Supporting Secure Ad-hoc User Collaboration in Grid Environments Markus Lorch – Dennis Kafura Department of Computer Science Virginia tech Proceedings of the 3rd Int. Workshop on Grid Computing - Grid 2002 Rapporté par Julien Gossa DEA DISIC – INSA Lyon

Généralités sur les Grills Le Calcul sur Grille – Partage coordonnées de ressources – Organisations virtuelles dynamiques et multi institutionnelles Globus – Ensemble de services et protocoles open source – GRAM : accès aux ressources – GSI : gestion de la sécurité

Sécurité sur Grille - Besoins Single Sign-on Protection des accréditations Accréditation et certifications uniformes (masquage des politiques locales) Multi-plateformes Support pour collaborations sécurisées à différentes échelles – Grosses communautés stables – Petites communauté ad-hoc

Motivations Majorité de petites communautés – 60% ont moins de 25 membres Besoin de support pour collaborations ad-hoc éphémères La charge administratives des ressources limites beaucoup de scénarii La plupart des systèmes – ne supporte pas une granularité fine des droits – ne respecte pas le concept de least privilege – Use d’impersonnification

Scénario actuel BobJoan 1.Demande permission temporaire Ressource Admin 6.Accés au service 2.Renvoie de requête 4.Confirmation 5.Notification de création 3.Création des droits 7. Révocation

Scénario Idéal BobJoan Ressource 3.Accès au service 1.Demande permission temporaire 2.Notification de création Les utilisateurs ont besoin d’outil pour créer eux même des droits d’accès pour leur collaborateurs

Le problème Besoin de droits d’accès à granularité fine Besoin de mécanismes – utilisateur à utilisateur – utilisateur à admin Les OS standards sont trop limités Il faut supporter les applications actuelles Il faut être portable (et sécurisé)

Solution : la Gestion de privilège Les entités gèrent leurs ressources Séparation de l’accréditation des privilèges et l’accréditation des identités Directement dans le middleware Basé sur X509v2 Attribute Certificate L’émetteur du privilège signe l’AC. Puis avec le certificat d’identité de ce dernier, la ressource peut vérifier si la délégation est valide.

Solution : la Gestion de privilège Bénéfices – Réduit la charge administrative – Permet l’utilisation sélective et la délégation – Évite les problèmes inhérents à l’impersonnification – Permet la combinaison de privilèges – Bonne intégration dans une PKI, encodage ASN.1 efficace

Solution : la mise en application 3 Stratégies – Correspondance d’accréditation – Mode d’autorisation mixte – Combinaison complète d’accréditation Basé sur la norme POSIX.1E – Extension des droits d’accès standards des OS – Intégration d’ACLs dans les SGF – Configuré dynamiquement

Solution : la mise en application Bénéfices – Least privilege basés sur droits individuels – Evite les contraintes de base des OS – Permet le partage sélectif – Pas besoin de confiance dans le code – Supporte les anciennes applications – Hautes performances – Fonctionne sur de nombreuses distrib Unix

Architecture CA Bob Joan contrôle d‘accès flexible Via politique de sécurité Ressources Admin Authentification mutuelle Et Accréditation délégation de priviléges fins utilisateur à utilisateur délégation de priviléges fin admin à utilisateur

Implémentation Basé sur Symphony – component-based Framework – pour créer, partager, composer et exécuter des applis – JAVA ( CoG Kit:Globus/GSI et RMI ) + C (POSIX) – Gros GUI

Discussion et Travaux Futurs Viable pour des collaborations spontanées – Petites, non structurées et éphémères Doit être intégré à GSI et au Globus Toolkit Portabilité foireuse de POSIX.1E (spéc. incomplètes) Fréquence des créations/révocations – problèmes avec des accès concurrents Limites de leur langage de spécification de politique de sécurité (comme X509) – XACML inutilisable par utilisateurs finaux Passage à l’échelle avec LDAP

Humble avis Ca marche! (c’est déjà ça!) Article un peu verbeux, mais bon recul et critique honnête (a priori) Validation par maquettage – Problème de passage à l’échelle – Problème des révocations (serveur central) Demande des utilisateurs : certes! – Un certain danger… la GridToolBar et GridZaa – Séparation en deux écoles?

La suite - PRIMA PRIvilege Management and Authorization – GSI Authorization Callout Interface Implementation – PRIMA Privilege Creator Software – PRIMA Policy Manager – X.509 Attribute Certificate Support for OpenSSL – Hardware-secured Online Credential Repository – 4th ACM/IEEE Int. Symposium on Cluster Computing and the Grid (CCGrid 2004), April 14-19, 2004, Chicago, Ilinois