August 2005 Archives
En økonomisk case omkring Digital Identity:
Med den Digitale Signatur skal hver medarbejder hos psykiatrien i Århus Amt nu kun logge sig på én gang. Med 2300 medarbejdere løber det, der for den enkelte medarbejder virker som en lille ting, op. Og amtet anslår således at have sparet 100 arbejdsdage på den nye løsning, samtidig med at sikkerheden er blevet bedre.
Med 1300 pc'er brugte it-afdelingen tidligere en masse tid på at administrere log-on's med videre. Med et centralt log-in system bliver der nu frigivet en stor del tid. Det skriver Berlingske Tidende.
http://www.comon.dk/index.php/news/show/id=23371
Med den Digitale Signatur skal hver medarbejder hos psykiatrien i Århus Amt nu kun logge sig på én gang. Med 2300 medarbejdere løber det, der for den enkelte medarbejder virker som en lille ting, op. Og amtet anslår således at have sparet 100 arbejdsdage på den nye løsning, samtidig med at sikkerheden er blevet bedre.
Med 1300 pc'er brugte it-afdelingen tidligere en masse tid på at administrere log-on's med videre. Med et centralt log-in system bliver der nu frigivet en stor del tid. Det skriver Berlingske Tidende.
http://www.comon.dk/index.php/news/show/id=23371
Jeg er netop hjemkommet fra en mindre afslapningsferie i Amsterdam. Turen var oprindeligt planlagt til at være en pause før aflevering af specialet, sådan at jeg kunne komme tilbage og læse opgaven med friske øjne inden aflevering. Men sådan skulle det jo selvfølgelig ikke gå, og en række faktorer gjorde, at jeg ret tidligt i forløbet indså, at en udsættelse ville være nødvendig for at få det rette omfang og dybde på opgaven.
Ikke desto mindre HAR turen givet mig et frisk pust på opgaven, og da det var en kærestetur er der ikke mere sløvende THC (Tetrahydrocannabinol) i kroppen nu, end der var før :-) - så jeg er fit for fight her i de sidste to måneder inden den nye afleveringsdato, som hedder 1. november 2005.
Een af de ting som har været et problem i dette forløb har været indsamling af relevant teori for opgaven. Men heldigvis stødte jeg på bogen Digital Identity - Unmasking identity management architecture (IMA) af Phillip J. Windley [Weblog] som jeg fik læst i parkerne, i coffeeshop'sne og på den lange bustur til/fra Amsterdam.
Bogen er én af de få bøger som systematisk behandler de problemstillinger der opstår, når vi som brugere, (ansatte og privatpersoner) i stadig større grad skal kommunikere med distribuerede tjenester på en sikker måde.
Bogens første 12 kapitler beskæftiger sig mest med at beskrive den grundlæggende teori og er i den forbindelse en glimrende indgang til emnet. Med et fokus på den digital identitetsspørgsmål drager borgen paralleller imod de traditionelle sikkerhedsprincipper som fortrolighed, integritet og uafviselighed imens den forsøger at definere flyvske emner som trust og privacy? Man skal dog ikke forvente nogen dybdegående diskussioner i kapitlerne der som hovedregel holdes korte og kontante.
Bogens anden del er delvis oplæg og delvis behandling af Windleys egen Identity Management Architecture (IMA) som er en række retningslinier og modeller som kan hjælpe organisationer i selv at kaste sig ud i identitetsstyringen. Her deler Windley ærligt ud af sine erfaringer indenfor området fra hans arbejde som CTO i Imall.com og senere CIO for Staten Utah i USA. Denne afdeling af bogen begynder også at diskutere emner som styring, forankring og auditering af arbejdet med identitetsstyringen som udmønter sig i konkrete politikker som bl.a. kan hentes på nettet.
I overensstemmelse med min opgave holder bogen sig på et konceptuelt niveau, men inddrager dog også de relevante standarder og forsøger at mappe dem over på IMA'en. Det er åbenlyst at Windleys bog bliver et centralt element i min teori-behandling da jeg i større og større grad må indse at det altoverskyggende problem i etablering af Sikker SOA er bruger- og identitetsstyring.
Ikke desto mindre HAR turen givet mig et frisk pust på opgaven, og da det var en kærestetur er der ikke mere sløvende THC (Tetrahydrocannabinol) i kroppen nu, end der var før :-) - så jeg er fit for fight her i de sidste to måneder inden den nye afleveringsdato, som hedder 1. november 2005.
Een af de ting som har været et problem i dette forløb har været indsamling af relevant teori for opgaven. Men heldigvis stødte jeg på bogen Digital Identity - Unmasking identity management architecture (IMA) af Phillip J. Windley [Weblog] som jeg fik læst i parkerne, i coffeeshop'sne og på den lange bustur til/fra Amsterdam.
Bogen er én af de få bøger som systematisk behandler de problemstillinger der opstår, når vi som brugere, (ansatte og privatpersoner) i stadig større grad skal kommunikere med distribuerede tjenester på en sikker måde.
Bogens første 12 kapitler beskæftiger sig mest med at beskrive den grundlæggende teori og er i den forbindelse en glimrende indgang til emnet. Med et fokus på den digital identitetsspørgsmål drager borgen paralleller imod de traditionelle sikkerhedsprincipper som fortrolighed, integritet og uafviselighed imens den forsøger at definere flyvske emner som trust og privacy? Man skal dog ikke forvente nogen dybdegående diskussioner i kapitlerne der som hovedregel holdes korte og kontante.
Bogens anden del er delvis oplæg og delvis behandling af Windleys egen Identity Management Architecture (IMA) som er en række retningslinier og modeller som kan hjælpe organisationer i selv at kaste sig ud i identitetsstyringen. Her deler Windley ærligt ud af sine erfaringer indenfor området fra hans arbejde som CTO i Imall.com og senere CIO for Staten Utah i USA. Denne afdeling af bogen begynder også at diskutere emner som styring, forankring og auditering af arbejdet med identitetsstyringen som udmønter sig i konkrete politikker som bl.a. kan hentes på nettet.
I overensstemmelse med min opgave holder bogen sig på et konceptuelt niveau, men inddrager dog også de relevante standarder og forsøger at mappe dem over på IMA'en. Det er åbenlyst at Windleys bog bliver et centralt element i min teori-behandling da jeg i større og større grad må indse at det altoverskyggende problem i etablering af Sikker SOA er bruger- og identitetsstyring.
Jeg synes godt at jeg vil bruge lidt kræfter på at bringe fokus på Jericho Forums arbejde med hvad de kalder "de-perimeterisation" - afperimeterlisering (forslag til en bedre oversættelse modtages gerne).
Denne blog-post er een ud af to. Dette første afsnit beskriver Jericho Forum og er taget fra et foreløbigt kapitel i min opgave. I den anden del vil jeg gennemløbe de indslag der er kommet til "The Jericho Forum Challenge" som er en nyligt afløbet konkurrence for til bedst at beskrive hvordan en arkitektur bygget over Jericho Forums principper, kan håndtere fremtidens problemstillinger. Men mere om det senere.
En gennemgang af Jericho Forum
Jericho Forum er et forum der opererer under Open Group.
Medlemmerne i forummet deler visionen, at i en verden hvor forretning og teknologi i stadig større grad sker over et globalt netværk, vil der på sigt blive diskrepans imellem nuværende sikkerhedsmetodikker og de nye krav og udfordringer som organisationer står overfor.
Vigtigt for udviklingen er det, at der sker overensstemmelse imellem sikkerhedsarkitekturen og it-arkitektur. Dette betyder at sikkerhedsarkitekturen skal understøtte organisationens forretningsprocesser såsom samarbejde og handel over åbne netværk, uden at skelne imellem om processen finder sted indenfor eller udenfor organisations fysiske mure. Mere specifikt går udviklingen imod:
Det primære problem med den eksisterende tilgang til it-sikkerhed, mener Jericho Forum, er afhængigheden af en netværksperimeter (typisk en firewall eller proxyserver) som en beskyttelse af det 'indre' imod det 'ydre'. Denne perimeterbaserede tilgang er ufleksibel og har ikke vist sig tilstrækkelig til at dæmme op omkring et stadig voksende antal angreb som får uanfægtet adgang til organisationen igennem autoriserede porte i perimeteren.
Problemerne afstedkommer på baggrund af ændrede krav fra forretningsmiljøet. De forretningsmæssige fordele ved outsourcing og serviceorienteret arkitektur stiller især krav om fleksibilitet og interoperabilitet igennem løst koblede systemer; in- og outsourcing af services; distribuerede brugere, etc. Men der er meget der tyder på, at det kræver en væsentlig holdningsændring for at sikre udveksling af transaktioner og kritisk forretningsdata under disse nye forhold.
Moulds & van Someren (2005: 2) forstærker, med følgende situationsbeskrivelse, synspunktet om, at der er behov for et holdningsskifte i tilgangen til it-sikkerhed.
Ifølge Jericho Forum, er løsningen, at trække perimeterbeskyttelsen ind til de individuelle netværksserver og apparater på netværket og i sidste ende autorisere på individuelt data. Således er målet at fingranulere autorisation til ressourcer, hvilket står i modsætning til trenden indenfor it-arkitektur, som går imod stadig større granulering af beskeder.
Jericho Forum kalder udviklingen for "de-perimeterisation" (afperimeterlisering). Selve ordbruget formodes valgt for at skabe debat fordi, som vist i denne gennemgang, er formålet ikke at fjerne perimeterafgrænsningen, men i stedet at hver applikation har dens egen perimeterbeskyttelse som bygger på en overordnet sikkerhedsmodel.
Dette er dog en model, som skal gennemtænkes grundigt hvis resultatet ikke skal blive en administrativt tungere, og mere usammenhængende sikkerhedsmodel. Derfor er interoperabilitet igennem åbne standarder en nødvendighed for at skabe sikre løsninger som understøtter ovenstående udvikling. En sådan løsning fordrer sandsynligvis adoptionen af føderale brugerstyringsmodeller da det synes logisk at identitetsstyringen bliver det centrale element i fremtidens sikkerhedsperimeter. Men behold firewall'en indtil vi er så langt.
Denne blog-post er een ud af to. Dette første afsnit beskriver Jericho Forum og er taget fra et foreløbigt kapitel i min opgave. I den anden del vil jeg gennemløbe de indslag der er kommet til "The Jericho Forum Challenge" som er en nyligt afløbet konkurrence for til bedst at beskrive hvordan en arkitektur bygget over Jericho Forums principper, kan håndtere fremtidens problemstillinger. Men mere om det senere.
En gennemgang af Jericho Forum
Jericho Forum er et forum der opererer under Open Group.
Medlemmerne i forummet deler visionen, at i en verden hvor forretning og teknologi i stadig større grad sker over et globalt netværk, vil der på sigt blive diskrepans imellem nuværende sikkerhedsmetodikker og de nye krav og udfordringer som organisationer står overfor.
Vigtigt for udviklingen er det, at der sker overensstemmelse imellem sikkerhedsarkitekturen og it-arkitektur. Dette betyder at sikkerhedsarkitekturen skal understøtte organisationens forretningsprocesser såsom samarbejde og handel over åbne netværk, uden at skelne imellem om processen finder sted indenfor eller udenfor organisations fysiske mure. Mere specifikt går udviklingen imod:
- Stigende online kollaboration og samhandel på tværs af et mangefold af forretningsentiteter - herunder håndtering af sensitiv og forretningskritisk information.
- Globale trends går imod en stigende anvendelse af outsourcing og offshoring af supportaktiviteterne i virksomhedernes værdikæde
Det primære problem med den eksisterende tilgang til it-sikkerhed, mener Jericho Forum, er afhængigheden af en netværksperimeter (typisk en firewall eller proxyserver) som en beskyttelse af det 'indre' imod det 'ydre'. Denne perimeterbaserede tilgang er ufleksibel og har ikke vist sig tilstrækkelig til at dæmme op omkring et stadig voksende antal angreb som får uanfægtet adgang til organisationen igennem autoriserede porte i perimeteren.
Problemerne afstedkommer på baggrund af ændrede krav fra forretningsmiljøet. De forretningsmæssige fordele ved outsourcing og serviceorienteret arkitektur stiller især krav om fleksibilitet og interoperabilitet igennem løst koblede systemer; in- og outsourcing af services; distribuerede brugere, etc. Men der er meget der tyder på, at det kræver en væsentlig holdningsændring for at sikre udveksling af transaktioner og kritisk forretningsdata under disse nye forhold.
Moulds & van Someren (2005: 2) forstærker, med følgende situationsbeskrivelse, synspunktet om, at der er behov for et holdningsskifte i tilgangen til it-sikkerhed.
In fact, the majority of the IAM (Identity & Authorization Management) market seems firmly rooted in the traditional perimeter world focused on administrative functions associated with weak password based authentication of users. Products place relatively little emphasis on security and are deployed âsafely' behind the perimeter. In some deployments security does come into play in the context of strong authentication i.e. the use of legacy tokens or smart cards, but here the emphasis is placed on authenticating select groups of remote users through the perimeter or providing physical building access to secure facilities. Rarely do these deployments extend to strengthening the collaboration and commercial activities that take place once initial access has been granted.
Ifølge Jericho Forum, er løsningen, at trække perimeterbeskyttelsen ind til de individuelle netværksserver og apparater på netværket og i sidste ende autorisere på individuelt data. Således er målet at fingranulere autorisation til ressourcer, hvilket står i modsætning til trenden indenfor it-arkitektur, som går imod stadig større granulering af beskeder.
Jericho Forum kalder udviklingen for "de-perimeterisation" (afperimeterlisering). Selve ordbruget formodes valgt for at skabe debat fordi, som vist i denne gennemgang, er formålet ikke at fjerne perimeterafgrænsningen, men i stedet at hver applikation har dens egen perimeterbeskyttelse som bygger på en overordnet sikkerhedsmodel.
Dette er dog en model, som skal gennemtænkes grundigt hvis resultatet ikke skal blive en administrativt tungere, og mere usammenhængende sikkerhedsmodel. Derfor er interoperabilitet igennem åbne standarder en nødvendighed for at skabe sikre løsninger som understøtter ovenstående udvikling. En sådan løsning fordrer sandsynligvis adoptionen af føderale brugerstyringsmodeller da det synes logisk at identitetsstyringen bliver det centrale element i fremtidens sikkerhedsperimeter. Men behold firewall'en indtil vi er så langt.
Et meget godt billede af de udfordringer man står overfor i ToldSkat:
/D101%2F04F1.gif)
Figuren viser, at de 71 systemer på listen (den inderste cirkel) er knyttet sammen indbyrdes ved 453 forbindelser. Figuren viser endvidere, at der eksisterer 312 forbindelser mellem ToldSkats systemer og et eller flere systemer hos 97 eksterne interessenter (den yderste cirkel). (Det bemærkes, at én linje i figuren i nogle tilfælde dækker flere forbindelser).
Billedet og tekst er fra rigsrevisionens udvidet notat til statsrevisorerne om ToldSkats IT-systemer den 8. juni 2004
Figuren viser, at de 71 systemer på listen (den inderste cirkel) er knyttet sammen indbyrdes ved 453 forbindelser. Figuren viser endvidere, at der eksisterer 312 forbindelser mellem ToldSkats systemer og et eller flere systemer hos 97 eksterne interessenter (den yderste cirkel). (Det bemærkes, at én linje i figuren i nogle tilfælde dækker flere forbindelser).
Billedet og tekst er fra rigsrevisionens udvidet notat til statsrevisorerne om ToldSkats IT-systemer den 8. juni 2004
Ok - tingene går hurtigt ...
I en pressemeddelse 1. aug. annoncerede Oasis-Open.org deres eget OASIS Service Oriented Architecture Adoption Blueprints Technical Committee.
Mon ikke dette betyder enden for SOACenter.com.
På den anden side så kunne det betyde at Oasis-Open kan tilbyde den "fulde sandhed" for SOA - lige fra det konceptuelle til det normative. Men der går nok noget tid før det sker.
I en pressemeddelse 1. aug. annoncerede Oasis-Open.org deres eget OASIS Service Oriented Architecture Adoption Blueprints Technical Committee.
Mon ikke dette betyder enden for SOACenter.com.
På den anden side så kunne det betyde at Oasis-Open kan tilbyde den "fulde sandhed" for SOA - lige fra det konceptuelle til det normative. Men der går nok noget tid før det sker.
En række SOA interessenter (BEA, Cap Gemini, HP, Credit Suisse First Boston etc.) er gået sammen og har sat sig for at skabe et SOA blueprinting center.
Ideen er at fremhæve "best practices":
SOA Blueprints is an industry effort designed to help organizations more easily and affordably build applications using service-oriented architecture (SOA). SOA Blueprints highlights best practices through GeneriCo, a fictitious business entity, described in a functional and behavioral specification to demonstrate how SOA can solve real-world issues. SOA Blueprints creates a common vocabulary to discuss SOA in an architecturally neutral way allowing comparable implementations to be crafted using different technology sets including J2EE, .NET and Web Services.
Ligesom SOA-RM, er SOA-blueprints med til at tage brodden af alt den hype som mange virksomheder er med til at skabe (incl. SOAcenters egne medlemmer). Jeg håber bare at de vil understøtte hinanden i stedet for at skabe yderligere forvirring blandt os stakkes dødelige.
Ideen er at fremhæve "best practices":
SOA Blueprints is an industry effort designed to help organizations more easily and affordably build applications using service-oriented architecture (SOA). SOA Blueprints highlights best practices through GeneriCo, a fictitious business entity, described in a functional and behavioral specification to demonstrate how SOA can solve real-world issues. SOA Blueprints creates a common vocabulary to discuss SOA in an architecturally neutral way allowing comparable implementations to be crafted using different technology sets including J2EE, .NET and Web Services.
Ligesom SOA-RM, er SOA-blueprints med til at tage brodden af alt den hype som mange virksomheder er med til at skabe (incl. SOAcenters egne medlemmer). Jeg håber bare at de vil understøtte hinanden i stedet for at skabe yderligere forvirring blandt os stakkes dødelige.
