Gebruik van cryptografie voor veilige jquery/rest webapplicaties. Frans van Buul Inter Access

Transcriptie

1 Gebruik van cryptografie voor veilige jquery/rest webapplicaties Frans van Buul Inter Access 1

2 Frans van Buul 2

3 De Uitdaging Rijke en veilige webapplicaties Een onveilig en traag netwerk Onveilige en diverse browsers als clients 3

4 Agenda Web Frameworks hebben zo hun problemen, maar er is een aantrekkelijk alternatief: REST State dat echter een nieuw probleem lijkt te introduceren maar dat is goed op te lossen met. Crypto Demo (screenshots) en conclusies en dat werkt echt! 4

5 Web Frameworks: allemaal anders Wicket Struts Grails Play! JSF Tapestry FubuMVC ASP.NET MVC Ruby on Rails Spring MVC Web Forms MonoRail 5

6 Web Frameworks: veel hetzelfde URL/data HTTP Request HTML HTTP Response Request processor View Rendering Engine Mechanisme voor action binding Mechanisme voor data binding View Definitie Taal Noties van component en template 6

7 Web Frameworks: introductie van Ajax Functionaliteit Pre-Ajax webapplicaties Framework MVC-like frameworks Webapplicaties met Ajax addons ( unobtrusive ) Ajax-centric webapplicaties MVC-like frameworks met Ajax addons Nog steeds hetzelfde! 7

8 Web Frameworks: Typische omgang met Ajax URL/data HTTP Request HTML HTTP Response Partial Submit Request processor View Rendering Engine Mechanisme voor action binding Mechanisme voor data binding View Definitie Taal Noties van component en template Partial View Views met JavaScript 8

9 Conclusie: Web Frameworks vs. moderne apps Onnodig slechte performance. Presentatielogica verdeeld over JavaScript en server- side code; slechte onderhoudbaarheid. Risico op business logica in JavaScript. 9

10 Alternatieve architectuur URL/data HTTP Request HTML HTTP Response Statische pagina s met JavaScript Kale webserver Client-side presentatielogica URL/data HTTP Request Data HTTP Response Applicatieserver Server-side business-logica 10

11 REST anno 2000 Representational State Transfer Architectural style gedefinieerd in de dissertatie van Roy Fielding. Voordelen Scalability Visibility Reliability Constraints Uniform (HTTP) Layered Code on demand (Applets) Caching Stateless server

12 REST anno 2012 Webservices WS-* / SOAP is nogal een drama. REST gebruikt als alternatief. Publieke web-api s vaker REST dan SOAP. Standaard frameworks voor efficiënt implementeren van REST-services (JAX-RS, WCF). Webapplicaties Zeer volwassen en rijke JavaScript libs (jquery); nieuwe invulling van code on demand.

13 Dus dit zou moeten werken... code on demand jquery RESTful services

14 State traditionele benadering Session id Client Session id Session id Session id Server Session data Session data Session data dat is niet RESTful!

15 RESTful State Session data Client Server lijkt niet erg veilig. Confidentiality Integrity

16 Doel van crypto-oplossing Client Server

17 Bouwsteen: Symmetrische versleuteling Vertrouwelijke gegevens Encryptiefunctie Keuze: AES (+timestamp, random data) Client Server

18 Bouwsteen: Hash-based Message Authentication Code Authentieke gegevens Authentieke gegevens Hashfunctie Keuze: HMAC-SHA1 Client Server

19 Niet een bouwsteen: asymmetrische crypto Asymmetrische crypto (in combinatie met PKI) wordt vaak gebruik voor versleuteling + ondertekening. Hier niet: Overbodig: geen key distributie issues want keys op server. Onhandig: véél trager (factor 1000) Onhandig: veel groter (factor 4 8)

20 Ook non-crypto bouwstenen Unicode String JSON Object UTF-8 HMAC-SHA1 Byte Array AES Base64 Cookie- Safe String URL Encoding ASCII String

21 Alles samen Client Server

22 Implementatie: standaard bouwstenen! AES HMAC-SHA1 UTF-8 URLEncoding Standaard Java Base64: Apache Commons Codec +/- 500 regels eigen code (inclusief commentaar en whitespace) JSON: Google Gson

23 Demo Niet-ingelogde gebruiker komt op inlogpagina. JavaScript wordt actief: 23

24 Demo 24

25 Demo 25

26 Demo 26

27 Conclusies Bij Inter Access nu één project op deze technologie gedaan; overwogen als standaard voor toekomst. Positief: Implementatie van crypto is eenvoudig. Uitstekende performance. Alles bij elkaar beter onderhoudbare code. Nadeel: Weinig standaard componenten (jquery UI). Deels eigen framework code voor dialogen. Developers moeten relatief complexe JavaScript maken. 27