Die systemimmanente globale Verteilung beim Grid Computing und der Datenaustausch per Internet erfordern zwingend eine sichere Authentifizierungsmethode für alle Beteiligten. Die Grid Security Infrastructure des Globus-Toolkits benutzt dafür asymmetrische Kryptographie.

Das World Wide Grid taugt leider auch als Spielplatz für Skript-Kiddies. Als Lohn winkt der Zugang zu weltweit verteilten Clustern mit zehntausenden CPUs. Grid-Betreiber brauchen daher eine Methode zur sicheren, automatischen Authentifizierung von berechtigten Benutzern und Endgeräten. Beim Globus-Toolkit zeichnet hierfür die GSI-Komponente verantwortlich.

Die Grid Security Infrastructure (GSI,[1]) bedient sich der Public-Key-Kryptographie (siehe Kasten "Verschlüsselung und Signatur"). Während das Verschlüsseln von Daten in der Public-Key- Kryptographie mit dem öffentlichen Schlüssel sehr simpel abläuft, ist es fast unmöglich, sie ohne Zusatzinformationen wieder zu entschlüsseln. Diese Informationen stecken im korrespondierenden privaten Schlüssel, der nur dem Besitzer bekannt ist[2],[3].

Verschlüsselung und Signatur

Die Public-Key-Kryptographie lässt sich am Beispiel verschlüsselter und signierter E-Mails erläutern: Schreibt ein Kunde eine E-Mail an seine (sehr fortschrittliche) Bank, will er vermeiden, dass ein Dritter ihren Inhalt mitliest. Die Bank ihrerseits möchte nachprüfen können, ob die Mail wirklich von dem angenommenen Absender stammt. Abbildung 1 zeigt den Vorgang. Der Kunde verschlüsselt zunächst seine Nachricht »KT« (Klartext) mit dem öffentlichen Schlüssel der Bank »PubB« und signiert den verschlüsselten Text »CT« (Ciphertext). Dazu bildet er über den Text eine Prüfsumme »PS« (Hashwert) und verschlüsselt sie (»X«) mit seinem privaten Schlüssel »PrivK«. Die Bank berechnet nach dem Empfang der Mail ihrerseits die Prüfsumme »CT« und entschlüsselt die mitgesandte Prüfsumme anhand des öffentlichen Schlüssels des Absenders »PubK«. Ein Vergleich der Werte »Y« und »X« zeigt, ob die Nachricht von dem angenommenen Absender stammt. Die Prüfsumme stellt zudem sicher, dass die Nachricht unterwegs nicht verändert wurde. Zuletzt entschlüsselt die Bank die Nachricht mit ihrem privaten Schlüssel »PrivB«. Die Nachricht »KT« ist nun verfügbar. Abbildung 1: Public-Key-Kryptographie erlaubt die Verschlüsselung von Daten und gegenseitige Identifizierung zweier Kommunikationspartner - hier am Beispiel des Austauschs einer E-Mail mit einer Bank erläutert.

Zertifizierung bestätigt die korrekteSchlüsselherkunft

Das Konzept des Zertifikats stellt sicher, dass ein öffentlicher Schlüssel wirklich zu einer bestimmten Person - oder im Grid Computing zu einem Server einer Anwendung oder einem Service - gehört[4]. Ein Zertifikat enthält einen weltweit eindeutigen Namen, den so genannten Distinguished Name (DN), außerdem den öffentlichen Schlüssel der Person. Es speichert zudem Gültigkeitsdauer, Ausstellungsdatum, verwendete Algorithmen, Schlüssellängen, den Namen der zuständigen Zertifizierungsstelle sowie ihre Signatur über die im Zertifikat enthaltenen Informationen.

Die Zertifizierungsstelle (Certification Authority, CA) als vertrauenswürdig angenommene Instanz beglaubigt mit ihrer unabhängigen Unterschrift die Identität mit ihrem öffentlichen Schlüssel. Die Art und Weise, wie eine Zertifizierungsstelle die Identität eines Benutzers, Servers oder Service überprüft und welche Sicherheitsvorkehrungen sie rund um die Zertifizierungsstelle trifft um Missbrauch zu verhindern, bestimmen eine Certification Policy (CP) und das so genannte Certification Practice Statement (CPS).

Die Certification Policy ist frei zugänglich und jede Institution, die Ressourcen für das Grid zur Verfügung stellt, kann selbst entscheiden, ob sie die Zertifizierungsstelle akzeptiert oder nicht. Sie vertraut nur Zertifikaten, die von einer bekannten und akzeptierten Stelle stammen. Da es in jedem System ein Maß an Missbrauch gibt, veröffentlichen Zertifizierungsstellen Widerrufslisten. Auf diesem Weg erklärt die CA Zertifikate für ungültig, zum Beispiel wenn ein privater Schlüssel gestohlen wird. Über den Mechanismus bleibt ein Zertifikat auf seine Aktualität hin überprüfbar.

Mapping zwischen DN und Unix-Name per Datei

Die Autorisierung eines Benutzers für den Zugang zu einer Ressource erfolgt bei Unix und Linux über eine Verknüpfung des global eindeutigen Distinguished Name mit einer lokalen Unix-ID. Dieses Mapping ist im Grid-Mapfile (siehe Listing 2) festgehalten, die Berechtigungen des Unix-Accounts legt der lokale Administrator fest. Der für das Mapfile notwendige Distinguished Name lässt sich aus der »Subject«-Zeile des Zertifikats (siehe Listing 1) entnehmen. Der DN steht dann in Anführungszeichen links, nach etwas Whitespace folgt der Unix-Name.

01 Certificate:
02   Data:
03     Version: 3 (0x2)
04     Serial Number: 3 (0x3)
05    Signature Algorithm: md5WithRSAEncryption
06    Issuer: C=DE, O=Linux-World, CN=Linux-CA
07     Validity
08        Not Before: Dec  4 13:47:19 2003 GMT
09        Not After : Dec  4 13:47:19 2004 GMT
10     Subject: C=DE, O=Linux-World, CN=Albert Einstein

01 "/C=DE/O=Linux-World/OU=Sub-World/CN=Albert Einstein"                            local1
02 "/C=IT/O=TBIN/OU=Personal/L=Catania/CN=Maria Rossario/Email=rossario@zb.tbin.it"                     local1
03 "/C=FR/O=LINT/OU=MAM/CN=Claudia Morgan Projekt1/Email=morgan@zb.mam.fr"                        local2
04 "/O=Grid/O=PHANT/OU=phant.ch/CN=Hans Julius"   local2
05 "/C=CH/O=FANT/OU=GRID/CN=August Maier 0815"    local2

Die Globus-Sicherheitsinfrastruktur bewahrt auf diese Weise den lokalen Administratoren die Lufthoheit über ihren Ressourcen und macht sie von einem zentral verwalteten Sicherheitssystem unabhängig. Das Datenformat der GSI-Zertifikate folgt dem X.509-Standard, der von ISO/IEC und CCITT entwickelt wurde. Das bei GSI benutzte X.509-Profil hat die Internet Engineering Task Force (IETF) bestimmt. Es ist das gleiche, das auch Konqueror, Opera sowie Netscape & Co. akzeptieren und einsetzen.

Die systemimmanente globale Verteilung beim Grid Computing und der Datenaustausch per Internet erfordern zwingend eine sichere Authentifizierungsmethode für alle Beteiligten. Die Grid Security Infrastructure des Globus-Toolkits benutzt dafür asymmetrische Kryptographie.