Secure Logistical Networking in Virtual Organizations
HEJTMÁNEK, Lukáš, Luděk MATYSKA and Michal PROCHÁZKA. Secure Logistical Networking in Virtual Organizations. In Cracow'06 Grid Workshop. Krakow, Polsko: Academic Computer Centre CYFRONET AGH, 2007, p. 450-458. ISBN 83-915141-7-X. |
Other formats:
BibTeX
LaTeX
RIS
|
Basic information | |
---|---|
Original name | Secure Logistical Networking in Virtual Organizations |
Name in Czech | Bezpečné logistické sítě ve virtuálních organizacích |
Authors | HEJTMÁNEK, Lukáš (203 Czech Republic, guarantor), Luděk MATYSKA (203 Czech Republic) and Michal PROCHÁZKA (203 Czech Republic). |
Edition | Krakow, Polsko, Cracow'06 Grid Workshop, p. 450-458, 9 pp. 2007. |
Publisher | Academic Computer Centre CYFRONET AGH |
Other information | |
---|---|
Original language | English |
Type of outcome | Proceedings paper |
Field of Study | 10201 Computer sciences, information science, bioinformatics |
Country of publisher | Czech Republic |
Confidentiality degree | is not subject to a state or trade secret |
RIV identification code | RIV/00216224:14610/07:00022477 |
Organization unit | Institute of Computer Science |
ISBN | 83-915141-7-X |
Keywords in English | IBP; PKI; X509; authentication; authentization |
Tags | authentication, authentization, IBP, PKI, X509 |
Changed by | Changed by: RNDr. Lukáš Hejtmánek, Ph.D., učo 3545. Changed: 27/8/2007 16:27. |
Abstract |
---|
In this paper, we propose an architecture that extends Logistical Networking to use Grid authentication and authorization services. Our architecture guarantees that user is authenticated to all services included in network storage stack, the authorization granularity is also at the service level and all authorizations can be revoked at any moment by service providers. We also support access policies. These can limit maximum amount of distributed storage space allocated to a user or group of users or they can limit the maximum amount of time the client can keep his data within the distributed storage. Advanced access control to files is supported, administrators can define access conditions. The prototype implementation has been used to evaluate overhead associated with the security enhancement. This overhead is negligible for Auth, Allocate, Load, and Store commands if only capabilities are encrypted, the Copy command has a penalty of some 10ms (rather negligible for large data transfers). When full data encryption is enforced, the Load, Store, and Copy command are bound by the speed of the used AES 128 cipher. |
Abstract (in Czech) |
---|
Datová úložiště, propojená vysokorychlostní sítí, mohou sloužit jako uzly distribuovaného datového prostoru s vysokou kapacitou a přijatelnou cenou. Takovýto datový prostor lze zpřístupnit prostřednictvím IBP protokolu, který nabízí nezaručenou službu ukládání datových bloků. Protokol rovněž nevyžaduje autentizaci uživatelů a~autorizace je řešena pouze formou vlastnictví metadat. V rámci projektu Protokoly a aplikace datových skladů (PADS) jsme proto navrhli bezpečnostní rozšíření protokolu IBP tak, aby distribuovaný systém podporoval striktní autentizaci a autorizaci uživatelů. Tato rozšíření musí splňovat následující tři základní požadavky: (i) klient musí být důvěryhodně autentizován, (ii) klient musí být autorizován a (iii) každá autorizace musí být odvolatelná. Autentizace uživatelů je založena na infrastruktuře tajných a veřejných klíčů (PKI) s využitím X.509 certifikátů s VOMS atributy. VOMS atributy používáme rovněž k jednoznačné identifikaci uživatele, který může vlastnit několik různých certifikátů. Každá služba v rámci distribuovaného datového úložiště umožňuje definovat přístupovou politiku. Uživatel musí získat autorizační oprávnění od všech služeb v rámci distribuovaného úložiště. Navržené řešení vynucuje kontaktování všech služeb uživatelem v pevně daném pořadí, aniž by přitom služby musely být mezi sebou online propojeny, veškerá autorizace probíhá vždy mezi uživatelem a konkrétní službou, bez nutnosti online kontaktovat třetí stranu. Každé autorizační oprávnění je časové omezené a tedy odvolatelné. Řešení jsme propojili s jednoduchou federativní autentizační službou, používanou v rámci projektu Eduroam. Uživatel se může svým Eduroam účtem prokázat online certifikační autoritě, která mu vydá časově omezený certifikát, s nímž pak přistupuje k jednotlivým službám distribuovaného úložiště. Celý distribuovaný systém se používá k záznamu přednášek v HD kvalitě. |
Links | |
---|---|
MSM0021622419, plan (intention) | Name: Vysoce paralelní a distribuované výpočetní systémy |
Investor: Ministry of Education, Youth and Sports of the CR, Highly Parallel and Distributed Computing Systems |
PrintDisplayed: 6/10/2024 10:51