INFORUM 2006 - 12. ročník konference o informačních zdrojích

Bezpečnost XML [poster / příspěvek]

Autor: Dagmar Brechlerová,  Česká zemědělská univerzita v Praze - Provozně ekonomická fakulta

Plné texty

Abstrakt

Webové služby jsou založeny na standardech W3C, jsou technologicky nezávislé. Jedním z jejich základních problémů je ale neřešení bezpečnosti. Protokol SOAP používaný ve webových službách je ve své podstatě XML dokument, který je přenášen obvykle protokolem HTTP. Pro komerční, ale i jiné aplikace, kde se jedná o přenos citlivých či osobních informací, je tato vlastnost (neřešení bezpečnosti) nepřijatelná.

Během přenosu informací je nutno příslušné informace ochránit před úmyslným i neúmyslným prozrazením a/nebo modifikací, je nutno ověřit identitu podepsaného pracovníka. Je nutno zajistit základní bezpečnostní požadavky (autenticita, integrita dat, nepopíratelnost a utajení, a dostupnost dat). V prostředí Internetu je nutno zjistit identitu původce informace a určit, která data smí který uživatel vidět.

Kromě dostupnosti informací, která se zajišťuje jinými způsoby, se veškeré výše uvedené požadavky dají zajistit přímo přidáním určitých částí do XML. Samotné webové služby v sobě základní bezpečnostní služby nemají, bylo nutno XML rozšířit o část zvanou XML Security. Velmi rychle se vyvíjí standardizace pro bezpečnost webu. V příspěvku bude podán přehled v současné době vyvíjených technologií. Je to XML Signature (XML-DSIG nebo také XML-SIG nebo XS), XML Encryption (XE), XML Key Management Specification (XKMS), Secure Assertion Markup Language (SAML), XML Access Control Markup Language (XACML), WS - security (Web Services Security), EbXML Message Services.

O autorovi

Současný zaměstnavatel: Česká zemědělská univerzita, Provozně ekonomická fakulta, Katedra informačních technologií. Doba působení: 1993 – stále trvá. Pracovní zařazení: odborný asistent. Náplň práce: tvorba osnov a výuka SW orientovaných předmětů (Informatika, Programování, Algoritmizace, Programovací jazyk C).Vytvoření osnov a výuka vlastního nového předmětu Základy ochrany počítačových dat (dnes Ochrana počítačových dat),který jsem na ČZU zavedla. Vedení řady diplomových a bakalářských prací zejména v oblasti bezpečnosti IT. V oblasti bezpečnosti někdy přednáším i na jiných vysokých školách.

Samostatné vedení několika grantů (FR VŠ, interní granty ČZU, PEF ČZU), spoluřešitel na grantech UK, FR VŠ, záměrech (VZ 411100010) Dále jsem byla spoluřešitelem grantu Implementace principů "e-administration" do řízení veřejných vysokých škol – pilotní projekt, projekt pro MŠMT Tvorba výukového SW, spolupráce s MFF UK při řešení několika grantů z oblasti modelování fyzikálních dějů.

Externí spolupráce s různými školicími firmami, např. Gopas a.s., zde jsem vytvořila a zavedla kurs Bezpečnost informačních systémů (osnovy na www. gopas.cz), pro tento kurs jsem vytvořila osnovy a materiály, dále poskytuji konzultační a poradenskou činnost v oblasti bezpečnosti informačních systémů.

Jsem autorem či spoluautorem několika kapitol knih u nás i v zahraničí, trojích vysokoškolských skript a zhruba 60 příspěvků na konferencích ( v ČR i v zahraničí), v časopisech apod., v posledních letech zejména v oblasti bezpečnosti IS, právních a etických problémů užívání informačních technologií atd. V současné době zastupuji Českou republiku v organizaci IFIP (International Federation for Information Processing) v technickém výboru 11 (bezpečnost a ochrana informačních systémů) a dále jsem členem pracovní skupiny 11.7 IFIP, která se zabývá zejména vztahem bezpečnosti a práva. Mezi mé zájmy v oblasti bezpečnosti patří např. problematika digitálního podpisu, autentizace, detekce průniků, vzdělávání v bezpečnosti, bezpečnostní rysy internetových technologií atd.

V oblasti bezpečnosti IS se aktivně i pasivně účastním konferencí a seminářů s touto problematikou, dále akcí ISACA, seminářů na MFF UK apod.

Dále jsem členem několika programových výborů konferencí a seminářů:

• člen programového výboru konference IFIP /Sec 03, část Workshop on Security and Control of IT in Society, Athény, červen 2003
• člen programového výboru semináře Sieťové a informačné technologie, Nitra leden 2003
• člen programového výboru konference Tvorba SW.