Designing a Secure Account Management System

Abstract

Kiuru MSSP is a Mobile Signature Service Provider server product developed by Methics Oy. It is based on the European Telecommunication Standards Institute (ETSI) Mobile Signature standards.

The objective of the project described in this bachelor's thesis was to extend and replace existing service management systems with secure software solutions. This bachelor's thesis focuses on describing the design and implementation of the system. The used technologies are also described in detail.

Methics already had an existing protocol used for service management called MReg (Mobile Signature Service Registration). The system uses this protocol and extends it with a new product called Admin API. The Admin API provides role based account management and the ability to chain multiple MReg operations into use cases.

The technologies used in the project were much more powerful than the technologies Methics had before. Especially the REST-based API made application integration easy.

The finished product simplifies the development of web and CLI based applications. The produced web-interface works as an example and as a possible platform for further web-development.

The solution architecture exploits well-known security solutions that are used in similar software environments. The finished product consists of modular components and interfaces between them.

Kiuru MSSP on Methics Oy:n tuote mobiilivarmennepalveluiden tarjoamiseen. Se on web-palvelinpohjainen ohjelmisto, joka perustuu European Telecommunication Standards Instituten (ETSI) standardeihin.

Tämän projektin tarkoitus oli korvata ja laajentaa Kiuru MSSP:ssä jo olemassa olevia tilinhallintasovelluksia turvallisilla sovellusratkaisuilla. Raportissa kuvataan järjestelmän arkkitehtuuri, sen toteuttamiseen liittyviä komponentteja ja käytettyjä teknologioita.

Työssä yhdistettiin olemassaolevat MReg (Mobile Signature Service Registration) -rajapinta ja REST API -palvelin uudella komponentilla, nimeltään Admin API. Admin API sisältää roolipohjaisen käyttöoikeuksien hallinnan ja käyttötapausten toteutuksen, jolla voidaan yhdistää olemassa olevia MReg-operaatioita.

Työssä käytetyt teknologiat osottautuivat erittäin tehokkaiksi. Erityisesti REST-pohjainen rajapinta helpottaa palvelun hallinnan integrointia aiemmin käytettyihin teknologioihin verrattuna.

Tuotetun järjestelmän avulla onnistuttiin yksinkertaistamaan sekä verkkopohjaisten että komentorivipohjaisten työkalujen tuottamista. Käyttäjien valtuuttaminen eri operaatioille tuli yhdenmukaiseksi ja se toteutettiin yleisesti hyväksytyillä ohjelmistoratkaisuilla. Tuotettu web-käyttöliittymä toimii esimerkkinä ja mahdollisena alustana web-palveluiden jatkokehityksessä.

Ratkaisun arkkitehtuurissa käytettiin yleisiä vastaavissa sovellusympäristössä käytettyjä tietoturvaratkaisuja. Lopullinen toteutus koostuu modulaarisista komponenteista ja niiden välisistä hyvin määritellyistä rajapinnoista.