SOA ja/tai tietoturva? Kim Westerlund, johtava konsultti Nixu Oy 6/2/09 Nixu Oy 1
Aiheeni Taustaa SOA:sta Teesi: SOA kiertää useimmat tietoturvaarkkitehtuurin kontrollit? Miten varautua SOA:aan? Mitä tietoturvapalveluita SOA:lle tulisi tarjota Esimerkki: IAM SOA-pilvessä?
SOA:n tulevaisuus? 27.1.2009: Burton group Executive Advisory Program, On the Death of SOA
SOA kahdessa minuutissa SOAn tavoite on että yksinkertaiset palvelut käyttävät muita yksinkertaisia palveluita toteuttamaan jonkun prosessin. SOA on löyhästi kytkettyjä järjestelmiä jotka keskustelevat WS-* ja REST sanomin. Ajatus taustalla on että myös kumppanimme ja asiakkaamme voisi käyttää SOA-palveluitamme. Palvelun julkaissut järjestelmä ei luultavasti toteuta koko tapahtumaa. Tavoitteena uudelleenkäytettävyys ja yhteensopivuus.
Darwinistinen visio: SOA 2014? metrokartta
Teesi Joka on rakennettu suojaamaan luvattomalta käytöltä, tunketumisilta ja viruksilta. SOA kiertää useimmat nykyiset tietoturva-arkkitehtuurit? Palomuurit Salaus Todennus IDS...koska jatkossa suuri osa palveluiden tietoturvakontrolleista määritellään SOAssa.
Perinteinen tietoturvajärjestely Tuottaja Toimittaja A Toimittaja B
Suojaamaton SOA-versio edellisestä arkiitehtuurista Tuottaja Web Service SOA: SOAP over Internet/HTTP Web Service Web Service Web Service Toimittaja A Toimittaja B
Kontrasti ihmis- ja koneyhteyksien välillä Tuottaja Tuottaja Web Service Ihmisen ja laitteen välinen kommunikointi Laitteiden välinen kommunikointi Web Service Toimittaja A Toimittaja A Jälkimäisessä tietoturva usein karkerakeisempi vähemmän turvallinen infra
Koneyhteyksien karkearakenteiset tietoturvakontrollit Tuottaja Tuottaja Web Service Autorisoitu käyttäjä Laitteiden välinen kommunikointi Web Service Autorisoitu koneyhteys Joustava ja avoin arkkitehtuuri helpottaa uudelleenkäytettävyyttä ja uusien sovellusten laatimista myös vihamielisten sellaisten
Muita ongelmia suojaamattomassa SOAssa Yksityisyys ja eheys (päästä-päähän salaus) Päästä-päähän näkyvyys ja auditoitavuus Käytettävyys (SLA) Vianselvitys (root-cause analysis) Tulviminen (DoS) Tapahtumien eheys kun yksi toiminto pilkkoutuu useammalle ali-palvelulle (atomiset transaktiot)
Mitä tietoturvatarpeita SOA:lla on Tunnistus (Authentication) Roolipohjainen valtuutus (Authorization Access Control) Luottamuksellisuus (Confidentiality) Eheys (Integrity) Kiistämättömyys (Non-repudiation) Tunnistuspääsylippujen välitys (Credential mediation) Julkaista tietoja palveluista (Service capabilities and constraints) Raportoitavuus (Reporting and Auditing) Edustajuus ja kontekstinhallinta
Miten tietoturvavastaavana varmistan etten ole hiekkana kehityksen rattaissa? Opiskele mistä SOA:ssa ja SOA Security:ssä on kysymys! Esim. Manningin kirjat: SOA Security ja Understanding Enterprise SOA Tarkastele asiaa seuraavina kokonaisuuksina: 1.Tietoturvaperiaatteet (security policy) 2.Todennus, autorisointi ja identiteettien hallinta(iam) 3.Sanomatason tietoturva (message-level security) 4.Palveluiden hallintotapa (governance) Voit suunnitella löyhästi kytkettyjä SOAstandardien mukaisia tietoturvapalveluita
Esimerkkejä WS-* -standardeista Esimerkkejä keskeisistä WS-* tietotuvastandardeista WS-Security WS-Trust WS-SecurityPolicy
Miksi tarvitaan erityistä SOAhallintaa? Perinteisessä maailmassa Sovellukset liiketoimintayksiköittäin Jokainen liiketoimintasovellus on riippumaton Yhdellä tiimillä on päästä-päähän vastuu Yksi tiimi tuntee kaikki liikkut osat Yksi tiimi tekee kaikki päätökset Lähde: Progress Software
Miksi tarvitaan erityistä SOAhallintaa? kun taas SOA-maailmassa Jos et näe prosessia Et voi mitata Et voi optimoida Et voi kontrolloida SOA-organisaatiossa Prosessit ylittävät siilot Yhdellä tiimillä ei ole päästä-päähän vastuu Yksi tiimi ei tunne kaikki liikkuvia osia Yksi tiimi ei tee kaikkia päätöksiä Lähde: Progress Software
SOA pakottaa ajattelemaan tietoturvaa uudelleen Perinteisen sovelluksen tietoturva Sovellus on suojattu eikä niinkään sen toiminnot Kutsuvan sovelluksen tulee tuntea kohteen tietoturvamalli Client Lähde: Progress Software
SOA pakottaa ajattelemaan tietoturvaa uudelleen SOA Security tekee asioista monimutkaisempia? Palvelut tulee suojata, ei niinkään sovellukset Palveluita uudelleenkäytetään eri konteksteissa ja saattavat tarvita useita säännöstöjä Palvelun suunnitteluvaiheessa on mahdoton nähdä kaikkia käyttötapauksia Hyödyntäjä Hyödyntäjä
SOA pakottaa ajattelemaan tietoturvaa uudelleen SOA Security Oikein tehtynä! Teknologian raja-aitoja ei tule nostaa uudelleen SOA Security itsessään tulee olla palvelulähtöistä ja avoimiin standardeihin purustuvaa SOA Security tulee perustua periaatteisiin helpomman kehitystyön ja hallittavuuden vuoksi Hyödyntäjä Hyödyntäjä
Moderni IAM-arkkitehtuurit tänään Asiakkaat Kumppanit Työntekijät Tunnisteen hallinta Tunnusten jakelu Todentaminen Valtuushallinta ja roolit Organisaatiotiedot Sis. ja ulk. identiteettilähteet Profiilitiedot Pääsynhallinta ja lokitus Kertakirjautu minen Karkea pääsynhallinta Luottamusverkon integraatio Edustajuuden valinta Lokitus ja raportointi Järjestel mäliitok set Roolien hallinta Delegoitu hallinta Hyväksyntä -työvuo Itsepalvelu -sivut Käyttäjä ja käyttövaltuushallinta Raportointi Periaatteet ja säännöt Käyttäjätietovarastojen hallinta Federoitu provisiointi Active Directory CRM Metahakemisto Provisiointi
Pääsynhallinta Moderni IAM-arkkitehtuurit tänään Työntekijät Periaatteet Teknologiat Prosessit Palvelut Käyttöliittymät Asiakkaat Periaatteet Teknologiat Prosessit Palvelut Käyttöliittymät Kumppanit Periaatteet Teknologiat Prosessit Palvelut Käyttöliittymät Ratkaisu Valtuushallinta Periaatteet Teknologiat Prosessit Palvelut Käyttöliittymät Periaatteet Teknologiat Prosessit Palvelut Käyttöliittymät Periaatteet Teknologiat Prosessit Palvelut Käyttöliittymät Ratkaisu Käyttäjätietovarasto Periaatteet Teknologiat Palvelut Periaatteet Teknologiat Palvelut Periaatteet Teknologiat Palvelut Ratkaisu SSO SSO SSO
Tunnistuksen ja identiteettitiedon normalisointi ja yleistys Web Service Web Service WS-Trust/SAML WS-Trust/SAML Web Service Roolitieto Attribuutit Luottamus
Autorisointi Entitlement management / fine-grained authorization Keskitetty palvelu XACML-standardiin perustuen Hyödyt...? Perinteiset SOA-hyödyt Keskitetty loki käytönaikaisille valtuutuksille Yleiskäyttöinen säännöstö perustuen suojattavaan tietoon Seuratkaa näitä! Axiomatics BiTKOO CA Oracle Securent / Cisco Jatkuu 2010...
Kiitos mielenkiinnosta kim.westerlund@nixu.com 040 512 3125