XACML. extensible Access Control Markup Language

Tamanho: px

Começar a partir da página:

Download "XACML. extensible Access Control Markup Language"

Davi Castro Alvarenga
8 Há anos
Visualizações:

1 XACML extensible Access Control Markup Language Autor Orientador Doutor Diogo Gomes Colaborador Engenheiro Ricardo Azevedo Universidade de Aveiro Instituto de Telecomunicações Portugal Telecom Inovação

Engenheiro Ricardo Azevedo Universidade de Aveiro

2 XACML O que é Norma definida pela OASIS para controlo de acessos extensível e genérico Consiste em: Linguagem extensível de políticas em xml Linguagem extensível de pergunta-resposta em xml Arquitectura distribuída baseada em: Policy Enforcement Point Policy Decision Point Policy Information Point Policy Administration Point

extensível de pergunta-resposta em xml Arquitectura distribuída baseada em:

3 XACML Para que serve Controlo de acessos Como é genérico e extensível, pode ser aplicado em qualquer contexto: Controlo de acesso de portas Controlo de acesso numa página web Controlo de acesso de serviços Só toma decisões! Não serve para saber que permissões uma determinada entidade tem

Controlo de acesso numa página web Controlo de acesso de serviços Só

4 XACML Como funciona Sistema de pergunta resposta Arquitectura distribuída

5 XACML Pergunta O sujeito pode realizar a acção no recurso num determinado contexto? Palavras chave: Sujeito Tanto pode ser uma pessoa como um equipamento Acção Predicado (aceder, ler, editar, abrir, ) Recurso O destino da acção (serviço, publicação, texto, porta, ) Contexto Tudo o que não se enquadre nos anteriores (espaço temporal, níveis de carga de processamento, nº de pessoas num local)

ler, editar, abrir, ) Recurso O destino da acção (serviço, publicação, texto, porta, ) Contexto

6 XACML Pergunta O sujeito pode realizar a acção no recurso num determinado contexto? <Request> <Subject> <Attribute AttributeId="utilizador" DataType=" <AttributeValue>Anónimo</AttributeValue> </Attribute> </Subject> <Action> <Attribute AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" DataType=" <AttributeValue>Ler</AttributeValue> </Attribute> </Action> <Resource> <Attribute AttributeId= tipo" DataType=" <AttributeValue>Tópico</AttributeValue> </Attribute> </Resource> </Request> Exemplo em XACMLv2 Sujeito Recurso Acção

0:action:action-id" DataType="http://www.w3.

XACML Pergunta O sujeito pode realizar a acção no recurso num determinado contexto? <Subject> <Attribute AttributeId="utilizador" DataType="http://www.w3.

7 XACML Pergunta O sujeito pode realizar a acção no recurso num determinado contexto? <Subject> <Attribute AttributeId="utilizador" DataType=" <AttributeValue>Anónimo</AttributeValue> </Attribute> </Subject> Exemplo em XACMLv2 <xacml:attributes Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"> <xacml:attribute AttributeId="utilizador IncludeInResult="false"> <xacml:attributevalue DataType=" Anónimo </xacml:attributevalue> </xacml:attribute> </xacml:attributes> Exemplo em XACMLv3

org/2001/XMLSchema#string"> <AttributeValue>Anónimo</AttributeValue> </Attribute> </Subject> Exemplo em XACMLv2 <xacml:attributes

8 XACML Resposta Tipos de resposta: Permissão concedida (Permit) Permissão negada (Deny) Permissão indeterminada (Indeterminate) Não existem políticas aplicáveis (Not applicable) Juntamente com: Tarefas a serem executadas antes de ser permitido o acesso *

Não existem políticas aplicáveis (Not applicable) Juntamente

9 XACML Resposta * Na versão 2 do XACML, existe o elemento Obligation O Policy Enforcement Point deve executar todas as tarefas descritas nos Obligations O que acontece quando a tarefa não é relevante e o Policy Enforcement Point não a consegue executar?

tarefas descritas nos Obligations O que acontece quando a

10 XACML Resposta * Na versão 3 do XACML, existem os elementos Obligation e Advice O Policy Enforcement Point : Deve executar todas as tarefas descritas nos Obligations Tentar executar as tarefas descritas nos Advices Se uma tarefa do elemento Advice falhar, a decisão não é alterada

as tarefas descritas nos Obligations Tentar executar as tarefas

11 XACML Avaliação Como são estruturadas as políticas? Existem 3 elementos principais Rule effect: Permit Deny

XACML Avaliação Como são avaliados os elementos? Cada elemento tem um Target Avaliação feita a partir do topo Policy PolicySet É aplicável? Não. Pára! É aplicável? Sim!

12 XACML Avaliação Como são avaliados os elementos? Cada elemento tem um Target Avaliação feita a partir do topo Policy PolicySet É aplicável? Não. Pára! É aplicável? Sim! Então avalia o próximo nível PolicySet Rule effect: Permit Deny É aplicável? Sim! Então avalia o próximo nível Não. Rule Rule Policy Policy Sim! Resultado: Acesso negado!!! Porquê? Pára! Avalia o próximo nível Rule Rule Sim! Rule Não

É aplicável? Sim! Então avalia o próximo nível PolicySet Rule effect: Permit Deny É aplicável? Sim! Então avalia o próximo nível Não.

13 XACML Avaliação E se mais do que uma regra/política for aplicável? Resposta: Algoritmos combinatórios Permit-overrides Deny-overrides Only-one-applicable First-applicable (podem ser criados outros)

14 XACML Avaliação Como é constituído um Target? XACMLv2 XACMLv3 Subjects Subject Subject Match AllOf Match Match Target Actions Resources Environments Action Resource Environment Action Match Resource Match Environment Match Target AnyOf AnyOf AllOf AllOf Match Match

Target Actions Resources Environments Action Resource Environment

15 XACML Avaliação Como é constituído um Target? Processo uniforme para todas as categorias Permite uniões e intersecções XACMLv3 AllOf Match Match Mas Elementos AnyOf e AllOf não têm atributos identificadores Na gestão de políticas implica analisar os valores contidos para saber qual editar/apagar e onde inserir Ou recriar Target por cada alteração Target AnyOf AnyOf AllOf AllOf Match Match

Match Mas Elementos AnyOf e AllOf não têm atributos identificadores Na gestão de políticas

16 PAP XACMLv3 Policy Administration Point Autor Orientador Doutor Diogo Gomes Colaborador Engenheiro Ricardo Azevedo Universidade de Aveiro Instituto de Telecomunicações Portugal Telecom Inovação

17 Policy Administration Point Objectivos deste projecto Sistema de informação extensível (importação de módulos sem recompilação) Interface de administrador que abstraia a complexidade do XACMLv3 Criação de políticas que obedeçam à norma

sem recompilação) Interface de administrador que abstraia

18 Policy Administration Point Extensibilidade Permitir importação de classes que implementem as interfaces definidas para: Obtenção de informação do Policy Information Point Persistência e obtenção de políticas Solução usada URLClassLoader, carrega classes de ficheiros *.jar, em tempo de execução

informação do Policy Information Point Persistência e obtenção de

19 Policy Administration Point Extensibilidade (Classe de carregamento de classes)

20 Policy Administration Point Extensibilidade (Interfaces)

21 Policy Administration Point Extensibilidade (Factory)

22 Policy Administration Point Extensibilidade (Módulos implementados) Policy Retreiver BD XML Nativa ORACLE Berkeley s DB XML Problemas: Não obedece a normas Não tem suporte para ligações (ex.: JDBC) Não suporta JVM 64bits

23 Policy Administration Point Extensibilidade (Módulos implementados) Info Retreiver Lê ficheiro xml Devolve: Tipos de dados Funções Algoritmos combinatórios

24 Policy Administration Point Abstracção da complexidade do XACMLv3 na interface de administrador Solução usada: Interface web com: Representação de políticas em nós com ligações entre eles Abstracção de nomes complexos através de imagens representativas e nomes simplificados Abstracção das regras do XACMLv3 através de opções únicas para cada contexto

Policy Administration Point Representação de políticas em nós com ligações entre eles: Página web em XHTML Nós: elementos DIV flutuantes Criada framework em javascript para criação e gestão de

25 Policy Administration Point Representação de políticas em nós com ligações entre eles: Página web em XHTML Nós: elementos DIV flutuantes Criada framework em javascript para criação e gestão de janelas Ligações: Canvas HTML5 para desenho de linhas entre os elementos DIV s Criada framework para ligação de nós e desenho em canvas Mecanismo que usa as duas frameworks anteriores para representação de janelas e nós

26 Policy Administration Point Abstracção de nomes complexos através de imagens representativas e nomes simplificados Funções: string-equal em vez de urn:oasis:names:tc:xacml:1.0:function:string-equal Tipos de dados: string em vez de

27 Policy Administration Point Criação de políticas que obedeçam à norma Existe um esforço para que, por trás de toda a abstracção, as políticas sejam criadas conforme a norma especificada Em cada contexto, as opções mudam em relação às possibilidades de cada elemento Por exemplo, existe uma toolbox que muda os botões dependendo dos elementos seleccionados

28 Policy Administration Point Implementação: aplicação J2EE

29 Policy Administration Point Implementação: aplicação J2EE (problemas) ClassLoader não funcionou quando colocado em funcionamento numa aplicação web Classes de instância única não tinham sempre a mesma instância

30 Policy Administration Point Class Loader do Java Funciona de modo hierárquico Imagem retirada de

31 Policy Administration Point Instâncias em web servers Aplicação é colocada em mais do que um contentor Para melhor performance, a carga é distribuída pelos contentores

32 Policy Administration Point Juntando tudo AJAX

33 Policy Administration Point Conclusões XACML permite fazer controlo de acessos granulado e genérico A versão 3 trouxe melhorias em relação à versão 2 Adição de Advices em alternativa a Obligations Uniões e intersecções de Targets Multi-request Mas ainda não está terminada Não existem muitas implementações Problemas de administração de Targets

34 Policy Administration Point Questões?

Documentos relacionados

Escola Superior de Tecnologia de Setúbal. Projecto Final

Instituto Politécnico de Setúbal Escola Superior de Tecnologia de Setúbal Departamento de Sistemas e Informática Projecto Final Computação na Internet Ano Lectivo 2002/2003 Portal de Jogos Executado por: