Технологии и средства межорганизационной Аутентификации и Авторизации

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Содержание
Особенности Аутентификации (AuthN) и Авторизации (AuthZ) в научных и образовательных сетях
Основные технологии
Особенности сервисов AuthN/AuthZ в Grid
Существующие системы распределенной аутентификации и авторизации
Инфраструкутра распределенной аутентификации A-Select
Примеры проектов (Collaboratory.nl, EGEE)
Справочная информация
Архитектура безопасности на основе XML

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
AuthN/AuthZ в научных и образовательных сетях
Доступ к многосайтовым Веб/Интернет ресурсам
Перенаправление + cookie (SSO)
Межуниверситетские ресурсы и доступ к внешним ресурсам или предоставление доступа для внешних пользователей
Например, библиотечные каталоги или научные БД
Распределенные университетские кампусы и дистанционное обучение
Грид-центры и Грид-приложения
Общие характеристики/проблемы
Различные административные домены и домены безопасности
Единый доступ (SSO – Single Sign On) и множество паролей
Разделение идентификации/аутентификации и управления доступом

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Особенности AuthN/AuthZ в Grid
Операционые особенности
Различные административные домены и домены безопасности
Задачи могут быть продолжительные, изменяемые и мобильные
Требование к аутентичности, целостности и доверию
Динамические ресурсы
Использование прокси-удостоверений (proxy-credentials) и делегирование
Виртуальные организации (ВО)
Сервисы безопасности как и в реальных организациях (РО), но создаваемые динамически
ВО как стандартный Грид-сервис
Динамически создаваемые и ликвидируемые
Обычно имеет место членство во многих ВО
Согласованность политики безопасности между ВО и РО

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Современная архитектура сервисов AuthN и AuthZ
Требования к современной архитектуре AuthN/Z
Разделение сервисов аутентификации (AuthN) и авторизации (AuthZ)
Аутентификация в «домашней»/«родной» организации
Авторизация ресурсом
Конфиденциальность, приватность и анонимность
Управление доступом на основе ролей (RBAC – Role Based Access Control) и использование политики безопасности
Проблемы
Множество логинов/паролей – на каждый ресурс/сайт
Ограничение одним доменом безопасности или множество сертификатов открытых ключей
Сложность частичной динамической делегации полномочий
Базовые технологии
LDAP директории и метадиректории для храненения данных о пользователях
Собственные системы авторизации

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Использование LDAP в сервисах AuthN/AuthZ
Структуры персональных данных в LDAP
Person (RFC2256), organisationalPerson (RFC2256), InetOrgPerson (RFC2798)
EduPerson – расширение для образовтельных организаций
Дополнительные атрибуты EduPerson (всего 43)
eduPersonAffiliation
eduPersonNickname
eduPersonOrgDN
eduPersonOrgUnitDN
eduPersonPrimaryAffiliation
eduPersonPrincipalName
eduPersonEntitlement
eduPersonPrimaryOrgUnitDN
sn/surName
cn/commonName
givenName
uid, displayName
userPassword
x500uniqueIdentifier
userCertificate
userSMIMECertificate
userPKCS12
postalAddress
o/organizationName
ou/organizationalUnitName
st/stateOrProvinceName
l/localityName
c/country
title,employeeType
mail
photo
Основные атрибуты Person objectClass

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Безопасность приложений на основе XML и традиционная модель сетевой безопасноти
Традиционная модель сетевой безопасности (ISO7498-2):
Host-to-host или point-to-point безопасность
Ориентированная на архитектуру клиент/сервер
Ориентированные на соединении (connection-oriented) и без соединения (connectionless)
В общем случае единый доверительный домен (на основе PKI)
Безопасность приложений на основе XML
Безопасность между конечными точками или приложениями (end-to-end)
Ориентированная на документ (или семантический обьект)
Мандаты и маркеры безопасности могут быть ассоциированы с документом или сообщением или их частью
Существующие технологии WS-Security обеспечивают безопасность между разными административными доменами и доменами безопасности
Позволяет создавать динамические и виртуальные ассоциации безопасности

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Управление доступом на основе ролей
RBAC – Role Based Access Control
Роль описывает функцию и определяет права/привилегии
Права определяют доступ к ресурсу в определенном режиме
Преимущества RBAC
Легко управлять и контролировать
Раздельное назначение роли-пользователи и роли-привилегии
Масштабируемость и иерархия
Поддерживает принцип минимально необходимых привилегий
Наследование и агрегирование привилегий/прав
Новая роль может включать комбинацию уже существующих ролей с их правами
Упрощает процедуру делегирования

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Инфраструктура управления привилегиями
PMI – Privilege Management Infrastructure (ISO/IEC 10181-3)
Строится на основе Сертификатов Атрибутов (AC – Attribute Certificate)
АС совместно с СОК определены стандартом X.509 version 4
СОК используется для аутентификации, АС используется для авторизации
PMI как основа для построения RBAC
АС позволяет связать идентификатор пользователя с ролями и роли с привилегиями
Поддерживает иерархические системы RBAC, предоставляя возможность обьединения роли и дополнительных привилегий
Ограничивает глубину делегирования
Политика PMI
Используется для контроля доступа к ресурсам на основе ролей
Правила определения ролей для пользователей и привилегий для ролей
Раздельные политики для субьекта, иерархия ролей, делегирование, др.

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Основные компонены и потоки информации в PMI
PEP (Policy Enforcement Point)/
AEF (authorisation enforcement function)
PDP (Policy Decision Point)/ADF (authorisation decision function)
PIP (Policy Information Point)/AA (Attribute Authority)
PA – Policy Authority

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Свободно распространяемые средства для AuthN/AuthZ
Разработаны в рамках проектов Internet2, FP5 и национальных научных сетей
A-Select - http://a-select.surfnet.nl/
Shibboleth - http://shibboleth.internet2.edu/
PAPI - http://www.rediris.es/app/papi/index.en.html
PERMIS (PrivilEge and Role Management Infrastructure Standards validation) - http://www.permis.org/
SPOCP - http://www.spocp.org/
Для GRID-приложений
VOMS – Virtual Organisation Management System
GAAA Toolkit – http://www.aaaarch.org/

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
A-Select (1)
A-Select представляет собой распределенную систему веб-доступа (weblogin) с использованием cookie
Поддерживаемые методы аутентификации
IP address
User/password через RADIUS
Банковская карточка (с режимом Internet banking – SMS/TAN, Challenge generator)
SMS (mobile phone)
LDAP
PKI (в перспективе)

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Компоненты A-Select
Local
A-Select Server
A-Select Agent
Application
User
Remote Authentication Service
Providers
UDB
Filter
Remote
A-Select Server

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
A-Select (2)
A-Select использует билеты/квитанции, которые содержат пользовательские мандаты/удостоверения.
Есть два типа квитанций:
Квитанция, гарантирующая квитанцию ("ticket granting ticket"), выдаваемая после успешной аутентифиации ASP, and
Квитанция придложения ("application ticket"), которая выдается приложением, использующим A-Select.
Единый доступ (Single-Sign-on) обеспечивается за счет назначения более длительного периода жизни для квитанция, гарантирующая квитанцию
Квитанции A-Select реализованы как не-постоянные (non-persistent) cookie, которые сохраняются в браузере пользователя и видимы только для целевого сервиса или сервера

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
PAPI – простейшая система котроля веб-доступа
PAPI – распределенная система доступа к ресурсам Интернет
Может использоваться как для доступа внутри реалма так между реалмами
Использует HTTP/cookie и PKI
Browser
AuthN
PAPI
AuthN
tokens
Hcook- Lcook GPoA
GPoA
PoA
Hcook- Lcook PoA

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
PERMIS (PrivilEge and Role Management Infrastructure Standards)
PERMIS обеспечивает авторизацию на основе политики с использованием Сертификатов атрибутов X.509 для хранения атрибутов/ролей пользователя
Может работать с любой системой AuthN (например, username/pswd, PKI,
Kerberos, etc.), которая обеспечивает AuthN и возвращает атрибуты пользователя
На основе идентификатора пользователя (Субьекта), целевой системы (Цели), Действия возвращает решение о доступе на основе принятой Политики безопасности для данной цели
Политика и атрибуты пользователя могут быть запрошены сответственно из БД политики и хранилища атрибутов
Политика основана на RBAC и описывается в форме XML подобной XACML
PERMIS может работать в режиме push или pull (т.е., атрибуты передаются в PERMIS, или PERMIS запрашивает атрибуты от хранилища атрибутов)

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
SPOCP (Simple Policy Control Protocol)
Использует S-выражения для построения иерархической системы правил доступа для ролей
Позволяет обрабатывать множество ролей и действий
Пример:
Политика: (role UmU admin finance) <= (role UmU admin)
Запрос SPOCP от почтового SMTP сервера:
(spocp (resource mailrelay)(action mail)(subject (smtpauth roland)))
SPOCP обеспечивает упрощенную процедуру обмена данными и запроса, а также упрощенный формат сообщений по сравнению со средствами общего назначения XACML и SAML

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Базовая архитектура AAA
Policy based Authorization decision
Req {AuthNtoken, ResourceCtx, Attr/Roles, PolicyTypeId}
RBE (ReqCtx + Policy) =>
=> Decision {ResponseAAA, ActionExt}
ActionExt = {ReqAAAExt, ASMcontrol}
ResponseAAA = {AckAAA/RejectAAA, ReqAttr, ReqAuthN, BindAAA (Resource, Id/Attr)}
Translate logDecision => Action
Translate State => LogCondition
Defined by Resource owner

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
GAAA Toolkit (1) – формат политики
if
( AuthN == TrustDomain )
then (
if
( ResourceState == RequestResourceContext)
then (
if ((Action == action1))
then (
if ((Role == role1))
then (
Reply::Answer.Message = "Permit" )
else ( Reply::Answer.Message = "Deny, Role is not valid" ) )
else ( Reply::Answer.Message = "Deny, Action is not valid" ) )
else ( Reply::Answer.Message = "Deny, Resource is not ready" )
else ( Reply::Answer.Message = "Deny, Subject is not authenticated" )

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
GAAA Toolkit (2)
RBE реализована на J2EE (платформа Tomcat 4.5/5)
Формат политики
Внутренний – GAAA
Обмен - XACML
Автоматическая генерация политики на основе таблицы доступа
Формат сообщений Запрос/Ответ - XACML

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Примеры проектов - Collaboratory.nl (CNL)
Консорциум: DSM, Corus, Philips, FEI, TI, UvA
Создание безопасной среды для кооперативного выполнения сложных аналитических задач/экспериментов
Широкое использование XML Security, Web Services, Grid-технологий
Архитектура безопасности на основе семантического описания работы/задачи
Аутентификация – распределенная система управления идентификацией пользователей (Identity Management) на основе виртуальных организаций (ВО)
Использование A-Select
Управление доступом на основе ролей и политики доступа
Архитектура AAA и язык для управления доступом XACML

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Аритектура безопасности CNL
Уровни услуг безопасности
1 - Сетевой/траспортный
включает сервисы безопасности сетевого уровня
2 – Безопасность сообщений
обеспечивает безопасность передачи XML-сообщений
3 – Политика безопасности
обеспечивает применение политики безопасности ресурсов или ассоциаций для конкретных услуг безопасности
4 – Операционные сервисы безопасности
включает базовые/конечные сервисы безопасности, включая AuthN, AuthZ, ау дит
Услуги безопасности узла
Управление ключами PKI, Управление пользователями, Управление политикой безопасности, Обнаружение вторжений в сеть и Реагирование на инциденты безопасности

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
CNL: Посстроене безопасности на основе описания работы
Описание работы JobDescr является семантическим обьектом, определяющим атрибуты Работы, Пользoвателя и Политику безопасности
Требует технологии безопасности XML, построенные вокруг семантического обьекта
Доверительный домен определяется бизнес-соглашением (BA - Business Agreement) или соглашением о доверии (TA - Trust Agreement) посредством СОК/PKI

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
CNL: Процессы AuthN/AuthZ
PEP/AuthZ – принимает запрос от Ресурса или Пользователя и в стандартной форме передает его PDP/PBE
PDP/PBE – принимает решение о доступе на основе запроса (Субьект, Ресурс, Действие) и Политики
UserDB – хранит информацию о пользователе для AuthN (пароль, СОК) и атрибуты/роли пользователя для AuthZ
PolicyDB – БД политики безопасности для различных ресурсов
RBAC/PMI AdminIF – административный интерфейс для управления доступом пользователей

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Шифрование файла и XML-шифрование
Для много-пользовательского шифрования Document может содержать ключ для дешифрации (симметричный или асимметричный), зашифрованный при помощи ОК всех целевых получателей
FileA/
DocA
Шифр.
с/для
pubK B
Зашифр. файл (pubK B)
Дешифр.
с
privK B
FileA/
Doc
XML
Doc1
Пользователь A
(знает pubK B)
User B
Зашифр.
определ.
части
Шифровать
определ.
часть для
определ.
получателя
Пользователь A
(знает pubK B,C, D)
Дешифр
с
privK B
Doc1
Пользователь B может проочитать весь Doc1 и дешифровать только часть B
Дешифр
с
privK C
Doc1
B
C
D
Только пользователь B может прочитать FileA при помощи privK B
Пользователь C может проочитать весь Doc1 и дешифровать только часть C

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Связывание атрибутов с документом при помощи XMLSig
XML Signature позволяет подписывать отдельные части документа
Основа для аутетичности и целостности (Integrity and Authenticity)
Связывание атрибутов безопасности и прав с документом или его частями
XML
Doc1/
JobDescr
Signed selected
parts
Пользователь/
система A
создают XML Doc1 и подписывают его с SigA
SigB
XMLSigA
XMLSigA
Signed selected
parts
SigB
SigC
XMLSigA
Signed selected
parts
SigB
SigC
SigD
XMLSigA
Пользователи B, C, D подписывают определенные части документа своими секретными ключами privK B, C, D
Новая ипформация может быть добавлена и документ подписан в целом
Подпись может также включать другие подписи
Signed selected
parts
SigB
SigC
SigD
XMLSigA
Получатель проверяет целостность XML Doc1 посредством контроля цифровых подписей

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Примеры проектов –EGEE
JRA3 – Security Architecture and Services
Статус:
Определение требований и начало создания прототипа
Предложение:
Потоколы транспортного уровня и уровня сообщений
SOAP over HTTPS или SOAP-XML Security over HTTP
Делегирование
WSDL PortType
Политика безопасности
Связывание с Грид-сервисами на уровне описания WSDL
Комбинирование политик ресурсов и виртуальных организаций
Интерфейс администратора политики

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Примеры проектов – Безопасность в EGEE
process
space
GRAM +
LCMAPS
Intrusion
Cred
store
Proxy
cert
VOMS
service
delegation
VO
policy
Audit
Site
policy
Access
control
Revo-
cation
Trust
anchors
Policy
based
authZ
???
Audit
Site
policy
Access
control
Revo-
cation
Trust
anchors
Provisioning
SAML
XACML
EDG
LCAS
HTTPG
gSoap
EDG CRL
scripts

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Справочная информация
Компоненты XML Security
XML Web Services
WS-Security
OGSA Security

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Компоненты безопасности XML - приложений
XML Signature
XML Encryption
Декларации безопасности (Security Assertions)
SAML (Security Assertion Mark-up Language)
XrML (XML Right Mark-up Language)
XACML (XML Access Control Mark-up Language)
XKMS (XML Key Management Specification)
Архитектурные расширения
Web Services Security (WS-Security)
OGSA Security

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Основные черты XML-подписи
Фундаментальная черта: возможность подписывать отдельные части документа так же как и целый документ.
XML-документ может иметь длинную историю, при этом различные части докумепнта могут создаваться и визироваться различными субьектами и в различное время
Различные стороны/субьекты могут иметь полномочия подписывать только различные части документа
Позволяет сохранять целостность одних частей документа и иметь возможность изменять другие части документа
Позволяют присоединять маркеры/мандаты безопасности к документу в отличие от использования безопасного соединения клиент/сервер
XML-подпись обеспечивает сервисы безопасности для протколов, основанных на XML
А также основу для включения информации о состоянии

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Структура XML-подписи
(
(
)?
)+
(
)?
(
)*
Слайд 33
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Расширение архитектуры XML-безопасности
WS-Security (Web Services Security)
Расширения к формату
сообщений SOAP (Simple Object Access Protocol)
Стандартные заголовки для аутентификации и авторизации, аудита, ассоциаций безопасности, приватности
Обмена удостоверяющими мандатами/маркерами в формате X.509 PKC, SAML, XrML, XCBF
Цифровая подпись, шифрование
Протоколы для синхронного и асинхронного обмена сообщениями и организации междоменных кооперативных Веб-сервисов
OGSA Security (Open Grid Services Architecture)
Построена на основе WS-Security
Функциональность для создания виртуальных организаций (ВО)
Делегирования полномочий (credentials) и федерация идентификаторов субьекта
Анонимность/приватность, ассоциации для управления доступом
Поддержка транзитивных процессов с конечными состояниями (transitional stateful processes)
Слайд 34
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Liberty Alliance и сетевая идентификация
Liberty Alliance Project (LAP)
LAP
вводит понятия провайдера идентификации (identity provider) и круга доверия (trust circle)
LAP обеспечивает полный контроль за своим идентификатором и ассоциациями/федерациями, которые могут создаваться провайдерами идентификации – на основании предварительного согласия пользователя
LAP использует SAML и расширяет его новыми элементами и протоколами
LAP определяет три модели доверия, основанные на PKI или бизнес-отношениях: взаимное, через посредника-брокера и среди сообщества
Основные функции LAP: Федерация идентификации; Представление провайдера идентификации; аутентификация; использование псевдонимов и поддержка анонимности; глобальный выход из системы
Слайд 35
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Архитектура на основе XML Web Service
Описание на основе
WSDL (Web Services Description Language)
Обмен сообщениями в формате SOAP при помощи протоколов HTTP, SMTP, TCP, etc.
Публикация и поиск посредством UDDI
Веб-сервис – программная система, идентифицируемая URI, интерфейс внешнего доступа которой and bindings описываются при помощи XML. Другие программные системы могут обнаруживать и взаимодействовать с Веб-сервисами в соответствии с их описанием на основе использования XML-сообщений посредством протоколов Интернет.
Слайд 36
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Модель безопасности Web Services
Security token types
Username/password
X.509 PKC
SAML
XrML
XCBF
WS-Security: describes
how to attach signature and encryption headers to SOAP messages. In addition, it describes how to attach security tokens, including binary security tokens such as X.509 certificates, SAML, Kerberos tickets and others, to messages.
Core Specification - Web Services Security: SOAP Message Security
http://www.oasis-open.org/committees/download.php/1043/WSS-SOAPMessageSecurity-11-0303.pdf
Слайд 37
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
WS-Security: Расширения к формату SOAP
URI: http://schemas.xmlsoap.org/ws/2002/04/secext
Пространства имен, используемые
в WS-Security:
SOAP S http://www.w3.org/2001/12/soap-envelope
XML Digital Sign ds http://www.w3.org/2000/09/xmldsig#
XML Encryption xenc http://www.w3.org/2001/04/xmlenc#
XML/SOAP Routing m http://schemas.xmlsoap.org/rp
WSSL wsse
http://schemas.xmlsoap.org/ws/2002/04/secext
Элементы безопасности
Заголовок определяет конечного получателя/исполнителя
Допускаются множественные заголовки/получатели
Новые заголовки
Слайд 38
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Архитектура безопасности OGSA Security
Построена на основе WS-Security
Слайд 39
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Proxy Certificate Profile
Impersonation – used for Single-Sign-On and
Delegation
Unrestricted Impersonation
Restricted Impersonation defined by policy
Proxy with Unique Name
Allows using in conjunction with Attribute Cert
Used when proxy identity is referenced to 3rd party, or interact with VO policy
Limited validity time – approx. 24 hours
Proxy Certificate (PC) properties:
It is signed by either an X.509 End Entity Certificate (EEC), or by another PC. This EEC or PC is referred to as the Proxy Issuer (PI).
It can sign only another PC. It cannot sign an EEC.
It has its own public and private key pair, distinct from any other EEC or PC.
It has an identity derived from the identity of the EEC that signed the PC.
Although its identity is derived from the EEC's identity, it is also unique.
It contains a new X.509 extension to identify it as a PC and to place policies on the use of the PC. This new extension, along with other X.509 fields and extensions, are used to enable proper path validation and use of the PC.
Слайд 40
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Reference: PKI Basics
PKI (Public Key Infrastructure) – Инфраструктура
открытых ключей (ИОК)
Связывает идентификатор (имя собственное, distinguished name) субьекта с его открытым ключом
Основа ИОК – Сертификат открытого ключа (СОК, PKC - Public Key Certificate)
CRL – Certificate Revocation List
Компоненты ИОК
Identification Service (IS)
Registration Authority (RA)
Certification Authority (CA)
Certificate Repository (CR), normally built on LDAP
Слайд 41
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Reference: PKC vs AC: Purposes
X.509 PKC binds an
identity and a public key
AC is a component of X.509 Role-based PMI
AC contains no public key
AC may contain attributes that specify group membership, role, security clearance, or other authorisation information associated with the AC holder
Analogy: PKC is like passport, and AC is like entry visa
PKC is used for Authentication and AC is used for Authorisation
AC may be included into Authentication message
PKC relies on Certification Authority and AC requires Attribute Authority (AA)
Слайд 42
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
PKC vs AC: Certificates structure
X.509 PKC
Version
Serial number
Signature
Issuer
Validity
Subject
Subject Public
key info
Issuer unique identifier
Extensions
AC
Version
Holder
Issuer
Signature
Serial number
Validity
Attributes
Issuer unique ID
Extensions
Слайд 43
June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
X.509 PKC Fields and Extensions – RFC 3280
X.509
PKC Fields
Serial Number
Subject
Subject Public Key
Issuer Unique ID
Subject Unique ID
X.509 PKC Extensions
Standard Extensions
Authority Key Identifier
Subject Key Identifier
Key Usage
Extended Key Usage
CRL Distribution List
Private Key Usage Period
Certificate Policies
Policy Mappings
Subject Alternative Name
Issuer Alternative Name
Subject Directory Attributes
Basic Constraints
Name Constraints
X.509 PKC Fields
Private Extensions
Authority Information Access
Subject Information Access
Custom Extensions
Имя файла: Технологии-и-средства-межорганизационной-Аутентификации-и-Авторизации.pptx
Количество просмотров: 271
Количество скачиваний: 0
Скачать
- Предыдущая
Чего боятся наши дети?
Следующая -
Утилизация попутного нефтяного газа
Похожие презентации
Пилотная версия сети, известная как Глобальная Сеть Торговых Точек (Global Trade Point Network), была основана в конце 1994 года. Вначале она пред
Антонимы слова- «неприятели»
Тест на тему: Сила упругости. Закон Гука
Родословная Лермонтовых
Комплект индивидуальных дозиметров ДП-22-В
Мой любимый город Братск
История развития компании Dymo
Строение атома и периодическая система
Эксплуатация МТ. Основные задачи. Приемка в эксплуатацию
9 мая 1945 – День победы
Психологическая теория права Л. И. Петражицкого
Кормушка для птиц. Приготовление корма
Имидж - лик или личина сфера имидж-дизайна
3 класс дерево летом
Компьютерная помощница - мышь
Игровой бренд PlayStation
Убеждения. Определение
Лев Николаевич Толстой
Ecology problems
Игры направленные на знакомство и взаимодействие
установочное совещание 20.09.2022
ИСТОЧНИКОВЕДЕНИЕ И ИСТОРИЯ КНИГИ
Мир дворянской усадьбы в русской культуре XIX века
Презентация на тему Экзаменационное сочинение по литратуре
Gilbert Keith Chesterton
Создание запросов в базе данных OpenOffice.org Base
МЕТОДЫ ПОИСКОВ МЕСТОРОЖДЕНИЙ НЕФТИ И ГАЗА
Вулкан красок
(function(d,s){d.getElementById("licnt7D89").src=
"https://counter.yadro.ru/hit?t12.1;r"+escape(d.referrer)+
((typeof(s)=="undefined")?"":";s"+s.width+"*"+s.height+"*"+
(s.colorDepth?s.colorDepth:s.pixelDepth))+";u"+escape(d.URL)+
";h"+escape(d.title.substring(0,150))+";"+Math.random()})
(document,screen)
Обратная связь
Для правообладателей
Email:
Нажмите что бы посмотреть
window.__NUXT__=(function(a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,q,r,s,t,u,v,w,x,y,z,A,B,C,D,E,F,G,H,I,J,K,L,M,N,O,P,Q,R,S,T){return {data:{meta:{result:{meta:{h1:l,main_text:b,main_title:m,main_description:n,main_keywords:o,main_image:b},app:{logo_image:p,logo_image_width:i,logo_image_height:q,logo_text:r,image_width_full:s,image_width_min:t,recaptcha_key:u,yandex_search:v,ya_context:e,banner_1:b,banner_2:b,banner_3:b,banner_4:b,banner_5:b,banner_6:b,banner_7:b,banner_8:b,banner_9:b,banner_10:b,email:w,footer_before:x,footer:y,dark_theme:c,strategy:{image_alt_words:h,item_slide_header:z,item_images:A,item_images_tag:B,item_words_h3:c,item_words_tag:C,item_words_1:h,routing:D,item_slide_skipping:E,item_download_timeout:F,item_slider_width:a,item_show_pdf:c,item_show_contents:c,item_show_filename:e},colors:{header_text:j,header_bg:k,accent:G}},social:H}},item:{result:{id:424725,name:"Технологии и средства межорганизационной Аутентификации и Авторизации",category:I,count:44,jpg:"jpg\u002F424725",hits:271,download:a,h1:J,meta:{h1:J,title:"Технологии и средства межорганизационной Аутентификации и Авторизации презентация",description:"Технологии и средства межорганизационной Аутентификации и Авторизации презентация, доклад, проект, Разное ",keywords:"Технологии и средства межорганизационной Аутентификации и Авторизации, презентация, доклад, проект, скачать презентацию на тему, PowerPoint, скачати презентацію, фон, шаблон, урок, конспект, класс, школа, класс, Разное",download_link:b},text:"\u003Cp style=\"text-align: justify;\" \u002F\u003EПрезентация на тему Технологии и средства межорганизационной Аутентификации и Авторизации, из раздела: Разное.&nbsp; Презентацию в формате PowerPoint (pptx) можно скачать внизу страницы, поделившись ссылкой в социальных сетях! Презентации взяты из открытого доступа или загружены их авторами, администрация сайта не отвечает за достоверность информации в них. Все права принадлежат авторам материалов: \u003Ca href=\"politika-zashchity-avtorskih-prav\"\u003EПолитика защиты авторских прав\u003C\u002Fa\u003E",seo_text:"\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСодержание\u003Cbr\u003E\u003Cp\u003EОсобенности Аутентификации (AuthN) и Авторизации (AuthZ) в научных и образовательных сетях\u003Cbr\u003EОсновные технологии\u003Cbr\u003EОсобенности сервисов AuthN\u002FAuthZ в Grid\u003Cbr\u003EСуществующие системы распределенной аутентификации и авторизации\u003Cbr\u003EИнфраструкутра распределенной аутентификации A-Select\u003Cbr\u003EПримеры проектов (Collaboratory.nl, EGEE)\u003Cbr\u003EСправочная информация\u003Cbr\u003EАрхитектура безопасности на основе XML\u003Cbr\u003E \u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EAuthN\u002FAuthZ в научных и образовательных сетях\u003Cbr\u003E\u003Cp\u003EДоступ к многосайтовым Веб\u002FИнтернет ресурсам\u003Cbr\u003EПеренаправление + cookie (SSO)\u003Cbr\u003EМежуниверситетские ресурсы и доступ к внешним ресурсам или предоставление доступа для внешних пользователей\u003Cbr\u003EНапример, библиотечные каталоги или научные БД\u003Cbr\u003EРаспределенные университетские кампусы и дистанционное обучение\u003Cbr\u003EГрид-центры и Грид-приложения\u003Cbr\u003E\u003Cbr\u003EОбщие характеристики\u002Fпроблемы\u003Cbr\u003EРазличные административные домены и домены безопасности\u003Cbr\u003EЕдиный доступ (SSO – Single Sign On) и множество паролей\u003Cbr\u003EРазделение идентификации\u002Fаутентификации и управления доступом \u003Cbr\u003E\u003Cbr\u003E",file:"Технологии-и-средства-межорганизационной-Аутентификации-и-Авторизации.pptx",texts:["\u003Cp\u003EТехнологии и средства межорганизационной Аутентификации и Авторизации\u003Cbr\u003E\u003Cp\u003ERELARN2004 \r\n3 июня, 2004\u003Cbr\u003EYuri Demchenko, University of Amsterdam \u003Cbr\u003E\[e-mail]\u003E\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСодержание\u003Cbr\u003E\u003Cp\u003EОсобенности Аутентификации (AuthN) и Авторизации (AuthZ) в научных и образовательных сетях\u003Cbr\u003EОсновные технологии\u003Cbr\u003EОсобенности сервисов AuthN\u002FAuthZ в Grid\u003Cbr\u003EСуществующие системы распределенной аутентификации и авторизации\u003Cbr\u003EИнфраструкутра распределенной аутентификации A-Select\u003Cbr\u003EПримеры проектов (Collaboratory.nl, EGEE)\u003Cbr\u003EСправочная информация\u003Cbr\u003EАрхитектура безопасности на основе XML\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EAuthN\u002FAuthZ в научных и образовательных сетях\u003Cbr\u003E\u003Cp\u003EДоступ к многосайтовым Веб\u002FИнтернет ресурсам\u003Cbr\u003EПеренаправление + cookie (SSO)\u003Cbr\u003EМежуниверситетские ресурсы и доступ к внешним ресурсам или предоставление доступа для внешних пользователей\u003Cbr\u003EНапример, библиотечные каталоги или научные БД\u003Cbr\u003EРаспределенные университетские кампусы и дистанционное обучение\u003Cbr\u003EГрид-центры и Грид-приложения\u003Cbr\u003EОбщие характеристики\u002Fпроблемы\u003Cbr\u003EРазличные административные домены и домены безопасности\u003Cbr\u003EЕдиный доступ (SSO – Single Sign On) и множество паролей\u003Cbr\u003EРазделение идентификации\u002Fаутентификации и управления доступом \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EОсобенности AuthN\u002FAuthZ в Grid\u003Cbr\u003E\u003Cp\u003EОперационые особенности\u003Cbr\u003EРазличные административные домены и домены безопасности\u003Cbr\u003EЗадачи могут быть продолжительные, изменяемые и мобильные\u003Cbr\u003EТребование к аутентичности, целостности и доверию\u003Cbr\u003EДинамические ресурсы \u003Cbr\u003EИспользование прокси-удостоверений (proxy-credentials) и делегирование\u003Cbr\u003EВиртуальные организации (ВО)\u003Cbr\u003EСервисы безопасности как и в реальных организациях (РО), но создаваемые динамически\u003Cbr\u003EВО как стандартный Грид-сервис \u003Cbr\u003EДинамически создаваемые и ликвидируемые\u003Cbr\u003EОбычно имеет место членство во многих ВО\u003Cbr\u003EСогласованность политики безопасности между ВО и РО\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСовременная архитектура сервисов AuthN и AuthZ\u003Cbr\u003E\u003Cp\u003EТребования к современной архитектуре AuthN\u002FZ\u003Cbr\u003EРазделение сервисов аутентификации (AuthN) и авторизации (AuthZ)\u003Cbr\u003EАутентификация в «домашней»\u002F«родной» организации\u003Cbr\u003EАвторизация ресурсом\u003Cbr\u003EКонфиденциальность, приватность и анонимность\u003Cbr\u003EУправление доступом на основе ролей (RBAC – Role Based Access Control) и использование политики безопасности\u003Cbr\u003EПроблемы\u003Cbr\u003EМножество логинов\u002Fпаролей – на каждый ресурс\u002Fсайт\u003Cbr\u003EОграничение одним доменом безопасности или множество сертификатов открытых ключей\u003Cbr\u003EСложность частичной динамической делегации полномочий\u003Cbr\u003EБазовые технологии\u003Cbr\u003ELDAP директории и метадиректории для храненения данных о пользователях\u003Cbr\u003EСобственные системы авторизации\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EИспользование LDAP в сервисах AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСтруктуры персональных данных в LDAP\u003Cbr\u003EPerson (RFC2256), organisationalPerson (RFC2256), InetOrgPerson (RFC2798)\u003Cbr\u003EEduPerson – расширение для образовтельных организаций\u003Cbr\u003E\u003Cp\u003EДополнительные атрибуты EduPerson (всего 43)\u003Cbr\u003EeduPersonAffiliation \u003Cbr\u003EeduPersonNickname \u003Cbr\u003EeduPersonOrgDN \u003Cbr\u003EeduPersonOrgUnitDN \u003Cbr\u003EeduPersonPrimaryAffiliation \u003Cbr\u003EeduPersonPrincipalName \u003Cbr\u003EeduPersonEntitlement \u003Cbr\u003EeduPersonPrimaryOrgUnitDN \u003Cbr\u003E\u003Cp\u003Esn\u002FsurName\u003Cbr\u003Ecn\u002FcommonName \u003Cbr\u003EgivenName \u003Cbr\u003Euid, displayName\u003Cbr\u003EuserPassword\u003Cbr\u003Ex500uniqueIdentifier \u003Cbr\u003EuserCertificate\u003Cbr\u003EuserSMIMECertificate\u003Cbr\u003EuserPKCS12\u003Cbr\u003E\u003Cp\u003EpostalAddress \u003Cbr\u003Eo\u002ForganizationName \u003Cbr\u003Eou\u002ForganizationalUnitName \u003Cbr\u003Est\u002FstateOrProvinceName\u003Cbr\u003El\u002FlocalityName \u003Cbr\u003Ec\u002Fcountry\u003Cbr\u003Etitle,employeeType \u003Cbr\u003Email \u003Cbr\u003Ephoto \u003Cbr\u003E\u003Cp\u003EОсновные атрибуты Person objectClass\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EБезопасность приложений на основе XML и традиционная модель сетевой безопасноти\u003Cbr\u003E\u003Cp\u003EТрадиционная модель сетевой безопасности (ISO7498-2):\u003Cbr\u003EHost-to-host или point-to-point безопасность\u003Cbr\u003EОриентированная на архитектуру клиент\u002Fсервер\u003Cbr\u003EОриентированные на соединении (connection-oriented) и без соединения (connectionless)\u003Cbr\u003EВ общем случае единый доверительный домен (на основе PKI)\u003Cbr\u003EБезопасность приложений на основе XML\u003Cbr\u003EБезопасность между конечными точками или приложениями (end-to-end)\u003Cbr\u003EОриентированная на документ (или семантический обьект)\u003Cbr\u003EМандаты и маркеры безопасности могут быть ассоциированы с документом или сообщением или их частью\u003Cbr\u003EСуществующие технологии WS-Security обеспечивают безопасность между разными административными доменами и доменами безопасности\u003Cbr\u003EПозволяет создавать динамические и виртуальные ассоциации безопасности\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EУправление доступом на основе ролей\u003Cbr\u003E\u003Cp\u003ERBAC – Role Based Access Control\u003Cbr\u003EРоль описывает функцию и определяет права\u002Fпривилегии\u003Cbr\u003EПрава определяют доступ к ресурсу в определенном режиме\u003Cbr\u003EПреимущества RBAC\u003Cbr\u003EЛегко управлять и контролировать\u003Cbr\u003EРаздельное назначение роли-пользователи и роли-привилегии\u003Cbr\u003EМасштабируемость и иерархия\u003Cbr\u003EПоддерживает принцип минимально необходимых привилегий\u003Cbr\u003EНаследование и агрегирование привилегий\u002Fправ\u003Cbr\u003EНовая роль может включать комбинацию уже существующих ролей с их правами\u003Cbr\u003EУпрощает процедуру делегирования \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EИнфраструктура управления привилегиями \u003Cbr\u003E\u003Cp\u003EPMI – Privilege Management Infrastructure (ISO\u002FIEC 10181-3)\u003Cbr\u003EСтроится на основе Сертификатов Атрибутов (AC – Attribute Certificate)\u003Cbr\u003EАС совместно с СОК определены стандартом X.509 version 4\u003Cbr\u003EСОК используется для аутентификации, АС используется для авторизации\u003Cbr\u003EPMI как основа для построения RBAC\u003Cbr\u003EАС позволяет связать идентификатор пользователя с ролями и роли с привилегиями\u003Cbr\u003EПоддерживает иерархические системы RBAC, предоставляя возможность обьединения роли и дополнительных привилегий\u003Cbr\u003EОграничивает глубину делегирования\u003Cbr\u003EПолитика PMI\u003Cbr\u003EИспользуется для контроля доступа к ресурсам на основе ролей\u003Cbr\u003EПравила определения ролей для пользователей и привилегий для ролей\u003Cbr\u003EРаздельные политики для субьекта, иерархия ролей, делегирование, др.\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EОсновные компонены и потоки информации в PMI\u003Cbr\u003E\u003Cp\u003EPEP (Policy Enforcement Point)\u002F\r\nAEF (authorisation enforcement function) \u003Cbr\u003EPDP (Policy Decision Point)\u002FADF (authorisation decision function) \u003Cbr\u003EPIP (Policy Information Point)\u002FAA (Attribute Authority)\u003Cbr\u003EPA – Policy Authority\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСвободно распространяемые средства для AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EРазработаны в рамках проектов Internet2, FP5 и национальных научных сетей\u003Cbr\u003EA-Select - http:\u002F\u002Fa-select.surfnet.nl\u002F\u003Cbr\u003EShibboleth - http:\u002F\u002Fshibboleth.internet2.edu\u002F\u003Cbr\u003EPAPI - http:\u002F\u002Fwww.rediris.es\u002Fapp\u002Fpapi\u002Findex.en.html\u003Cbr\u003EPERMIS (PrivilEge and Role Management Infrastructure Standards validation) - http:\u002F\u002Fwww.permis.org\u002F\u003Cbr\u003ESPOCP - http:\u002F\u002Fwww.spocp.org\u002F\u003Cbr\u003EДля GRID-приложений\u003Cbr\u003EVOMS – Virtual Organisation Management System \u003Cbr\u003EGAAA Toolkit – http:\u002F\u002Fwww.aaaarch.org\u002F\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EA-Select (1)\u003Cbr\u003E\u003Cp\u003EA-Select представляет собой распределенную систему веб-доступа (weblogin) с использованием cookie\u003Cbr\u003EПоддерживаемые методы аутентификации\u003Cbr\u003EIP address\u003Cbr\u003EUser\u002Fpassword через RADIUS\u003Cbr\u003EБанковская карточка (с режимом Internet banking – SMS\u002FTAN, Challenge generator)\u003Cbr\u003ESMS (mobile phone)\u003Cbr\u003ELDAP\u003Cbr\u003EPKI (в перспективе)\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EКомпоненты A-Select\u003Cbr\u003E\u003Cp\u003ELocal\u003Cbr\u003EA-Select Server\u003Cbr\u003E\u003Cp\u003EA-Select Agent\u003Cbr\u003E\u003Cp\u003EApplication\u003Cbr\u003E\u003Cp\u003EUser\u003Cbr\u003E\u003Cp\u003ERemote Authentication Service \r\nProviders\u003Cbr\u003E\u003Cp\u003EUDB\u003Cbr\u003E\u003Cp\u003EFilter\u003Cbr\u003E\u003Cp\u003ERemote\u003Cbr\u003EA-Select Server\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EA-Select (2)\u003Cbr\u003E\u003Cp\u003EA-Select использует билеты\u002Fквитанции, которые содержат пользовательские мандаты\u002Fудостоверения.\u003Cbr\u003EЕсть два типа квитанций: \u003Cbr\u003EКвитанция, гарантирующая квитанцию (\"ticket granting ticket\"), выдаваемая после успешной аутентифиации ASP, and \u003Cbr\u003EКвитанция придложения (\"application ticket\"), которая выдается приложением, использующим A-Select. \u003Cbr\u003EЕдиный доступ (Single-Sign-on) обеспечивается за счет назначения более длительного периода жизни для квитанция, гарантирующая квитанцию \u003Cbr\u003EКвитанции A-Select реализованы как не-постоянные (non-persistent) cookie, которые сохраняются в браузере пользователя и видимы только для целевого сервиса или сервера\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EPAPI – простейшая система котроля веб-доступа\u003Cbr\u003E\u003Cp\u003EPAPI – распределенная система доступа к ресурсам Интернет\u003Cbr\u003EМожет использоваться как для доступа внутри реалма так между реалмами\u003Cbr\u003EИспользует HTTP\u002Fcookie и PKI\u003Cbr\u003E\u003Cp\u003EBrowser\u003Cbr\u003E\u003Cp\u003EAuthN\u003Cbr\u003E\u003Cp\u003EPAPI\u003Cbr\u003EAuthN\u003Cbr\u003Etokens\u003Cbr\u003E\u003Cp\u003EHcook- Lcook GPoA \u003Cbr\u003E\u003Cp\u003EGPoA\u003Cbr\u003E\u003Cp\u003EPoA\u003Cbr\u003E\u003Cp\u003EHcook- Lcook PoA \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EPERMIS (PrivilEge and Role Management Infrastructure Standards) \u003Cbr\u003E\u003Cp\u003EPERMIS обеспечивает авторизацию на основе политики с использованием Сертификатов атрибутов X.509 для хранения атрибутов\u002Fролей пользователя\r\n\u003Cbr\u003EМожет работать с любой системой AuthN (например, username\u002Fpswd, PKI,\r\nKerberos, etc.), которая обеспечивает AuthN и возвращает атрибуты пользователя\u003Cbr\u003EНа основе идентификатора пользователя (Субьекта), целевой системы (Цели), Действия возвращает решение о доступе на основе принятой Политики безопасности для данной цели\u003Cbr\u003EПолитика и атрибуты пользователя могут быть запрошены сответственно из БД политики и хранилища атрибутов\u003Cbr\u003EПолитика основана на RBAC и описывается в форме XML подобной XACML\u003Cbr\u003EPERMIS может работать в режиме push или pull (т.е., атрибуты передаются в PERMIS, или PERMIS запрашивает атрибуты от хранилища атрибутов) \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003ESPOCP (Simple Policy Control Protocol)\u003Cbr\u003E\u003Cp\u003EИспользует S-выражения для построения иерархической системы правил доступа для ролей\u003Cbr\u003EПозволяет обрабатывать множество ролей и действий\u003Cbr\u003EПример: \u003Cbr\u003EПолитика: (role UmU admin finance) \u003C= (role UmU admin)\u003Cbr\u003EЗапрос SPOCP от почтового SMTP сервера:\r\n(spocp (resource mailrelay)(action mail)(subject (smtpauth roland)))\u003Cbr\u003ESPOCP обеспечивает упрощенную процедуру обмена данными и запроса, а также упрощенный формат сообщений по сравнению со средствами общего назначения XACML и SAML\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EБазовая архитектура AAA\u003Cbr\u003E\u003Cp\u003EPolicy based Authorization decision\u003Cbr\u003EReq {AuthNtoken, ResourceCtx, Attr\u002FRoles, PolicyTypeId}\u003Cbr\u003ERBE (ReqCtx + Policy) =\u003E \r\n\t=\u003E Decision {ResponseAAA, ActionExt}\u003Cbr\u003EActionExt = {ReqAAAExt, ASMcontrol}\u003Cbr\u003EResponseAAA = {AckAAA\u002FRejectAAA, ReqAttr, ReqAuthN, BindAAA (Resource, Id\u002FAttr)}\u003Cbr\u003E\u003Cp\u003ETranslate logDecision =\u003E Action\u003Cbr\u003ETranslate State =\u003E LogCondition\u003Cbr\u003E\u003Cp\u003EDefined by Resource owner\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EGAAA Toolkit (1) – формат политики\u003Cbr\u003E\u003Cp\u003Eif\u003Cbr\u003E( AuthN == TrustDomain )\u003Cbr\u003Ethen (\u003Cbr\u003E if\u003Cbr\u003E ( ResourceState == RequestResourceContext)\u003Cbr\u003E then (\u003Cbr\u003E if ((Action == action1))\u003Cbr\u003E then (\u003Cbr\u003E if ((Role == role1))\u003Cbr\u003E then (\u003Cbr\u003E\t \t Reply::Answer.Message = \"Permit\" )\u003Cbr\u003E else ( Reply::Answer.Message = \"Deny, Role is not valid\" ) )\u003Cbr\u003E else ( Reply::Answer.Message = \"Deny, Action is not valid\" ) )\u003Cbr\u003E else ( Reply::Answer.Message = \"Deny, Resource is not ready\" )\u003Cbr\u003Eelse ( Reply::Answer.Message = \"Deny, Subject is not authenticated\" )\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EGAAA Toolkit (2)\u003Cbr\u003E\u003Cp\u003ERBE реализована на J2EE (платформа Tomcat 4.5\u002F5)\u003Cbr\u003EФормат политики \u003Cbr\u003EВнутренний – GAAA\u003Cbr\u003EОбмен - XACML\u003Cbr\u003EАвтоматическая генерация политики на основе таблицы доступа\u003Cbr\u003EФормат сообщений Запрос\u002FОтвет - XACML \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EПримеры проектов - Collaboratory.nl (CNL)\u003Cbr\u003EКонсорциум: DSM, Corus, Philips, FEI, TI, UvA\u003Cbr\u003EСоздание безопасной среды для кооперативного выполнения сложных аналитических задач\u002Fэкспериментов\u003Cbr\u003EШирокое использование XML Security, Web Services, Grid-технологий\u003Cbr\u003EАрхитектура безопасности на основе семантического описания работы\u002Fзадачи\u003Cbr\u003EАутентификация – распределенная система управления идентификацией пользователей (Identity Management) на основе виртуальных организаций (ВО) \u003Cbr\u003EИспользование A-Select\u003Cbr\u003EУправление доступом на основе ролей и политики доступа\u003Cbr\u003EАрхитектура AAA и язык для управления доступом XACML\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EАритектура безопасности CNL\u003Cbr\u003E\u003Cp\u003EУровни услуг безопасности\u003Cbr\u003E1 - Сетевой\u002Fтраспортный \r\nвключает сервисы безопасности сетевого уровня\u003Cbr\u003E2 – Безопасность сообщений \r\nобеспечивает безопасность передачи XML-сообщений\u003Cbr\u003E3 – Политика безопасности\r\nобеспечивает применение политики безопасности ресурсов или ассоциаций для конкретных услуг безопасности\u003Cbr\u003E4 – Операционные сервисы безопасности \r\nвключает базовые\u002Fконечные сервисы безопасности, включая AuthN, AuthZ, ау дит\u003Cbr\u003E\u003Cp\u003EУслуги безопасности узла\u003Cbr\u003EУправление ключами PKI, Управление пользователями, Управление политикой безопасности, Обнаружение вторжений в сеть и Реагирование на инциденты безопасности\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003ECNL: Посстроене безопасности на основе описания работы \u003Cbr\u003E\u003Cp\u003EОписание работы JobDescr является семантическим обьектом, определяющим атрибуты Работы, Пользoвателя и Политику безопасности\u003Cbr\u003EТребует технологии безопасности XML, построенные вокруг семантического обьекта \u003Cbr\u003EДоверительный домен определяется бизнес-соглашением (BA - Business Agreement) или соглашением о доверии (TA - Trust Agreement) посредством СОК\u002FPKI\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003ECNL: Процессы AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EPEP\u002FAuthZ – принимает запрос от Ресурса или Пользователя и в стандартной форме передает его PDP\u002FPBE \u003Cbr\u003EPDP\u002FPBE – принимает решение о доступе на основе запроса (Субьект, Ресурс, Действие) и Политики\u003Cbr\u003EUserDB – хранит информацию о пользователе для AuthN (пароль, СОК) и атрибуты\u002Fроли пользователя для AuthZ\u003Cbr\u003EPolicyDB – БД политики безопасности для различных ресурсов\u003Cbr\u003ERBAC\u002FPMI AdminIF – административный интерфейс для управления доступом пользователей\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EШифрование файла и XML-шифрование\u003Cbr\u003E\u003Cp\u003EДля много-пользовательского шифрования Document может содержать ключ для дешифрации (симметричный или асимметричный), зашифрованный при помощи ОК всех целевых получателей \u003Cbr\u003E\u003Cp\u003EFileA\u002F\r\nDocA\u003Cbr\u003E\u003Cp\u003EШифр.\r\nс\u002Fдля \u003Cbr\u003EpubK B\u003Cbr\u003E\u003Cp\u003EЗашифр. файл (pubK B)\u003Cbr\u003E\u003Cp\u003EДешифр.\r\nс\r\nprivK B\u003Cbr\u003E\u003Cp\u003EFileA\u002F\r\nDoc\u003Cbr\u003E\u003Cp\u003EXML\r\nDoc1\u003Cbr\u003E\u003Cp\u003EПользователь A\r\n(знает pubK B)\u003Cbr\u003E\u003Cp\u003EUser B\u003Cbr\u003E\u003Cp\u003EЗашифр.\r\nопредел. \r\nчасти\u003Cbr\u003E\u003Cp\u003EШифровать\r\nопредел. \r\nчасть для \u003Cbr\u003Eопредел. \r\nполучателя\u003Cbr\u003E\u003Cp\u003EПользователь A\r\n(знает pubK B,C, D)\u003Cbr\u003E\u003Cp\u003EДешифр\r\nс\r\nprivK B\u003Cbr\u003E\u003Cp\u003EDoc1\u003Cbr\u003E\u003Cp\u003EПользователь B может проочитать весь Doc1 и дешифровать только часть B\u003Cbr\u003E\u003Cp\u003EДешифр\r\nс\r\nprivK C\u003Cbr\u003E\u003Cp\u003EDoc1\u003Cbr\u003E\u003Cp\u003EB\u003Cbr\u003E\u003Cp\u003EC\u003Cbr\u003E\u003Cp\u003ED\u003Cbr\u003E\u003Cp\u003EТолько пользователь B может прочитать FileA при помощи privK B\u003Cbr\u003E\u003Cp\u003EПользователь C может проочитать весь Doc1 и дешифровать только часть C\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСвязывание атрибутов с документом при помощи XMLSig\u003Cbr\u003E\u003Cp\u003EXML Signature позволяет подписывать отдельные части документа\u003Cbr\u003EОснова для аутетичности и целостности (Integrity and Authenticity)\u003Cbr\u003EСвязывание атрибутов безопасности и прав с документом или его частями\u003Cbr\u003E\u003Cp\u003EXML\r\nDoc1\u002F\r\nJobDescr\u003Cbr\u003E\u003Cp\u003ESigned selected \r\nparts\u003Cbr\u003E\u003Cp\u003EПользователь\u002F\r\nсистема A\r\nсоздают XML Doc1 и подписывают его с SigA\u003Cbr\u003E\u003Cp\u003ESigB\u003Cbr\u003E\u003Cp\u003EXMLSigA\u003Cbr\u003E\u003Cp\u003EXMLSigA\u003Cbr\u003E\u003Cp\u003ESigned selected \r\nparts\u003Cbr\u003E\u003Cp\u003ESigB\u003Cbr\u003E\u003Cp\u003ESigC\u003Cbr\u003E\u003Cp\u003EXMLSigA\u003Cbr\u003E\u003Cp\u003ESigned selected \r\nparts\u003Cbr\u003E\u003Cp\u003ESigB\u003Cbr\u003E\u003Cp\u003ESigC\u003Cbr\u003E\u003Cp\u003ESigD\u003Cbr\u003E\u003Cp\u003EXMLSigA\u003Cbr\u003E\u003Cp\u003EПользователи B, C, D подписывают определенные части документа своими секретными ключами privK B, C, D\u003Cbr\u003E Новая ипформация может быть добавлена и документ подписан в целом\u003Cbr\u003EПодпись может также включать другие подписи\u003Cbr\u003E\u003Cp\u003ESigned selected \r\nparts\u003Cbr\u003E\u003Cp\u003ESigB\u003Cbr\u003E\u003Cp\u003ESigC\u003Cbr\u003E\u003Cp\u003ESigD\u003Cbr\u003E\u003Cp\u003EXMLSigA\u003Cbr\u003E\u003Cp\u003EПолучатель проверяет целостность XML Doc1 посредством контроля цифровых подписей\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EПримеры проектов –EGEE\u003Cbr\u003E\u003Cp\u003EJRA3 – Security Architecture and Services\u003Cbr\u003EСтатус: \u003Cbr\u003EОпределение требований и начало создания прототипа\u003Cbr\u003EПредложение:\u003Cbr\u003EПотоколы транспортного уровня и уровня сообщений\u003Cbr\u003ESOAP over HTTPS или SOAP-XML Security over HTTP\u003Cbr\u003EДелегирование\u003Cbr\u003EWSDL PortType\u003Cbr\u003EПолитика безопасности\u003Cbr\u003EСвязывание с Грид-сервисами на уровне описания WSDL\u003Cbr\u003EКомбинирование политик ресурсов и виртуальных организаций\u003Cbr\u003EИнтерфейс администратора политики\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EПримеры проектов – Безопасность в EGEE\u003Cbr\u003E\u003Cp\u003Eprocess\r\nspace\u003Cbr\u003E\u003Cp\u003EGRAM +\r\nLCMAPS\u003Cbr\u003E\u003Cp\u003EIntrusion\u003Cbr\u003E\u003Cp\u003ECred\r\nstore\u003Cbr\u003E\u003Cp\u003EProxy\r\ncert\u003Cbr\u003E\u003Cp\u003EVOMS\u003Cbr\u003E\u003Cp\u003Eservice\u003Cbr\u003E\u003Cp\u003Edelegation\u003Cbr\u003E\u003Cp\u003EVO\r\npolicy\u003Cbr\u003E\u003Cp\u003EAudit\u003Cbr\u003E\u003Cp\u003ESite\r\npolicy\u003Cbr\u003E\u003Cp\u003EAccess\r\ncontrol\u003Cbr\u003E\u003Cp\u003ERevo-\u003Cbr\u003Ecation\u003Cbr\u003E\u003Cp\u003ETrust\r\nanchors\u003Cbr\u003E\u003Cp\u003EPolicy\r\nbased\u003Cbr\u003EauthZ\u003Cbr\u003E\u003Cp\u003E???\u003Cbr\u003E\u003Cp\u003EAudit\u003Cbr\u003E\u003Cp\u003ESite\r\npolicy\u003Cbr\u003E\u003Cp\u003EAccess\r\ncontrol\u003Cbr\u003E\u003Cp\u003ERevo-\u003Cbr\u003Ecation\u003Cbr\u003E\u003Cp\u003ETrust\r\nanchors\u003Cbr\u003E\u003Cp\u003EProvisioning\u003Cbr\u003E\u003Cp\u003ESAML\r\nXACML\u003Cbr\u003E\u003Cp\u003EEDG \u003Cbr\u003ELCAS\u003Cbr\u003E\u003Cp\u003EHTTPG\u003Cbr\u003E\u003Cp\u003EgSoap\u003Cbr\u003E\u003Cp\u003EEDG CRL\r\nscripts\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСправочная информация\u003Cbr\u003E\u003Cp\u003EКомпоненты XML Security\u003Cbr\u003EXML Web Services\u003Cbr\u003EWS-Security\u003Cbr\u003EOGSA Security\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EКомпоненты безопасности XML - приложений\u003Cbr\u003E\u003Cp\u003EXML Signature\u003Cbr\u003EXML Encryption\u003Cbr\u003EДекларации безопасности (Security Assertions)\u003Cbr\u003ESAML (Security Assertion Mark-up Language) \u003Cbr\u003EXrML (XML Right Mark-up Language)\u003Cbr\u003EXACML (XML Access Control Mark-up Language)\u003Cbr\u003EXKMS (XML Key Management Specification)\u003Cbr\u003EАрхитектурные расширения\u003Cbr\u003EWeb Services Security (WS-Security)\u003Cbr\u003EOGSA Security\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EОсновные черты XML-подписи\u003Cbr\u003E\u003Cp\u003EФундаментальная черта: возможность подписывать отдельные части документа так же как и целый документ.\u003Cbr\u003EXML-документ может иметь длинную историю, при этом различные части докумепнта могут создаваться и визироваться различными субьектами и в различное время\u003Cbr\u003EРазличные стороны\u002Fсубьекты могут иметь полномочия подписывать только различные части документа\u003Cbr\u003EПозволяет сохранять целостность одних частей документа и иметь возможность изменять другие части документа\u003Cbr\u003EПозволяют присоединять маркеры\u002Fмандаты безопасности к документу в отличие от использования безопасного соединения клиент\u002Fсервер\u003Cbr\u003EXML-подпись обеспечивает сервисы безопасности для протколов, основанных на XML\u003Cbr\u003EА также основу для включения информации о состоянии\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EСтруктура XML-подписи\u003Cbr\u003E\u003Cp\u003E\u003CSignature ID?\u003E \u003Cbr\u003E\t\u003CSignedInfo\u003E \r\n\t\u003CCanonicalizationMethod\u002F\u003E\r\n \t\u003CSignatureMethod\u002F\u003E \r\n\t(\u003CReference URI? \u003E \r\n\t\t(\u003CTransforms\u003E)? \r\n\t\t\u003CDigestMethod\u003E \r\n\t\t\u003CDigestValue\u003E \r\n\t\u003C\u002FReference\u003E)+ \r\n\u003C\u002FSignedInfo\u003E\u003Cbr\u003E\t\u003CSignatureValue\u003E \r\n(\u003CKeyInfo\u003E)? \r\n(\u003CObject ID?\u003E)* \u003Cbr\u003E\u003C\u002FSignature\u003E \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EРасширение архитектуры XML-безопасности\u003Cbr\u003E\u003Cp\u003EWS-Security (Web Services Security)\u003Cbr\u003EРасширения к формату сообщений SOAP (Simple Object Access Protocol)\u003Cbr\u003EСтандартные заголовки для аутентификации и авторизации, аудита, ассоциаций безопасности, приватности\u003Cbr\u003EОбмена удостоверяющими мандатами\u002Fмаркерами в формате X.509 PKC, SAML, XrML, XCBF\u003Cbr\u003E Цифровая подпись, шифрование\u003Cbr\u003EПротоколы для синхронного и асинхронного обмена сообщениями и организации междоменных кооперативных Веб-сервисов\u003Cbr\u003EOGSA Security (Open Grid Services Architecture)\u003Cbr\u003EПостроена на основе WS-Security\u003Cbr\u003EФункциональность для создания виртуальных организаций (ВО)\u003Cbr\u003EДелегирования полномочий (credentials) и федерация идентификаторов субьекта\u003Cbr\u003EАнонимность\u002Fприватность, ассоциации для управления доступом\u003Cbr\u003EПоддержка транзитивных процессов с конечными состояниями (transitional stateful processes)\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003ELiberty Alliance и сетевая идентификация\u003Cbr\u003E\u003Cp\u003ELiberty Alliance Project (LAP)\u003Cbr\u003ELAP вводит понятия провайдера идентификации (identity provider) и круга доверия (trust circle) \u003Cbr\u003ELAP обеспечивает полный контроль за своим идентификатором и ассоциациями\u002Fфедерациями, которые могут создаваться провайдерами идентификации – на основании предварительного согласия пользователя\u003Cbr\u003ELAP использует SAML и расширяет его новыми элементами и протоколами\u003Cbr\u003ELAP определяет три модели доверия, основанные на PKI или бизнес-отношениях: взаимное, через посредника-брокера и среди сообщества\u003Cbr\u003EОсновные функции LAP: Федерация идентификации; Представление провайдера идентификации; аутентификация; использование псевдонимов и поддержка анонимности; глобальный выход из системы\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EАрхитектура на основе XML Web Service\u003Cbr\u003E\u003Cp\u003EОписание на основе WSDL (Web Services Description Language)\u003Cbr\u003EОбмен сообщениями в формате SOAP при помощи протоколов HTTP, SMTP, TCP, etc.\u003Cbr\u003EПубликация и поиск посредством UDDI\u003Cbr\u003E\u003Cp\u003EВеб-сервис – программная система, идентифицируемая URI, интерфейс внешнего доступа которой and bindings описываются при помощи XML. Другие программные системы могут обнаруживать и взаимодействовать с Веб-сервисами в соответствии с их описанием на основе использования XML-сообщений посредством протоколов Интернет.\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EМодель безопасности Web Services\u003Cbr\u003E\u003Cp\u003ESecurity token types\u003Cbr\u003EUsername\u002Fpassword\u003Cbr\u003EX.509 PKC\u003Cbr\u003ESAML\u003Cbr\u003EXrML\u003Cbr\u003EXCBF\u003Cbr\u003E\u003Cp\u003EWS-Security: describes how to attach signature and encryption headers to SOAP messages. In addition, it describes how to attach security tokens, including binary security tokens such as X.509 certificates, SAML, Kerberos tickets and others, to messages.\u003Cbr\u003ECore Specification - Web Services Security: SOAP Message Security\u003Cbr\u003Ehttp:\u002F\u002Fwww.oasis-open.org\u002Fcommittees\u002Fdownload.php\u002F1043\u002FWSS-SOAPMessageSecurity-11-0303.pdf \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EWS-Security: Расширения к формату SOAP\u003Cbr\u003E\u003Cp\u003EURI: http:\u002F\u002Fschemas.xmlsoap.org\u002Fws\u002F2002\u002F04\u002Fsecext\u003Cbr\u003EПространства имен, используемые в WS-Security:\u003Cbr\u003ESOAP \t\tS http:\u002F\u002Fwww.w3.org\u002F2001\u002F12\u002Fsoap-envelope\u003Cbr\u003EXML Digital Sign \tds http:\u002F\u002Fwww.w3.org\u002F2000\u002F09\u002Fxmldsig# \u003Cbr\u003EXML Encryption\txenc http:\u002F\u002Fwww.w3.org\u002F2001\u002F04\u002Fxmlenc# \u003Cbr\u003EXML\u002FSOAP Routing\tm http:\u002F\u002Fschemas.xmlsoap.org\u002Frp \u003Cbr\u003EWSSL\t\twsse \u003Cbr\u003E\t\t\thttp:\u002F\u002Fschemas.xmlsoap.org\u002Fws\u002F2002\u002F04\u002Fsecext \u003Cbr\u003E\u003Cp\u003EЭлементы безопасности\u003Cbr\u003EЗаголовок определяет конечного получателя\u002Fисполнителя\u003Cbr\u003EДопускаются множественные заголовки\u002Fполучатели\u003Cbr\u003EНовые заголовки \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EАрхитектура безопасности OGSA Security\u003Cbr\u003E\u003Cp\u003EПостроена на основе WS-Security\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EProxy Certificate Profile\u003Cbr\u003E\u003Cp\u003EImpersonation – used for Single-Sign-On and Delegation\u003Cbr\u003EUnrestricted Impersonation\u003Cbr\u003ERestricted Impersonation defined by policy\u003Cbr\u003EProxy with Unique Name \u003Cbr\u003EAllows using in conjunction with Attribute Cert\u003Cbr\u003EUsed when proxy identity is referenced to 3rd party, or interact with VO policy\u003Cbr\u003ELimited validity time – approx. 24 hours\u003Cbr\u003EProxy Certificate (PC) properties: \u003Cbr\u003EIt is signed by either an X.509 End Entity Certificate (EEC), or by another PC. This EEC or PC is referred to as the Proxy Issuer (PI). \u003Cbr\u003EIt can sign only another PC. It cannot sign an EEC. \u003Cbr\u003EIt has its own public and private key pair, distinct from any other EEC or PC. \u003Cbr\u003EIt has an identity derived from the identity of the EEC that signed the PC. \u003Cbr\u003EAlthough its identity is derived from the EEC's identity, it is also unique. \u003Cbr\u003EIt contains a new X.509 extension to identify it as a PC and to place policies on the use of the PC. This new extension, along with other X.509 fields and extensions, are used to enable proper path validation and use of the PC. \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EReference: PKI Basics\u003Cbr\u003E\u003Cp\u003EPKI (Public Key Infrastructure) – Инфраструктура открытых ключей (ИОК)\u003Cbr\u003EСвязывает идентификатор (имя собственное, distinguished name) субьекта с его открытым ключом\u003Cbr\u003EОснова ИОК – Сертификат открытого ключа (СОК, PKC - Public Key Certificate)\u003Cbr\u003ECRL – Certificate Revocation List\u003Cbr\u003EКомпоненты ИОК\u003Cbr\u003EIdentification Service (IS)\u003Cbr\u003ERegistration Authority (RA)\u003Cbr\u003ECertification Authority (CA)\u003Cbr\u003ECertificate Repository (CR), normally built on LDAP \u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EReference: PKC vs AC: Purposes\u003Cbr\u003E\u003Cp\u003EX.509 PKC binds an identity and a public key\u003Cbr\u003EAC is a component of X.509 Role-based PMI\u003Cbr\u003EAC contains no public key\u003Cbr\u003EAC may contain attributes that specify group membership, role, security clearance, or other authorisation information associated with the AC holder\u003Cbr\u003EAnalogy: PKC is like passport, and AC is like entry visa\u003Cbr\u003EPKC is used for Authentication and AC is used for Authorisation\u003Cbr\u003EAC may be included into Authentication message\u003Cbr\u003EPKC relies on Certification Authority and AC requires Attribute Authority (AA)\u003Cbr\u003E\u003Cbr\u003E\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EPKC vs AC: Certificates structure\u003Cbr\u003E\u003Cp\u003EX.509 PKC\u003Cbr\u003EVersion\u003Cbr\u003ESerial number\u003Cbr\u003ESignature\u003Cbr\u003EIssuer\u003Cbr\u003EValidity\u003Cbr\u003ESubject\u003Cbr\u003ESubject Public key info\u003Cbr\u003EIssuer unique identifier\u003Cbr\u003EExtensions\u003Cbr\u003E\u003Cp\u003EAC\u003Cbr\u003EVersion\u003Cbr\u003EHolder\u003Cbr\u003EIssuer\u003Cbr\u003ESignature\u003Cbr\u003ESerial number\u003Cbr\u003EValidity\u003Cbr\u003EAttributes\u003Cbr\u003EIssuer unique ID\u003Cbr\u003EExtensions\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EX.509 PKC Fields and Extensions – RFC 3280\u003Cbr\u003E\u003Cp\u003EX.509 PKC Fields\u003Cbr\u003ESerial Number\u003Cbr\u003ESubject\u003Cbr\u003ESubject Public Key\u003Cbr\u003EIssuer Unique ID\u003Cbr\u003ESubject Unique ID\u003Cbr\u003E\u003Cp\u003EX.509 PKC Extensions\u003Cbr\u003EStandard Extensions\u003Cbr\u003EAuthority Key Identifier\u003Cbr\u003ESubject Key Identifier\u003Cbr\u003EKey Usage\u003Cbr\u003EExtended Key Usage\u003Cbr\u003ECRL Distribution List\u003Cbr\u003EPrivate Key Usage Period\u003Cbr\u003ECertificate Policies\u003Cbr\u003EPolicy Mappings\u003Cbr\u003ESubject Alternative Name\u003Cbr\u003EIssuer Alternative Name\u003Cbr\u003ESubject Directory Attributes\u003Cbr\u003EBasic Constraints\u003Cbr\u003EName Constraints\u003Cbr\u003E\u003Cp\u003EX.509 PKC Fields\u003Cbr\u003EPrivate Extensions\u003Cbr\u003EAuthority Information Access\u003Cbr\u003ESubject Information Access\u003Cbr\u003ECustom Extensions\u003Cbr\u003E","\u003Cp\u003EJune 3, 2004 RELARN2004\u003Cbr\u003E\u003Cp\u003EInterorganisational AuthN\u002FAuthZ\u003Cbr\u003E\u003Cp\u003EAC Attribute Types and AC Extensions\u003Cbr\u003E\u003Cp\u003EAC Attribute Types\u003Cbr\u003EService Authentication Information\u003Cbr\u003EAccess Identity\u003Cbr\u003ECharging Identity\u003Cbr\u003EGroup\u003Cbr\u003ERole\u003Cbr\u003EClearance\u003Cbr\u003EProfile of AC \u003Cbr\u003E\u003Cp\u003EAC Extensions\u003Cbr\u003EAudit Identity\u003Cbr\u003ETo protect privacy and provide anonymity \u003Cbr\u003EMay be traceable via AC issuer\u003Cbr\u003EAC Targeting\u003Cbr\u003EAuthority Key Identifier\u003Cbr\u003EAuthority Information Access\u003Cbr\u003ECRL Distribution Points\u003Cbr\u003E"],href:"\u002Fprezentacii-na-razlichnye-temy\u002Ftexnologii-i-sredstva-mezhorganizacionnoj-autentifikacii-i-avtorizacii",href_category:"\u002Fprezentacii-na-razlichnye-temy",date:1613377420,related:[{id:398639,name:"Пилотная версия сети, известная как Глобальная Сеть Торговых Точек (Global Trade Point Network), была основана в конце 1994 года. Вначале она пред",href:"\u002Fprezentacii-na-razlichnye-temy\u002F-964",jpg:"jpg\u002F398639"},{id:415908,name:"Антонимы слова- «неприятели»",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fantonimy-slova--nepriyateli-",jpg:"jpg\u002F415908"},{id:334661,name:"Тест на тему: Сила упругости. Закон Гука",href:"\u002Fprezentacii-na-razlichnye-temy\u002Ftest-na-temu-sila-uprugosti-zakon-guka",jpg:"jpg\u002F334661"},{id:369663,name:"Родословная Лермонтовых",href:"\u002Fprezentacii-na-razlichnye-temy\u002Frodoslovnaya-lermontovyx",jpg:"jpg\u002F369663"},{id:427108,name:"Комплект индивидуальных дозиметров ДП-22-В",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fkomplekt-individualnyx-dozimetrov-dp22v",jpg:"jpg\u002F427108"},{id:341938,name:"Мой любимый город Братск",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fmoj-lyubimyj-gorod-bratsk",jpg:"jpg\u002F341938"},{id:391995,name:"История развития компании Dymo",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fistoriya-razvitiya-kompanii-dymo",jpg:"jpg\u002F391995"},{id:336042,name:"Строение атома и периодическая система",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fstroenie-atoma-i-periodicheskaya-sistema",jpg:"jpg\u002F336042"},{id:1168694,name:"Эксплуатация МТ. Основные задачи. Приемка в эксплуатацию",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fekspluatatsiya-mt-osnovnye-zadachi-priemka-v",jpg:"jpg\u002F1168694"},{id:313325,name:"9 мая 1945 – День победы",href:"\u002Fprezentacii-na-razlichnye-temy\u002F9-maya-1945--den-pobedy",jpg:"jpg\u002F313325"},{id:994004,name:"Психологическая теория права Л. И. Петражицкого",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fpsihologicheskaya-teoriya-prava-l-i-petrazhitskogo",jpg:"jpg\u002F994004"},{id:1044580,name:"Кормушка для птиц. Приготовление корма",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fkormushka-dlya-ptits-prigotovlenie-korma",jpg:"jpg\u002F1044580"},{id:1143747,name:"Имидж - лик или личина сфера имидж-дизайна",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fimidzh-lik-ili-lichina-sfera-imidzh-1",jpg:"jpg\u002F1143747"},{id:1184107,name:"3 класс дерево летом",href:"\u002Fprezentacii-na-razlichnye-temy\u002F3-klass-derevo-letom",jpg:"jpg\u002F1184107"},{id:343851,name:"Компьютерная помощница - мышь",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fkompyuternaya-pomoshhnica--mysh",jpg:"jpg\u002F343851"},{id:1134341,name:"Игровой бренд PlayStation",href:"\u002Fprezentacii-na-razlichnye-temy\u002Figrovoy-brend-playstation",jpg:"jpg\u002F1134341"},{id:971316,name:"Убеждения. Определение",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fubezhdeniya-opredelenie",jpg:"jpg\u002F971316"},{id:392651,name:"Лев Николаевич Толстой",href:"\u002Fprezentacii-na-razlichnye-temy\u002Flev-nikolaevich-tolstoj-7",jpg:"jpg\u002F392651"},{id:305849,name:"Ecology problems",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fecology-problems",jpg:"jpg\u002F305849"},{id:1109681,name:"Игры направленные на знакомство и взаимодействие",href:"\u002Fprezentacii-na-razlichnye-temy\u002Figry-napravlennye-na-znakomstvo-i-vzaimodeystvie",jpg:"jpg\u002F1109681"},{id:949343,name:"установочное совещание 20.09.2022",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fustanovochnoe-soveshchanie-20092022",jpg:"jpg\u002F949343"},{id:375974,name:"ИСТОЧНИКОВЕДЕНИЕ И ИСТОРИЯ КНИГИ",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fistochnikovedenie-i-istoriya-knigi-2",jpg:"jpg\u002F375974"},{id:322674,name:"Мир дворянской усадьбы в русской культуре XIX века",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fmir-dvoryanskoj-usadby-v-russkoj-kulture-xix-veka",jpg:"jpg\u002F322674"},{id:262741,name:"Презентация на тему Экзаменационное сочинение по литратуре",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fprezentaciya-na-temu-ekzamenacionnoe-sochinenie-po-litrature",jpg:"jpg\u002F262741"},{id:338845,name:"Gilbert Keith Chesterton",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fgilbert-keith-chesterton",jpg:"jpg\u002F338845"},{id:311855,name:"Создание запросов в базе данных OpenOffice.org Base",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fsozdanie-zaprosov-v-baze-dannyx-openofficeorg-base",jpg:"jpg\u002F311855"},{id:377415,name:"МЕТОДЫ ПОИСКОВ МЕСТОРОЖДЕНИЙ НЕФТИ И ГАЗА",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fmetody-poiskov-mestorozhdenij-nefti-i-gaza",jpg:"jpg\u002F377415"},{id:980006,name:"Вулкан красок",href:"\u002Fprezentacii-na-razlichnye-temy\u002Fvulkan-krasok",jpg:"jpg\u002F980006"}],navigation:{next:"\u002Fprezentacii-na-razlichnye-temy\u002Futilizaciya-poputnogo-neftyanogo-gaza-1",next_name:"Утилизация попутного нефтяного газа",prev:"\u002Fprezentacii-na-razlichnye-temy\u002Fchego-boyatsya-nashi-deti",prev_name:"Чего боятся наши дети?"}}},categories:{result:[{id:K,ordering:a,name:"Алгебра",pseudoname:"prezentacii-po-algebre"},{id:2,ordering:a,name:"Английский язык",pseudoname:"prezentacii-po-angliyskomu-yaziku"},{id:3,ordering:a,name:"Астрономия",pseudoname:"prezentacii-po-astronomii"},{id:4,ordering:a,name:"Биология",pseudoname:"prezentacii-po-biologii"},{id:5,ordering:a,name:"География",pseudoname:"prezentacii-po-geografii"},{id:6,ordering:a,name:"Геометрия",pseudoname:"prezentacii-po-geometrii"},{id:7,ordering:a,name:"Информатика",pseudoname:"prezentacii-po-informatike"},{id:8,ordering:a,name:"История",pseudoname:"prezentacii-po-istorii"},{id:9,ordering:a,name:"Литература",pseudoname:"prezentacii-po-literature"},{id:10,ordering:a,name:"Математика",pseudoname:"prezentacii-po-matematike"},{id:11,ordering:a,name:"Медицина",pseudoname:"prezentacii-po-medicine"},{id:h,ordering:a,name:"Музыка",pseudoname:"prezentacii-po-musice"},{id:13,ordering:a,name:"МХК",pseudoname:"prezentacii-po-mkhk"},{id:14,ordering:a,name:"ОБЖ",pseudoname:"prezentacii-po-obzh"},{id:15,ordering:a,name:"Обществознание",pseudoname:"prezentacii-po-obshhestvoznaniju"},{id:17,ordering:a,name:"Педагогика",pseudoname:"prezentacii-po-pedagogike"},{id:18,ordering:a,name:"Немецкий язык",pseudoname:"prezentacii-po-nemezkomy-yaziku"},{id:20,ordering:a,name:"Русский язык",pseudoname:"prezentacii-po-russkomu-yazyku"},{id:21,ordering:a,name:"Технология",pseudoname:"prezentacii-po-tehnologii"},{id:22,ordering:a,name:"Физика",pseudoname:"prezentacii-po-fizike"},{id:23,ordering:a,name:"Философия",pseudoname:"prezentacii-po-filosofii"},{id:24,ordering:a,name:"Химия",pseudoname:"prezentacii-po-himii"},{id:25,ordering:a,name:"Экология",pseudoname:"prezentacii-po-ehkologii"},{id:26,ordering:a,name:"Экономика",pseudoname:"prezentacii-po-ekonomike"},{id:27,ordering:a,name:"Детские презентации",pseudoname:"detskie-prezentacii"},{id:i,ordering:a,name:"Шаблоны презентаций",pseudoname:"shablony-dlya-prezentacii"},{id:29,ordering:a,name:I,pseudoname:"prezentacii-na-razlichnye-temy"},{id:48,ordering:a,name:"Культурология",pseudoname:"kulturologiya"},{id:16,ordering:K,name:"Окружающий мир",pseudoname:"prezentacii-po-okruzhayushhemu-miru"}]}},state:{},_errors:{},serverRendered:e,config:{public:{SITE_NAME:L,SITE_HOST:"slaidy.com",SITE_LANG:M,API_BASE_URL:"https:\u002F\u002Fslaidy.com\u002Fapi\u002F",pwaManifest:{name:L,short_name:b,description:b,lang:M,start_url:"\u002F?standalone=true",display:"standalone",background_color:k,theme_color:j,icons:[{src:"\u002F_nuxt\u002Ficons\u002F64x64.d7f48e96.png",type:d,sizes:N,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F64x64.maskable.d7f48e96.png",type:d,sizes:N,purpose:g},{src:"\u002F_nuxt\u002Ficons\u002F120x120.d7f48e96.png",type:d,sizes:O,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F120x120.maskable.d7f48e96.png",type:d,sizes:O,purpose:g},{src:"\u002F_nuxt\u002Ficons\u002F144x144.d7f48e96.png",type:d,sizes:P,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F144x144.maskable.d7f48e96.png",type:d,sizes:P,purpose:g},{src:"\u002F_nuxt\u002Ficons\u002F152x152.d7f48e96.png",type:d,sizes:Q,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F152x152.maskable.d7f48e96.png",type:d,sizes:Q,purpose:g},{src:"\u002F_nuxt\u002Ficons\u002F192x192.d7f48e96.png",type:d,sizes:R,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F192x192.maskable.d7f48e96.png",type:d,sizes:R,purpose:g},{src:"\u002F_nuxt\u002Ficons\u002F384x384.d7f48e96.png",type:d,sizes:S,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F384x384.maskable.d7f48e96.png",type:d,sizes:S,purpose:g},{src:"\u002F_nuxt\u002Ficons\u002F512x512.d7f48e96.png",type:d,sizes:T,purpose:f},{src:"\u002F_nuxt\u002Ficons\u002F512x512.maskable.d7f48e96.png",type:d,sizes:T,purpose:g}]},yandexMetrika:{id:"79446466",metrikaUrl:"https:\u002F\u002Fmc.yandex.ru\u002Fmetrika\u002Ftag.js",accurateTrackBounce:e,childIframe:c,clickmap:c,defer:c,useRuntimeConfig:e,trackHash:c,trackLinks:e,type:a,webvisor:c,triggerEvent:c,consoleLog:e,partytown:c,isDev:c}},app:{baseURL:"\u002F",buildAssetsDir:"\u002F_nuxt\u002F",cdnURL:b}},pinia:{app:{meta:{h1:l,main_text:b,main_title:m,main_description:n,main_keywords:o,main_image:b},app:{logo_image:p,logo_image_width:i,logo_image_height:q,logo_text:r,image_width_full:s,image_width_min:t,recaptcha_key:u,yandex_search:v,ya_context:e,banner_1:b,banner_2:b,banner_3:b,banner_4:b,banner_5:b,banner_6:b,banner_7:b,banner_8:b,banner_9:b,banner_10:b,email:w,footer_before:x,footer:y,dark_theme:c,strategy:{image_alt_words:h,item_slide_header:z,item_images:A,item_images_tag:B,item_words_h3:c,item_words_tag:C,item_words_1:h,routing:D,item_slide_skipping:E,item_download_timeout:F,item_slider_width:a,item_show_pdf:c,item_show_contents:c,item_show_filename:e},colors:{header_text:j,header_bg:k,accent:G}},social:H,token:b}}}}(0,"",false,"image\u002Fpng",true,"any","maskable",12,28,"#000000","#ffffff","Презентации, проекты, доклады в PowerPoint на любую тему","Презентации и проекты в PowerPoint","Презентации на различные темы для детей, школьников, родителей, студентов, учителей и преподавателей.","Презентация, презентация на тему, скачать презентацию, урок презентация, 1 2 3 4 5 6 7 8 9 10 11 класс","images\u002Fdata\u002Flogo.jpg",32,"Slaidy.com",720,480,"6LdhFOUnAAAAAIaOUjFtosEpzs6Ny643k1QKXXvv","3190226","[e-mail]","\u003C!--LiveInternet counter--\u003E\u003Ca href=\"https:\u002F\u002Fwww.liveinternet.ru\u002Fclick\"\r\ntarget=\"_blank\"\u003E\u003Cimg id=\"licnt7D89\" width=\"88\" height=\"31\" style=\"border:0\" \r\ntitle=\"LiveInternet: показано число просмотров за 24 часа, посетителей за 24 часа и за сегодня\"\r\nsrc=\"data:image\u002Fgif;base64,R0lGODlhAQABAIAAAAAAAP\u002F\u002F\u002FyH5BAEAAAEALAAAAAABAAEAAAIBTAA7\"\r\nalt=\"LiveInternet\"\u002F\u003E\u003C\u002Fa\u003E\u003Cscript\u003E(function(d,s){d.getElementById(\"licnt7D89\").src=\r\n\"https:\u002F\u002Fcounter.yadro.ru\u002Fhit?t12.1;r\"+escape(d.referrer)+\r\n((typeof(s)==\"undefined\")?\"\":\";s\"+s.width+\"*\"+s.height+\"*\"+\r\n(s.colorDepth?s.colorDepth:s.pixelDepth))+\";u\"+escape(d.URL)+\r\n\";h\"+escape(d.title.substring(0,150))+\";\"+Math.random()})\r\n(document,screen)\u003C\u002Fscript\u003E\u003C!--\u002FLiveInternet--\u003E","\u003Ca href=\"\u002Fpage\u002Fpravoobladateliam\"\u003EДля правообладателей\u003C\u002Fa\u003E","h3a","images_before","none","h3","category","both",77,"#ff0d00","\u003Cscript src=\"\u002F\u002Fyastatic.net\u002Fes5-shims\u002F0.0.2\u002Fes5-shims.min.js\"\u003E\u003C\u002Fscript\u003E\r\n\u003Cscript src=\"\u002F\u002Fyastatic.net\u002Fshare2\u002Fshare.js\"\u003E\u003C\u002Fscript\u003E\r\n\u003Cdiv class=\"ya-share2\" data-services=\"collections,gplus,vkontakte,facebook,odnoklassniki,gplus,twitter,moimir\" data-counter=\"\"\u003E\u003C\u002Fdiv\u003E","Разное","Технологии и средства межорганизационной Аутентификации и Авторизации ",1,"Slaidy","ru","64x64","120x120","144x144","152x152","192x192","384x384","512x512")) сообщений SOAP (Simple Object Access Protocol)
Стандартные заголовки для аутентификации и авторизации, аудита, ассоциаций безопасности, приватности
Обмена удостоверяющими мандатами/маркерами в формате X.509 PKC, SAML, XrML, XCBF
Цифровая подпись, шифрование
Протоколы для синхронного и асинхронного обмена сообщениями и организации междоменных кооперативных Веб-сервисов
OGSA Security (Open Grid Services Architecture)
Построена на основе WS-Security
Функциональность для создания виртуальных организаций (ВО)
Делегирования полномочий (credentials) и федерация идентификаторов субьекта
Анонимность/приватность, ассоциации для управления доступом
Поддержка транзитивных процессов с конечными состояниями (transitional stateful processes)

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Расширение архитектуры XML-безопасности
WS-Security (Web Services Security)
Расширения к формату сообщений SOAP (Simple Object Access Protocol)
Стандартные заголовки для аутентификации и авторизации, аудита, ассоциаций безопасности, приватности
Обмена удостоверяющими мандатами/маркерами в формате X.509 PKC, SAML, XrML, XCBF
Цифровая подпись, шифрование
Протоколы для синхронного и асинхронного обмена сообщениями и организации междоменных кооперативных Веб-сервисов
OGSA Security (Open Grid Services Architecture)
Построена на основе WS-Security
Функциональность для создания виртуальных организаций (ВО)
Делегирования полномочий (credentials) и федерация идентификаторов субьекта
Анонимность/приватность, ассоциации для управления доступом
Поддержка транзитивных процессов с конечными состояниями (transitional stateful processes)

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Liberty Alliance и сетевая идентификация
Liberty Alliance Project (LAP)
LAP вводит понятия провайдера идентификации (identity provider) и круга доверия (trust circle)
LAP обеспечивает полный контроль за своим идентификатором и ассоциациями/федерациями, которые могут создаваться провайдерами идентификации – на основании предварительного согласия пользователя
LAP использует SAML и расширяет его новыми элементами и протоколами
LAP определяет три модели доверия, основанные на PKI или бизнес-отношениях: взаимное, через посредника-брокера и среди сообщества
Основные функции LAP: Федерация идентификации; Представление провайдера идентификации; аутентификация; использование псевдонимов и поддержка анонимности; глобальный выход из системы

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Архитектура на основе XML Web Service
Описание на основе WSDL (Web Services Description Language)
Обмен сообщениями в формате SOAP при помощи протоколов HTTP, SMTP, TCP, etc.
Публикация и поиск посредством UDDI
Веб-сервис – программная система, идентифицируемая URI, интерфейс внешнего доступа которой and bindings описываются при помощи XML. Другие программные системы могут обнаруживать и взаимодействовать с Веб-сервисами в соответствии с их описанием на основе использования XML-сообщений посредством протоколов Интернет.

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Модель безопасности Web Services
Security token types
Username/password
X.509 PKC
SAML
XrML
XCBF
WS-Security: describes how to attach signature and encryption headers to SOAP messages. In addition, it describes how to attach security tokens, including binary security tokens such as X.509 certificates, SAML, Kerberos tickets and others, to messages.
Core Specification - Web Services Security: SOAP Message Security
http://www.oasis-open.org/committees/download.php/1043/WSS-SOAPMessageSecurity-11-0303.pdf

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
WS-Security: Расширения к формату SOAP
URI: http://schemas.xmlsoap.org/ws/2002/04/secext
Пространства имен, используемые в WS-Security:
SOAP S http://www.w3.org/2001/12/soap-envelope
XML Digital Sign ds http://www.w3.org/2000/09/xmldsig#
XML Encryption xenc http://www.w3.org/2001/04/xmlenc#
XML/SOAP Routing m http://schemas.xmlsoap.org/rp
WSSL wsse
http://schemas.xmlsoap.org/ws/2002/04/secext
Элементы безопасности
Заголовок определяет конечного получателя/исполнителя
Допускаются множественные заголовки/получатели
Новые заголовки

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Архитектура безопасности OGSA Security
Построена на основе WS-Security

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Proxy Certificate Profile
Impersonation – used for Single-Sign-On and Delegation
Unrestricted Impersonation
Restricted Impersonation defined by policy
Proxy with Unique Name
Allows using in conjunction with Attribute Cert
Used when proxy identity is referenced to 3rd party, or interact with VO policy
Limited validity time – approx. 24 hours
Proxy Certificate (PC) properties:
It is signed by either an X.509 End Entity Certificate (EEC), or by another PC. This EEC or PC is referred to as the Proxy Issuer (PI).
It can sign only another PC. It cannot sign an EEC.
It has its own public and private key pair, distinct from any other EEC or PC.
It has an identity derived from the identity of the EEC that signed the PC.
Although its identity is derived from the EEC's identity, it is also unique.
It contains a new X.509 extension to identify it as a PC and to place policies on the use of the PC. This new extension, along with other X.509 fields and extensions, are used to enable proper path validation and use of the PC.

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Reference: PKI Basics
PKI (Public Key Infrastructure) – Инфраструктура открытых ключей (ИОК)
Связывает идентификатор (имя собственное, distinguished name) субьекта с его открытым ключом
Основа ИОК – Сертификат открытого ключа (СОК, PKC - Public Key Certificate)
CRL – Certificate Revocation List
Компоненты ИОК
Identification Service (IS)
Registration Authority (RA)
Certification Authority (CA)
Certificate Repository (CR), normally built on LDAP

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
Reference: PKC vs AC: Purposes
X.509 PKC binds an identity and a public key
AC is a component of X.509 Role-based PMI
AC contains no public key
AC may contain attributes that specify group membership, role, security clearance, or other authorisation information associated with the AC holder
Analogy: PKC is like passport, and AC is like entry visa
PKC is used for Authentication and AC is used for Authorisation
AC may be included into Authentication message
PKC relies on Certification Authority and AC requires Attribute Authority (AA)

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
PKC vs AC: Certificates structure
X.509 PKC
Version
Serial number
Signature
Issuer
Validity
Subject
Subject Public key info
Issuer unique identifier
Extensions
AC
Version
Holder
Issuer
Signature
Serial number
Validity
Attributes
Issuer unique ID
Extensions

June 3, 2004 RELARN2004
Interorganisational AuthN/AuthZ
X.509 PKC Fields and Extensions – RFC 3280
X.509 PKC Fields
Serial Number
Subject
Subject Public Key
Issuer Unique ID
Subject Unique ID
X.509 PKC Extensions
Standard Extensions
Authority Key Identifier
Subject Key Identifier
Key Usage
Extended Key Usage
CRL Distribution List
Private Key Usage Period
Certificate Policies
Policy Mappings
Subject Alternative Name
Issuer Alternative Name
Subject Directory Attributes
Basic Constraints
Name Constraints
X.509 PKC Fields
Private Extensions
Authority Information Access
Subject Information Access
Custom Extensions