Konferenz 2009/GDI Sicherheit

Referent

Arnulf Christl

Dieser Vortrag führt in die Fragestellung des differenzierten und gesicherten Zugriffs auf Dienste einer GDI über Geoportal-Technologie ein und zeigt an Beispielen die Umsetzung.

Zusammenfassung

Die Standards des OGC definieren derzeit noch keine Schnittstellen oder Spezifikationen, die genutzt werden können, um den Zugriff auf Geodaten nach Benutzern zu differenzieren. Es gibt bereits einige Ansätze, die oft sehr komplexe Funktionalität bieten aber nicht interoperabel und deshalb in verteilten Architekturen nicht einsetzbar sind.

Geoportale bündeln die Schnittstellen zu Geodaten-Diensten und eignen sich deshalb optimal, um den nach Benutzern differenzierten Zugriff zu verwalten. Im Verbund mit allgemeiner IT-Sicherheit bieten sie eine technisch sichere Umgebung für die Bereitstellung von Geodaten über Internet-Technologie.

Vortrag

Der Vortrag RESTful WebServices und die ROA enthält Grundlagen, die den Aufbau von Diensten für ein gesichertes Geoportal erleichtern.

Standardisierte Geodaten-Dienste

Geodaten werden zunehmend über Dienste bereitgestellt. Je nach Art und Umfang der Daten erfolgt die Bereitstellung oft mit unterschiedlicher Software. Wenn mehrere Datenquellen bereitgestellt und überlagert genutzt werden sollen, kommen herstellerunabhängige, interoperable Standards des Open Geospatial Consortium (OGC) zum Einsatz. Das entstehende Konglomerat von Diensten und Anwendungen funktioniert unabhängig voneinander als verteilte Geodateninfrastruktur (GDI). Die Architektur bleibt dadurch ausbaufähig und kann flexibel für verschiedenste Anwendungen genutzt werden.

Die in GDI verwendeten Dienst-Standards des OGC definieren die technische Schnittstelle zwischen Client und Server, z.B. OGC WMS für Kartenbilder und OGC WFS für den Zugriff auf vektorielle Geodaten (Geometriedaten). Auch wenn diese Schnittstellen aus heutiger Sicht anders implementiert werden müssten bieten sie derzeit dennoch den kleinsten, gemeinsamen Nenner, auch um Anwendungen, die auf verteilte Dienste zugreifen zu sichern.

Metadaten über Geodaten-Dienste

So entsteht eine durchaus sinnvolle Vielfalt von Diensten unterschiedlicher Hersteller, die durch standardisierte Metadatensätze beschrieben werden. Um die Verwaltung zu vereinfachen werden diese Metadatensätze katalogisiert. Diese Metadatenkataloge werden als Basis für die Recherche und Suche nach Geodaten verwendet. Zusammen mit Metadatenkatalogen anderer GDI bilden sie einen Verbund über den Geodaten und Dienste ausgetauscht und gemeinsam genutzt werden können. Diese Infrastruktur wird organisatorisch durch politische Initiativen wie z.B. die GDI-DE auf Bundesebene oder INSPIRE auf europäischer Ebene unterstützt.

Schutz vor unberechtigtem Zugriff

Der erste Schritt beim Aufbau einer sicheren Lösung ist der Schutz vor unberechtigtem Zugriff. Hierfür muss der direkte Zugriff des Endbenutzers auf den Dienst zunächst unterbunden werden. In den Schemata der Metadaten sind bereits Strukturen enthalten, die für einen Zugriffsschutz verwendet werden könnten, bisher jedoch nur als Platzhalter. Alle derzeit am Markt verfügbaren technischen Lösungen, die den Zugriff auf Dienste kontrollieren, sind deshalb Individuallösungen, da die Standards des OGC keine weitere Differenzierung nach Benutzern ermöglichen.

Der Schutz vor unberechtigtem Zugriff muss deshalb mit Methoden der allgemeinen IT erfolgen (in NCSA-kompatiblen Servern wie Apache zum Beispiel über htaccess). Für den Transport der Daten kommen bewährte Verschlüsselungstechniken zum Einsatz, zum Beispiel HTTPS (Hypertext Transfer Protocol Secure).

Die Bestätigung der Identität eines Benutzers erfolgt bei der Anmeldung in Authentifizierungssystemen, auch hier steht bewährte Technologie zur Verfügung zum Beispiel HTTP-Authentifizierung.

Benutzerverwaltung

Neben der Authentifizierung wird eine Benutzerverwaltung benötigt, welche die Berechtigung eines Benutzers (die Autorisierungsdaten) regelt. Diese Autorisierungsdaten müssen in speziellen, eigenen System erfolgen, da es keine herkömmlichen Standard-IT Strukturen gibt in denen solche Informationen verwaltet und abgelegt werden können. Die Vielzahl unterschiedlicher Technologien und Architekturen macht es unmöglich jeden Dienst mit einer eigenen Benutzerverwaltung auszustatten, die Wartbarkeit würde ebenfalls unmöglich.

Zugriffe gestatten und protokollieren

Um Dienste in einer offen standardisierten GDI sowohl zu verwalten als auch zu schützen, eignen sich am besten webbasierte Geoportale, die bereits für die Dienste-Metadatenverwaltung genutzt werden. Durch vorgeschaltete Fassaden können sie auch verteilte Dienste unterschiedlicher Hersteller zentral schützen und ermöglichen einen differenzierten Zugriff. Alle Zugriffe auf einen Dienst, der geschützt werden muss, erfolgen nur noch durch die Fassade. Dabei können alle Benutzerinteraktionen protokolliert werden, wenn dies eine Anforderung ist, z.B. bei personenbezogenen Daten einer öffentlichen Verwaltung.

Integration in bestehende Systeme

In den meisten Organisationen wurden bereits Identitätsmanagement-Systeme aufgebaut, diese müssen mit der Geoinformationstechnologie integriert werden, um eine redundante Pflege dieser kritischen Infrastrukturdaten zu vermeiden. Diese Systeme zur Benutzerverwaltung, Anmeldung und Zugriffsberechtigung in Domänen wurden unabhängig von den Anforderungen einer GDI aufgebaut und können deshalb meist nicht grundsätzlich geändert werden, da sie in produktiven Umgebungen im täglichen Einsatz sind. Es muss deshalb eine Integration erfolgen, entweder durch die direkte Kopplung des Geoportals mit dem bestehenden Authentisierungssystem oder durch ein Rollenkonzept, das einfacher implementiert werden kann, aber nicht die gleiche, feine Granularität bietet.

Beispiele

Drei Open Source Entwicklungen stehen für unterschiedliche Fragestellungen bereit:

• InteProxy - Sicherheitserweiterung für unsichere OWS Klienten zur Absicherung von Geodateninfrastrukturen
• 52° Nord Security Services
• Mapbender OWS Security Proxy

In einer Online-Demonstration wird gezeigt wie gesicherte OGC WMS und WFS-Dienste berechtigten Benutzern über den Mapbender OWS Security Proxy in dem Geoportal-RLP geladen und bereitgestellt werden.

• Mapbender Benutzer-Dienst Capabilities URL
• Standard GetMap-Aufruf
• Gesicherter GetMap-Aufruf

Links

• Einführung in den Mapbender OWS Security Proxy
• InteProxy - Sicherheitserweiterung für unsichere OWS Klienten zur Absicherung von Geodateninfrastrukturen
• 52° Nord Security Services

Kontakt zum Autor

Arnulf Christl

WhereGroup GmbH Co. KG

Siemensstr. 8

+49 (0)228 909038-23

arnulf.christl@wheregroup.com