The Java Authentication and Authorization Service (JAAS)

1. The Java Authentication and Authorization Service (JAAS) Priit Salumaa Tartu 2003

2. Sissejuhatuseks • JavaTM 2 Platform Security Architecture+ JAAS ehk(koodipõhine + kasutajapõhine kontroll) JAAS - Priit Salumaa

3. Java 2 platvormi turvamudel (1) • Liivakastist välja JAAS - Priit Salumaa

4. Java 2 platvormi turvamudel (2) • Turvapoliitikad + lokaalse koodi kontroll AccessController JAAS - Priit Salumaa

5. Mõisted • Kasutajapõhine tuvastamine (Authentication) ja juurdepääsukontroll (Authorization) • Isik (subject) - suvalise teenuse kasutaja • Kasutajatunnus (principal) - isikuga seotud nimi, võib olla mitmeid (nimi, avalik võti) • Volitus (credential) - isiku salajased ja avalikud voliatribuudid (parool, salajane võti, Kerberose pilet, avalik võti jne.) JAAS - Priit Salumaa

6. PAM ja pinu laadne tuvastus • PAM (Pluggable Authentication Module) • sõltumatus kasutajatuvastusteenustest • LoginContext klass ja LoginModule • Logimismoodulite pinu • tuvastuse katse • tuvastuse teostus • katkestamine • Võrk ja üksikrakendus JAAS - Priit Salumaa

7. Volituste põhine pääsukontroll • JAAS + Java 2 vaikimisi turvapoliitika: grantCodebase "http://bar.com,Signedby "bar",Principal bar.Principal "duke" {permission java.io.FilePermission "/cdrom/duke/-", "read"; } JAAS - Priit Salumaa

8. Grupid, rollid hierarhia • Rollid ja grupid kui volitused grantPrincipal foo.Role "administrator"{permission java.io.FilePermission "/passwords/-", "read, write"; } • PrincipalComparator liides JAAS - Priit Salumaa

9. Juurdepääsukontrolli realisatsioon • java.lang.SequrityManager • java.sequrity.AccessControlle • + Subject.doAs()(JAAS) • = Kasutaja ja koodi põhine pääsukontroll • Dünaamiliselt seostatakse accsess control context ja isik. – java.sequrity.DomainCombinerliides JAAS - Priit Salumaa

10. Virtuaalmasin ja JAAS • JAAS pakub VM laiendust tuvastusfunktsioonide osas • Mitme kasutaja keskkond VM sees • Igale kasutajale shell • Lisaks kasutaja identiteedile on võimalik koodile anda mingi kindla kasutaja õigused - UserPermissions JAAS - Priit Salumaa

11. Mõned puudused ja tulevik • Skaleeritavus – sertifitseeritud kolmas osapool • Hajususe toetus (RMI turvalisus) • Jini – teenuse registreerimine ja lokaliseerimine JAAS - Priit Salumaa