IBM Tivoli Directory Server

Transaction Layer Security

A 2830-as RFC definiálja a Transaction Layer Security (TLS) protokollt, amely két rétegből áll:

• A TLS Record Protocol gondoskodik a kapcsolat biztonságáról DES (Data Encryption Standard), illetve RC4 (ARCFOUR) eljárások alkalmazásával. Az előbb említett, szimmetrikus titkosításoknál használt kulcsban meg kell egyeznie a két kommunikáló félnek minden egyes kapcsolat kiépítése előtt. A TLS Handshake Protocol segítségével tud a két fél megállapodni a titkos kulcsban.
• A TLS Handshake Protocol biztosítja, hogy a kiszolgáló és a kliens egymást azonosítani tudják, valamint megállapodjanak a használt titkosítási eljárásban és az eljáráshoz használt kulcsban, mielőtt további adatokat küldenének egymásnak.

Secure Sockets Layer

Amikor SSL-t használunk az LDAP kommunikáció biztonságossá tételére az IBM Directory Serverrel, akkor mind a kiszolgáló, mint a kliens oldali azonosítás támogatott. A kiszolgáló azonosításához van egy X.509 alapú, digitális tanúsítvány, amely a kliensek felé azonosítja az IBM Tivoli Directory Servert.

Tanúsítványok

Ha kiszolgáló és kliens azonosítást is használunk SSL esetén, akkor a kiszolgáló beállítható úgy, hogy ellenőrizze: a klienstől érkező tanúsítvány lejárt-e vagy érvénytelenítették-e. Amikor a kliens kérést küld a kiszolgáló felé, akkor a kiszolgáló lekérdezi az érvénytelenített tanúsítványok listáját egy LDAP kiszolgálótól. Ha a kliens tanúsítványa nem szerepel a visszakapott listán, akkor a kommunikáció engedélyezett SSL-en keresztül a kliens és a kiszolgáló között. Ellenkező esetben nem engedélyezett a kommunikáció.

Interneten keresztül történő használathoz célszerű egy széles körben elfogadott tanúsítványszolgáltató (CA) által kiadott tanúsítvány használata. Ha kizárólag intranetes környezetben használjuk az IBM Tivoli Directory Servert, akkor elegendő lehet a saját cég által aláírt tanúsítvány is.

Jelszavak titkosítása

A felhasználók jelszavai külön titkosítva vannak eltárolva. Ez megakadályozza, hogy a jelszavakhoz bárki hozzáférhessen, beleértve a rendszergazdákat is. Az adminisztrátornak lehetősége van beállítani a userPassword attribútumra egyirányú vagy kétirányú kódolást. Négyféle beállítás létezik jelszavak kódolására:

Jelszóházirend

Szabályrendszer, mely a jelszavak használatát és adminisztrációját írja le az IBM Tivoli Directory Server rendszeren belül. A szabályok biztosítják, hogy a felhasználók bizonyos időközönként cseréljék jelszavaikat, valamint hogy a jelszavakra vonatkozó szintaktikai követelmények teljesüljenek. Ugyanezen szabályok korlátozzák a régi jelszavak újrafelhasználását, és kizárják azon felhasználókat, akik meghatározott számú esetben rossz jelszót adnak meg. Minden felhasználóra vonatkozik ezen jelszóházirend, kivéve a rendszergazdát és az adminisztrációs csoportba tartozókat.

Access control model attribútumai

Minden egyes objektum tartalmazza egyedi nevét, valamint attribútumait és azok értékeit. Az Access control model két attribútumhalmazt definiál:

• entryOwner information – bejegyzés tulajdonosa
• Access Control Information (ACI) – hozzáféréssel kapcsolatos engedélyek

Ez megegyezik az LDAP modellel abban, hogy az ACI Information és az entryOwner information attribútum-érték párként van eltárolva.

Az entryOwner information határozza meg, hogy mely Subjectek hozhatnak létre ACI-t. A bejegyzés tulajdonosa teljes hozzáférést kap a cél objecthez. A bejegyzés tulajdonosát definiáló attribútumok:

• entryOwner: Egyértelműen meghatározza a bejegyzés tulajdonosát.
• ownerPropagate: Meghatározza, hogy az engedélyhalmaz továbbadható-e a részfa leszármazott bejegyzéseire.

A bejegyzés tulajdonosainak teljeskörű engedélye van az objecten bármilyen műveletvégzésre az aclEntry bejegyzéstől függetlenül. Továbbá a bejegyzés tulajdonosai az egyedüliek, akik az object aclEntry bejegyzéseit kezelhetik. A rendszergazdák és az adminisztratív csoport tagjai alapértelmezésben az összes, címtárbeli Object-nek tulajdonosai, és ez a tulajdonosi joguk egyetlen Object-ről sem távolítható el.

Subject

A Subject egy olyan entitás, amely hozzáférést kér valamilyen művelet elvégzéséhez egy Object-en. Egy DN típus és egy DN (Distinguished Name/Megkülönböztető Név) kombinációjából áll. Az érvényes DN típusok az access ID (hozzáférés azonosító), group (csoport), és a role (szerepkör). A DN meghatároz egy egyedi hozzáférés azonosítót, szerepkört, és egy csoportot.

Access targets

Az engedélyek alkalmazhatók egy teljes Objectre (gyerek bejegyzés hozzáadása, bejegyzés törlése), bejegyzés egyes attribútumaira, attribútumcsoportokra (Attribute Access Classes).

Azon attribútumok, melyek hasonló engedélyeket követelnek meg, osztályokba vannak csoportosítva. Az attribútumok a címtár sémafájlbeli attribútum-osztályokhoz vannak társítva. Ezen osztályok különállók; egy adott osztályhoz hozzáférés nem jelenti azt, hogy egy másik osztályhoz is hozzáférünk. Egy attribute access class egészére történik engedélybeállítás.

Az IBM Tivoli Directory Server öt attribútumosztályt definiál: normal, sensitive, critical, system, és restricted.

Access rights

Egy access target-re alkalmazott LDAP hozzáférési jogok különállók. Egy jog nem von maga után másik jogot. Az egyes jogosultságok persze kombinálhatók, hogy a kívánt jogosultsági listát össze tudjuk állítani. A jogok három részből állnak:

• Action (művelet): Értéke grant (megad) vagy deny (megtagad). Ha ez a mező nem létezik, akkor az megadást (grant) jelent.
• Permission (engedély): Hat alapművelet végezhető egy címtár object-en: bejegyzés hozzáadása, bejegyzés törlése, attribútumérték olvasása, attribútumérték írása, attribútum keresése, attribútumérték összehasonlítás. A lehetséges attribútum engedélyek: olvasás (r), írás (w), keresés (s), és összehasonlítás (c). Ezen felül a felsorolt object engedélyek a bejegyzés egészére vonatkoznak: gyerek bejegyzés hozzáadása (a), bejegyzés törlése (d).
• Access target (hozzáférés célja)