Para evitar amenazas de seguridad potenciales, los clientes que utilizan DIVAnet deben preocuparse por la autenticación y autorización del sistema.
Estas amenazas de seguridad se pueden minimizar mediante la configuración correcta y siguiendo la lista de comprobación posterior a la instalación que figura en Apéndice A, Lista de comprobación de la implementación segura.
Las funciones de seguridad críticas que proporcionan protección frente a las amenazas de seguridad son:
Autenticación: garantiza que solo personas autorizadas tengan acceso al sistema y los datos.
Autorización: control de acceso para los privilegios y los datos del sistema. Esta característica se basa en la autenticación para garantizar que las personas solo obtengan el nivel de acceso adecuado.
Los servicios de DIVAnet pueden realizar la autenticación utilizando varios métodos:
Certificados SSL/TLS: DIVAnet consulta a un almacén de confianza de certificados cuando crea una conexión saliente a un servicio remoto de DIVAnet. Esto permite asegurarse de que DIVAnet se está conectando a servicios de DIVAnet auténticos. Para crear una conexión segura desde el servicio ClientAdapter de DIVAnet a una instancia de DIVArchive, debe conectarse mediante el servicio ManagerAdapter con un <ConnectionType> identificado como WebServices.
Reglas de acceso: si bien técnicamente constituyen una forma de control de acceso, las reglas de acceso pueden filtrar conexiones entrantes en función de la dirección IP entrante. Esta característica es necesaria para asegurarse de que solo los sistemas aprobados tengan el acceso correspondiente a los servicios de DIVAnet.
ADVERTENCIA:
Los servicios de DIVAnet utilizan contraseñas de base de datos como parte de su configuración. Las contraseñas se deben cambiar de inmediato después de la instalación y cada 180 días (como mínimo) posteriormente. Después de realizar el cambio, debe guardar las contraseñas en una ubicación segura, fuera de línea, donde solo pueda acceder el soporte de Oracle, si fuera necesario.
Se pueden crear reglas de acceso para limitar las operaciones que determinados usuarios o sistemas pueden realizar en el sistema de archivos distribuidos. Las reglas de acceso se pueden ejecutar de las siguientes maneras:
Modo ClientAdapter/MultiDiva: restringe los tipos de solicitudes de DIVAnet que se pueden ejecutar.
ManagerAdapter: restringe los tipos de solicitudes de DIVArchive que se pueden ejecutar para satisfacer una solicitud de DIVAnet (posiblemente solicitada por un sistema remoto).
Las reglas de acceso pueden afectar las solicitudes iniciadas desde DIVAnetUI o desde una conexión de socket de la API (posiblemente iniciada por un sistema de automatización o un sistema de gestión de activos de medios).
Las reglas de acceso se pueden ejecutar en una solicitud de DIVAnet, en el nivel de DIVAnet o DIVArchive. En el nivel de DIVAnet, el servicio ClientAdapter procesa la solicitud donde esta se recibió. En el nivel de DIVArchive, un servicio ManagerAdapter remoto procesa las solicitudes de DIVArchive ejecutadas para satisfacer la solicitud de DIVAnet.
Oracle recomienda que cree el juego de reglas más restrictivo que cumpla con los requisitos de su aplicación. Por ejemplo, si solo los administradores deben realizar supresiones globales, asegúrese de que a los demás usuarios se les niegue el acceso a esa funcionalidad. Si un grupo de usuarios del sistema solo necesita acceso a una lista limitada de orígenes y destinos, asegúrese de que esos usuarios solo puedan ejecutar solicitudes relacionadas con dichos orígenes y destinos específicos.
También tenga en cuenta los sitios utilizados para satisfacer las solicitudes. Por ejemplo, si los usuarios del sitio local no tienen motivo para realizar copias en los casos en que los sitios de origen o destino no constituyen el sitio local (esto es posible al usar DIVAnet), configure estas reglas en la configuración del servicio ClientAdapter.
Finalmente, tenga en cuenta las construcciones específicas de las solicitudes que desee excluir por completo. Por ejemplo, si no necesita objetos de dirección que tengan solo un nombre de objeto (sin la categoría), excluya todas las solicitudes que tengan categorías en blanco.
Asimismo, cada WorkflowProfile de ClientAdapter contiene la lista de mensajes válidos que pueden ser procesados por solicitudes asignadas al WorkflowProfile. En el modo MultiDiva, esto ofrece una manera de excluir mensajes específicos del procesamiento (incluidos los mensajes informativos).
Oracle recomienda comenzar con las reglas por defecto definidas en el archivo AccessRules.xml.ini, aunque no defina sus propias reglas de acceso. Para obtener más información sobre las funciones de control de acceso de DIVAnet, consulte la Guía de Oracle DIVAnet haciendo clic en el siguiente enlace:
SSL/TLSDIVAnet contiene datos de certificados en dos lugares: un almacén de claves privadas, que se utiliza para los servicios web alojados en el sistema local, y un almacén de claves públicas, que se utiliza para verificar los servicios web que se invocan de manera remota. Puede usar la utilidad de herramienta de claves de Java para cambiar la contraseña del almacén de claves y agregar y suprimir certificados.
Consulte lo siguiente para obtener más información sobre cómo crear almacenes de claves:
http://docs.oracle.com/javase/8/docs/technotes/guides/security/jsse/JSSERefGuide.html#CreateKeystore
Solo las conexiones a los servicios web de DIVAnet utilizan SSL/TLS. En esta versión, la conexión a DIVArchive o DIVAnet mediante una conexión de socket de la API de DIVArchive no usa SSL/TLS.
Los datos del certificado de clave privada de DIVAnet se almacenan en:
$DIVANET_HOME\Program\divanet\lib\diva129.jks
Debe aparecer exactamente un certificado en este almacén de claves. Este certificado se usa para servicios web alojados por servicios que se ejecutan desde este directorio de $DIVANET_HOME. Se recomienda reemplazar el certificado enviado por un nuevo certificado y usar un certificado distinto para cada sitio de DIVAnet de la red.
Debe cambiar la contraseña de este almacén de claves. Almacene la información de contraseña en un nuevo archivo denominado $DIVANET_HOME\Program\divanet\lib\diva129.properties y permita que los servicios de DIVAnet puedan leer este archivo, pero no permita que lo lean los usuarios ocasionales del sistema. Use el siguiente formato para el archivo:
keystorePassword=[newpassword]
Los datos de este almacén que, en ocasiones, se denomina almacén de confianza, se encuentran en:
$DIVANET_HOME\Java\lib\security\cacerts2
Los datos de este certificado se usan en llamadas salientes del servicio web (incluidas las llamadas de DIVAnetUI). Se pueden cargar varias claves públicas en este almacén de claves.
Si agregó un nuevo certificado autofirmado al almacén de claves privadas de DIVAnet, exporte el certificado mediante la utilidad de herramienta de claves. Todas las aplicaciones (servicios de DIVAnet, DIVAnetUI, etc.) que invocan WebServices en este sitio deben agregar el certificado exportado a su propio almacén de claves públicas.