可重用云工具弥补应用安全问题

当在两个不同的公司工作时,软件工程师Alex Salazar和Les Hazlewood发现自己正在为每个应用重塑身份验证和访问控制。由于缺少可重用、灵活的企业以及安全云应用开发工具,促使他们辞掉工作并为开发人员和架构师构建可重用、开放源代码的和商业的安全工具。

Salazar和Hazlewood建立Apache Shiro的过程中,揭示了企业和云应用开发者所面临的安全问题,处理这些问题的方法以及避免常见的错误。他们为企业和云应用的身份验证、密码存储、用户管理、访问控制和共同安全工作流创建了Stormpath应用程序接口(API)。

在Georgia Tech上大学时,Salazar和Hazlewood曾是1999年成立的软件即服务(SaaS)工程团队的创办者。“但在当时被称为‘应用程序服务提供者’,”Salazar说,“在Marc Benioff使它成为标准之前,我们就建立了多租户系统……,它运行得很好并且我们痴迷于SaaS模型。”

纵观他们的职业生涯,他们都在不断地解决安全工具不足的问题,并一直在满足每一个项目中DIY安全的需求,开发人员通常不得不从头开始编写用户管理代码。

可重用云工具弥补应用安全问题

可重用云工具弥补应用安全问题

“所有的这些工作对于安全来说都很必要,但这并不是应用功能的核心,”Hazlewood说,“并且,因为这些自定义代码并不强大,而且不能被多个应用程序使用,开发人员通常为他们建立的每个应用重写相同的代码,进一步加剧了开发成本。”一旦实现,这些从零开始编写的代码通常就会被忽略并且很少更新,可能随着时间的推移就会出现安全漏洞。

Hazlewood启动Apache Shiro项目,创建一个用于认证、授权、加密和会话管理的开放源代码的Java安全框架。

“Shiro强大了,”Salazar说。即便如此,Hazlewood仍然发现一个问题:安全框架只解决了部分的认证访问控制问题,因为框架为了完成他们的工作,仍然不得不与后端系统对话,如Active Directory或LDAP。当构建基于云的应用程序时,然而,没有Active Directory或LDAP,因此他仍然不得不反复地重塑那一部分。

Hazlewood说,在公有云中,传统的网络安全策略并不适用,而且任何安全漏洞可能被迅速利用。这个缺陷与索尼PlayStation Network 、LinkedIn、Last.FM、雅虎和最近的Twitter相比,成本明显很高。

Hazlewood说:“大多数开发团队的员工没有足够的安全专业知识,所以当将他们的应用程序部署到公有云时,他们冒着非常高的风险”。Salazar表示同意,“云日渐成为应用程序的争议平台。”

Hazlewood不知道Salazar也在云中间件软件领域处理着同样的问题,现有的工具有单点登录功能,这些功能对于在云中构建新的应用程序是不够的。“当将Salesforce与其他产品集成时,单点登录是很好的,但对于你自己的自定义应用却并非如此,”Salazar说,“我看到每个人在构建定制云应用都很痛苦,以及非常具体应用程序、手机的应用程序、客户应用程序、伙伴应用程序等等。”

Salazar叫Hazlewood来解决他的技术验证的问题。“他开始笑了,因为他在做相同的事情,”Salazar说,“我说,‘好吧,让我们谈谈一些客户。辞掉工作并创办一个公司。’”

作为开放源代码软件的支持者,他们第一次计划发布他们的工具作为开放源代码的产品,使用典型的开放源代码的商业模式。在探索性研究中,他们发现,对于那些拥有内部安全与发展团队的大企业来说,开放源代码交付效果很好,但是那些小型和中型企业(SMB)却效果不佳。如必要的话,大公司有能力DIY,但是他们却很欢迎可重用、内部的解决方案。大多数中小企业没有DIY的安全团队或内部专业。“显而易见,云交付是中小企业交付路线,”Salazar说,“中型企业不想做安全管理,他们担心修补数据库服务器和运行最新的副本。他们只是想要一个随需应变的API”。

相关推荐