these doctorat une architecture de securité

Section 3.4. Les Entreprise JavaBean
sécurité. Ces mécanismes sont implantés au sein de l’ORB. Ils interviennent lors de toutes
les invocations sur les objets d’une application. Ils interceptent l’invocation même si l’application
n’est liée à aucune notion de sécurité et appliquent sur l’invocation leurs politiques
de sécurité. Du côté serveur, il est possible d’obtenir l’identité de l’utilisateur sous laquelle
l’application cliente a été lancée.
– Le Security Level 2 fournit un jeu d’API de sécurité permettant aux applications de gérer
explicitement leur politique de sécurité.
Une application gérant explicitement sa sécurité est capable de changer dynamiquement son
identité, sa politique de sécurité selon, par exemple, l’identité du serveur distant. Le code java
suivant présente les étapes nécessaires à une application pour changer d’identité et contacter un
objet serveur distant qui représente un journal intime accessible à distance et dont bien évidemment
l’accès doit être restreint au seul propriétaire.
// Creation d’un nouveau contexte de securite pour
// stocker les donnees d’authentification
LoginHelper loginHelper = new LoginHelper();
try {
tel-00239252, version 1 - 5 Feb 2008
// Indication de l’ID et du mot de passe de l’utilisateur pour
// authentification.
org.omg.SecurityLevel2.Credentials credentials = loginHelper.login(userid,
password);
// Utilisation des nouvelles donnees d’identification
// pour tous les appels a venir.
loginHelper.setInvocationCredentials(credentials);
// il est possible de recuperer le nom d utilisateur
// associe aux certificats
String username = loginHelper.getUserName(credentials);
System.out.println("Contexte de securite etabli pour : "+username);
// ajout d une entree dans le journal intime
journalIntime.ajoutEntree("un commentaire pour mon journal intime");
} catch (org.omg.SecurityLevel2.LoginFailed e) {
// code de gestion de l echec de l authentification
}
La figure 3.7 présente les diverses étapes qui conduisent à l’élaboration de la politique de
contrôle d’accès lors de l’invocation d’une méthode à partir d’un objet client sur un objet serveur.
En conclusion, le service de sécurité de CORBA offre un large éventail de mécanismes de
sécurité essentiels au sein d’applications distribuées : organisation en domaines de sécurité hiérarchiques,
possibilités de fédérer des domaines de sécurité ainsi que la possibilité d’obtenir au
moins en partie une intégration implicite des mécanismes de sécurité. Elle se trouve localisée au
sein du niveau de sécurité 1 de l’ORB sécurisé. Ce niveau est dédié à la sécurité d’applications qui
n’ont pas été prévues pour fonctionner avec des mécanismes de sécurité. Cependant, ce niveau
de sécurité n’est pas configurable par l’utilisateur mais seulement par les administrateurs de
l’ORB. Les politiques de sécurité appliquées seront celles des domaines de sécurité. L’utilisateur
ne peut exprimer la politique de sécurité qu’il désire pour une application de manière implicite,
il est obligé d’utiliser l’API du niveau de sécurité 2.
3.4 Les Entreprise JavaBean
Les Entreprise JavaBeans (EJB) [89] sont des composants Java qui peuvent être combinés
pour créer des applications distribuées et modulaires. Le standard EJB décrit à la fois une spécification
et un ensemble d’interfaces que doivent implanter les composants. Un des principes de
conception d’une telle architecture est la séparation des concepts non-fonctionnels de niveau système
(comme le multi-threading, la persistance, les transactions, la sécurité, etc) de la logique de
37