Common Secure Interoperability Version 2 (CSIv2)

Common Secure Interoperability Version 2 (CSIv2) ist eine Architektur, die die Interoperabilitätsanforderungen der CORBA-Sicherheit bezüglich Authentifizierung, Delegierung und Zugriffsrechten erfüllt. Das SAS-Protokoll wird in der CSIv2-Architektur verwendet, um Token in den Servicekontexten von GIOP-Anforderungen und Antwortnachrichten zum Einrichten der Sicherheitskontexte auszutauschen. Transport Layer Security (SSL/TLS) wird von SAS benötigt und stellt zwei weitere Schichten für die Clientauthentifizierung und Delegierung bereit.

Das SAS-Protokoll ist in zwei Schichten unterteilt. Die Authentifizierungsebene wird für die Clientauthentifizierung verwendet, wenn im Transport keine ausreichende Authentifizierung vorgenommen werden kann. Die Attributebene kann von einem Client verwendet werden, um Sicherheitsattribute zu übermitteln oder bereitzustellen, beispielsweise eine Identität für einen Zielserver, wo diese Attribute dann bei Zugriffssteuerungsentscheidungen verwendet werden können. Der Transport wird in der CSIv2-Dokumentation der Einfachheit halber als weitere Ebene bezeichnet, obwohl er nicht Teil der SAS-Protokollnachricht ist und die SAS-Nachricht oberhalb des Transports angeordnet ist.

CSIv2-Identitätszusicherung

Die Unterstützung der CSIv2-Identitätszusicherung in der Attributebene wird verwendet, um einem Serverprozess eine Identität aus einem Clientprozess zuzusichern, wenn die Anforderung mit RMI/IIOP ausgeführt wird.

Eine Zusicherung ist die Deklaration einer Entität für eine andere, sodass diese andere Entität eine Identität von der ersten Entität akzeptiert. Ein Client kann eine Identität zusichern, die das Subjekt darstellt, das zum Zeitpunkt, zu dem er die ferne Ressource gestartet hat, in Kraft war. Außer dem Identitätstoken, das den Benutzer darstellt, sendet der Clientprozess auch seine eigene Identität in der Authentifizierungsebene oder in der Transportebene. Der Zielserver vergewissert sich, dass der Clientprozess eine Identität zusichern darf, indem er die Vertrauenswürdigkeit überprüft. Wenn der Zielserver dem Client vertraut, verwendet er die zugesicherte Identität, um ein Subjekt auf der Serverseite zu erstellen, das den Benutzer darstellt, der im Clientprozess zum Zeitpunkt des Aufrufs in Kraft war.

Der Client kann einen Benutzer zusichern, der ein Identitätstoken mit dem Prinzipalnamen verwendet. Das Format des Prinzipalnamens ist abhängig von der für den Clientprozess konfigurierten Benutzerregistry. Der anonyme Identitätstokentyp wird ebenfalls unterstützt und wenn der Server ein solches Token empfängt, verwendet er ein nicht authentifiziertes Subjekt.

Informationen zum Konfigurieren der CSIV2-Attributebene mit Identitätszusicherung finden Sie unter Attributebene für eingehende CSIv2-Anforderungen konfigurieren oder Attributebene für abgehende CSIv2-Anforderungen konfigurieren.

CSIv2-Authentifizierungsebene

Die CSIv2-Authentifizierungsebene wird verwendet, um Authentifizierungsinformationen von einem Clientprozess an einen Serverprozess zu übertragen, wenn die Anforderung mit RMI/IIOP ausgeführt wird.

Die CSIv2-Authentifizierungsebene kann ein Token enthalten, das vom Client gesendet wird und das der Server dann zur Authentifizierung des Clients verwenden kann. In der Authentifizierungsebene werden verschiedene Tokentypen unterstützt. Das GSSUP-Token wird z. B. verwendet, um den Benutzernamen und das Kennwort des Clients zu übertragen. Diese Angaben werden dann anhand der Benutzerregistry des Zielservers validiert. Das LTPA-Token (Lightweight Third Party Authentication) ist ein Token, das den Benutzer des Clients darstellt, ohne dass ein Kennwort übertragen werden muss. Der Benutzer muss jedoch vor dem Methodenfernaufruf im Clientprozess authentifiziert werden und der Clientprozess und Serverprozess müssen dieselben LTPA-Schlüssel verwenden.

Bei jedem dieser Tokentypen wird das Token dazu verwendet, den fernen Benutzer im Serverprozess zu authentifizieren und eine Subjektdarstellung des Subjekts zu erstellen, das auf der Clientseite in Kraft war, bevor der Client das ferne Objekt gestartet hat. Wenn die Identitätszusicherung ebenfalls aktiviert ist, kann die Authentifizierungsebene die Sicherheitsinformationen enthalten, die die Clientidentität darstellen, während das Identitätszusicherungstoken den fernen Benutzer darstellt, der zum Zeitpunkt des Aufrufs tatsächlich in Kraft war.

Informationen zum Konfigurieren der CSIV2-Authentifizierungsebene finden Sie unter Authentifizierungsebene für eingehende CSIv2-Anforderungen konfigurieren oder Authentifizierungsebene für abgehende CSIv2-Anforderungen konfigurieren.

CSIv2-Transportebene

Die CSIv2-Transportebene (Common Secure Interoperability Version 2) wird verwendet, um die SAS-Protokollanforderungsnachricht zu schützen und die Clientzertifikatsauthentifizierung zwischen einem Clientprozess und einem Serverprozess zu unterstützen.

Die Hauptfunktion der Transportebene besteht darin, die Sicherheitsmerkmale für die Übertragung der SAS-Protokollnachricht von einem Client- an einen Serverprozess bereitzustellen. Die Nachrichten können über Verschlüsselung und/oder Signatur geschützt werden. Die SSL-Unterstützung von Liberty wird als zugrunde liegender Mechanismus verwendet, der diese Merkmale bereitstellt.

Eine zweite Funktion der Transportebene besteht darin, für den Fall, dass die Authentifizierungsebene nicht verwendet wird, eine Quelle mit Authentifizierungsmaterial bereitzustellen. Wenn die Identitätszusicherung aktiviert und die Authentifizierungsebene nicht aktiviert ist, dann wird die Clientprozessidentität aus der Clientzertifikatskette des Transports abgerufen. Der Zielserverprozess authentifiziert die Clientzertifikatskette, indem er sie mit einem Benutzer in seiner Benutzerregistry abgleicht. Der definierte Name (DN) des Ausstellers der Zertifikatskette wird verwendet, um zu bestimmen, ob der Client vertrauenswürdig ist und eine Identität zusichern darf.

Sind weder die Identitätszusicherung noch die Authentifizierungsebene aktiviert, wird das anhand des Abgleichs der Clientzertifikatskette ermittelte Subjekt als aufrufendes Subjekt verwendet, wenn der Methodenfernaufruf tatsächlich auf dem Zielserverprozess gestartet wird. Dies trifft auch dann zu, wenn die Authentifizierungsebene des Zielservers zwar unterstützt wird, aber nicht erforderlich ist, weil der Client kein Authentifizierungstoken und kein Identitätstoken gesendet hat.

Informationen zum Konfigurieren der CSIV2-Attributebene mit Identitätszusicherung finden Sie unter Transportebene für eingehende CSIv2-Anforderungen konfigurieren oder Transportebene für abgehende CSIv2-Anforderungen konfigurieren.

Wichtige Begriffe

ORB – Object Request Broker.
Der ORB wird zur Mediation von Objektmethodenaufrufen zwischen Entitäten verwendet, die in demselben Prozess zusammengefasst sein oder sich in verschiedenen Prozessen befinden können.
Sicherheitskontext
Informationen, die vorgeben, welche Sicherheitsmerkmale für eine bestimmte Operation für ein Objekt in einem ORB gelten, beispielsweise die Identität, die verwendet werden soll, wenn die Objektoperation aufgerufen wird.
Clientsicherheitsservice
Die Entität, die eine SAS-Protokollanforderung aufruft, um im Zielsicherheitsservice einen Sicherheitskontext für eine Operation festzulegen, die für ein Objekt im ORB des Ziels durchgeführt werden soll.
Zielsicherheitsservice
Die Entität, die eine SAS-Protokollanforderung zum Einrichten eines Sicherheitskontextes im Zusammenhang mit einer Operation für ein Objekt in seinem ORB empfängt. Von dieser Entität wird eine Anforderung zum Einrichten oder Verwenden eines Sicherheitskontextes akzeptiert oder zurückgewiesen.
Clientauthentifizierung
Ein tokenbasierter Mechanismus, der zum Authentifizieren des Clients verwendet wird. Die Mindestvoraussetzung ist GSSUP (Username Password GSS), aber es kann noch weitere geben, z. B. LTPA.
Identitätszusicherung
Ein Mechanismus, durch den ein Vermittler für eine andere Entität bürgt und der Zielsicherheitsservice die zugesicherte Identität für den Aufrufprinzipal verwendet. Der Zielsicherheitsservice kann selbst entscheiden, ob er dem Proxy vertraut, der die Identität zusichert.
Stateless
Der Sicherheitskontext wird nur für die Dauer einer einzelnen Anforderung verwendet und nicht für nachfolgende Anforderungen.
Stateful
Nachdem der Sicherheitskontext eingerichtet wurde, kann er für mehrere Anforderungen verwendet werden, bis er vom Zielsicherheitsservice oder vom Clientsicherheitsservice inaktiviert wird.
Transport Layer Security
Die Sicherheitsunterstützung, die der zugrunde liegende Transport bereitstellt.

Symbol das den Typ des Artikels anzeigt. Konzeptartikel

Dateiname: cwlp_csiv2overview.html