BÁO CÁO MÔN TÍNH TOÁN LƯỚI ĐỀ TÀI: GRID SECURITY

ĐẠI HỌC QUỐC GIA THÀNH PHỐ HỒ CHÍ MINH TRƯỜNG ĐẠI HỌC BÁCH KHOA BÁO CÁO MƠN TÍNH TỐN LƯỚI ĐỀ TÀI: GRID SECURITY HV: LÊ THỊ MINH CHÂU HUỲNH THỊ KHÁNH DUYÊN TRẦN THỊ THANH THỦY TP HỒ CHÍ MINH 06/2010 Nội dung Giới thiệu Cơ sở lý thuyết bảo mật .4 2.1 Các khái niệm 2.2 Mã hóa 2.2.1 Symmetric key 2.2.2 Asymmetric key 2.2.3 Digital signature 2.2.4 Certificate .7 Những tác động bảo mật lên kịch sử dụng grid tiêu biểu 3.1 Các thuật ngữ liên quan .8 3.2 Các điều kiện để bắt đầu phiên làm việc lưới .8 3.3 Các bước cần thực trước user cụ thể tham gia vào phiên làm việc lưới 3.4 Các trường hợp sử dụng cụ thể 3.4.1 Immediate job execution .8 3.4.2 Accessing grid information services Thách thức yêu cầu bảo mật hệ thống lưới .10 4.1 Thách thức 10 4.2 Yêu cầu bảo mật hệ thống lưới 11 Bảo mật hệ thống lưới 12 5.1 Tình trạng .12 5.2 Kiến trúc bảo mật lưới 14 Grid Security thực tế - GSI .18 6.1 Các tính GSI 19 6.2 Các thành phần GSI 19 6.2.1 Message Protection 21 6.2.2 Authentication Delegation 21 6.2.3 Authentication với Username Password 22 6.2.4 Authorization 22 6.2.5 Các thành phần hỗ trợ khác GSI 24 6.3 GSI bảo mật grid 25 Tài liệu tham khảo 25 Mục lục hình Hình 1:Mã hóa đối xứng Hình 2: Mã hóa bất đối xứng Hình 3: Mơ hình chữ ký điện tử đơn giản Hình 4: Mơ hình chữ ký điện tử bảo mật .6 Hình 5: Certificate Hình 6: Ví dụ minh họa q trình tính tốn phân tán hệ thống lưới: Người sử dụng tạo tính tốn để truy xuất liệu nhiều vùng khác 11 Hình 7: Kiến trúc Akenti 13 Hình 8: Push model 13 Hình 9: GT4 GSI chuẩn sử dụng GSI .20 Hình 10: GSI Implementation 21 Hình 11: CAS 23 Hình 12: Authorization Framework 24 Giới thiệu Nhìn chung, bảo mật IT liên quan đến việc đảm bảo thông tin quan trọng sở hạ tầng liên quan không bị xâm nhập bị đe dọa tác nhân bên Các tác nhân bên ngồi người khơng đủ thẩm quyền truy cập vào thông tin hay sở hạ tầng quan trọng Lưới ngày đề cập đến sử dụng tất lĩnh vực kinh doanh, cơng nghiệp, hàn lâm, phủ Điều có nghĩa bảo mật lưới khía cạnh quan trọng kiến trúc tổng thể sử dụng cho kết cấu hạ tầng quan trọng Trong phạm vi báo cáo xem xét sở lý thuyết bảo mật, yêu cầu thách thức bảo mật môi trường lưới cách bảo mật hệ thống lưới thực tế nào? Cơ sở lý thuyết bảo mật Khi liệu truyền mạng điều đảm bảo liệu đến nơi, không bị hay chỉnh sửa Điều giải cách mã hóa liệu thuật giải xác định chế truyền liệu thông qua giao thức 2.1 Các khái niệm Privacy – tính riêng tư: có người gửi người nhận hiểu thơng điệp trao đổi Integrity – tính tồn vẹn: đảm bảo nội dung nhận xác, khơng bị chỉnh sửa Authentication – xác thực: bên tham gia trình truyền nhận phải xác thực thân họ, thơng qua chế username & password Authorization – cấp quyền: user thực thao tác mà họ gán quyền 2.2 Mã hóa Mã hóa q trình dùng khóa để mã hóa giải mã liệu, khóa mã hóa khóa giải mã có cần giống hay khơng? Có hai phương pháp người ta thường dùng để mã hóa hệ mật khóa đối xứng bất đối xứng Ngồi liên quan đến mã hóa khái niệm digital signature certificate 2.2.1 Symmetric key Hình 1:Mã hóa đối xứng Bên gửi dùng khóa để mã hóa liệu gửi đi, bên nhận dùng khóa để giải mã liệu nhận Khóa có bên gửi bên nhận biết 2.2.2 Asymmetric key Hình 2: Mã hóa bất đối xứng Bên gửi dùng khóa cơng khai bên nhận để mã hóa liệu, bên nhận dùng khóa riêng tư để giải mã liệu gốc 2.2.3 Digital signature Hình 3: Mơ hình chữ ký điện tử đơn giản Mơ hình đơn giản có văn (khơng cần biết mã hóa hay chưa), dùng khóa bí mật ký vào văn Người nhận dùng khóa cơng khai người ký để kiểm tra văn có người gửi hay khơng Hình 4: Mơ hình chữ ký điện tử bảo mật 2.2.4 Certificate Hình 5: Certificate Là dạng văn điện tử mà tích hợp chữ ký điện tử vào để kết hợp việc xác nhận với khóa cơng khai Certificate chứa thành phần: - Khóa cơng khai để ký xác nhận - Tên người sở hữu, tên máy tính tên tổ chức - Thời hạn hiệu lực Những tác động bảo mật lên kịch sử dụng grid tiêu biểu 3.1 Các thuật ngữ liên quan - Grid user: người cần sử dụng tài nguyên - Principal: thực thể (có thể người dùng process) có id xác định muốn sử dụng hay cung cấp tài nguyên - Skateholder : người tổ chức thiết lập policy lên resource - Grid gateway: process mà chấp nhận yêu cầu truy xuất tài nguyên từ xa - Grid resource gateway: process điều khiển việc sử dụng resource - Grid session: hoạt động mà người cụ thể thực suốt thời gian làm việc hệ hống lưới 3.2 Các điều kiện để bắt đầu phiên làm việc lưới - Mỗi user principle có ID xác định hệ thống lưới - Tuy nhiên số tài nguyên cho phép user có local ID truy xuất nên local administrator phải ánh xạ từ Grid ID sang local user ID - Tất ID tạo xác nhận từ nguồn nên chương trình ứng dụng phải đánh giá độ tin cậy authentication server với dịch vụ mà cung cấp 3.3 Các bước cần thực trước user cụ thể tham gia vào phiên làm việc lưới - Đầu tiên thiết lập quyền truy xuất phân phối resource phụ thuộc vào resource owner’s policy System administrator resource quy định policy - Thứ hai sử dụng proxy certificate thay cho Grid ID tính mong muốn hệ thống lưới - Thứ ba thiết lập thông số bảo mật theo phiên làm việc 3.4 Các trường hợp sử dụng cụ thể 3.4.1 Immediate job execution Một user muốn upload số lượng lớn liệu lên hệ thống lưới, liệu sau truy xuất phân tích xử lý Các site tài nguyên lựa chọn agent đại diện cho user, thông thường dịch vụ cung cấp tổ chức khác, “super schedulers” Các yêu cầu bảo mật là: - “super schedulers” tương tác với thành phần Inforamtion Services hệ thống lưới để xác định máy chứa resouce - Nếu user có quyền thực thi máy hệ thống lưới super schedulers trì việc cấp phát tài nguyên cho user - Controlling agent remote job đại diện user gọi super scheduler cần truy xuất tài nguyên - Việc chứng thực user grid gateway phải thực trước job thực thi - Grid gateway phải ánh xạ grid ID sang local ID submit request cho resource gateway để job chạy với quyền user cục - Việc thực thi job cần phải ủy quyền để đọc ghi tập tin từ xa thay cho người sử dụng - Nếu remote job ghi kết lên file file server AFS DFS cần phải có Kerberos ticket 3.4.2 Accessing grid information services Information Services kho lưu trữ thông tin tập trung cho phép xác định dịch vụ trạng thái tính sẵn sàng dịch vụ Nhiều dịch vụ đòi hỏi việc truy cập có điều khiển cẩn thận đến thơng tin liên quan đến dịch vụ mà cung cấp, trạng thái dịch vụ sử dụng dịch vụ Các yêu cầu bảo mật đây: - Việc xác thực phải diễn user information services - Information services phải thực thi sách điều khiển truy cập mong muốn dịch vụ - Việc publish thông tin publisher information services phải đảm bảo tính tồn vẹn tính tin cậy liệu - Auditing use of Grid resources - The site system administrator, the Grid administrator cần theo dõi truy cập vào resource - The stakeholder muốn theo dõi việc sử dụng tài nguyên họ thực sách bảo mật bao gồm sách bảo mật cục để tích hợp vào hệ thống tồn cục Trong trình phát triển kiến trúc bảo mật hệ thống lưới đáp ứng yêu cầu Chúng ta phải thỏa mãn ràng buộc dẫn xuất từ đặc tính mơi trường ứng dụng lưới Single sign-on : Người dùng đăng nhập lần bắt đầu q trình tính toán việc yêu cầu cấp phát tài nguyên, sử dụng tài nguyên, trao trả tài nguyên trình trao đổi nội thực mà không cần đăng nhập lại lần sau Protect of credentials: ủy nhiệm thư người dùng password, khóa riêng… phải bảo vệ Interoperability with local security solutions: Các giải pháp bảo mật cung cấp kỹ thuật việc truy cập vùng cụ thể việc truy cập chịu quản lý sách bảo mật vùng Exportability: khả thực xuất qua nhiều quốc gia Uniform credentials/ certification infrastructure : truy cập vùng yêu cầu mức tối thiểu, cách chung việc biễu diễn định danh yếu tố bảo mật người dùng tài nguyên thực tế Do vậy, cần thiết để dùng chuẩn(như việc áp dụng chuẩn X.509v3) để mã hóa ủy nhiệm thư cho yếu tố bảo mật Support for secure group communication: Một q trình tính tốn bao gồm tập hợp tiến trình hoạt động thành nhóm Sự kết hợp thành nhóm tiến trình thay đổi q trình sống Vì cần bảo đảm giao tiếp bảo mật cho nhóm thay đổi động Hiện chưa có giải pháp bảo mật cụ thể hỗ trợ đặc trưng Support for multiple implementations: Chính sách lưới khơng định kỹ thuật thực cụ thể mà thay vào có khả thực thi sách bảo mật dựa nhiều kỹ thuật bảo mật dựa vào mã hóa khóa cơng cộng khóa chia sẻ Bảo mật hệ thống lưới 5.1 Tình trạng Authentication and Delegation : sử dụng chuẩn X.509, xác thực tên khác chuẩn xác thực chung Delegation single sign-on sử dụng chuẩn proxy X.509 Việc xác thực username password sử dụng chuẩn X.509 Ủy quyền proxy : password khóa cá nhân khơng gửi thông qua network Authorization :  Pull model : gán quyền user điều kiện đặc biệt, ủy quyền quản lý quyền user Hình 7: Kiến trúc Akenti  Push model : quản lý quyền user theo vai trò Quản lý quyền thơng qua administrator trung tâm Hình 8: Push model 5.2 Kiến trúc bảo mật lưới Lưới tính tốn mở rộng linh động, đòi hỏi tài nguyên yêu cầu để giải vấn đề giải phóng chúng khơng cần cần lần tình tốn nhận tài ngun, làm nhân danh người dùng cụ thể Tuy nhiên, không thực tế người dùng tương tác trực tiếp với tài ngun cho mục đích chứng thực số lượng tài nguyên lớn thời gian hoạt động kéo dài Người dùng mong muốn cho phép tính tốn thao tác mà khơng có can thiệp họ khái niệm ủy nhiêm người dùng đưa nhằm thay mặt người dùng Một ủy nhiêm người dùng (user proxy) tiến trình quản lý phiên cho phép đại diện cho người dùng khoảng thời gian giới hạn Một ủy nhiệm người dùng hoạt động đại diện cho người dùng Nó có ủy nhiệm thư riêng Việc lờ nhu cầu phải có người dùng trực tuyến suốt q trình tính tốn việc lờ cầu phải có thẻ ủy nhiệm của người dùng có sẵn cho thao tác bảo mật Hơn nữa, thời gian sống ủy nhiệm điều tiết người dùng giới hạn suốt thời gian tính tốn Trong kiến trúc, định nghĩa thực thể đại diện cho tài nguyên, phục vụ giao diện kiến trúc bảo mật lưới kiến trúc bảo mật cục Một ủy nhiệm tài nguyên(resource proxy) chương trình sử dụng để chuyển đổi thao tác bảo mật phạm vi chế bên phạm vi cục Cho tập chủ thể đối tượng, kiến trúc xác định cách giao thức sử dụng chủ thể đối tượng tương tác Trong định nghĩa giao thức, sử dụng U, R, P để đến người dùng, tài nguyên tiến trình cách tương ứng UP RP ủy nhiệm người dùng, ủy nhiêm tài nguyên Nhiều giao thức sau dựa vào khả xác nhận phần liệu bắt nguồn từ nguồn biết, X, mà khơng có điều chỉnh Chúng ta biết điều kiện văn “ký” X Chúng ta chữ ký số văn text chủ thể X SigX{text} U, R, P User, resource, process UP, RP User proxy, resource proxy CX ủy nhiêm thư chủ thể X SigX{text} văn text ký chủ thể X Vùng tương tác xuất thực thể lưới tính tốn định nghĩa chức hệ thống sở nhiên, dựa vào kinh nghiệm hệ thống lưới nay, giả sử hệ thống lười bao gồm thao tác sau đây:   Cấp phát tài nguyên người dùng Cấp phát tài nguyên tiến trình  Giao tiếp tiến trình cấp phát phạm vi tín thác(phạm vi tín nhiệm) khác Chúng ta sử dụng thuật ngữ cấp phát (allocation) để diễn tả thao tác yêu cầu để cung cấp cho người dùng truy cập đến tài nguyên Trên số hệ thống, điều bao gồm tương tác với lập lịch để nhận giữ chỗ Chúng ta phải định nghĩa giao thức điều khiển tương tác UP-RP, P-RP P-P, U-UP Trong kiến trúc chúng ta, đáp ứng nhu cầu cách cho phép U đăng nhập vào hệ thống lưới, tạo UP sử dụng giao thức UP cấp phát tài nguyên sử dụng giao thức P cấp phát tài nguyên thêm cách trực tiếp sử dụng giao thức Giao thức sử dụng để ánh xạ từ chủ thể toàn cục sang chủ thể cục Sau phần mô tả giao thức chi tiết Giao thức tạo ủy nhiệm người dùng Thực tế, ủy nhiệm người dùng tiến trình đặc biệt khổi động người dùng thi hành số máy cục người dùng Vấn đề giao thức tạo ủy nhiệm người dùng chất ủy nhiệm thư dành cho ủy nhiệm cách ủy nhiệm nhận ủy nhiệm thư Một người dùng cho phép ủy nhiệm hoạt động nhân danh nhờ vào việc cung cấp cho ủy nhiệm ủy nhiệm thư thích hợp( mật khẩu, khóa riêng…) Bộ ủy nhiệm sử dụng ủy nhiệm thư cách trực tiếp Tuy nhiên, cách tiếp cận có bất lợi đáng kể: rủi ro cao ủy nhiệm thư dàn xếp không cho phép giới hạn khoảng thời gian mà ủy nhiệm hoạt động nhân danh ủy nhiệm Thực vậy, ủy nhiệm thư tạm thời, CUP, phát sinh cho ủy nhiệm người dùng Người dùng cấp phép bàng cách gán vào ủy nhiệm thư bí mật C UP bao gồm khoảng thời gian hợp lệ giới hạn khác (ví dụ tên host) Tiến trình thực việc tạo ủy nhiệm người dùng tóm tắt giao thức với kết giao thức này, ủy nhiệm người dùng sử dụng ủy nhiệm thư tạm thời để chứng thực với ủy nhiệm tài nguyên Người dùng truy cập vào máy tính mà ủy nhiệm người dùng tạo cách sử dụng dạng chứng thực sử dụng máy tính Người dùng phát sinh ủy nhiệm thư cho ủy nhiệm người dùng, C UP, cách dùng ủy nhiệm thư họ, CU, để gán dòng thơng tin chứa id người dùng, tên host cục bộ, khoảng thời gian hợp lệ C UP, thông tin khác yêu cầu giao thức chứng thực CUP = SigU{user-id, host, start-time, end-time, auth-info,…} Tiến trình ủy nhiệm người dùng tạo cung cấp C UP Nó tùy thuộc vào sách bảo mật cục để bảo vệ toàn vẹn CUP máy tính mà ủy nhiệm người dùng tồn Giao thức 1: tạo ủy nhiệm người dùng Khái niệm ủy nhiệm người dùng kiến trúc Ví dụ, Kerberos tạo thẻ thời gian sống giới hạn để đại diện cho người dùng Các hệ thống khóa cơng cộng khác sử dụng kỹ thuật tương tự ủy nhiệm thư tạm thời sử dụng để phát sinh giấy chứng nhận có thời gian sống giới hạn dùng để đại diện cho người dùng Sự khác biệt cách mà ủy nhiệm người dùng tương tác với ủy nhiệm tài nguyên để thực việc đăng nhập ủy thác Giao thức cấp phát tài nguyên Trong việc cấp phát tài nguyên chúg ta chia vấn đề thành lớp: cấp phát tài nguyên ủy nhiêm người dùng cấp phát tài nguyên tiến trình Các thao tác tài nguyên điều hành thực thể gọi ủy nhiệm tài nguyên, chịu trách nhiệm việc lập lịch truy cập đến tài nguyên việc ánh xạ q trình tính tốn vào tài ngun Bộ ủy nhiệm tài nguyên sử dụng sau Một ủy nhiệm người dùng yêu cầu truy vập vào tài nguyên xác định định danh ủy nhiệm tài nguyên tài nguyên Sau đó, gửi yêu cầu đến ủy nhiệm tài nguyên thích hợp Nếu yêu cầu thành cơng, tài ngun cấp phát tiến trình tạo tài nguyên Yêu cầu không thành công tài nguyên yêu cầu sẵn (thất bại cấp phat), người dùng không nhận người sử dụng tài nguyên đó(thất bại chứng thực) người dùng khơng có quyền sử dụng tài nguyên chế độ yêu cầu (thất bại cấp quyền) Tùy thuộc vào chất tài nguyên sách cục bộ, việc cấp phép(authorization) kiểm tra thời điểm cấp phát tài nguyên thời điểm tạo tiến trình bỏ qua không cần phải kiểm tra Chúng ta định nghĩa giao thức chế dùng để gửi yêu cầu đến ủy nhiêm tài nguyên từ ủy nhiệm người dùng Việc xác nhận bước yêu cầu việc ánh xạ thẻ ủy nhiệm thư người dùng vào mã số người dùng cục tên tài khoản sách ủy nhiệm tài nguyên kiểm tra cho việc cấp phép thời điểm cấp phát tài nguyên Một cách khác việc kiểm tra cấp phép hỗn lại thời điểm tạo tiến trình Cơ chế ánh xạ đề cập phần 5.4 Giao thức tạo ủy nhiệm thư cho tiến trình tạo mới, ủy nhiệm thư này, C P, cho tiến trình khả chứng thực khả xác định người dùng đại diện cho tiến trình tạo Một yêu cầu cấp phát tài nguyên làm nảy sinh việc tạo nhiều tiến trình tài nguyên xa(remote resource) Chúng ta gán cho tất tiến trình ủy nhiệm thư Một thuận lợi định tình người dùng cấp phát tài nguyên máy tính song song, khả co giãn nâng lên Bất lợi sử dụng thẻ ủy nhiệm để phân biệt hai tiến trình khởi động tài nguyên yêu cầu cấp phát Tuy nhiên, đặc trưng thường không thực tế Sự tồn ủy nhiệm thư tiến trình cho phép thi hành nhiều giao thức thêm mà giao thức cho phép tiến trình điều khiển truy cập đến thao tác giao tiếp tới sở chủ thể Ví dụ tiến trình sử dụng ủy nhiệm thư tiến trình để chúng thực việc gửi tiến trình đến tiến trình đích, thỏa thuận khóa phiên ký tất giao tiếp điểm nối điểm… Bộ ủy nhiệm người dùng ủy nhiệm tài nguyên chứng thực sử dụng C UP CRP Như phần tiến trình này, ủy nhiệm tài nguyên kiểm tra để đảm bảo ủy nhiệm thư cua ủy nhiệm người dùng chưa hết hạn Bộ ủy nhiệm người dùng trình diện ủy nhiệm tài nguyên yêu cầu dạng Sig UP{các đặc tả cấp phát} Bộ ủy nhiệm tài nguyên kiểm tra xem người dùng gán ủy nhiệm thư ủy nhiệm có cho phép sách cục để thực yêu cầu cấp phát hay không Nếu yêu cầu chấp thuận ủy nhiệm tài nguyên tạo dòng RESOURCECREDENTIALS chứa tên người dùng cấp phát tài nguyên, tên tài nguyên… Bộ ủy nhiệm tài nguyên chuyển RESOURCE-CREDENTIALS cách bí mật đến ủy nhiệm người dùng Bộ ủy nhiệm người dùng kiểm tra yêu cầu RESOURCE-CREDENTIALS, đồng ý, ký vào dòng để sinh CP, ủy nhiệm thư cho tài nguyên yêu cầu Bộ ủy nhiệm người dùng chuyển CP cách bí mật đến ủy nhiệm tài nguyên Bộ ủy nhiệm tài nguyên cấp tài nguyên chuyển cho tiến trình CP Giao thức 2: cấp phát tài nguyên Cấp phát tài nguyên từ giao thức tiến trình Trong việc cấp phát tài nguyên từ ủy nhiệm người dùng cần thiết với việc khởi động tính tốn trường hợp thường xuyên việc cấp phát tài nguyên kích hoạt động từ tiến trình tạo thơng qua u cầu cấp phát tài ngun trước Giao thức định nghĩa trình mà việc thực Tiến trình ủy nhiệm người dùng chứng thực sử dụng CP CUP Tiến trình gửi yêu cầu xác nhận đến ủy nhiệm người dùng với dạng SigP{“cấp phát”, “các tham số yêu cầu cấp phát”} Nếu ủy nhiệm người dùng đồng ý với yêu cầu, khởi động yêu cầu cấp phát tài nguyên đến ủy nhiệm tài nguyên xác định sử dụng giao thức Kết thẻ tiến trình gán ủy nhiệm người dùng trả cho tiến trình yêu cầu Giao thức 3: cấp phát tài nguyên từ tiến trình người dùng Kỹ thuật thiếu khả co giãn việc phụ thuộc vào ủy nhiệm người dùng để chuyển yêu cầu đến ủy nhiệm tài nguyên Tuy nhiên, giao thức có thuận lợi tính đơn giản khả lý tốt Cân nhắc việc cho phép tiến trình cấp phát tài nguyên nhiều tạo tiến trình khác Điều có hai giới hạn:  Người dùng phải mã hóa nhúng sách quyền vào tiến trình để hỗ trợ điều kiện riêng cho việc cấp phát tài nguyên  Một lỗ hổng bảo mật dàn xếp phía xa gây việc cấp phát tài nguyên gian lận nguy hiểm cho người sử dụng không chứng thực Giao thức ánh xạ đăng ký Một thành phần trung tâm sách bảo mật kiến trúc kết tồn ánh xạ chủ thể toàn cục chủ thể cục tương ứng Chúng ta thực việc chuyển đổi từ tên toàn cục(vé giấy chứng nhận) sang tên cục bộ(tên đăng nhập mã số người dùng) cách truy cập vào bảng ánh xạ trì ủy nhiệm tài nguyên Trong bảng ánh xạ tạo người quản trị hệ thống, cách tiếp cận gây gánh nặng quản trị gây lỗi phát triển kỹ thuật cho phép việc ánh xạ thêm người dùng Ý tưởng kỹ thuật này, biểu diễn giao thức 4, cho người dùng chứng minh giữ ủy nhiệm thư cho hai chủ thể toàn cục chủ thể cục điều hoàn thành cách chứng thực mức toàn cục chứng thực trực tiếp đến tài nguyên việc sử dụng phương pháp chứng thực cục Người dùng sau xác nhận ánh xạ ủy nhiệm thư toàn cục cục xác nhận thực thông qua ủy nhiệm tài ngun vị trí chấp nhận ủy nhiệm thư toàn cục ủy nhiệm thư cục 1a ủy nhiệm người dùng chứng thực với ủy nhiệm tài nguyên 1b ủy nhiệm người dùng đưa yêu cầu xác nhận MAP-SUBJECT-UP đến ủy nhiệm tài nguyên, cung cấp tham số cho tên toàn cục tên chủ thể tài nguyên 2a người dùng nhập vào tài nguyên sử dụng phương thức chứng thực tài nguyên khởi động tiến trình đăng ký ánh xạ 2b tiến trình đăng ký ánh xạ đưa yêu câu MAP-SUBJECT-P đến ủy nhiệm tài nguyên, cung cấp cac thâm số cho tên toàn cục tên chủ thể tài nguyên Bộ ủy nhiệm tài nguyên đợi cho yêu cầu MAP-SUBJECT-UP MAP-SUBJECT-P với tham số trùng khớp Bộ ủy nhiệm tài nguyên đảm bảo tiến trình ký ánh xạ thuộc chủ thể tài nguyên xác định yêu cầu ánh xạ Nếu trùng khớp xảy ra, ủy nhiệm tài nguyên thiết lập ánh xạ gửi thừa nhận đến tiến trình đăng ký ánh xạ ủy nhiệm người dùng Nếu trùng khớp không xảy MAP-TIMEOUT, ủy nhiệm tài nguyên làm yêu cầu chưa xử lý gửi thừa nhận đến thực thể đợi Nếu thừa nhận không nhận MAP-TIMEOUT, yêu cầu xem lỗi Giao thức 4: việc ánh xạ toàn cục đến định danh cục Grid Security thực tế - GSI Globus Toolkit (GT) phần mềm mã nguồn mở sử dụng rộng rãi ứng dụng tính tốn lưới Trong chương này, thảo luận component cung cấp dịch vụ bảo mật GT4: Grid Security Infrastructure (GSI) để tìm hiểu GSI thực yêu cầu grid security thực tế 6.1 Các tính GSI Như nêu, Grid Security Infrastructure (GSI) component chịu trách nhiệm cung cấp dịch vụ bảo mật GT4 GT GSI sử dụng để kết nối, chuyển đổi chế bảo mật khác grid GSI hỗ trợ [Globus2005], [GGF14]:  Các chế ủy nhiệm (delegation) phân phối sách  Sự chuyển đổi từ chế bảo mật khác qua GSI ngược lại  Chuyển đổi từ định danh GSI sang định danh máy cục việc kiểm tra quyền hạn (authorization)  Hỗ trợ kỹ thuật PKI (Public Key Infrastructure) chuẩn  Các liên kết tin tưởng trust relationships chiều, đơn giản (light-weight) site thông qua CAs  Giao thức SSL WS-Security việc xác thực (authentication) bảo vệ thông điệp  X.509 Certificates xác nhận định danh người dùng, dịch vụ,…  Proxy Certificates ủy nhiệm (delegation), single sign-on  Điều khiển việc truy cập vào dịch vụ chia sẻ việc quản lý tự động policy khác work-group khác  Hỗ trợ cộng tác nhiều người dùng thông qua việc tổ chức liên kết dịch vụ tin tưởng lẫn policy rule cục authority  Cho phép người dùng cộng đồng ứng dụng thiết lập trust domain động; tập hợp tài nguyên nhân/VO hợp tác với dựa tin tưởng lẫn người dùng/VO 6.2 Các thành phần GSI GT4.0 hỗ trợ hai mức security:  Message-level security: hỗ trợ chuẩn WS-Security đặc tả WSSecureConversation việc bảo vệ SOAP messages  Transport-level security: hỗ trợ authentication thông qua TLS (Transport Layer Security) X.509 proxy certificate Tuy nhiên, thực message-level security GT4 có performance thấp Nguyên nhân phần phần thực Mặt khác, thực GT4 GSI, đặc tả WSSecureConversation chưa hồn chỉnh nhiều thiếu sót Do đó, transport-level security dùng mặc định GT4 GSI GSI bao gồm chức chính: message protection, authentication, delegation, authorization Trong đó:  TLS (transport-level) WS-Security WS-SecureConversation (message-level) dùng chung với SOAP cho chế message protection  X.509 End Entity Certificates Username Password dùng cho authentication credentials  Delegation sử dụng X.509 Proxy Certificates WS-Trust  Authorization dùng SAML assertions Hình 9: GT4 GSI chuẩn sử dụng GSI Hình 10: GSI Implementation 6.2.1 Message Protection 6.2.1.1 Transport-level Security GT4 áp dụng chuẩn SOAP (Simple Object Access Protocol) cho message giao tiếp Message protection bảo đảm mức transport-level security việc gửi nhận SOAP message TLS – giao thức mạng cung cấp tính tồn vẹn tính bí mật cho gói tin Transport-level security thường sử dụng kết hợp với X.509 credentials cho authentication, dùng riêng cho message protection mà không cần authentication chế độ anonymous transport-level security Khi đó, kết nối cần phải xác thực, việc authentication thực cách khác dùng username/password SOAP message 6.2.1.2 Message-level Security SOAP cho phép áp dụng định cụ thể ứng dụng lên payload Do đó, GSI áp dụng security (như chữ ký số, integrity, mã hóa) cách quán cho message SOAP ứng dụng, component GT4 Web service-based Để thực message protection cho message SOAP, GSI sử dụng chuẩn WSSecurity đặc tả WS-SecureConversation Tuy nhiên, SecureConversation GSI phải dùng chung với X.509 credential authentication Ngoài X.509 credential, WS-Security GSI sử dụng username/password cho authentication 6.2.2 Authentication Delegation GSI hỗ trợ authentication delegation thông qua việc sử dụng X.509 Certificates public keys GT4 GSI hỗ trợ việc authentication username/passwords q trình triển khai có chọn lựa chọn 6.2.2.1 X.509 Credentials GSI dùng X.509 end entity certificates (EECs) để nhận dạng thực thể không đổi người sử dụng dịch vụ GSI hỗ trợ việc ủy quyền single sign-on thông qua X.509 Proxy Certificates [GT4GSI] Proxy certificate cho phép X.509 EECs tạm thời ủy quyền đến thực thể khác Với mục đích authentication authorization, GSI xem EECs Proxy Certificates Authentication với X.509 Credential thực TLS transport-level security, thông qua signature theo chuẩn WS-Security message-level security a X.509 Proxy Certificate Types GT hỗ trợ ba loại Proxy Certificate:  Old: bao gồm proxy certificate có trước RFC 3820 đời  GT4 Default: bao gồm proxy tuân theo định dạng RFC 3820, ngoại trừ việc chúng sử dụng OID riêng (1.3.6.1.4.1.3536.1.222) phần mở rộng ProxyCertInfo  Fully RFC 3820 compliant: bao gồm proxy tuân theo định dạng RFC 3820 cách tuyệt đối b Delegation Dịch vụ ủy quyền GT4 cung cấp interface dựa đặc tả WS-Trust, cho phép client ủy quyền (xóa bỏ thay mới) X.509 proxy certificate đến dịch vụ Khi ủy quyền từ Proxy Certificate, loại proxy ủy quyền luôn giống với loại proxy khởi tạo Dịch vụ ủy quyền đồng thời hỗ trợ chế single sign-on, cho phép người dùng tự động gán định danh quyền vào dịch vụ 6.2.3 Authentication với Username Password GSI sử dụng Username/Password để định danh WS-Security Tuy nhiên, việc dùng username password lại đối nghịch với X.509 credential Do đó, dùng Username/Password, GSI cung cấp chế định danh, khơng hỗ trợ tính bảo mật khác ủy quyền, tính bí mật, tính tồn vẹn, hay ngăn chặn việc replay Việc dùng username/password sử dụng anonymous transport-level security 6.2.1.1, TLS không thực việc xác thực 6.2.4 Authorization Ngoài việc dùng grid-mapfile để điều khiển truy cập dựa danh sách định danh người dùng hợp lệ, GT4 GSI sử dụng chuẩn SAML (Security Association Markup Language) OASIS SAML định nghĩa định dạng số loại security assertion giao thức để retrieving assertion SAML AuthorizationDecision assertion GSI dùng theo hai cách:  Community Authorization Service (CAS) tạo SAML AuthorizationDecision assertion phương tiện giao tiếp quyền CAS clien với service  GSI sử dụng callout định nghĩa GGF dựa giao thức SAML AuthorizationDecision phép sử dụng dịch vụ authorization decision third party (chẳng hạn PERMIS) cho yêu cầu access control đến GT4-based 6.2.4.1 Community Authorization Service (CAS) Community Authorization Service (CAS) component giúp trả lời cho câu hỏi để cộng đồng lớn có nhiều người tham gia cấp quyền cho người dùng truy cập vào tập số lượng lớn tài nguyên CAS outsource policy admin cho VO sub-domain, đồng thời cho phép thực fine-grained policy Các resource owner thiết lập course-grained policy rule cho foreign domain dựa “CAS-identity” CAS thiết lập policy rule cho local user Các requestor nhận khả từ local CAS, nơi phép sử dụng tài ngun Hình 11: CAS 6.2.4.2 Mơ hình xử lý authorization (Authorization Processing Model - APD) Authorization Processing Model sử dụng khái niệm trừu tượng Policy Decision Point (PDP) tương tự định nghĩa XACML OASIS (eXtensible Access Control Markup Language, ngôn ngữ khai báo access control policy XML đưa mô hình diễn dịch policy đó) nhằm bình thường hóa ngữ cảnh yêu cầu định dạng decision PDP xem hộp đen xử lý định authorization Sau validation, tất attribute assertion map vào XACML Request Context Attribute format APD tạo instance PDP cụ thể cho authorization assertion call-out service Các instance tạo thành PDP instance hình vẽ bên Hình 12: Authorization Framework Master-PDP xếp việc truy vấn PDP instance thích hợp cho authorization decision Các rule định nghĩa trước xác định cách kết hợp kết trả từ PDP instance để tạo decision Master-PDP định authorization decision dựa quyền hạn ủy thác mà không cần hỗ trợ từ native policy language evaluator cách tường minh 6.2.5 Các thành phần hỗ trợ khác GSI 6.2.5.1 Kerberos to GSI Gateway Kerberos-to-GSI gateway gồm hai loại:  Kx509/KCA dùng để chuyển đổi Kerberos credential sang GSI credential nhằm cho phép người dùng Kerberos mạng cục authenticate Grid  Sslk5/pkinit dùng cho mục đích ngược lại (chuyển đổi Grid credential sang Kerberos credential cục 6.2.5.2 Portal-based Grid Interface - PURSE PURSE CGI script quản lý tự động user registration request gồm script tạo certificate request from CA, admin interface cho phép người quản trị CA chấp nhận từ chối request, tạo certificate lưu trữ MyProxy service, cung cấp user ID/password cho MyProxy PURSE giúp người dùng thoát khỏi việc deal certificate, quản lý credential, tự động truy xuất user cert từ MyProxy cần thiết, 6.2.5.3 MyProxy MyProxy công cụ hỗ trợ việc chuyển đổi credential từ username/passphrase vào GSI, cho phép người dùng lưu trữ truy xuất GSI credential MyProxy hỗ trợ quản lý việc renew credential ứng dụng/dịch vụ có thời gian chạy lâu 6.3 GSI bảo mật grid GSI thực yêu cầu bảo mật grid bảo vệ tính tồn vẹn bí mật kênh truyền, thực chế phân quyền, ủy quyền Tuy nhiên, authorization mức độ đơn giản X.509 Proxy End Entity Certificates backbone authentication delegation Tài liệu tham khảo [Globus2005] Siebenlist, F and Welch, V., Grid Security: The Globus Perspective, GlobusWORLD, 2005, Feb 2005, Boston, MA [GGF14] Foster, I., GGF14 Workshop: GT4 Status and Experiences, http://www.gridbus.org/escience/051205GlobusTutorialeScience.ppt [GT4GSI] Welch, V., et al., Globus Toolkit Version Grid Security Infrastructure: A Standards Perspective, September 2005 Globus Security Team, Globus Toolkit Version Grid Security Infrastructure: A Standards Perspective R Ananthakrishnan, Grid Security: Principles and Practice Marty Humphrey, Mary R Thompson: Security Implications of Typical Grid Computing Usage Scenarios, 2002 Jong Kim: Grid Security Authentication and Authorization, IFIP-Workshop 2/7/05 Ian Foster, Carl Kessekan, Gene Tsudik, Steven Tueckel : A Security Architecture for Computational Grids Internet