• Zielgruppen
  • Suche
 

Proxy Auditing

Einleitung

Single-Sign On (SSO) und eine Möglichkeit zur Delegation von Nutzerrechten sind in aktuellen Grid-Infrastrukturen wichtige Grundvoraussetzungen. Im D-Grid sowie in anderen Grids werden diese Voraussetzungen mittels einer X.509 Private-Key Infrastructure (PKI) und der Nutzung von Proxyzertifikaten umgesetzt.

Diese Proxyzertifikate sind jedoch ein leichtes Ziel für Angriffe durch unautorisierte Dritte, die die Zertifikate nebst den zugehörigen privaten Schlüsseln z.B. von gecrackten Compute-Ressourcen kopieren und während ihrer Gültigkeitsdauer beliebig weiternutzen können. Dieser Mißbrauch kann momentan vom Endnutzer oder Administrator nicht erkannt werden, da keine Informationen über die Nutzung der Proxy-Credentials vorliegen.

Das Projekt "Proxy Auditing" modifiziert die Grid Security Infrastructure (GSI), die aktuellen Grid-Toolkits (gLite, Globus) zugrunde liegt, um Nutzungsinformationen (sog. Audit Trails) an einen Web Service zu melden, der diese Informationen persistent speichert. So können Grid-Nutzer nachvollziehen, wo und zu welchem Zweck Ableitungen ihrer Proxyzertifikate angelegt wurden. Mit einer geeigneten Visualisierung, die ebenfalls im Rahmen dieses Projekts entwickelt werden soll, kann der Weg eines Proxy-Credentials durch eine Grid-Infrastruktur nachvollzogen werden.

Komponenten des Auditing-Systems

Das System zum Proxy-Auditing basiert auf den folgenden Schlüsselkomponente

  1. Eine neue X.509-Zertifikatserweiterung, die während der Ableitung des ersten Proxy-Credentials im Zertifikat eingefügt wird. Der Nutzer kann (per Kommandozeilenoption für das grid-proxy-init-Tool) wählen, ob ein Credential audited werden soll oder nicht - diese Entscheidung wird mittels einer X.509 Extension im Proxy-Zertifikat unfälschbar kommuniziert.
    Durch Modifikationen an den GSI-Bibliotheken (etwa dem Globus Java WS-Core) erkennen die Sicherheitskomponenten in Grid-Infrastrukturen die Auditing-Extension automatisch und führen bei Bedarf die relevanten Informationen an den Auditing Service ab.
  2. Der Auditing Service ist ein WSRF-konformer Web Service auf Basis eines Globus Containers, der die Auditing-Callouts von Grid-Komponenten empfängt und weiterverarbeitet. Er speichert die "Audit Trails" in eine
  3. Back-End-Datenbank, die persistent alle Auditing-Informationen (bei Bedarf auch pseudo- oder anonymisiert) vorhält.
  4. Ein Front-End für den Nutzer bereitet alle Informationen so auf, daß jeder Endnutzer die für ihn relevanten Informationen leicht verständlich einsehen kann. Auch hier gelten die Grid-üblichen Authentifizierungs- und Autorisierungsmechanismen.

Ein optionaler OCSP Responder (wie er etwa vom Projekt OGRO implementiert wurde) kann genutzt werden, um mißbräuchlich genutzte Proxy-Credentials ungültig zu machen. Die "Revocation" von Proxy-Credentials wird jedoch momentan in keiner Grid-Infrastruktur unterstützt.

Veröffentlichungen

  • Kunz, C.; Wiebelitz, J.; Piger, S.; Grimm, C., "A Concept for Grid Credential Lifecycle Management and Heuristic Credential Abuse Detection," Networking and Services, 2009. ICNS '09. Fifth International Conference on , vol., no., pp.505-510, 20-25 April 2009
  • Kunz, C., Wiebelitz, J., Piger, S., Grimm, C., "A Concept for Grid Credential Lifecycle Management and heuristic Credential Abuse Detection", Parallel and Distributed Computing, 2009, 8th International Symposium on, pp. 245 - 248 (short paper)
    DOI: 10.1109/ISPDC.2009.28
  • Kunz, C.; Szongott, C.; Wiebelitz, J.; Grimm, C., "Design and Implementation of a Grid Proxy Auditing Infrastructure", 5th IEEE International Conference on eScience (accepted paper)
  • Christopher Kunz(2011): Ein Konzept zur Überwachung und Mißbrauchserkennung bei Grid-Proxy-Credentials, Prüfer: M. Smith, G. Von Voigt, B. Freisleben, Dissertation