Examensarbetet gick ut på att projektera en lösning där biblioteksanvändare vid Umeå kommuns stadsbibliotek ska kunna logga in på det trådlösa nätverket med hjälp av deras lånekort och ett lösenord eller PIN-kod. Lösningen ska även ta hänsyn till gäster som saknar bibliotekskort och erbjuda dem en tillfällig inloggning. Den projekterade lösningen gick ut på att använda befintlig hårdvara vid Umeå kommun samt outnyttjade funktioner i de befintliga servrarna. Den framtagna lösningen har även testats och skulle inom en snar framtid kunna implementeras. / The goal of this project is to present a solution for the wireless network at the city library in Umeå. The new system will allow users to log on to the wireless network using their library card along with a password of some kind. There must also be a way for guests without library cards to be allowed access to the network in some way. The result of this project was based on hardware that Umeå already had access to, and certain functions in that hardware that hasn’t been explored earlier and offered a lot of potential. This solution was tested to some extent and could be implemented in a near future.

Tato práce se zabývá návrhem a implementací řešení pro jednotnou síťovou autentizaci pro operační systém Linux založeného na integraci systémových démonů WinBind a SSSD. Cílem je navrhnout takové řešení, které umožní autentizaci Linuxových klientů do domén spravovaných adresářovými službami Windows Active Directory a domén spravovaných adresářovými službami dostupnými na Linuxu současně. První dvě kapitoly seznámí čtenáře s autentizačními mechanizmy a technologiemi, které se pro tyto účely použivají na operačních systémech Windows a Linux. Třetí kapitola se zabývá jádrem práce a vysvětluje rozhodnutí učiněná při návrhu implementovaného řešení. Samotná implementace je pak popsána v kapitole čtyři. Poslední kapitoly popisují experimenty a testování pro vybrané případy užití s návrhy a popisem možných rozšíření do budoucna.

The master thesis is divided into two parts. In the first part, identity management is described on theoretical basis. Particular domains of identity management including authentication, authorization and audit are explained as well as Single Sign-On concept, i.e. using single credentials and entering them just once for access to multiple independent systems or services. In the second part, which forms the main part of this thesis, a practical project was implemented on the infrastructure of the Department of Telecommunications within the Faculty of Electrical Engineering and Communication, Brno University of Technology. The goal of this project was to create an environment for central 4 authentication and Single Sign-On using only open source technologies within a computer laboratory used for teaching OS Linux. The project is based on OS Linux Debian, Kerberos as a protocol for secure authentication and LDAP server OpenLDAP. For the Single Sign-On demonstration, NFS services for accessing data on the network were chosen. Using NFS services, users can sign-on to any workstation and access all their data. Administration of users and their import from central FEEC databases was implemented using scripts developed in Python. Next, using Apache, PHP and MySQL, a front-end audit interface for the network administrator was developed in order to inspect and evaluate security events in the network. Messages about suspicious events are delivered to administrator’s mailbox in real time. The project is intended as a security platform which means that other services can be implemented for Single Sign-On as well as new mechanisms for evaluation of suspicious events.

The diploma thesis is concerned with solving security problems in local computer networks. The main part deals with the solution of authorization of wireless clients against the RADIUS server and with the proposal of domain controller using open-source products and the tools of operating system GNU/Linux.

Velmi rozšířeným prostředkem pro správu uživatelských účtů a řízení přístupu k výpočetní infrastruktuře a službám je kombinace protokolů LDAP a Kerberos. Instalace jakož i samotná správa sítě postavené nad těmito technologiemi však skýtá mnoho překážek. Jedním z řešení je použití open-sourcové aplikace FreeIPA, která patří mezi takzvané řešení pro správu identit a bezpečnostních politik. FreeIPA výrazně usnadňuje práci s těmito protokoly od samotného nasazení až po správu celého systému. Cílem této práce je rozšíření aplikace FreeIPA o možnost použití read-only replik, které přispěje k snadnější a účinnější škálovatelnosti.

Cílem práce je navržení a implementace řízení přístupu na základě URI požadovaného zdroje. Pro implementaci bylo jako základ použito rozšíření Host Based Access Control v nástroji pro správu identit FreeIPA. Zároveň bylo třeba rozšířit související infrastrukturu, především program SSSD. Jako příklad aplikace využívající HBAC na základě URI byl implementován autorizační modul pro Apache HTTP Server. Zásadním řešeným problémem byl návrh infrastruktury pro komunikaci nezbytných parametrů a návrh strategie vyhodnocení HBAC pravidel definujících přístupová práva. Kompletní řešení bylo předvedeno na příkladu zabezpečení instance webové aplikace Wordpress.

Cílem této práce je prozkoumat možnosti uložení DNS dat v LDAP databázi a jejich oboustranné synchronizace s DNS serverem s využitím standardních technologií, paralelizace a jednoduché rozšiřitelnosti o podporu různých DNS a LDAP serverů s různými DNS schématy. Práce dále popisuje různa schémata pro uložení dat v LDAP databázi a analyzuje problémy spojené se synchronizací a navrhuje jejich řešení. Výsledkem je prototyp synchronizační aplikace s doporučenými nastaveními pro DNS server a LDAP databázi, která je schopna efektivně synchronizovat DNS data.

Memoria para optar al título de Ingeniero Civil en Computación / El Fondo Nacional de Salud (Fonasa) es un organismo del Estado de Chile cuya función es proporcionar a sus beneficiarios1 una serie de prestaciones, de acuerdo a la legislación vigente. Recientemente, como parte de la modernización del aparato estatal y sus reparticiones, Fonasa ha iniciado un Proyecto Global de gran envergadura, consistente en el cambio, mejora y ampliación de todos sus sistemas corporativos, incluyendo plataformas, procesos y sistemas computacionales. Su objetivo último es agilizar y mejorar sus servicios, a nivel central y regional, tanto para usuarios y beneficiarios, como en su gestión interna. Es un proyecto de largo aliento, que indudablemente tendrá un gran impacto a nivel nacional. En la actualidad Fonasa muestra una gran variedad de plataformas y sistemas, con me- canismos propios de seguridad y control, con múltiples esquemas de manejo de usuarios, con escasa correlación entre los sistemas, y sin posibilidad de efectuar una administración centralizada de usuarios y permisos. Por esta razón, el nuevo sistema Gestión de Usuarios, que se ocupará precisamente de estas materias, resulta ser una componente fundamental en este Proyecto Global. Este sis- tema dará cobertura única y transversal, en todos los aspectos relacionados con el manejo, administración y gestión de los usuarios de Fonasa, así como el control de accesos y permisos asociados. En este contexto aparece la tecnología LDAP (Lightweight Directory Access Protocol), un conjunto de protocolos estándar para el acceso a servicios de Directorio en un entorno de red. Estos Directorios proveen mecanismos eficientes de almacenamiento y recuperación de información, y funciones básicas para modificación. El uso de LDAP en las organizaciones está siendo cada vez más extendido. Los LDAP ofrecen una serie de beneficios y también imponen algunas restricciones. Dadas sus caracte- rísticas, que veremos en detalle en esta Memoria, un LDAP puede resultar una significativa contribución en determinados escenarios, y particularmente en la Gestión de Usuarios. El tema del presente Proyecto de Título aborda estas materias, y expone un caso concreto de uso exitoso de LDAP en la implementación del sistema Gestión de Usuarios de Fonasa.

Die Arbeit behandelt die Integrations- und Synchronisationsmöglichkeiten heterogener LDAP-Schemas. Es werden Entwürfe für Standards und kommerzielle Ansätze gezeigt. Der Schwerpunkt wird besonders auf Konfliktlösungen, Passwortsynchroniastion und Mapping gelegt. Es wird im Rahmen der Arbeit ein Ansatz für die verteilte Synchronisation heterogener Schemas entworfen und auf Basis von OpenLDAP implementiert.

Der Vortrag beschreibt die Konzepte von LDAP und geht im weiteren Verlauf auf die Anwendung von LDAP bei der Nutzerverwaltung und davon abhaengigen Anwendungsfaellen ein.