Hogyan támogatható hatékonyan a webszolgáltatások védelme, jogosultságkezelése a megfelelő biztonsági szabványok alkalmazásával?
A nagyvállalati kategória architekturális gondolkodását megreformáló, szolgáltatásorientált architektúrát célzó irányelv számos biztonsági kérdést is felvet, hiszen a külső, illetve belső csatornákon nyújtott vállalati webszolgáltatások a támadások gyakori célpontjaivá válhatnak.
Védeni a szolgáltatásokat
A szolgáltatásorientált architektúra koncepcióját a biztosítók, pénzintézetek mellett számos nagyvállalat is igyekszik magáévá tenni. A soa-koncepció jegyében kialakított szolgáltatások sokaságának menedzselése azonban biztonsági szempontból korántsem egyszerű feladat. Nem engedhető meg, hogy arra jogosulatlan személyek, alkalmazások vagy folyamatok adatokat kérjenek le a háttérrendszerekről, vagy például tranzakciókat indítsanak el – magyarázza Géczy Viktor, az IBM Magyarország Websphere-termékmenedzsere. Tapasztalatok szerint –mondja – az incidenseknek csak egy része szándékos (például túlterheléses) támadás, máskor viszont csak a tranzakciók olyan szerencsétlen együttállásáról lehet beszélni, ami a szolgáltatás üzembiztonságát veszélyezteti.
Új fenyegetések a világhálón
Néhány évvel ezelőtt, amikor az adatvédelmi megfontolások nem játszottak akkora szerepet, mint most, még szokás volt rendszergazdák körében a tűzfalak naplóit böngészni, és onnan kivadászni a gyakran látogatott, de nemkívánatos oldalakat, tartalmakat. Ezután következett a statikus url- és ip-listák, valamint kulcsszavas ellenőrzések időszaka. Ám ma már a napi egyszeri frissítés is idejétmúlt megközelítéssé válik: a felhasználók által generált web 2.0-s tartalmak keletkezésének sebességét lehetetlen url-listákkal követni. Minden gyártó új utat keres – a Borderware Security Platform például ip-reputációs adatbázist tartalmaz, forgalmi analízist végez, majd végül magát a tartalmat elemzi különböző algoritmusokkal. A tartalomelemzés előfeltétele természetesen több száz elterjedt formátum és protokoll teljes mélységű ismerete, így válik lehetővé az ismeretlen oldalak és tartalmak dinamikus besorolása a megfelelő kategóriába. Vagyis ha egy jóindulatúnak besorolt oldalt fel is tör egy hacker – ami nap mint nap megtörténik –, és ott rosszindulatú kódot elhelyezve próbál fertőzni, akkor sem tud áttörni a védelmi vonalon – mondja Dávid András, a Relnet Kft. szakértője.
Hitelesség – egyszerűen
Hitelesség, bizalmasság, letagadhatatlanság. Amióta az e-ügyintézés, az elektronikus dokumentumkezelés olyan területeken is meghatározóvá válik, mint a közelmúltban kötelezővé vált elektronikus cégeljárási ügyintézés, a kriptográfiai funkciók intézményi szinten történő integrációja az államigazgatási folyamatszervezők és üzleti döntéshozók számára is komoly kihívást jelent. A kriptográfia a mai napig viseli a „nehezen érthető és megvalósítható technológia” stigmáját. Felmerül a kérdés: van‑e lehetőség a kriptográfiai funkciók komplexitásának elrejtésére és szolgáltatásszerű kiajánlására? Természetesen van – biztat Nagy Tibor, a HP Magyarország Kft. it-biztonsági tanácsadója. Ezek sorába tartozik a HP moduláris felépítésű megoldása, amely a szolgáltatásorientált architektúrába illeszkedve, magas szintű webszolgáltatási csatolófelületen teszi elérhetővé szolgáltatásait. A rendszer ellenőrző funkciói kiterjednek a hitelesítő adatok, az elektronikus aláírás, az időbélyeg, a dokumentumintegritás ellenőrzésére, a beágyazott dokumentumokon végzett integrált vírusszűrésre. A rendszer a tanúsítványban publikált adatok alapján meghatározza az aláíró személyét, és az ellenőrzés eredményét a hívó rendszerhez továbbítja. A szolgáltatások körét az elektronikus aláírás, az időbélyegzés és a dokumentumtitkosítás funkciók teszik teljessé.
It-biztonság az e-közigazgatásban
Nyilvánvaló, hogy az e-közigazgatás sem létezhet megfelelő szintű információ- és informatikai biztonság nélkül. Követelmény egyfelől az alapvető, általános itbiztonság, másfelől az erre a területre érvényes, speciális szabályozási követelmények betartása – gondoljunk csak a személyes adatok védelméről szóló jogszabályokra. Az informatikai biztonságról tudjuk, hogy nem lehet „utólag” hozzáilleszteni egy megvalósult rendszerhez, szükséges, hogy a projekt teljes életciklusa alatt szerepeljen az it-biztonság – magyarázza a MeH által kezdeményezett és a BME által vezetett konzorcium e-közigazgatási keretrendszer projektjének vezetője, Szigeti Szabolcs, a BME Informatikai Központ szakértője.
