Denne artikel stammer fra det trykte Computerworlds arkiv. Artiklen blev publiceret den CTO d. 5. januar 2007.
Ændringer på vej, Teknologi Serverdrift, systemudvikling og webservices. På alle niveauer er anvendelsen af it-teknologi under ændring. CTO sætter fokus på en række af de begreber, som it-chefer skal forholde sig til i 2007.
Sikkerhed Software-huset Safewhere samler al adgangskontrol for et serviceorienteret it-system i et fælles program. Kontrollen flytter fra applikationerne over i infrastrukturen.
Hvem i banken har prokura til at udstede et lån på over 100.000 kroner? Det kan banken besvare ved et opslag i personalehåndbogen. Men hvem har i praksis mulighed for at bruge it-systemerne til at udstede et så stort lån?
Det spørgsmål er ifølge Niels Flensted-Jensen fra det unge softwarehus Safewhere sværere at svare på. Rigtigt svært bliver det, når it-systemet ikke er et enkelt system, men et spindelvæv af services, der kommunikerer indbyrdes.
- De fleste organisationer bruger en form for rollebaseret adgangskontrol. For eksempel kan der i Active Directory stå, at en medarbejder har rollen bankrådgiver. Med den kan man have prokura til at udstede lån op til en grænse. Men selve grænsen kan ikke implementeres direkte i Active Directory uden at kræve en hel del programmering, siger han.
I stedet vil begrænsningen ofte ligge i programkoden til den service, der står for at udstede lån. Men hvor begrænsningen end lagres, er det et tjek i kildekoden, der afgør, om rådgiveren overhovedet må udstede lån - og i så fald hvor store beløb han må råde over.
Adgangskontrollen ligger altså både i infrastrukturen i form af brugerdatabasen i Active Directory og i applikationen.
Sikkerhedstoken
Det vil Safewhere lave om på. Niels Flensted-Jensen og hans partner Richard Lloyd Money har fundet en metode til at flytte adgangskontrollen over i infrastrukturen. Det kræver, at systemet er serviceorienteret.
Et serviceorienteret system er opbygget af services, der kommunikerer med hinanden via foruddefinerede meddelelser. For eksempel kan bankrådgiveren arbejde med et program, der giver ham en grænseflade til de funktioner, han har brug for. Når han vil udstede et lån, kalder programmet en service, der kan klare den opgave.
Kommunikationen mellem bankrådgiverens program og servicen er som regel højest sikret på netværksniveau, for eksempel med SSL-kryptering. Det medfører, at servicen muligvis ved, hvilken computer henvendelsen kommer fra. Den ved ikke, hvilken bruger der har startet den. Servicen stoler på, at den korrekte adgangskontrol er foretaget i klienten, før den modtager et kald.
Det er her, Safewhere sætter ind. Firmaet er ved at udvikle et system til beskrivelse af rettigheder og adgangskontrol. En central komponent er en Security Token Service (STS). Denne service kan udstede et såkaldt sikerhedstoken.
Det er et sæt oplysninger om en bruger: Et bevis for brugerens identitet og oplysninger om, hvilke rettigheder brugeren har i organisationen. Tjenesten kommunikerer med organisationens forskellige brugerdatabaser, der for eksempel kan ligge i Active Directory, LDAP-servere eller lignende.
Slipper for adgangskontrol
Når bankrådgiveren vil kalde servicen til udstedelse af lån i et system med Safewhere, følger hans token med kaldet. Alle kald til servicen bliver først behandlet af et stykke software, som Safewhere også har udviklet. Det tjekker, at brugeren er godkendt. Og det kontrollerer ud fra hans rolle, om han har lov til at udstede lån over 100.000 kr. Først når henvendelsen har bestået disse prøver, bliver kaldet sendt videre til servicen.
- Det betyder, at man kan indføre systemet uden at ændre en linje kode i de services, man allerede har lavet. Safewhere bliver usynligt for ud-
vikleren, der slipper for at tænke på adgangskontrol, når han skriver sin service, siger Niels Flensted-Jensen.
SAML-token
Oplysningerne om brugeren og hans rettigheder - det såkaldte token - følger SAML-standarden (Security Assertion Markup Language). Da de indgår i headerinformationerne i meddelelsen, kan man bagefter trække dem ud til brug i logning.
- På den måde kan man ikke kun bevise ud fra infrastrukturens data, hvem der kan udstede et lån - man kan også bevise, hvem der rent faktisk har gjort det, siger han.
Safewheres system bygger også på andre specifikationer inden for webservice-sikkerhed, der enten er vedtagne standarder eller under udvikling: WS-Security giver kryptering og signering, WS-Trust styrer login-proceduren, og WS-Federation giver mulighed for at bruge systemet på tværs af organisationer.
Det sidste element er vigtigt, da en af ideerne bag en serviceorienteret arkitektur netop er, at virksomheder kan give samarbejdspartnere direkte adgang til services. På den måde kan en forhandlers webbutik således afgive ordrer direkte ind i en distributørs ordresystem.
- Traditionelt giver det problemer, fordi det interne system ikke kender de enkelte brugere hos samarbejdspartnerne. Vi løser det ved at lade systemet udstede et SAML-token om en bruger, hvis han kommer fra en organisation, man har tillid til. Det styrer man med certifikater. Brugeren får så en meget begrænset rolle, siger han.
Faktaboks
Safewhere
Safewhere blev stiftet som firma i maj 2007 af Niels Flensted-Jensen og Richard Lloyd Money.
Virksomheden har netop færdiggjort første runde ekstern finansiering. Den skal blandt andet bruges til at udvide medarbejderstaben fra de nuværende seks personer.
Firmaets første produkt, Safewhere Authorization Services 1.0, skal være klar til april.
OriginalModTime: 16-02-2007 13:37:56
