Le cadre d'EASI indique les interactions parmi les services de sécurité et les composants d'application qui emploient ces services de sécurité. En employant les interfaces communes, il’s possible d'ajouter de nouvelles solutions de technologie de sécurité sans faire de grands changements au cadre existant. De cette façon, le cadre d'EASI soutient “des connexions” pour de nouvelles technologies de sécurité.
|
|
Le cadre de sécurité fournit des services de sécurité d'entreprise pour des composants de présentation, des composants de logique d'affaires, et le post-marché . Le cadre soutient les mécanismes de sécurité qui imposent la sécurité au nom de la sécurité avertie et des applications ignorantes de sécurité.
L'application avertie de sécurité emploie les interfaces de programme d'application de sécurité (APIs) pour accéder et valider aux politiques de sécurité qui s'appliquent à elle. Les applications averties de sécurité peuvent directement accéder aux fonctions de sécurité qui permettent aux applications d'exécuter les contrôles additionnels de sécurité et d'exploiter entièrement les possibilités de l'infrastructure de sécurité.
L'application ignorante de sécurité n'appelle pas explicitement des services de sécurité, mais elle est encore fixée par l'environnement de support (un récipient d'haricot de Java d'entreprise [ EJB ]). La sécurité est typiquement imposée pour des applications ignorantes de sécurité en utilisant les intercepteurs, qui appellent d'une manière transparente la sécurité fondamentale APIs au nom de l'application. Cette approche réduit le fardeau sur des créateurs d'application pour développer des modules de sécurité dans l'application et diminue la chance des pailles de sécurité étant présentées.
D'autres applications, appelées les applications de la sécurité art de l'auto-portrait-reliant, n'emploient aucun de ces services de sécurité fournis par le cadre. Une application de la sécurité art de l'auto-portrait-reliant peut ne pas employer les services de sécurité parce qu'elle n'a aucune fonctionnalité appropriée de sécurité et, ainsi, n'a pas besoin d'être fixée, ou parce qu'elle emploie les fonctions indépendantes séparées de sécurité qui ne sont pas une partie du cadre défini de sécurité d'EASI.
La sécurité APIs de cadre s'appellent explicitement par des applications averties de sécurité et implicitement par des applications ignorantes de sécurité par l'intermédiaire des intercepteurs. La sécurité APIs fournissent des interfaces pour l'accès aux services de sécurité de cadre. Le cadre soutient la norme, la coutume, et la sécurité APIs de fournisseur.
Le soutien d'APIs est basé sur les normes ouvertes ou les normes de fait d'industrie, telles que XML (SAML), J2EE, NET, et CORBA. Ces normes devraient être employées autant que possible parce qu'elles sont susceptibles de fournir la plupart de stabilité et la plupart de flexibilité à travers beaucoup de différents produits’ de fournisseurs.
APIs fait sur commande peut être mis en application quand les besoins’de l'entreprise un s ne peuvent pas être satisfaits par APIs standard existant. APIs fait sur commande sont exigés particulièrement quand une entreprise emploie un service de sécurité qui est conçu en fonction ses affaires, par exemple, un moteur basé sur les règles fait sur commande de droits développé intérieurement par une banque d'affaires.
Comme dernière ressource, APIs de propriété industrielle fournisseur-spécifique peut être employé où démuni ouvert de normes pourtant être défini. Vous devriez éviter d'employer la sécurité de propriété industrielle APIs dans les applications si à tout possible. APIs de propriété industrielle le rendent très difficile pour que le lotisseur ou l'administrateur commute des produits de sécurité. Bien que les fournisseurs puissent penser que c'est une grande idée, la technologie de sécurité change beaucoup trop rapidement pour être confinée à n'importe quel un produit. Comme alternative, vous devriez envelopper un fournisseur’s api de propriété industrielle avec un standard ou une coutume api.
La prochaine couche du cadre de sécurité fournit des services de sécurité de noyau permettant la sécurité bout à bout d'application à travers des applications multitier. Chacun des services de sécurité définit un emballage qui se repose entre la sécurité APIs et les produits de sécurité. Les emballages de services de sécurité servent à isoler des applications des produits fondamentaux de sécurité. En créant un nouvel emballage, elle est franche pour commuter des produits de sécurité sans affecter le code d'application, si le besoin se fait sentir. Les services de sécurité principaux sont authentification, autorisation, cryptographie, responsabilité, et administration de sécurité.
La vérification que les principaux (utilisateurs humains, entités enregistrées de système, et composants) sont qui ils prétendent être est ce qui est connu comme authentification. Le résultat de l'authentification est un ensemble de qualifications, qui décrivent les attributs (identité, rôle, groupe, dégagement) qui peuvent être associés au principal authentifié.
L'octroi de la permission pour des principaux aux ressources d'accès est ce qui est connu comme autorisation. La intégrité des données et les contrôles d'accès de confidentialité imposent des restrictions de l'accès pour empêcher l'utilisation non autorisée. Les commandes de intégrité des données s'assurent que seulement les principaux autorisés peuvent modifier des ressources. Les commandes de confidentialité de données s'assurent que le contenu de ressource est révélé seulement aux principaux autorisés.
Les algorithmes et les protocoles cryptographiques pour des données et des messages protecteurs de révélation et/ou de modification est ce qui est connu comme cryptographie. Le chiffrage fournit la confidentialité en codant des données dans une forme inintelligible en algorithme réversible qui permet au support du key(s) de chiffrage de décoder les données chiffrées. Les signatures de Digital appliquent la cryptographie pour s'assurer que les données sont authentiques et n'ont pas été modifiées pendant le stockage ou la transmission.
S'assurer que les principaux sont responsables de leurs actions est ce qui est connu comme responsabilité. Un audit de sécurité fournit un disque des événements sécurité-appropriés et permet la surveillance de principales’actions d'un s dans un système. Nonrepudiation fournit la preuve irréfutable d'origine et/ou du reçu de données.
L'administration de sécurité est le processus de définir et de maintenir les politiques de sécurité incorporées dans des profils d'utilisateur, l'authentification, l'autorisation, et des mécanismes de responsabilité. Ceci inclut également d'autres données concernant le cadre de sécurité.
Le cadre fournit les équipements généraux de sécurité qui soutiennent les services de sécurité de noyau. Les équipements de sécurité de cadre sont le directeur de profil, l'association de sécurité, et les services de procuration.
Le directeur de profil fournit un service général pour le stockage persistant de l'utilisateur et des données de profil d'application. Il permet à des données d'être consultées par d'autres services de cadre.
L'association de sécurité manipule les principales’qualifications et commandes de sécurité de s comment ils propagent. Pendant une communication entre client et composants quelconques deux d'application de cible, l'association de sécurité établit la confiance en chaque qualifications’de la partie s, et crée le contexte de sécurité qui sera employé quand protégeant des demandes et des réponses en transit entre le client et la cible. L'association de sécurité commande l'utilisation de la délégation, qui permet à un intermédiaire délégué d'employer les qualifications d'un principal de lancement de sorte que le délégué puisse agir au nom du principal de lancement.
Les services de procuration de sécurité fournissent l'interopérabilité entre différents domaines de technologie de sécurité en agissant en tant que serveur dans le domaine’de technologie du client s. Ceci inclut également un client dans le domaine’de la cible s.
L'exécution du cadre exige généralement plusieurs produits de technologie de sécurité qui comportent collectivement les services de sécurité d'entreprise. Les produits de sécurité d'exemple qui sont exigés incluent des murs à l'épreuve du feu, des produits du Web authentication/authorization, des produits composants d'authentication/authorization, des produits cryptographiques, et des services d'annuaire.
Online: 518 users browsing the articles directory
|
|