WWW-sovelluspalveluiden tietoturvallinen pääsynvalvonta

Abstract

Tämän insinöörityön tavoitteena oli selvittää tietoturvallisen pääsynvalvonnan toteuttaminen REST-arkkitehtuurityyliä noudattaviin WWW-sovelluspalveluihin. Tarkastelun kohteeksi otettiin verkkosovellusten pääsynvalvonnan toteuttamisen apuna käytettäviä teknisiä standardeja, joita ovat: SAML, OpenID, OAuth2 ja JWT. Näistä standardeista oli tarkoitus löytää soveltuvimmat. Lisäksi selvitettiin tietoturvan roolia REST-arkkitehtuurityyliä noudattavan WWW-sovelluspalvelun arkkitehtuurissa.

Työ aloitettiin selvittämällä REST-arkkitehtuurityylin käsite. Tämän jälkeen selvitettiin WWW-sovelluspalveluiden vakavimmat tyypilliset haavoittuvuudet ja pääsynvalvonnan käsite. Havaittiin, että WWW-sovelluspalveluiden haavoittuvuudet eivät juuri poikenneet tavanomaisten verkkopalveluiden haavoittuvuuksista. Todettujen haavoittuvuuksien ja pääsynvalvonnan käsitteen perusteella tutkittiin teknisten standardien soveltuvuutta käytettäväksi REST-arkkitehtuurityyliä noudattavien WWW-sovelluspalveluiden pääsynvalvonnassa. Tekniset standardit ilmenivät olevan suunniteltu eri tarkoituksiin ja niiden sovellettavuuden WWW-sovelluspalveluiden pääsynvalvonnassa todettiin vaihtelevan. Pohdinnat osoittivat OAuth2-standardin tarjoavan neljästä standardista laajimmat ominaisuudet pääsynvalvonnan toteuttamiseen REST-arkkitehtuurityyliä noudattavissa WWW-sovelluspalveluissa.

Lopuksi esitettiin REST-arkkitehtuurityyliä noudattavan WWW-sovelluspalvelun esimerkkiarkkitehtuuri ja pohdittiin tietoturvan roolia siinä. Tietoturvan havaittiin koskevan REST-arkkitehtuurityyliä noudattavan WWW-sovelluspalvelun arkkitehtuurissa sen jokaista komponenttia. Kuitenkin havaittiin, että arkkitehtuurissa, jossa API-kerros on eriytetty sovelluskerroksesta, on mahdollista keskittää joitain tietoturvatoimintoja API-kerrokseen.

Työssä tehdyt havainnot voivat toimia apuna REST-arkkitehtuurityyliä noudattavan WWW-sovelluspalvelun tietoturvan suunnittelussa. Osa havainnoista on myös sovellettavissa tavanomaisten verkkosovellusten pääsynvalvonnan tai tietoturvan suunnittelussa.

The object of this thesis was to find out a secure way to implement access control into REST architectural style web services. Four technical standards designed to aid in the process were considered: SAML, OpenID, OAuth2 and JWT. The purpose was to find the most suitable ones. Additionally, the role of information security in the architecture of a REST architectural style web service was examined.

The thesis was started with clarifying the concept of REST architectural style. After that the most serious vulnerabilities of web services and the concept of access control were examined. Web services were noted to be subject to most of the same vulnerabilities as ordinary web applications. Using the examined vulnerabilities and the concept of access control as a base, the applicability of the chosen four standards to aid in the implementation of access control for REST architectural style web services was examined. The technical standards appeared to be designed for different kinds of purposes and their applicability to implementation of access control for REST architectural style web services was noted to vary. The considerations indicated that OAuth2 standard offers the most features in the implementation of access control for REST architectural style web services.

Finally, an example architecture for a REST architectural style web service was presented and the role of information security in it was examined. Information security appeared to consider every component of the architecture. Nevertheless it was noted that in an architecture where the API layer is separated from the application layer, it is possible to centralize some of the security functionality into the API layer.

The observations made in the study can aid in designing the information security of a REST architectural style web service. Some of the observations can also be applied while designing the access control or information security of a regular web application.