OIOREST nyhedsbrev
Mandag d. 9 marts 2009
OIOREST og sikkerhed
I forbindelse med OIOREST har der indtil nu været mest fokus på udstilling
af offentlige data og services, men OIOREST er også rettet mod anvendelse af
sikkerhedsbelagte data. Forudsætningen for at kunne tilgå sikkerhedsbelagte data
er selvfølgelig, at de sikkerhedsmæssige forhold er i orden. Til dette har vi i
OIOREST projektet frembragt følgende leverancer, hvis mål er at give
retningslinjer og vejledning i hvordan sikkerheden etableres i OIOREST baserede
webservices:
Publikationen henvender sig til offentlige myndigheder samt private
virksomheder, der ønsker at udstille sikkerhedsbelagte data eller services
baseret på OIOREST. Guiden beskriver sikkerhedsmodeller, der kan anvendes i
forbindelse med OIOREST. Formålet er at opnå fundamentale sikkerhedsmæssige
egenskaber for kommunikationen herunder autenticitet, integritet og
konfidentialitet. Anvendelse af de beskrevne sikkerhedsmodeller gør det muligt
at udbyde eller anvende web services, der eksponerer følsomme data eller udbyder
kritiske ressourcer via internettet.
Sikkerhedsmodellerne tager udgangspunkt to alment forekommende scenarier for
serviceintegration: det første scenarie består af et system-til-system kald via
internettet, og det andet scenarie udvider det første med kald på vegne af en
bruger.
Publikationen indeholder også en juridiske del, der er udarbejdet for at give et
kortfattet overblik over de krav især personoplysningsloven stiller.
Vejledningen vil derfor ikke gå i detaljer med de enkelte forhold, i stedet
gives et overblik, som hjælper godt fra start i forbindelse med brug af OIOREST.
Publikationen er rettet mod udviklere, der skal implementere REST baserede web
services. Ikke kune de services, som er rettet mod sikkerhedsbelagte data, men også
dem som er rettet mod offentlige data. Publikationen tager udgangspunkt i to
kørende demoservices: Køservicen og Danmark servicen. Det er med udgangspunkt i
Køservicen at sikkerhedsaspekterne behandles.
Der er udviklet en kørende demoservice, som eksemplificerer sikkerheden i
OIOREST. Servicen er beskrevet vha. noget generel information, beskrivelse af
web api’et, eksempler på anvendelser af web api’et, eksempler på kode der
anvender api’et i Java og C# samt køservicens kildetekst. Til illustration
af de to sikkerhedsmodeller er der endvidere udviklet to klienttyper: En rig
klient samt en web applikation klient. Begge er kort beskrevet nedenfor.
Til illustration af den enkle sikkerhedsmodel er der udviklet en rig klient
applikation, som tilgår Køservicen.
Til illustration af på vegne af - sikkerhedsmodellen er der udviklet en web
applikation, som tilgår Køservicen på vegne af en bruger af web applikationen.
Mine data er et mønster, som beskriver hvorledes sikkerhedsbelagte data kan
udstilles. Mønsteret er en del af
Implementeringsmodellen for forretningsservice.
Giv din mening til kende om OIOREST's sikkerhedsmodeller på Digitaliser.dk
Finn Jordal