durch federated identity wird benötigt ein federated identity management Model basiert auf open source Produkten d.marinescu@gmx.de 20 Fachbereich Informatik
Design Use Case Diagram d.marinescu@gmx.de 21 Fachbereich Informatik
Design Architektur d.marinescu@gmx.de 22 Fachbereich Informatik
Design Werkzeuge: JBoss 3.2.4 SourceID ID FF 1.2 Java Toolkit 2.0 Open source Liberty implememntierung Angewendet als SP und IDP OpenLDAP 2.3.13 Tomcat 4.1.31 + Axis 1.3 Sun's XACML 1.2 engine d.marinescu@gmx.de 23 Fachbereich Informatik
Implementierung Ein SP Ein Attribute Authority (AA) Ein IDP Ein Web Service: Grades Web Service Ein PEP integriert in der Web Service Ein PDP d.marinescu@gmx.de 24 Fachbereich Informatik
Implementierung SP Authentifizierung gegen ein AA (LDAP Server) Username Password Rolle Eine Funktionalität Anrufen des Grade Web Service Der Web Service Client ist als Servlet implementiert d.marinescu@gmx.de 25 Fachbereich Informatik
Implementierung Web Service PEP Abfangen der Abfrage Transformieren in ein XACML Abfrage Authentifizierungs Entscheidung empfangen und durchsetzen Business logic 2 Methoden: Eine für Studenten eigene Note lesen Eine nur für Professoren alle Noten lesen d.marinescu@gmx.de 26 Fachbereich Informatik
Implementierung PDP Kommunikation über SSL Empfängt und evaluiert eine XACML Abfrage Evaluation anhand von 2 XACML Policies Antwortet der PEP mit einer Authentifizierungs Entscheidung Baut auf der Demo PDP verfügbar in der XACML Implementierung von Sun ( open source) d.marinescu@gmx.de 27 Fachbereich Informatik
Demo zur Wiederholung... d.marinescu@gmx.de 28 Fachbereich Informatik
Demo Ablauf Identity federation SSO Zugriffskontrolle Beispiele: Student Professor d.marinescu@gmx.de 29 Fachbereich Informatik
Zusammenfassung Federated Indentity Management hohe Bedeutung Muster für Federated Idenity Management in ein intercampus Szenarium Open source Werkzeuge wurden verwendet Mögliche Erweiterungen: SAML 2.0 WS Security XACML 2.0 d.marinescu@gmx.de 30 Fachbereich Informatik
Fragen? Feedback bitte! d.marinescu@gmx.de 31 Fachbereich Informatik
Vielen Dank für Ihre Aufmerksamkeit! d.marinescu@gmx.de 32 Fachbereich Informatik