TNC2009: Päivä 3, Virtual People

Rok Papež

Connecting Web and Kerberos single sign-on
http://tnc2009.terena.org/schedule/presentations/show.php?pres_id=56

Kerberos on tikettejä käyttävä SSO järjestelmä. Asiakas hankkii tiketin jonka yhteydessä tunnistautuu käyttäjätunnus-salasanaparilla. Session kesstäessä tunnistautuminen tapahtuu tiketin avulla.

Rok näytti videodemon jossa käyttäjä mennee Kerberoksella suojatulle palvelimelle. Demottiin myös komentoja kinit, klist, kgetcred, kdestroy, jotka ovat tikettien hallintaan tarkoitettuja komentoja.

Kerberoksen dokumentaatio ei ole parhaaasta päästä. Sillä on myös jonkin
verran historiaa tietoturvattomuuden kanssa. Kerberos ei myöskään sovellu hyvin autorisointiin, koska se ei tarjoa paljoakaan tietoa käyttäjästä.

Kerberos on lähinnä tunnistamiseen tarkotoitettu palvelu joka tunnistaa käyttäjän ohjelmstoille joissa ei itsessään ole tai joihin ei haluta liittää käyttäjän tunnistusta. Sitä voi käyttää sellaisenaan, mutta parhaimmillaan K on ehkä Shibboloethin kaltaisten ohjelmistojen kanssa.

Rok näytti toisenkin demon jossa näytettiin kirjautuminen Adobe connect Prohon ja Foodle palveluun jotka on suojattu Shibboleth SP:llä. Idp:nä toimii simpleSAMLphp IdP.

David Lutz

Applied Federation Technology: The Charging of Roaming Students
http://tnc2009.terena.org/schedule/presentations/show.php?pres_id=57

Käyttäjän, SP:n ja IdP:n lisäksi tavanomaiseen käyttöympäristöön voitaisiin lisästä PaymentProvider, joka ylläpitäisi tietoa käyttäjän ja kunkin resurssin maksuista.

Tietoturvaongelmat olisivat aika moninaiset. SAML protokolla kestää hyvin perinteiset hyökkäykset, mutta rahan käsittely tuo omanlaisia uhkatilanteita. Tällaisia ovat esimerkiksi Overspending ja data-tampering. Ensimmäisen suhteen on varauduttava siihen, että käytettyä Statementia maksusta ei voida käyttää useaan kertaan. Jälkimmäisen suhteen taas on varauduttava siihen, että maksuun käytettyä summa ei pidä voida muuttaa.

Tietoturva voidaan pitää yllä turvaamalla hardware. Käytössä pitäis olla privatekey jota ei voida muuttaa joka allekirjoittaa Statementin ja varmistaa sovelluksen siten että sitä ei voida muuttaa. Statementin käyttö useaan kertaan voidaan estää siten, että talletetaan Statementin lifetime ja ID ja Statement lähetetään vain jos vastaavaa ei vielä ole olemassa. Statementin muutokset huomataan koska hardware kontrolloi niitä.

Ville Tenhunen

Mobile Signature Services, Authentication and Profile Distribution
http://tnc2009.terena.org/schedule/presentations/show.php?pres_id=58

Ville kertoi taustaa ympäristöstä, missä esityksen aiheena ollut projekti oli toteutettu. Projektin tarjoituksena oli tutkia mobiilitunnistamisen (MSSP) mahdollista käyttöä Helsingin yliopistossa. Esitys jatkui suomalaisen mobiilitunnistusinfrastruktuurin ja tyypillisen tunnistustapahtuman esittelyllä.

Helsingin yliopisto on tehnyt yhteistyötä Methics Oyn kanssa. Yhteistyössä on
kehitetty mm. mahdollisuutta välittää tietoa käyttäjästä sitä tarvitsevalle
kolmannelle osapuolelle. Oleellista tällaisessa käyttötapauksessa on
käyttäjän suostumus.

Mobiilitunnistaminen vaikuttaa olevan teknologisesti toimiva ja käytettävä
menetelmä vahvaan tunnistamiseen.

Leave a Reply