Common Secure Interoperability versión 2 (CSIv2)
Common Secure Interoperability versión 2 (CSIv2) es una arquitectura para cumplir los requisitos de interoperatividad de seguridad CORBA para la autenticación, la delegación y los privilegios. El protocolo SAS se utiliza en la arquitectura CSIv2 para intercambiar señales en los contextos de servicio de los mensajes de solicitud y respuesta GIOP, para el establecimiento de contextos de seguridad. La seguridad de la capa de transporte (SSL/TLS) es necesaria para SAS, y añade dos capas más para la delegación y la autenticación de clientes.
El protocolo SAS se divide en dos capas. La capa de autenticación se utiliza para ejecutar la autenticación del cliente cuando no se consigue una autenticación suficiente en el transporte. La capa de atributos la utiliza el cliente para enviar o entregar atributos de seguridad como, por ejemplo, una identidad a un servidor de destino, que pueden aplicarse en las decisiones de control de acceso. La capa de transporte es otra capa en la documentación CSIv2 que facilita el análisis, aunque no forma parte del mensaje de protocolo SAS, y el mensaje SAS está por encima del transporte.

Aserción de identidad CSIv2
El soporte de aserción de identidad CSIv2 en la capa de atributos se utiliza para confirmar una identidad de un proceso de cliente en un proceso de servidor cuando la solicitud se realiza utilizando RMI/IIOP.
Una aserción es una declaración de una entidad en otra para aceptar una identidad en su nombre. Un cliente puede confirmar una identidad que represente al sujeto que estaba en vigor cuando se inició el recurso remoto. Además de la señal de identidad que representa al usuario, el proceso de cliente también envía su propia identidad en la capa de autenticación o la capa de transporte. El servidor de destino se asegura de que el proceso de cliente pueda confirmar una identidad realizando una validación de confianza. Si el servidor de destino confía en el cliente, el servidor utiliza la identidad confirmada para crear un sujeto del lado del servidor que representa al usuario que estaba en vigor en el proceso de cliente en el momento de la invocación.
El cliente puede confirmar un usuario que utiliza una señal de identidad de nombre principal. El formato del nombre principal depende del registro de usuarios que se ha configurado en el proceso de cliente. El tipo de señal de identidad anónima también está soportado y el servidor utiliza el sujeto no autenticado cuando recibe este tipo de señal.
Para obtener más información acerca de cómo configurar la capa de atributos de CSIV2 con la aserción de identidad, consulte Configuración de la capa de atributos CSIv2 de entrada o Configuración de la capa de atributos CSIv2 de salida.
Capa de autenticación CSIv2
La capa de autenticación CSIv2 se utiliza para transportar información de autenticación de un proceso de cliente a un proceso de servidor cuando la solicitud se realiza utilizando RMI/IIOP.
La capa de autenticación CSIv2 puede contener una señal enviada por el cliente que el servidor puede utilizar para autenticar al cliente. Se da soporte a varios tipos de señales en la capa de autenticación. Por ejemplo, la señal GSSUP se utiliza para transmitir el nombre de usuario y la contraseña del cliente, que se validan con el registro de usuarios del servidor de destino. La señal LTPA (Lightweight Third Party Authentication) es una señal que representa al usuario del cliente sin necesidad de transmitir una contraseña, pero el usuario debe estar autenticado en el proceso de cliente antes de la invocación de método remoto, y los procesos de cliente y servidor deben compartir claves LTPA.
Con cualquier tipo de señal, la señal se utiliza para autenticar al usuario remoto en el proceso de servidor y crear una representación de sujeto del sujeto que estaba en vigor en el lado del cliente antes de que el cliente iniciara el objeto remoto. Cuando la aserción de identidad también está habilitada, la capa de autenticación puede contener la información de seguridad que representa la identidad del cliente, mientras que la señal de aserción de identidad representa al usuario remoto real en el momento de la invocación.
Para obtener más información acerca de cómo configurar la capa de autenticación de CSIV2, consulte Configuración de la capa de autenticación CSIv2 de entrada o Configuración de la capa de autenticación CSIv2 de salida.
Capa de transporte CSIv2
La capa de transporte CSIv2 (Common Secure Interoperability versión 2) se utiliza para proteger el mensaje de solicitud de protocolo SAS y dar soporte a la autenticación del certificado de cliente de un proceso de cliente a un proceso de servidor.
La función principal de la capa de transporte es proporcionar las características de seguridad de la transmisión de los mensajes de protocolo SAS desde un cliente a un proceso de servidor. Los mensajes pueden protegerse utilizando el cifrado, la firma o ambos. El soporte SSL de Liberty se utiliza como mecanismo subyacente que proporciona estas características.
La segunda función de la capa de transporte es proporcionar una fuente de material de autenticación cuando no se utiliza la capa de autenticación. Si la aserción de identidad está habilitada y la capa de autenticación no está habilitada, la identidad de proceso del cliente se obtiene de la cadena de certificados de cliente del transporte. El proceso del servidor de destino autentica la cadena de certificados del cliente correlacionándola con un usuario en su registro de usuarios. El nombre distinguido del emisor de la cadena de certificados se utiliza para determinar si el cliente es de confianza para confirmar una identidad.
Si no están habilitadas la aserción de identidad y ni capa de autenticación, el sujeto que se obtiene de la correlación de la cadena de certificados del cliente se utiliza como el sujeto interlocutor cuando se inicia la llamada de método remoto real en el proceso del servidor de destino. Esto también se aplica cuando la capa de autenticación del servidor de destino está soportada, pero no es necesaria, y el cliente no envía una señal de autenticación y una señal de identidad.
Para obtener más información acerca de cómo configurar la capa de atributos de CSIV2 con la aserción de identidad, consulte Configuración de la capa de transporte CSIv2 de entrada o Configuración de la capa de transporte CSIv2 de salida.
Términos clave
- ORB – Intermediario de solicitud de objetos.
- Intermedia en las invocaciones de método de objeto entre entidades, que pueden estar coubicadas en el mismo proceso.
- Contexto de seguridad
- Información que se utiliza para prescribir que las características de seguridad son para una determinada operación en un objeto en un ORB. Por ejemplo, la identidad que se va a utilizar durante la invocación de la operación del objeto.
- Servicio de seguridad del cliente o CSS
- La entidad que inicia una solicitud de protocolo SAS para establecer un contexto de seguridad en el servicio de seguridad de destino, para una operación en un objeto en el ORB del destino.
- Servicio de seguridad de destino o TSS
- La entidad que recibe una solicitud de protocolo SAS para el establecimiento de un contexto de seguridad en la relación con una operación en un objeto en su ORB. Acepta o deniega una solicitud para establecer o utilizar un contexto de seguridad.
- Autenticación de cliente
- Un mecanismo basado en señales que se utiliza para autenticar el cliente. GSSUP (contraseña de usuario GSS) es el requisito mínimo, pero puede haber otros como, por ejemplo, LTPA.
- Aserción de identidad
- Mecanismo mediante el que una entidad de intermediario autoriza a otra entidad y el TSS utiliza la identidad confirmada para el principal de invocación. El TSS puede decidir si confía en el proxy que está confirmando la identidad o no.
- Sin estado
- El contexto de seguridad sólo se utiliza el tiempo que dura una solicitud individual y no se reutiliza para las siguientes solicitudes.
- Con estado
- El contexto de seguridad puede reutilizarse en varias solicitudes una vez establecido, hasta que el TSS o el CSS lo invalide.
- Seguridad de capa de transporte
- El soporte de seguridad que proporciona el transporte subyacente.