La sécurité et la confiance se prêtent mal à l’approche distribuée d’un calculateur virtuel. Ainsi, une personne appartenant à une université française peut démarrer, sur le serveur d’une société finlandaise, un calcul qui accédera aux ressources d’une dizaine de serveurs dans des universités ou des entreprises à travers le monde. Toutes ces entités appartiennent à des domaines différents et sont soumises à des contraintes de sécurité également différentes. Assurer la sécurité dans ces conditions peut, à première vue, sembler utopique. Le chiffrement asymétrique offre toutefois une solution à ce problème.
Les processus s’authentifient eux-mêmes
L’initiative Grid Infrastructure Security (GIS) du projet Globus décrit une architecture de sécurité de type PKI qui authentifie les serveurs, les utilisateurs et les processus au niveau du Grid, et s’adapte aussi aux modèles locaux de sécurité. Mieux : elle permet aux processus de s’authentifier eux-mêmes lorsqu’ils ont besoin d’accéder à des ressources distantes, afin d’éviter à leur propriétaire de rester en ligne pour la durée des calculs. À la base de la solution se trouve un certificat numérique X.509 standard, délivré à chaque utilisateur et à chaque machine du Grid. Bien que spécifique au Grid Globus, celui-ci doit être signé par une autorité de certification reconnue (le Global Grid Forum envisage parallèlement l’établissement de gridCA – Autorités de Certification distribuées). Ce certificat contient le nom unique de l’utilisateur ou du service pour lequel il a été délivré. Sur le Grid, chaque ordinateur dispose de tables de correspondance entre ces noms uniques (DN) et les utilisateurs locaux. Les connexions sont alors établies par SSL et l’authentification réalisée sur la foi du certificat numérique. Le système sollicité recherche dans sa table de correspondance à quelle personne appartient le DN présenté par le certificat. Puis, il procède à l’authentification afin d’autoriser le lancement d’un processus.
Le proxy libère l’utilisateur
Pour plus de souplesse, GIS introduit l’utilisation d’un proxy : il s’agit d’un certificat et d’une clé privée temporaires, signés par l’utilisateur lors de sa première connexion. Le proxy est capable de satisfaire toutes les requêtes d’authentification. Il peut être laissé sur une machine distante si une authentification est nécessaire à intervalle régulier. C’est grâce à ce proxy que l’utilisateur se connecte, par SSH ou par une autre application compatible GIS, à n’importe quel hôte afin de démarrer un processus. Celui-ci pourra, à son tour, créer un nouveau proxy dérivé du premier s’il a besoin de s’authentifier auprès d’une autre machine distante. Il peut ainsi se constituer toute une chaîne temporaire de confiance à partir de l’utilisateur, même si celui-ci n’est plus connecté. Ce modèle a toutefois l’inconvénient d’exiger des applications compatibles GIS, et de ne pas faciliter l’accès à Internet. C’est là qu’intervient MyProxy, un portail doublé d’un annuaire de proxy temporaires déposés par les utilisateurs. MyProxy permet de lancer des travaux sur le Grid à partir d’un navigateur. Il se sert du proxy temporaire de l’utilisateur pour réaliser à sa place les tâches demandées sur le Grid.
🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.
