Elektronikus kulcskiosztó rendszer Grid szolgáltatások és felhasználók azonosítására

1. Elektronikus kulcskiosztórendszer Grid szolgáltatások és felhasználók azonosítására Frohner Ákos Lőrentey Károly CERN IT ELTE ITK Akos.Frohner@cern.ch lorentey@elte.hu

2. Mi az a Grid? • Nagy számításígényű kutatási feladatok elvégzésére nem elegendő egyetlen kutatóközpont kapacitása • A megoldás: a rendelkezésre álló erőforrások összekötése egy együttműködő rendszerré • Minden szempontból heterogén • Dinamikusan változó összetételű • Földrajzilag szétszórt • Egyetlen metakomputert alkotó • Erőforrások: klaszterek és szuperszámítógépek, tárolóegységek, valamint egyéb készülékek Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

3. A DemoGRID projekt • A projekt célja a Grid magyarországi fejlesztésének és felhasználásának megerősítése • Testbed: 8 egyetem és kutatóközpont erőforrásainak összekapcsolása egyetlen virtuális szuperszámítógéppé • 300 host, 5 TiB adattárolási kapacitás • NIIF nagysebességű hálózata • Grid middleware kutatása és továbbfejlesztése • Tesztalkalmazások fejlesztése — adat- és számításintenzív feladatok Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

4. GRID Általános architektúra Tároló alrendszer Biztonsági alrendszer Monitorozó alrendszer RDB OODB DFS GDB ALKALMAZÁSOK Dekomp Adat Szoros Laza Hardver CPU Tároló Hálózat A DemoGRID projekt — áttekintés • ELTE • Informatika Tanszékcsoport • Elméleti Fizikai Tanszék • Fizikus Tanszékcsoport • Információtechnológiai Központ • SZTAKI • Párhuzamos és Elosztott Rendszerek Laboratórium • Rendszerfejlesztési Osztály • MTA KFKI Részecske és Magfizikai Kutatóintézet • SZIF, Matematikai Tanszék • MTA Műszaki Fizikai és Anyagtudományi Kutatóintézet Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

5. Autentikáció a Gridben I. • Grid Security Infrastructure (GSI) • A Globus Grid middleware toolkit biztonságtechnikai komponense • Nyilvános kulcsú titkosításon (X.509, SSL) alapuló kölcsönös autentikációs eljárást biztosít a Grid felhasználók és szolgáltatások részére • Tanúsítványok: hitelesítő szervezet (CA) által aláírt nyilvános kulcsok • A hitelesítő szervezetben mindkét fél megbízik, nyilvános kulcsát mindkét fél ismeri Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

6. Ck Próba1 Sk(Próba1) Cs Próba2 Ss(Próba2) Autentikáció a Gridben II. Grid Szerver Kliens Sk Ck Cs Ck Ss Cs Szerver OK! Kliens OK! Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

7. Autentikáció a Gridben III. • Egyszeri beléptetés (Single Sign-On) • A felhasználó csak egyszer azonosítja magát, azután minden Grid szolgáltatást használhat • Jogosultság-delegáció (credential delegation) • A felhasználó által indított munkafolyamatok a felhasználó nevében tevékenykedhetnek • A titkos kulcsot nem akarjuk a munkafolyamatokra bízni • Megoldás: Proxy tanúsítványok • A felhasználó által létrehozott kulcspárok • A nyilvános kulcsot a felhasználó a saját titkos kulcsával hitelesíti • Korlátozott ideig érvényesek és/vagy korlátozott jogosultságokkal bírnak Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

8. A proxy hitelességének ellenőrzéséhez az egész láncolatot be kell járni A proxy tanúsítványok további proxyk létrehozására is alkalmasak (delegáció), így tanúsítvány-lánc hozható létre CA User Proxy1 Proxyn aláírás aláírás aláírás Sc Cc Su Cu S1 C1 Sn Cn … aláírás Autentikáció a Gridben IV. Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

9. Elektronikus kulcskiosztó rendszer I. • A proxy tanúsítvány létrehozásához a felhasználónak szüksége van a titkos kulcsára • Általában a titkos kulcsot a felhasználó felügyeli • Egy jelszóval védett fájl a home könyvtárban • A kulcskezelés terhét a felhasználó viseli, aki esetleg nem tudja, vagy nem akarja megfelelő gondossággal kezelni kulcsait • Véletlen törlések, akaratlan kulcskiszivárogtatás • A Grid szolgáltatások több, független végpontról történő használata • A különböző erőforrásokhoz más-más kulcspárok tartozhatnak Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

10. Elektronikus kulcskiosztó rendszer II. • Az elektronikus kulcskiosztó rendszer (Online Credential Retrieval System, OCRS) • Központi adatbázisban tárolja a felhasználók kulcspárait • A felhasználó kérésére proxy tanúsítványt állít elő és küld vissza • Az OCRS előnyei • Leegyszerűsíti a rendszeradminisztrátorok munkáját (több ezer felhasználós rendszerek is előfordulhatnak) • A felhasználót mentesíti a kulcskezelés feladata alól • Az egész rendszer biztonságát növeli • A váratlanul hosszú ideig futó munkafolyamatok a felhasználó közbeavatkozása nélkül is igényelhetnek kiterjesztett érvényességű proxy tanúsítványokat Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

11. userid, certid, auth dn certid pwd(Sp, Cp) userid,auth Sk Ck Sp Cp Sp Cp Alapvető működés OCR szerver Kliens userid, certid, auth Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

12. OCR szerverreplika replikaprotokoll lokálislekérdezés lokálislekérdezés Adatbázisreplikák OCR szerver Kliens Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

13. OCR szervermagasszintű tűzfal 2. távolilekérdezés 2. távolilekérdezés 2. távolilekérdezés lokálislekérdezés 1. távolilekérdezés tűzfal Kliens Vándorló kliensek OCR szerver OCR szervertávoli Vándorlókliens Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

14. Terveink • Több autentikációs megoldás támogatása (jelszó, OTP, Kerberos, …) • Háttéradatbázis moduláris implementációja • Vándorló kliens támogatása • Fejlesztői könyvtárak és kliensoldali programok (C, Java, Perl) elkészítése • Adminisztratív felület megvalósítása • Együttműködve • MyProxy készítőivel (USA/Globus projekt) • GridPortal fejlesztőkkel (EU/DataGRID/WP2) • CE autentikáció fejlesztőivel (EU/DataGRID/WP1) Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer

15. További információk • GSI Online Credential Retrieval — Requirementshttp://www.gridforum.org/security/ggf3_2001-10/ • OCR Implementation for the Grid Portal Collaborationhttp://dast.nlanr.net/Projects/MyProxy/ • Securely Available Credentials (SACRED) — RequirementsRFC 3157 • Online Certificate Status ProtocolRFC 2560 Frohner Á., Lőrentey K.: Elektronikus kulcskiosztó rendszer