Control de acceso en entornos de computación en red

Hola y mil gracias por leerme. Te habla Simón Sánchez y esta vez vamos a hablar sobre Control de acceso en entornos de computación en red

Los entornos de computación en red a gran escala son complicados e involucran a muchos usuarios, recursos informáticos y de datos, canales de red y dominios administrativos. Esta complejidad hace que sea difícil, si no imposible, describir todas las entidades y relaciones necesarias para proporcionar control de acceso utilizando enfoques existentes sin mecanismos formales para describir y evaluar políticas de seguridad. Hasta la fecha, no se dispone de un lenguaje simple y flexible para abordar estos complejos problemas de seguridad asociados con los entornos informáticos distribuidos.

Microsoft se ha centrado recientemente en este problema y ha desarrollado una solución llamada Lenguaje de afirmación de políticas de seguridad (SecPAL). El proyecto, llevado a cabo por el grupo de incubación de tecnología avanzada del Director de Investigación y Estrategia de Microsoft y Microsoft Research Cambridge, resultó en un lenguaje declarativo y basado en la lógica que brinda soporte integral para:

  • Describa las relaciones de confianza tanto dentro como fuera de los límites de la organización.
  • Expresar identidades y atributos centrales que se pueden autenticar.
  • Crear políticas de acceso que ayuden a describir el acceso deseado a una variedad de servicios y recursos.
  • Control de la delegación de derechos, que permite a un principal permitir que otro ejerza un subconjunto de sus derechos en un contexto específico.
  • Exprese políticas de auditoría que puedan capturar decisiones de seguridad críticas y respaldar el análisis forense.

Para ayudar a demostrar el enfoque y las capacidades exclusivas de SecPAL, a continuación, describimos un caso de uso simple en el que describimos las políticas necesarias para permitir que un usuario desde dentro de una organización virtual (llamado Research Grid VO ) para enviar trabajos de cuadrícula a un cómputo de clúster en una organización externa (llamado Centro de Computación de Alto Rendimiento). El escenario se ilustra en la Figura 1.

Figura 1: ejemplo de un escenario de múltiples organizaciones

Un concepto fundamental dentro de SecPAL es la afirmación de seguridad, una declaración hecha por un principal que puede: definir un vínculo entre un principal y un atributo; especificar los permisos de un principal para operar en un recurso; expresar una política de confianza o delegación; expresar un

En nuestro ejemplo, Master Scheduler podría establecer una relación de confianza directamente con nuestro usuario final Bob. Sin embargo, esta interacción se vuelve rápidamente inmanejable para cualquier entorno grande. Más bien, la práctica común es que el CHPC establezca una relación de confianza con un

El ejemplo 1 ilustra una política de este tipo mediante la cual el administrador de CHPC expresa que confía en VO-ResearchGrid-STS para hacer afirmaciones sobre los usuarios de la red. En este caso, se basa en STS para identificar a los usuarios de la red y sus nombres de correo electrónico rfc822 (certificando que son verdaderos hasta por un año). Aquí, usamos una SecPAL de gramática inglesa simplificada para facilitar la lectura. La implementación de Microsoft también admite la serialización de políticas como XML para la interoperabilidad entre plataformas.

CHPCAdmin Él dice VO-ReseachGrid-STS poder decir % p posee% a (% t1 a% t2) Dónde está

% t2 -% t1% t1% a coincide con rfc822Name: «. * @ contoso.edu»

Ejemplo 1: Política que establece una relación de confianza entre CHPC y Research Grid Virtual Organization

Esta política incluye variables, otro concepto importante dentro de SecPAL. Las variables se sustituyen por valores concretos en el momento de la evaluación de la política. En esta política, la variable «% a» representa un atributo que debe coincidir con el patrón de nombre de correo electrónico rfc822 proporcionado, la variable% p representa cualquier padre y las variables% t1 y% t2 representan valores de fecha y hora que están restringidos para representar un período de tiempo que no exceda los 366 días.

El planificador maestro de CHPC tendría un archivo local

CHPCAdmin Él dice % p puede ejecutar el servicio: «http://www.chpc.org/scheduleJob» Yo

% p posee% a
Dónde está
% a coincide con rfc822Name: «. * @ contoso.edu»

Ejemplo 2: política que restringe el acceso al planificador de trabajos

Para que nuestro usuario Bob pueda programar un trabajo, primero debe obtener un token de identidad de Research Grid STS, que contiene su nombre de correo electrónico. Esto puede requerir autenticación mediante una credencial de autenticación proporcionada por Contoso (como un certificado X.509, un token de Kerberos o un token de SAML), que es aceptada por los servicios de grid. El token de cuadrícula obtenido de STS contendría la aserción:

VO-ReseachGrid-STS Él dice Bob es propietario de rfc822Name: «[email protected]»
(de «2007-01-01» a «2007-12-31»)

Ejemplo 3: token SecPAL utilizado por Bob para la autenticación

Bob ahora puede enviar una solicitud para iniciar un trabajo en el clúster CHPC enviando un mensaje autenticado que contiene su token SecPAL junto con la información del trabajo requerida por el programador maestro CHPC. El planificador puede entonces formular una consulta SecPAL similar a la que se muestra en el Ejemplo 4, que evaluará las credenciales de Bob contra las políticas de seguridad de CHPC, permitiendo así que el planificador permita el horario de trabajo de Bob.

CHPCAdmin puede él ejecutar el servicio: «http://www.chpc.org/scheduleJob»?

Ejemplo 4:

Bob también puede usar SecPAL para formular una delegación de sus derechos de acceso a un archivo de datos en un servidor de Birch University, donde pueden residir los datos de su trabajo. Por ejemplo, el derecho del programador maestro a delegar el derecho a leer «datos de trabajo» se puede expresar como la primera política en el ejemplo 5, que Bob puede proporcionar con su solicitud de trabajo. El planificador puede delegar ese acceso específico al trabajo cuando se ejecuta como en las segundas aserciones. El servicio de archivos de la Birch University puede utilizar la segunda afirmación del Ejemplo 5 para

Bob dice Programador puede él diga% p leer archivo: // BirchFileShare / jobData (de% t1` tio% t2) si% t2-% t1 dice Bob-Job leer archivo: // BirchFileShare / jobData [from 2007-04- 28 to 2007-05-01]?

Ejemplo 5: delegación simple de un derecho de acceso de un solo usuario

Este ejemplo demuestra parte del poder y la flexibilidad de SecPAL para satisfacer las necesidades importantes de seguridad de la red de una manera sencilla. La evaluación y las pruebas independientes son ahora un paso importante en el desarrollo de SecPAL para garantizar que satisfaga las necesidades de la industria de una solución de seguridad flexible, robusta y de alta garantía. Los profesores Martin Humphrey de la Universidad de Virginia y Panos Periorellis de la Universidad de Newcastle Upon Tyne (Inglaterra) han comenzado a estudiar los beneficios de SecPAL. Los resultados iniciales indican que SecPAL habilita un mecanismo detallado, dinámico y delegado que puede hacer frente fácilmente a todas las organizaciones con una amplia variedad de políticas de seguridad diferentes y permitir una mayor interoperabilidad en entornos informáticos distribuidos. .

Microsoft ahora pone su implementación a disposición de otros investigadores para experimentar con el enfoque SecPAL para abordar los requisitos de seguridad de la red. Los investigadores interesados ​​en evaluar SecPAL pueden acudir a http://research.microsoft.com/projects/secpal para obtener más información sobre el proyecto. La implementación de .NET, código de muestra para una serie de

Puedes compartir en tu Facebook para que tus colegas lo lean

??? ? ? ???

Comparte