Konferenz 2009/GDI Sicherheit: Unterschied zwischen den Versionen
Keine Bearbeitungszusammenfassung |
Keine Bearbeitungszusammenfassung |
||
| Zeile 3: | Zeile 3: | ||
Dieser Vortrag führt in die Fragestellung des differenzierten und gesicherten Zugriffs auf Dienste einer GDI über Geoportal-Technologie ein und zeigt an Beispielen die Umsetzung. | Dieser Vortrag führt in die Fragestellung des differenzierten und gesicherten Zugriffs auf Dienste einer GDI über Geoportal-Technologie ein und zeigt an Beispielen die Umsetzung. | ||
== Zusammenfassung == | |||
Die Standards des OGC definieren derzeit noch keine Schnittstellen oder Spezifikationen, die genutzt werden können, um den Zugriff auf Geodaten nach Benutzern zu differenzieren. Es gibt bereits einige Ansätze, die oft sehr komplexe Funktionalität bieten aber nicht interoperabel und damit nicht in verteilten Architekturen einsetzbar sind. Geoportale bündeln die Schnittstellen zu Geodaten-Diensten und eignen sich deshalb optimal, um den nach Benutzern differenzierten Zugriff zu verwalten. Im Verbund mit allgemeiner IT-Sicherheit bieten sie eine technisch sichere Umgebung für die Bereitstellung von Geodaten über Internet-Technologie. | Die Standards des OGC definieren derzeit noch keine Schnittstellen oder Spezifikationen, die genutzt werden können, um den Zugriff auf Geodaten nach Benutzern zu differenzieren. Es gibt bereits einige Ansätze, die oft sehr komplexe Funktionalität bieten aber nicht interoperabel und damit nicht in verteilten Architekturen einsetzbar sind. Geoportale bündeln die Schnittstellen zu Geodaten-Diensten und eignen sich deshalb optimal, um den nach Benutzern differenzierten Zugriff zu verwalten. Im Verbund mit allgemeiner IT-Sicherheit bieten sie eine technisch sichere Umgebung für die Bereitstellung von Geodaten über Internet-Technologie. | ||
| Zeile 11: | Zeile 11: | ||
Der Vortrag RESTful WebServices und die ROA enthält Grundlagen, die den Aufbau von Diensten für ein gesichertes Geoportal erleichtern. | Der Vortrag RESTful WebServices und die ROA enthält Grundlagen, die den Aufbau von Diensten für ein gesichertes Geoportal erleichtern. | ||
== Standardisierte Geodaten-Dienste == | |||
Geodaten werden zunehmend über Dienste bereitgestellt. Je nach Art und Umfang der Daten erfolgt die Bereitstellung oft mit unterschiedlicher Software. Wenn mehrere Datenquellen bereitgestellt und überlagert genutzt werden sollen, kommen herstellerunabhängige, interoperable Standards des Open Geospatial Consortium (OGC) zum Einsatz. Das entstehende Konglomerat von Diensten und Anwendungen funktioniert unabhängig voneinander als verteilte Geodateninfrastruktur (GDI). Die Architektur bleibt dadurch ausbaufähig und kann flexibel für verschiedenste Anwendungen genutzt werden. | Geodaten werden zunehmend über Dienste bereitgestellt. Je nach Art und Umfang der Daten erfolgt die Bereitstellung oft mit unterschiedlicher Software. Wenn mehrere Datenquellen bereitgestellt und überlagert genutzt werden sollen, kommen herstellerunabhängige, interoperable Standards des Open Geospatial Consortium (OGC) zum Einsatz. Das entstehende Konglomerat von Diensten und Anwendungen funktioniert unabhängig voneinander als verteilte Geodateninfrastruktur (GDI). Die Architektur bleibt dadurch ausbaufähig und kann flexibel für verschiedenste Anwendungen genutzt werden. | ||
| Zeile 17: | Zeile 17: | ||
Die in GDI verwendeten Dienst-Standards des OGC definieren die technische Schnittstelle zwischen Client und Server, z.B. OGC WMS für Kartenbilder und OGC WFS für den Zugriff auf vektorielle Geodaten (Geometriedaten). Auch wenn diese Schnittstellen aus heutiger Sicht anders implementiert werden müssten bieten sie derzeit dennoch den kleinsten, gemeinsamen Nenner, auch um Anwendungen, die auf verteilte Dienste zugreifen zu sichern. | Die in GDI verwendeten Dienst-Standards des OGC definieren die technische Schnittstelle zwischen Client und Server, z.B. OGC WMS für Kartenbilder und OGC WFS für den Zugriff auf vektorielle Geodaten (Geometriedaten). Auch wenn diese Schnittstellen aus heutiger Sicht anders implementiert werden müssten bieten sie derzeit dennoch den kleinsten, gemeinsamen Nenner, auch um Anwendungen, die auf verteilte Dienste zugreifen zu sichern. | ||
== Metadaten über Geodaten-Dienste == | |||
So entsteht eine durchaus sinnvolle Vielfalt von Diensten unterschiedlicher Hersteller, die durch standardisierte Metadatensätze beschrieben werden. Um die Verwaltung zu vereinfachen werden diese Metadatensätze katalogisiert. Diese Metadatenkataloge werden als Basis für die Recherche und Suche nach Geodaten verwendet. Zusammen mit Metadatenkatalogen anderer GDI bilden sie einen Verbund über den Geodaten und Dienste ausgetauscht und gemeinsam genutzt werden können. Diese Infrastruktur wird organisatorisch durch politische Initiativen wie z.B. die GDI-DE auf Bundesebene oder INSPIRE auf europäischer Ebene unterstützt. | So entsteht eine durchaus sinnvolle Vielfalt von Diensten unterschiedlicher Hersteller, die durch standardisierte Metadatensätze beschrieben werden. Um die Verwaltung zu vereinfachen werden diese Metadatensätze katalogisiert. Diese Metadatenkataloge werden als Basis für die Recherche und Suche nach Geodaten verwendet. Zusammen mit Metadatenkatalogen anderer GDI bilden sie einen Verbund über den Geodaten und Dienste ausgetauscht und gemeinsam genutzt werden können. Diese Infrastruktur wird organisatorisch durch politische Initiativen wie z.B. die GDI-DE auf Bundesebene oder INSPIRE auf europäischer Ebene unterstützt. | ||
=== Schutz vor unberechtigtem Zugriff == | |||
In den Schemata der Metadaten sind bereits Strukturen enthalten, die für einen Zugriffsschutz verwendet werden könnten, bisher jedoch nur als Platzhalter. Alle derzeit am Markt verfügbaren technischen Lösungen, die den Zugriff auf Dienste kontrollieren, sind deshalb Individuallösungen, da die Standards des OGC keine weitere Differenzierung nach Benutzern ermöglichen | Der erste Schritt beim Aufbau einer sicheren Lösung ist der Schutz vor unberechtigtem Zugriff. Hierfür muss der direkte Zugriff des Endbenutzers auf den Dienst zunächst unterbunden werden. In den Schemata der Metadaten sind bereits Strukturen enthalten, die für einen Zugriffsschutz verwendet werden könnten, bisher jedoch nur als Platzhalter. Alle derzeit am Markt verfügbaren technischen Lösungen, die den Zugriff auf Dienste kontrollieren, sind deshalb Individuallösungen, da die Standards des OGC keine weitere Differenzierung nach Benutzern ermöglichen. | ||
Der Schutz vor unberechtigtem Zugriff muss deshalb mit Methoden der allgemeinen IT erfolgen (in NCSA-kompatiblen Servern wie Apache zum Beispiel über [http://de.wikipedia.org/wiki/Htaccess htaccess). Für den Transport der Daten kommen bewährte Verschlüsselungstechniken zum Einsatz, zum Beispiel [http://de.wikipedia.org/wiki/Hypertext_Transfer_Protocol_Secure HTTPS]] (Hypertext Transfer Protocol Secure). | |||
Die Bestätigung der Identität eines Benutzers erfolgt bei der Anmeldung in Authentifizierungssystemen, auch hier steht bewährte Technologie zur Verfügung zum Beispiel [http://de.wikipedia.org/wiki/HTTP-Authentifizierung HTTP-Authentifizierung]. | |||
== Benutzerverwaltung == | |||
Neben der Authentifizierung wird eine Benutzerverwaltung benötigt, welche die Berechtigung eines Benutzers (die Autorisierungsdaten) regelt. Diese Autorisierungsdaten müssen in speziellen, eigenen System erfolgen, da es keine herkömmlichen Standard-IT Strukturen gibt in denen solche Informationen verwaltet und abgelegt werden können. Die Vielzahl unterschiedlicher Technologien und Architekturen macht es unmöglich jeden Dienst mit einer eigenen Benutzerverwaltung auszustatten, die Wartbarkeit würde ebenfalls unmöglich. | |||
== Zugriffe gestatten und protokollieren == | |||
Um Dienste in einer offen standardisierten GDI sowohl zu verwalten als auch zu schützen, eignen sich am besten webbasierte Geoportale, die bereits für die Dienste-Metadatenverwaltung genutzt werden. Durch vorgeschaltete Fassaden können sie auch verteilte Dienste unterschiedlicher Hersteller zentral schützen und ermöglichen einen differenzierten Zugriff. Alle Zugriffe auf einen Dienst, der geschützt werden muss, erfolgen nur noch durch die Fassade. Dabei können alle Benutzerinteraktionen protokolliert werden, wenn dies eine Anforderung ist, z.B. bei personenbezogenen Daten einer öffentlichen Verwaltung. | Um Dienste in einer offen standardisierten GDI sowohl zu verwalten als auch zu schützen, eignen sich am besten webbasierte Geoportale, die bereits für die Dienste-Metadatenverwaltung genutzt werden. Durch vorgeschaltete Fassaden können sie auch verteilte Dienste unterschiedlicher Hersteller zentral schützen und ermöglichen einen differenzierten Zugriff. Alle Zugriffe auf einen Dienst, der geschützt werden muss, erfolgen nur noch durch die Fassade. Dabei können alle Benutzerinteraktionen protokolliert werden, wenn dies eine Anforderung ist, z.B. bei personenbezogenen Daten einer öffentlichen Verwaltung. | ||
== Integration in bestehende Systeme == | |||
In den meisten Organisationen wurden bereits Identitätsmanagement-Systeme aufgebaut, diese müssen mit der Geoinformationstechnologie integriert werden, um eine redundante Pflege dieser kritischen Infrastrukturdaten zu vermeiden. Diese Systeme zur Benutzerverwaltung, Anmeldung und Zugriffsberechtigung in Domänen wurden unabhängig von den Anforderungen einer GDI aufgebaut und können deshalb meist nicht grundsätzlich geändert werden, da sie in produktiven Umgebungen im täglichen Einsatz sind. Es muss deshalb eine Integration erfolgen, entweder durch die direkte Kopplung des Geoportals mit dem bestehenden Authentisierungssystem oder durch ein Rollenkonzept, das einfacher implementiert werden kann, aber nicht die gleiche, feine Granularität bietet. | In den meisten Organisationen wurden bereits Identitätsmanagement-Systeme aufgebaut, diese müssen mit der Geoinformationstechnologie integriert werden, um eine redundante Pflege dieser kritischen Infrastrukturdaten zu vermeiden. Diese Systeme zur Benutzerverwaltung, Anmeldung und Zugriffsberechtigung in Domänen wurden unabhängig von den Anforderungen einer GDI aufgebaut und können deshalb meist nicht grundsätzlich geändert werden, da sie in produktiven Umgebungen im täglichen Einsatz sind. Es muss deshalb eine Integration erfolgen, entweder durch die direkte Kopplung des Geoportals mit dem bestehenden Authentisierungssystem oder durch ein Rollenkonzept, das einfacher implementiert werden kann, aber nicht die gleiche, feine Granularität bietet. | ||
== Beispiele mit gesicherten Diensten == | |||
Der Vortrag zeigt die Technologie vor gesicherten OGC WMS und WFS-Diensten unterschiedlicher | Der Vortrag zeigt die Technologie vor gesicherten OGC WMS und WFS-Diensten mit unterschiedlicher Technologie und gibt einen Einblick in die Granularität der Zugriffskontrolle. Es wird die Leistung (Geschwindigkeit) und Stabilität der so entstehenden Fassaden beleuchtet und ein Ausblick auf die kommenden Anforderungen von INSPIRE gegeben. Am Beispiel des [http://www.geoportal.rlp.de Geoportal-RLP] wird ein Dienst geladen und für berechtigte Benutzer bereitgestellt. | ||
== Links == | == Links == | ||
Version vom 18. März 2009, 11:19 Uhr
- Referent
- Arnulf Christl
Dieser Vortrag führt in die Fragestellung des differenzierten und gesicherten Zugriffs auf Dienste einer GDI über Geoportal-Technologie ein und zeigt an Beispielen die Umsetzung.
Zusammenfassung
Die Standards des OGC definieren derzeit noch keine Schnittstellen oder Spezifikationen, die genutzt werden können, um den Zugriff auf Geodaten nach Benutzern zu differenzieren. Es gibt bereits einige Ansätze, die oft sehr komplexe Funktionalität bieten aber nicht interoperabel und damit nicht in verteilten Architekturen einsetzbar sind. Geoportale bündeln die Schnittstellen zu Geodaten-Diensten und eignen sich deshalb optimal, um den nach Benutzern differenzierten Zugriff zu verwalten. Im Verbund mit allgemeiner IT-Sicherheit bieten sie eine technisch sichere Umgebung für die Bereitstellung von Geodaten über Internet-Technologie.
Vortrag
Der Vortrag RESTful WebServices und die ROA enthält Grundlagen, die den Aufbau von Diensten für ein gesichertes Geoportal erleichtern.
Standardisierte Geodaten-Dienste
Geodaten werden zunehmend über Dienste bereitgestellt. Je nach Art und Umfang der Daten erfolgt die Bereitstellung oft mit unterschiedlicher Software. Wenn mehrere Datenquellen bereitgestellt und überlagert genutzt werden sollen, kommen herstellerunabhängige, interoperable Standards des Open Geospatial Consortium (OGC) zum Einsatz. Das entstehende Konglomerat von Diensten und Anwendungen funktioniert unabhängig voneinander als verteilte Geodateninfrastruktur (GDI). Die Architektur bleibt dadurch ausbaufähig und kann flexibel für verschiedenste Anwendungen genutzt werden.
Die in GDI verwendeten Dienst-Standards des OGC definieren die technische Schnittstelle zwischen Client und Server, z.B. OGC WMS für Kartenbilder und OGC WFS für den Zugriff auf vektorielle Geodaten (Geometriedaten). Auch wenn diese Schnittstellen aus heutiger Sicht anders implementiert werden müssten bieten sie derzeit dennoch den kleinsten, gemeinsamen Nenner, auch um Anwendungen, die auf verteilte Dienste zugreifen zu sichern.
Metadaten über Geodaten-Dienste
So entsteht eine durchaus sinnvolle Vielfalt von Diensten unterschiedlicher Hersteller, die durch standardisierte Metadatensätze beschrieben werden. Um die Verwaltung zu vereinfachen werden diese Metadatensätze katalogisiert. Diese Metadatenkataloge werden als Basis für die Recherche und Suche nach Geodaten verwendet. Zusammen mit Metadatenkatalogen anderer GDI bilden sie einen Verbund über den Geodaten und Dienste ausgetauscht und gemeinsam genutzt werden können. Diese Infrastruktur wird organisatorisch durch politische Initiativen wie z.B. die GDI-DE auf Bundesebene oder INSPIRE auf europäischer Ebene unterstützt.
= Schutz vor unberechtigtem Zugriff
Der erste Schritt beim Aufbau einer sicheren Lösung ist der Schutz vor unberechtigtem Zugriff. Hierfür muss der direkte Zugriff des Endbenutzers auf den Dienst zunächst unterbunden werden. In den Schemata der Metadaten sind bereits Strukturen enthalten, die für einen Zugriffsschutz verwendet werden könnten, bisher jedoch nur als Platzhalter. Alle derzeit am Markt verfügbaren technischen Lösungen, die den Zugriff auf Dienste kontrollieren, sind deshalb Individuallösungen, da die Standards des OGC keine weitere Differenzierung nach Benutzern ermöglichen.
Der Schutz vor unberechtigtem Zugriff muss deshalb mit Methoden der allgemeinen IT erfolgen (in NCSA-kompatiblen Servern wie Apache zum Beispiel über htaccess). Für den Transport der Daten kommen bewährte Verschlüsselungstechniken zum Einsatz, zum Beispiel [http://de.wikipedia.org/wiki/Hypertext_Transfer_Protocol_Secure HTTPS] (Hypertext Transfer Protocol Secure).
Die Bestätigung der Identität eines Benutzers erfolgt bei der Anmeldung in Authentifizierungssystemen, auch hier steht bewährte Technologie zur Verfügung zum Beispiel HTTP-Authentifizierung.
Benutzerverwaltung
Neben der Authentifizierung wird eine Benutzerverwaltung benötigt, welche die Berechtigung eines Benutzers (die Autorisierungsdaten) regelt. Diese Autorisierungsdaten müssen in speziellen, eigenen System erfolgen, da es keine herkömmlichen Standard-IT Strukturen gibt in denen solche Informationen verwaltet und abgelegt werden können. Die Vielzahl unterschiedlicher Technologien und Architekturen macht es unmöglich jeden Dienst mit einer eigenen Benutzerverwaltung auszustatten, die Wartbarkeit würde ebenfalls unmöglich.
Zugriffe gestatten und protokollieren
Um Dienste in einer offen standardisierten GDI sowohl zu verwalten als auch zu schützen, eignen sich am besten webbasierte Geoportale, die bereits für die Dienste-Metadatenverwaltung genutzt werden. Durch vorgeschaltete Fassaden können sie auch verteilte Dienste unterschiedlicher Hersteller zentral schützen und ermöglichen einen differenzierten Zugriff. Alle Zugriffe auf einen Dienst, der geschützt werden muss, erfolgen nur noch durch die Fassade. Dabei können alle Benutzerinteraktionen protokolliert werden, wenn dies eine Anforderung ist, z.B. bei personenbezogenen Daten einer öffentlichen Verwaltung.
Integration in bestehende Systeme
In den meisten Organisationen wurden bereits Identitätsmanagement-Systeme aufgebaut, diese müssen mit der Geoinformationstechnologie integriert werden, um eine redundante Pflege dieser kritischen Infrastrukturdaten zu vermeiden. Diese Systeme zur Benutzerverwaltung, Anmeldung und Zugriffsberechtigung in Domänen wurden unabhängig von den Anforderungen einer GDI aufgebaut und können deshalb meist nicht grundsätzlich geändert werden, da sie in produktiven Umgebungen im täglichen Einsatz sind. Es muss deshalb eine Integration erfolgen, entweder durch die direkte Kopplung des Geoportals mit dem bestehenden Authentisierungssystem oder durch ein Rollenkonzept, das einfacher implementiert werden kann, aber nicht die gleiche, feine Granularität bietet.
Beispiele mit gesicherten Diensten
Der Vortrag zeigt die Technologie vor gesicherten OGC WMS und WFS-Diensten mit unterschiedlicher Technologie und gibt einen Einblick in die Granularität der Zugriffskontrolle. Es wird die Leistung (Geschwindigkeit) und Stabilität der so entstehenden Fassaden beleuchtet und ein Ausblick auf die kommenden Anforderungen von INSPIRE gegeben. Am Beispiel des Geoportal-RLP wird ein Dienst geladen und für berechtigte Benutzer bereitgestellt.
Links
- Einführung in den Mapbender OWS Security Proxy
- InteProxy - Sicherheitserweiterung für unsichere OWS Klienten zur Absicherung von Geodateninfrastrukturen
- 52° Nord Security Services
- Kontakt zum Autor
- Arnulf Christl
- WhereGroup GmbH Co. KG
- Siemensstr. 8
- +49 (0)228 909038-23
- arnulf.christl@wheregroup.com
