Authentication Types

Página 1

Agenda

Nessa apresentação, discutiremos:

Estabelecer os quatro métodos de autenticação.

Compará-los (Basic, Digest, Form e Client-cert) .

Estudar com declarar confidencialidade e integridade no DD.

Página 2

Os 4 tipos de autenticação

Agora que aprendemos sobre autorização em detalhes, vamos estudar os 4 métodos de autenticação.

Os 4 métodos de autenticação são: Basic, Digest, Form e Client-cert.

Página 3

Comparando os tipos

O método de autenticação Basic transmite as informações de login em codificação de base 64. A segurança é fraca pois não é criptografada. Esse tipo de autenticação está especificada nas especificações http.

A forma de autenticação Digest transmite a informação de login de forma mais segura que a forma Basic estando especificada nas especificações http. O mecanismo de encriptação não é amplamente usado, então nem todos os containers J2EE o suportam.

O mecanismo de autenticação Client-cert é especificado nas especificações J2EE. Transmitirá as informações de login utilizando PKC, que significa Public Key Certificate, que é extremamente seguro para transmissão de informações. A única desvantagem desse tipo de autenticação é que o cliente deve ter um certificado antes de logar no sistema.

Para se utilizar o mecanismo form-based, deve-se criar um formulário de login customizado. É uma forma menos segura de autenticar, em que o usuário deve passar seu nome e senha no próprio objeto request.

Página 4

Definindo Autenticação no DD

Autenticação será definida no DD através do elemento < login-config >

O container tratará o resto do trabalho de solicitação do nome de usuário e senha.

Página 5

Definindo Autenticação no DD (2)

Caso o método "form" seja escolhido, então os formulários "login.html" e "error.html" deverão ser criados.

Caso o método Form seja escolhido, a tag < form-login-config > deve ser declarada e dentro dela serão informados < form-login-page > e < form-error-page >

Página 6

Conteúdo de login.html

O que vemos acima é um exemplo de formulário html.

Caso < auth-method > dentro de < login-config > seja "Form", deverão ser criadas as páginas de login e de erro e informados por meio das tags < form-login-page > e < form-error-page > dentro da tag < form-login-config >, conforme vemos acima, temos a página de login.html.

Página 7

Página Error.html

Acima vemos um exemplo da página Error.html

Página 8

Confidencialidade e Integridade

Quase todos os containers utilizam HTTPS sobre SSL (Secure Socket Layer) para transmissão segura de informações.

Para implementar confidencialidade ( ninguém necessita ver isso a não ser a quem realmente de destina ) e integridade ( a informação não deve ser alterada antes de se chegar ao destinatário ), nós declaramos o elemento < transport-guarantee >.

Página 9

Confidencialidade e Integridade (2)

A tag < transport-guarantee > deve ser declarada dentro do elemento < security-constraint > no DD.

A tag < transport-guarantee > deve ainda ser declarada dentro do elemento < user-data-constraint >

Os valores de < transport-guarantee > são NONE (ou seja sem proteção de dados para informações durante a transmissão), CONFIDENTIAL ( os dados não devem ser observados por mais ninguém se não o destinatário) e INTEGRAL ( impedir adulteração de dados ).

Deve haver apenas uma tag < user-data-constraint > por tag < security-constraint >

Página 10

Conclusão

Discutimos os quatro métodos de autenticação e suas diferenças.

Comparamos os métodos de autenticação.

Discutimos a tag < transport-guarantee >

Aprendemos a trabalhar com a tag < login-config >

Página 11

Exemplo de Autenticação Declarativa