Entwurf einer anwendungsunabhängigen Zugriffskontrolle mittels ...

Zugriffskontrollverfahren und AOP
3.2 Probleme üblicher Zugriffskontrollverfahren
3.2.1 Fahrtenbücher und Zugriffskontrollen
Die untersuchten Fahrtenbücher weisen keine der oben aufgeführten Zugriffskontrollverfahren
auf. Die meisten Systeme verfügen nur über eine einfache
Passwortabfrage (siehe [IbNoJ] und [SysoJ]). Fortgeschrittene Zugriffskontrollen wie
etwa rollenbasierte Zugriffskontrollen werden hingegen nicht unterstützt.
Im Folgenden soll nicht weiter auf die Sicherheitsmängel üblicher Fahrtenbuch-
Software bzw. -Dienste eingegangen werden. Stattdessen wird erörtert, welche
Probleme auftreten, wenn man die Zugriffskontrolle einer (Telematik-)Anwendung mit
den oben beschriebenen Verfahren realisieren möchte.
3.2.2 Vermischung von Quellcode und Zugriffskontrolle
Das Hauptproblem üblicher Verfahren ist, dass die Zugriffskontrollaufrufe im
Anwendungsprogramm zu programmieren sind. Üblicherweise verfügt eine Zugriffskontrollfunktionalität
über eine Schnittstelle, die vom Anwendungsprogramm genutzt
wird. Die folgende Abbildung zeigt eine Beispielanwendung, die um Funktionen zur
Überprüfung der Autorisierung erweitert wurde.
package Logbook;
import Security.SecurityFacade;
public class Start
{
…
public static void main(String[] args) throws Exception {
SecurityFacade security = SecurityFacade.getInstance();
…
else if (action.equals(„setdate“)) {
if(security.checkAuthorization(user,”Entry”,”setdate”)
String date = JoptionPane.showInputDialog(…);
Entry e = (Entry) entries[actualNbr];
e.setdate(date);
else
System.out.println(“Access denied”);
…
}
}
Abbildung 7: Anwendungsprogramm inklusive Rechteprüfung
Wie man anhand der fett markierten Zugriffskontrollfunktionen deutlich sehen kann,
muss sich ein Großteil des Anwendungscodes mit der Zugriffskontrolle beschäftigen.
25