http://www.opitz-consulting.com/go/3-6-11 Die Anforderungen, die heute an IT-Sicherheitsexperten gestellt werden, erinnern mitunter an die scheinbar unlösbaren Aufgaben des Herkules in der griechischen Sage. Doch nicht jeder Security-Spezialist ist ein IT-Muskelmann. Und allein die traditionellen IT-Sicherheitsansätze und Maßnahmen reichen nicht aus, um neue technische aber auch organisatorische Fragen zu beantworten. Welche Lösungsansätze bietet Oracle in diesem Fall? Nach einer kurzen Einführung in die Problematik stellten unsere IT-Experten Mohammad Esad-Djou und Frank Burkhardt die Security-Konzepte von Oracle vor und richteten danach einen besonderen Fokus auf Oracle WebLogic Server und Oracle Plattform Security Services (OPSS). Diese Themen standen dabei im Mittelpunkt: ■ Herausforderungen der IT-Sicherheit in weltweit vernetzten Systeme ■ IT-Sicherheitsarchitektur und der Ansatz von Oracle ■ Oracle Fusion Middleware und Bausteine der Sicherheitstechnologie von Oracle: WLS, OAM, OID, OVD, WebGate ■ Sichere Systeme: Best Practice und Erfahrungsberichte zu Authentication, Authorization, Single-Sign On (SSO), Secure Socket Layer (SSL) und Security Assertion Markup Language (SAML). Weitere Infos: https://thecattlecrew.wordpress.com/2015/01/19/doag-2014-konferenz-it-sicherheit-und-ofm-eine-herkulesaufgabe/ -- Über uns: Als führender Projektspezialist für ganzheitliche IT-Lösungen tragen wir zur Wertsteigerung der Organisationen unserer Kunden bei und bringen IT und Business in Einklang. Mit OPITZ CONSULTING als zuverlässigem Partner können sich unsere Kunden auf ihr Kerngeschäft konzentrieren und ihre Wettbewerbsvorteile nachhaltig absichern und ausbauen. Über unsere IT-Beratung: http://www.opitz-consulting.com/go/3-8-10 Unser Leistungsangebot: http://www.opitz-consulting.com/go/3-8-874 Karriere bei OPITZ CONSULTING: http://www.opitz-consulting.com/go/3-8-5

1. © OPITZ CONSULTING GmbH 2014 Seite 1IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Mohammad Esad-Djou, Solution Architect
Frank Burkhardt, Senior Consultant
OPITZ CONSULTING Deutschland GmbH
Nürnberg, 20.11.2014
IT-Sicherheit und OFM:
Eine Herkulesaufgabe?

2. © OPITZ CONSULTING GmbH 2014 Seite 2IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Agenda
1. Herausforderungen
2. Was verstehen wir unter IT-Sicherheit?
3. Oracle Ansatz: Konzept und Komponente
4. Sichere Kommunikation: SSL, PKI…
5. Forms Single-Sign-on Integration State of the Art
6. Zusammenfassung

3. © OPITZ CONSULTING GmbH 2014 Seite 3IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Security im Alltag!
Darf man eigentlich nach Telefonaten
fremder Leute in der Bahn Fragen stellen,
wenn einem etwas unklar geblieben ist?

4. © OPITZ CONSULTING GmbH 2014 Seite 4IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Organisation komplexer IT Infrastruktur
Network
Management
Middleware
Management
Database
Management
OS
Management

5. © OPITZ CONSULTING GmbH 2014 Seite 5IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Organisation komplexer IT Infrastruktur
Network
Management
Middleware
Management
Database
Management
OS
Management

6. © OPITZ CONSULTING GmbH 2014 Seite 6IT-Sicherheit und OFM: Eine Herkulesaufgabe?
IT-Security und IT-Prozesse
Network
Management
Middleware
Management
Database
Management
OS
Management
IT-Security Gouvernance

7. © OPITZ CONSULTING GmbH 2014 Seite 7IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Wann ist Security-Relevanz gegeben?
Auswirkungen auf den Betrieb einer Perimeter Firewall
Auswirkungen auf den Betrieb einer internen Firewall
Auswirkungen auf eine Komponente zur Berechtigungsprüfung
Auswirkungen auf die Passwort-Policy
Änderung von Logging-Einstellungen
Veränderungen an Kommunikationsbeziehungen oder
Netzebenen
Auswirkungen auf die Sicherheit des Gesamtkonzepts
…

8. © OPITZ CONSULTING GmbH 2014 Seite 8IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Agenda
1. Herausforderungen
2. Was verstehen wir unter IT-Sicherheit?
3. Oracle Ansatz: Konzept und Komponente
4. Sichere Kommunikation: SSL, PKI…
5. Forms Single-Sign-on Integration State of the Art
6. Zusammenfassung

9. © OPITZ CONSULTING GmbH 2014 Seite 9IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Security Challenges

10. © OPITZ CONSULTING GmbH 2014 Seite 10IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Was verstehen wir unter
IT-Sicherheit?
Kernziele der IT-Security: Unversehrtheit, Geheimhaltung
und Verfügbarkeit
Welche Sicherheitsbedürfnisse und daraus resultierende
Sicherheitsziele hat das Unternehmen?
Was bedeutet die Nichtverfügbarkeit meiner Daten zu einer
bestimmten Zeit?
Existieren Vereinbarungen für den Umgang mit Daten?

11. © OPITZ CONSULTING GmbH 2014 Seite 11IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Was verstehen wir unter
IT-Sicherheit?

12. © OPITZ CONSULTING GmbH 2014 Seite 12IT-Sicherheit und OFM: Eine Herkulesaufgabe?
IT-Sicherheit
Verfahren zur Gewährleistung, dass die in einem Computer
gespeicherten oder zwischen Computern übergebenen
Daten nicht gefährdet sind
Sicherheitsmaßnahmen
Proof material
Datenverschlüsselung
Authentication, Authorization und Verschlüsselungsdienste

13. © OPITZ CONSULTING GmbH 2014 Seite 13IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Agenda
1. Herausforderungen
2. Was verstehen wir unter IT-Sicherheit?
3. Oracle Ansatz: Konzept und Komponente
4. Sichere Kommunikation: SSL, PKI…
5. Forms Single-Sign-on Integration State of the Art
6. Zusammenfassung

14. © OPITZ CONSULTING GmbH 2014 Seite 14IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Oracle Platform Security Services
Einen Rahmen, der eine umfassende Reihe von
Sicherheitsdienstleistungen bietet
Java SE Fähigkeiten: Security APIs
Java EE bietet zusätzliche Sicherheitsfunktionen
Java Mangel
Audit
Single-Sign-on
Fine-Grained Authorization
Management Tooling

15. © OPITZ CONSULTING GmbH 2014 Seite 15IT-Sicherheit und OFM: Eine Herkulesaufgabe?
OPSS:
Architecture - Application View

16. © OPITZ CONSULTING GmbH 2014 Seite 16IT-Sicherheit und OFM: Eine Herkulesaufgabe?
OPSS:
Funktionalität

17. © OPITZ CONSULTING GmbH 2014 Seite 17IT-Sicherheit und OFM: Eine Herkulesaufgabe?
OPSS:
Runtime

18. © OPITZ CONSULTING GmbH 2014 Seite 18IT-Sicherheit und OFM: Eine Herkulesaufgabe?
OPSS:
Oracle Directory Service

19. © OPITZ CONSULTING GmbH 2014 Seite 19IT-Sicherheit und OFM: Eine Herkulesaufgabe?
ODSM:
Oracle Directory Services Manager

20. © OPITZ CONSULTING GmbH 2014 Seite 20IT-Sicherheit und OFM: Eine Herkulesaufgabe?
ODSM:
Oracle Directory Services Manager
LDAP
OVD
OID
OUD

21. © OPITZ CONSULTING GmbH 2014 Seite 21IT-Sicherheit und OFM: Eine Herkulesaufgabe?
OAM:
Oracle Access Management

22. © OPITZ CONSULTING GmbH 2014 Seite 22IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Apache/ WebGate

23. © OPITZ CONSULTING GmbH 2014 Seite 23IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Agenda
1. Herausforderungen
2. Was verstehen wir unter IT-Sicherheit?
3. Oracle Ansatz: Konzept und Komponente
4. Sichere Kommunikation: SSL, PKI…
5. Forms Single-Sign-on Integration State of the Art
6. Zusammenfassung

24. © OPITZ CONSULTING GmbH 2014 Seite 24IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Sichere Kommunikation:
SSL, PKI…
Ein Mechanismus, dass die kommunizierenden
Applikationen sich gegenseitig identifizieren und
authentifizieren können.
Verschlüsselung der ausgetauschten Daten von
Anwendungen
Technische Anforderungen:
Verschlüsselung
Zertifikate
öffentliche Schlüssel (Public Key)

25. © OPITZ CONSULTING GmbH 2014 Seite 25IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL Authentication

26. © OPITZ CONSULTING GmbH 2014 Seite 26IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL: Certificates

27. © OPITZ CONSULTING GmbH 2014 Seite 27IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Trust and Identity
Identity: private key and digital certificate
Trust: The trusted certificate authority (CA)
Keytool generate the certificates
A standard java keystore utility
Keystore: A database of key material
Types of Keystores: PKCS12, Sun's JKS
A trust keystore contains the root and intermediate certificates
which are trusted by the server.

28. © OPITZ CONSULTING GmbH 2014 Seite 28IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Trust and Identity
WebLogic default:
Demo Identity
Demo Trust
Enable SSL port under the
General Tab of the server
Practice: Configure SSL on
WLS with Custom Identity
and Java Standard Trust

29. © OPITZ CONSULTING GmbH 2014 Seite 29IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL-Konfiguration
auf WebLogic Server
1 Best
Practice

30. © OPITZ CONSULTING GmbH 2014 Seite 30IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL-Konfiguration
auf WebLogic Server
Best
Practice
2
keytool -list -v -keystore server_keystore.jks -storepass weblogic1234
Configure the keystore in WebLogic Server: Now login to WebLogic Server to
configure these certificates.
In the left pane of the Console, expand Environment and select Servers.
Click the name of the server for which you want to configure the identity and
trust keystores.
Check SSL Listen Port Enabled and if necessary set the value for SSL Listen
Port <default 7002>

31. © OPITZ CONSULTING GmbH 2014 Seite 31IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL-Konfiguration
auf WebLogic Server
Best
Practice
3
Select Configuration -> Keystores. Choose the Custom Identity and Java
Standard Trust and fill in the below attributes:
Custom Identity Keystore: The fully qualified path to the identity keystore
(e.g., path/server_keystore.jks).
Custom Identity Keystore Type: The type of the keystore. Generally, this
attribute is Java KeyStore (JKS); if left blank, it defaults to JKS.
Custom Identity Keystore Passphrase: The password you will enter when
reading or writing to the keystore (e.g., weblogic1234).

32. © OPITZ CONSULTING GmbH 2014 Seite 32IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL-Konfiguration
auf WebLogic Server
Best
Practice
4
Navigate to Home ->Summary of Servers ->AdminServer -> SSL
Identity and Trust Locations: Keystores
Private Key Alias: alias (The alias of the private key: in our case it is server_cert)
Private Key Passphrase: weblogic1234
Confirm Private Key Passphrase: weblogic1234
Click SAVE

33. © OPITZ CONSULTING GmbH 2014 Seite 33IT-Sicherheit und OFM: Eine Herkulesaufgabe?
SSL-Konfiguration
auf WebLogic Server
Best
Practice
5
Now restart the server and try to access the Admin console
HTTPS port:https://<server name>:<server port>/console.
If you are able to access the console, that means you have successfully
enabled SSL with the Keystore type as Custom Identity and Java Standard
Trust.
keytool -alias <alias_name> -import -file rootcacert.cer -keystore
trustkeystore.jks -storepass <Password>

34. © OPITZ CONSULTING GmbH 2014 Seite 34IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Agenda
1. Herausforderungen
2. Was verstehen wir unter IT-Sicherheit?
3. Oracle Ansatz: Konzept und Komponente
4. Sichere Kommunikation: SSL, PKI…
5. Forms Single-Sign-on Integration State of the Art
6. Zusammenfassung

35. © OPITZ CONSULTING GmbH 2014 Seite 35IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Forms Single-Sign-on Integration
Die Herausforderungen
Aufruf einer Forms Applikation ohne Login-Maske
Initialer Aufruf der Applikation ohne Login-Dialog
Sero-Single-sign-on
Der Lösungsansatz :
WNA (Windows Native Authentication)

36. © OPITZ CONSULTING GmbH 2014 Seite 36IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Forms Single-Sign-on Integration
Die Herausforderungen
SSO-Integration der bestehenden Anwendungen
Oracle Forms
Oracle Reports
Oracle Discoverer
Strategische SSO Integration
Unternehmensweite Single Sign-on Lösung für weitere
Anwendungen
J2EE; SAP
…

37. © OPITZ CONSULTING GmbH 2014 Seite 37IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Betrachtung der Ausgangssituation
Die Komponenten Forms und Reports als auch die Discoverer
Anwendung gehören zur Oracle Fusion Middleware.
Bei einer SSO-Integration müssen die Rahmenbedingungen des
Software Herstellers berücksichtigt werden.
Zertifizierungsvorgaben
Life Time Support
Dokumentationen
Lizenzkosten?

38. © OPITZ CONSULTING GmbH 2014 Seite 38IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Dadurch resultieren Produktvorgaben
Oracle Access Manager 11g
Strategisches Oracle Produkt für das Access Management
Zugriffkontrolle, Authentifizierung und Single-Sign-on
Nutzt Verzeichnisdienste z.B. OID
Bietet verschieden Authentifizierungsmechanismen
Basic Authentication, Kerberos, SSL
Bietet Web SSO

39. © OPITZ CONSULTING GmbH 2014 Seite 39IT-Sicherheit und OFM: Eine Herkulesaufgabe?
WNA – die Zutaten

40. © OPITZ CONSULTING GmbH 2014 Seite 40IT-Sicherheit und OFM: Eine Herkulesaufgabe?
WNA – Prinzip

41. © OPITZ CONSULTING GmbH 2014 Seite 41IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Web-SSO-Infrastruktur

42. © OPITZ CONSULTING GmbH 2014 Seite 42IT-Sicherheit und OFM: Eine Herkulesaufgabe?
WEB-SSO Komponente OAM
Der Oracle Access Manager gehört zum Produkt Bundle
Identity and Access Management (IAM)
Bestandteile dieser Installation sind
WLS Admin Server Policy Administration
WLS Managed Server Policy Decision Point
WebGate Policy Enforcement Point
Als Identity Store kann OID genutzt werden

43. © OPITZ CONSULTING GmbH 2014 Seite 43IT-Sicherheit und OFM: Eine Herkulesaufgabe?
WEB-SSO Komponenten für Forms
Oracle Forms benötigt nach einer erfolgreichen Authentifizierung
zusätzlich die notwendigen Informationen für die Anmeldung an
der Datenbank.
Diese Anmelde Informationen werden über den OID (Oracle
Internet Directory) einem Oracle LDAP Server bereitgestellt.

44. © OPITZ CONSULTING GmbH 2014 Seite 44IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Web-SSO-Infrastruktur für Forms Integration

45. © OPITZ CONSULTING GmbH 2014 Seite 45IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Oracle Internet Directory
Der OID gehört zum Produkt Bundle Identity Management (IDM).
Bestandteile dieser Installation sind
WLS Domain OID-Administration
OID-Instance LDAP Server Instanz
OID DB Datenbank Repository

46. © OPITZ CONSULTING GmbH 2014 Seite 46IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Web-SSO-Komponenten
für Forms Integration
Web Server
Oracle HTTP Server
WebGate Plugin
OAM Domain
Admin Server
OAM Console
Access Server
OAM-DB (DB-Repositories)
OID
Oracle Directory Server
Admin Server
Oracle Directory Services
Manager
OID-DB (DB-Repository)

47. © OPITZ CONSULTING GmbH 2014 Seite 47IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Forms Web-SSO Integration

48. © OPITZ CONSULTING GmbH 2014 Seite 48IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Agenda
1. Herausforderungen
2. Was verstehen wir unter IT-Sicherheit?
3. Oracle Ansatz: Konzept und Komponente
4. Sichere Kommunikation: SSL, PKI…
5. Forms Single-Sign-on Integration State of the Art
6. Zusammenfassung

49. © OPITZ CONSULTING GmbH 2014 Seite 49IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Fragen und Antworten

50. © OPITZ CONSULTING GmbH 2014 Seite 50IT-Sicherheit und OFM: Eine Herkulesaufgabe?
Ansprechpartner bei OPITZ CONSULTING
Mohammad Esad-Djou, Solution Architect
OPITZ CONSULTING Deutschland GmbH
Mohammad.Esad-Djou@opitz-consulting.de
Telefon +49 89 680098-1400
Frank, Burkhardt, Senior Consultant
OPITZ CONSULTING Deutschland GmbH
Frank.Burkhardt@opitz-consulting.com
Telefon +49 89 680098-1400
youtube.com/opitzconsulting
@OC_WIRE
slideshare.net/opitzconsulting
xing.com/net/opitzconsulting