Введение.

Информационный Web-портал РАН - это распределенная информационная система, основанная на современных сетевых коммуникационных технологиях. Разработка портала ведется в рамках проекта создания Единой информационной системы РАН (ЕИС РАН). Основные проектные решения, принятые в рамках этого проекта, описаны в Концепции создания ЕИС РАН [1], где в частности, сформулированы общие требования и задачи, стоящие перед системой обеспечения информационной безопасности. Также в [1] определены основные инструменты решения задач обеспечения безопасности и надежности функционирования. Необходимые меры должны приниматься по трем основным направления: нормативная база, программные сервисы в составе Информационного Web-портала РАН и аппаратные средства. В настоящей работе дана дальнейшая детализация решений, сформулированных в Концепции, описана архитектура системы контроля доступа Информационного Web-портала РАН и идеология управления доступом с точки зрения пользователей - сотрудников различных академических организаций.

К вопросам разработки, внедрения и использования ЕИС РАН отнесены, в том числе, вопросы защиты авторских прав и поддержке прав интеллектуальной собственности согласно действующего Российского Законодательства и норм международного права.

Законодательные акты по вопросу информационной безопасности и политики информационного обмена в сфере компьютерных коммуникаций Российской Федерации в настоящее время еще недостаточно совершенны, поэтому работа по пополнению нормативно-правовой базы ЕИС РАН, в том числе, в части вопросов, касающихся правовой поддержки функционирования академического портала, продолжается. Отсутствие достаточной юридической базы и механизмов государственного регулирования, которые могли бы создать условия для защиты авторских прав и прав интеллектуальной собственности на разработки, выполняемые в РАН, является одним из существенных препятствий на пути продвижения проекта Информационного Web-портала РАН.

Управление доступом в Web-портале РАН.

В основе проекта создания Информационного Web-портала РАН лежал тщательный предварительный анализ ситуации в области информатизации, сложившийся в академических организациях. Проект создания академического портала и явился результатом выводов, сделанных на основе предварительных разработок, и опыта, полученного другими разработчиками при создании аналогичных информационных структур. Результатом стало решение о выделении и взаимной интеграции нескольких наиболее важных общесистемных компонентов ЕИС РАН и реализации их в составе Информационного Web-портала РАН. Одним из таких компонентов стала Служба безопасности портала. Неизбежность подобного решения подтверждается общими тенденциями, сложившимися в сфере информационных систем и технологий и спецификой работы РАН. Отмечена назревшая необходимость внедрения интерактивных приложений обработки потоков заданий в корпоративных интрасетях организаций РАН с высоким уровнем защиты, необходимость интеграции административной и научной информации, оперативной актуализации не только структурированных управленческих данных, но и научной информации, как правило, не имеющей структуры или слабоструктурированной. Кроме того, Информационный Web-портал РАН выполняет и функции корпоративной информационной системы РАН, следовательно к его реализации могут быть предъявлены ряд требований, как к любому коммерческому портальному решению, претендующему на выполнение корпоративной функциональности. Среди этих требований на первом месте указывается наличие адекватных средств защиты [2].

Таким образом, в составе Информационного Web-портала РАН предусмотрена самостоятельная служба безопасности, создаваемая специально для целей проекта и не зависящая от сторонних производителей и разработчиков. Создание и внедрение подобного компонента должно обеспечить выполнение всех требований по защите интеллектуальной собственности РАН - всех цифровых ресурсов, интегрированных в систему. В частности, должна быть обеспечена возможность частичного представления информации организаций РАН в открытом доступе при контролируемом доступе к конфиденциальным данным.

К основным функциям Службы безопасности отнесены:

Требования к системе управления доступом

Система управления доступом, реализуемая Службой безопасности Web-портала РАН, должна отвечать следующим требованиям:

Архитектура системы управления доступом

С точки зрения обеспечения информационной безопасности для построения системы управления доступом необходимо определить состав и способы взаимодействия защищаемых объектов. В архитектуре Информационного Web-портала РАН выделены следующие объекты защиты:

Связи между защищаемыми объектами представлены на рис.1:

Доступ к защищаемым объектам Web-портала РАН может осуществляться по различным протоколам. Так, при доступе через браузер (HTTP) будет использоваться сервис визуализации, который будет извлекать информацию из соответствующих объектов-ресурсов. При доступе по протоколу SOAP будет работать другой компонент: Web-сервис.

Таким образом, чтобы обеспечить единый надежный механизм контроля, не зависящий от используемых протоколов, систему управления доступом необходимо реализовывать на уровне ядра, интегрировав её с механизмом хранимых объектов и механизмом выполнения объектных запросов.

Проблемы аутентификации пользователя хорошо изучены, для их решения есть множество разных способов: от традиционного пароля до биометрических систем. Но все они основаны либо на знании чего-то, либо на владении чем-то.

Наиболее распространены системы с использованием пароля. Они просты и удобны, в том числе, с точки зрения реализации, но при этом у систем защиты, основанных на паролях, есть ряд недостатков:

Другой подход к проблеме аутентификации предлагают системы сертификатов, основанные на криптографии с открытым ключом. Эти системы позволяют не только проверить право входа, но и связать идентификатор с объектом реального мира. Однако и у них есть недостатки:

В Информационном Web-портале РАН применяется комбинированное решение, позволяющее сочетать преимущества обоих упомянутых подходов. Во-первых, сервис аутентификации, входящий в состав Службы защиты портала, предоставляет возможность аутентифицироваться именем/паролем. Во-вторых, для обладателей расширенных прав доступа к информации вводится установка сертификатов, по которым происходит идентификация, и этот механизм также поддерживается сервисом аутентификации. С целью предотвращения использования чужого секретного ключа для несанкционированного доступа, сервис аутентификации позволяет дополнительно к сертификату проверить и пароль. Таким образом в составе Службы защиты реализован гибкий механизм ролевой безопасности, основанной как на имеющейся иерархии должностей и подразделений организаций РАН, так и на возможности формировать динамические группы пользователей для работы над отдельными информационными массивами.

В процессе определения наличия либо отсутствия в массиве троек ("объект"-"пользователь"-"операция") элемента для заданных объекта, пользователя и операции над объектом происходит авторизация аутентифицированного пользователя. Можно выделить две основные проблемы авторизации:

Существует несколько методик описания прав доступа. Наиболее широко распространена в настоящее время методика назначения на объекты списков прав доступа (access control list - ACL). Каждый элемент этого списка содержит идентификатор пользователя (идентификатор группы, идентификатор субъекта) и назначенный этому идентификатору вид доступа. Расширения этой схемы позволяют включать в список элементы, явно запрещающие доступ к объекту, а также указывать возможность наследования элемента списка вниз по иерархии объектов.

Список доступа может быть сохранен вместе с объектом. Достоинство хранения списка доступа вместе с защищаемым объектом состоит в том, что оказывается легко проверить назначенные права доступа к любому объекту, а также легко их изменить. Однако при большой мощности и высокой динамике множества защищаемых объектов, а именно такую характеристику имеют интегрированные в Web-портал РАН цифровые ресурсы, преимущества становятся недостатком: списки занимают значительное место, а административные усилия по управлению ими могут стать неприемлемо большими. Это в еще большей степени относится к системам, где множество объектов неоднородно, а связи между ними имеют более сложную, чем древовидную, структуру, что не позволяет простым образом задать наследование прав доступа.

Для преодоления указанной трудности Сервис авторизации, входящий в состав Службы защиты Информационного Web-портала РАН, использует ролевую модель управления доступом. Эта модель уменьшает объем административных операций. При хорошо продуманной системе ролей управление обычно сводится к назначению пользователям или изъятию у них необходимых ролей в рамках динамических рабочих групп.

Под ролью обычно понимают множество объектов, к которым пользователь имеет доступ, и, возможно, список допустимых операций над ними. Для использования механизма ролей в Web-портале РАН, а именно обоснованность формирования ролей является ключевым вопросом ролевой безопасности, имеются весьма выгодные предпосылки. Именно, в РАН есть достаточно строгая (с позиции информационной безопасности) иерархия, основанная на структуре подразделений академических организаций и структуре должностей. Основываясь на этой иерархии, Сервис авторизации при назначении, например, роли "администратор отдела X" дает возможность полного доступа к объектам "сотрудник", работающим в отделе "X", а также к объектам, представляющим подчиненные подразделения и их сотрудников. При этом создание нового подчиненного подразделения автоматически включает его в область действия этой роли. Конечно, во всех организациях РАН существует много отделов, и для каждого, в таком случае, нужно создавать аналогичную роль. Однако, хотя все такие роли и будут содержать разные множества объектов, но все они используют один и тот же алгоритм его вычисления для заданного отдела.

Сервис авторизации Web-портала РАН представляет роль в виде XML-описания, состоящего из двух компонентов: описания алгоритма вычисления множества объектов и списка операций, разрешенных на этом множестве. Алгоритм описывается в виде комбинации выражений на языке XPath. В выражениях могут использоваться параметры, конкретные значения которых указываются при назначении роли пользователю.

Помимо пользователей, роли могут быть назначены и группам. Группы пользователей могут быть заданы как традиционным способом, через перечисление входящих в них пользователей, так и выражением, позволяющим динамически вычислять состав группы на основе атрибутов объектов, представляющих пользователей.

Имеющаяся на сегодняшний день реализация Информационного Web-портала развернута на аппаратно-техническом комплексе, включающем четыре сервера и рабочее место администратора (рис.2). Два брандмауэра (Firewall) позволяют организовать демилитаризованную зону Интернет, в которой установлен Web-сервер, и защищенную зону, в которой установлен сервер баз данных и рабочее место администратора. Отметим, что имеющаяся топология допускает в дальнейшем легкое наращивание.

Для выполнения возложенных на нее задач Служба безопасности Информационного Web-портал РАН использует следующие базовые программные средства:

Заключение и дальнейшая работа

Привлекательность реализованного решения обеспечения мер безопасности и управления доступа к информации для пользователей - сотрудников организаций РАН - состоит в гибкой адаптации к имеющимся в Академии условиям, включающим соблюдение иерархической дисциплины, основанной на имеющемся структурном и кадровом подчинении. Приведенные в работе характеристики сервисов Службы защиты, на наш взгляд, должны способствовать успешному продвижению Информационного Web-портала РАН в целевую пользовательскую среду. Перспективой развития данной системы является высокоуровневая интеграция с информационными системами научных центров нашей страны и зарубежными.