Qu est ce que Visual Guard Authentification Vérifier l identité d un utilisateur Autorisation Qu est-ce qu un utilisateur peut faire dans l application Audits et rapports Fonctionnalités d Audit et de Reporting prêtes à l emploi Les fonctionnalités de sécurité Visual Guard Outils Développeur, Administrateur et Auditeur Fonctionnement de Visual Guard.Net Spécifications Techniques
Qu est ce que Visual Guard Novalys développe des solutions d authentification et de permissions pour la sécurité applicative depuis 15 ans. Grâce à cette expérience nous avons conçu Visual Guard.Net, une solution qui répond aux problématiques posées par la sécurité des applications en Dotnet, quelque soit leur niveau de complexité. Visual Guard.Net est une solution de contrôle d accès basé sur les rôles. Il intègre des fonctionnalités de sécurité à vos projets DotNET. Avec Visual Guard, vous pouvez : Gérer les utilisateurs, les memberships, les rôles et les politiques de mot de passe, Définir les permissions des utilisateurs (ce que l utilisateur final peut faire dans votre application), Réutiliser l authentification d Active Directory ou des comptes de base de données, Implémenter un mécanisme de Single sign-on, Garder la trace des transactions sensibles (enregistrement et audit des évènements de l application). Visual Guard.Net : Fournit une console d administration simple à utiliser, conçue pour les personnels non techniques, Centralise la sécurité de toutes vos applications dans un seul outil, Ne requiert pas de code pour définir les permissions, S intègre à n importe quelle application Dotnet, Supporte les Winforms, Webforms, Services Web et tous les composants Dotnet. Authentification Dans la théorie du contrôle d accès basé sur les rôles, l authentification regroupe deux notions : Identification : déclarer qui on est. Authentification : prouver qui on est. Deux types de besoins Créer une nouvelle liste de comptes utilisateurs/mots de passe indépendamment de ceux qui existent déjà Récupérer un système d authentification existant pour le réutiliser au niveau applicatif. La solution Visual Guard.Net supporte l authentification par comptes utilisateurs et mots de passe. Un compte utilisateur déclaré dans Visual Guard est disponible pour toutes les applications Dotnet sécurisées dans Visual Guard. Visual Guard supporte les modes d authentification suivants: Comptes Windows (comptes locaux ou Active Directory) Comptes de base de données (créés par le DBA pour les utilisateurs pour accéder à la base de données) Comptes Visual Guard (comptes créés et gérés par Visual Guard) Vous utilisez un autre mode d authentification (smartcard, ect )? Contactez-nous.
Comptes Windows /Active directory Si vous utilisez les mécanismes d authentification, les mots de passe sont créés, stockés et administrés dans Active Directory. La console Visual Guad permet de faire une recherche par utilisateur dans Active Directory. Quand l utilisateur est trouvé, Visual Gard.Net stocke l identifiant de sécurité (SID) dans le référentiel. On peut ensuite donner un rôle / permission Visual Guard à cet utilisateur. Vous pouvez déclarer plusieurs utilisateurs en même temps (pas de limitation). Vous pouvez importer tout ou partie de vos comptes Windows depuis Active Dierctory vers le référentiel Visual Guard.Net de façon automatisée. Visual Guard offre une API qui permet à un programme extérieur de créer ou de modifier un compte. Single sign-on Si vous utilisez Active Directory pour gérer des comptes utilisateurs vous pouvez implémenter un système de single sign-on, pour qu un utilisateur connecté sur une session Windows ne soit pas obligé de redonner son mot de passe à chaque fois qu il se connecte à une nouvelle application. Visual Guard supporte le single sign-on pour les comptes Windows : Visual Guard.Net va chercher l identifiant du compte Windows utilisé. Il vérifie si l utilisateur a accès à l application. Visual Guard charge le rôle de l utilisateur et applique les permissions correspondantes à l application. Le processus se répète chaque fois que l utilisateur lance une application. De cette façon, l utilisateur n est jamais sollicité pour entrer ses informations de connexion quand il ouvre une application. Comptes de base de données Visual Guard.Net supporte l authentification basée sur les comptes de base de données à partir de Oracle 9 et SQL Server 2000. Visual Guard.Net vous permet de réutiliser les comptes utilisateurs et mots de passe définis dans ces bases de données. Plus d informations sur l intégration dans Visual Guard.Net Les comptes Visual Guard.Net Visual Guard.Net possède son propre mécanisme de création de comptes et mots de passe. Les informations de connexion ainsi crées sont stockées dans le référentiel de sécurité de Visual Guard. Politique de mots de passe Visual Guard.Net permet de définir une politique de mots de passe pour les comptes VG. Par exemple vous pouvez définir : La longueur minimum Le nombre minimum de caractères alphanumériques Interdiction de réutiliser le mot de passe précédent Obligation de n indiquer qu une seule adresse email par utilisateur Obligation de changer son mot de passe tous les x jours Nombre d échec à la connexion autorisés avant de bloquer le compte. Une fois que le seuil est atteint, le compte est automatiquement bloqué et peut être remis en service en suivant un processus prédéfini. Le nombre de login de secours (possibilité de se connecter x fois une fois si la politique de mot de passe a été modifiée), etc
Des expressions régulières sont à disposition pour personnaliser votre politique de mots de passe. Vous pouvez définir une liste de caractères obligatoires (par exemple une lettre majuscule, une lettre minuscule et au moins un chiffre), une liste de caractères valides/ non valides, etc. Autorisation Les autorisations définissent ce que l utilisateur peut faire dans l application : En fait, vous définissez ce que l utilisateur est autorisé à voir, à faire et à modifier dans votre application en fonction de son rôle. Plusieurs mots sont utilisés pour faire référence aux autorisations : permissions, privilèges, droits, restrictions, Quelle démarche pour définir les permissions? La démarche la plus sécurisée consiste à interdire toute action par défaut et de donner ensuite des permissions pour permettre à l utilisateur d agir dans l application. De cette façon, si une permission est oubliée, l utilisateur sera incapable de faire une chose qu il devrait normalement faire, plutôt que d avoir la possibilité de faire une action interdite. La démarche la plus rapide consiste à tout permettre par défaut et d intégrer des restrictions pour interdire certaines actions. Cette démarche est plus rapide parce qu il y a généralement moins de restrictions que de permissions. Quelque soit l option choisie, la solution de contrôle d accès est le plus souvent complexe, coûteuse à maintenir et difficile à mettre à jour. Le besoin Par défaut, une application inclut du code qui définit des permissions. Cela implique de repasser par un cycle de développement complet (spécifications, développement, tests, déploiement, debug, etc.) dès qu une permission est définie. Une problématique complexe : En général, les applications sont mises à jour tous les deux ou trois mois, alors que les permissions exigent des mises à jour bien plus fréquentes. Répondre aux demandes fonctionnelles en dépit des limitations techniques de votre système de sécurité peut prendre beaucoup de temps, voir s avérer impossible. Les permissions complexes sont souvent identifiées seulement une fois l application en production, ce qui demande une mise à jour immédiate. La solution : Rendre les permissions indépendantes du code Avec Visual Guard.Net, vous n écrivez pas de code dans votre application pour définir les permissions. Le code de votre application est modifié dynamiquement au moment de l exécution : Vous pouvez créer ou modifier les permissions sans repasser par le cycle de développement complet (spécifications, développement, tests, déploiement, debug, etc.). Vous pouvez définir les permissions à tout moment au cours de la vie de l application, même lorsque celle-ci est en production. Elles sont effectives immédiatement.
Quels types de permissions peut-on créer avec Visual Guard? Il n y a aucune limitation au type de permissions que vous pouvez créer. N importe quel changement (permission ou restriction) peut être fait dans une application Dotnet. Vous pouvez créer des permissions sur les objets graphiques, sur les objets métier ainsi que sur les objets qui gèrent l accès à la base de données. Par exemple, vous pouvez : Cacher ou désactiver des champs, des options de menu, des onglets, des boutons Mettre un formulaire en lecture seule Filtrer les données d une liste Donner accès à un Service Web Modifier les règles métier Visual Guard peut sécuriser n importe quel type d objet : Les objets de l IHM Les objets non visuels Les objets dynamiques Les requêtes SQL Comment définir des permissions avec Visual Guard.Net Visual Guard utilise le mécanisme de réflexion fourni en standard dans le framework.net pour modifier l application. Cela vous permet de gérer les permissions de façon complètement indépendante par rapport au code de votre application. Visual Guard offre plusieurs options pour la création de permission : Les actions de type «property» : Visual Guard fait la liste de tous les objets (graphiques ou non graphiques) et de toutes leurs propriétés.. Le développeur peut utiliser un assistant pour identifier l objet lié à la permission et attribuer une nouvelle valeur à l une des propriétés de l objet (par exemple, passer la propriété visible de «true» à «false» si vous voulez cacher un bouton). La définition des permissions est ensuite stockée dans le référentiel de sécurité Visual Guard. Le code de l application reste inchangé. Visual Guard modifie l application lors de l exécution selon la permission. Les actions de type «script» : une action script est composée de code que vous écrivez. Le script est stocké dans le référentiel de sécurité de Visual Guard directement dans votre application. Là encore, l application reste inchangée. Tester une permission dans votre application : Vous pouvez également définir une permission dans votre application : vous pouvez écrire du code dans l application pour vérifier si une permission ou un rôle a été attribué à l utilisateur connecté, et exécuter la permission si le test est positif. Limiter l accès à une méthode : vous pouvez définir pour quel rôle une méthode est accessible Limiter l accès à un dossier : vous pouvez définir quels rôles ont accès à un dossier donné (pour les applications ASP.Net seulement). La page suivante présente les différentes solutions proposées par Visual Guard pour adapter votre application aux exigences de votre entreprise. http://www.visual-guard.com/support/index.php?option=com_content&task=view&id=40&itemid=43
Quelles sont les étapes à suivre? Etape 1 : L équipe de développement utilise les outils de développement Visual Guard pour définir les permissions. On donne un nom fonctionnel aux permissions (ex : autoriser l impression de la liste des clients) pour simplifier leur gestion par les administrateurs. Etape 2 : Les administrateurs (non techniques) utilisent les outils d administration de Visual Guard pour gérer les comptes utilisateurs et leur attribuer des rôles et des permissions. Audit et rapports Le besoin : Garder la trace de qui a fait quoi dans vos applications Enregistrer les transaction sensibles / financières Passer en revue les comptes, rôles et permissions existantes De telles fonctionnalités peuvent être nécessaires pour se mettre en conformité avec : Les règles d audit internes à votre entreprise Les exigences légales, (SOX) Les exigences de certification (CMMI, ISO, ITIL ) La solution : Visual Guard offre des fonctionnalités prêtes à l emploi : Rapports : vous avez la possibilité de générer automatiquement des rapports détaillés sur vos applications, les comptes utilisateurs, les rôles et les permissions. Audit de vos applications : vous avez la possibilité d enregistrer n importe quel évènement de votre application. Tous les enregistrements sont centralisés dans un document pdf que vous pouvez consulter à tout instant. Visual Guard vous permet de créer des filtres de façon à pouvoir vous focaliser un type particulier d évènement. Audit de la console d administration : Visual Guard enregistre automatiquement différents évènements correspondants aux actions que vous pouvez faire dans la console, par exemple : - Qui s est connecté/a tenté de se connecter sans succès - Qui a attribué une permission donnée - Comptes utilisateurs de la console bloqués ou non. Les fonctionnalités de sécurité de Visual Guard Pour le développeur: Visual Guard fournit des fonctionnalités au développeur pour : Créer et modifier des permissions en quelques clics, Vérifier automatiquement la cohérence entre les applications Dotnet et les permissions existantes, Lancer une recherche dans le référentiel de sécurité pour retrouver un compte, une permission, Déployer les nouvelles versions du référentiel avec chaque nouvelle version de votre application, Gérer plusieurs versions du référentiel quand vous déployez la nouvelle version de votre application.
L assistant de création d actions de sécurité La majorité des permissions créées sont des permissions de type property ou script ; l assistant de création d actions de sécurité vous permet de créer ces permissions en quelques clics, sans ajouter de code à vos applications. Des options détaillées vous permettent de vous adapter parfaitement aux évolutions constantes de votre entreprise. La description des permissions est stockée dans le référentiel de sécurité. Les permissions sont disponibles immédiatement y compris en phase de production de l application. Il n y a pas besoin de repasser par le cycle de développement (changer le code, tester, déployer ). Cohérence des permissions Quand une permission est liée à un composant, elle peut être affectée par tout changement de ce composant. Cela peut causer des bugs régressifs. C est pourquoi toute nouvelle version de l application requiert une vérification complète des permissions. Visual Guard.Net offre une fonctionnalité de vérification automatique qui permet de s assurer que chaque permission correspond à un composant. Assistant de déploiement Chaque nouvelle version de l application est accompagnée de nouvelles permissions et d un nouveau référentiel de sécurité. Vous devez pouvoir déployer ce nouveau référentiel sans pour autant entrer en conflit avec les données de sécurité définies auparavant par les administrateurs. Visual Guard offre un assistant de déploiement qui permet de déployer les nouvelles permissions dans un référentiel de production. Visual Guard va fusionner les permissions anciennes et nouvelles de façon automatique sans perdre les comptes utilisateurs, permissions et rôles existants. Gestion de version des données de sécurité Quand une nouvelle version de l application est déployée, certains utilisateurs utilisent la nouvelle version alors que d autres continuent à utiliser l ancienne pendant un certain temps. Il faut que les deux référentiels de sécurités soient disponibles pendant le processus de migration. Visual Guard.Net peut gérer plusieurs versions du référentiel en même temps. Ceci permet un déploiement progressif de la nouvelle version de l application et de son référentiel. Concrètement, l utilisateur peut avoir accès à l ancien ou au nouveau référentiel en fonction de la version de l application à laquelle il est connecté. Vous pouvez passer d une version à l autre progressivement, sans bloquer les utilisateurs finaux ni exécuter le processus de migration à la hâte. Recherche globale Quand vous maintenez un système de permissions, vous pouvez avoir besoin de retrouver les permissions liées à un certain utilisateur ou mot clé. Par exemple, si vous modifiez un bouton dans votre projet, vous avez besoin de faire la liste de toutes les permissions liées à ce contrôle de façon à pouvoir les adapter. Visual Guard.Net fournit une fonctionnalité de recherche globale pour naviguer dans le référentiel et trouver tous les composants liés à un mot clé donné. Vous économisez du temps sur la maintenance des permissions grâce à un résultat complet et fiable.
Pour l administrateur Les formulaires d administration Vous avez besoin de gérer les comptes utilisateurs, les rôles et les permissions quotidiennement avec réactivité et fiabilité. Visual Guard offre deux options pour remplir ces besoins d administration : La console Visual Guard : une application simple d utilisation conçue spécialement pour le personnel non technique Les API de Visual Guard: Vous pouvez développer vos propre formulaire d administration et appeler les API de Visual Guard. Vous aurez ainsi accès à des fonctionnalités prêtes à l emploi pour gérer les comptes utilisateurs et leur attribuer rôles et permissions. Ce type de formulaire peut ensuite être intégré à votre application en respectant votre charte graphique interne pour que les administrateurs puissent l utiliser simplement. Les API de Visual Guard supportent les winforms et les webforms ainsi que les formulaires ASP.Net. Qui peut être un administrateur Visual Guard? Dans la mesure où les formulaires d administration de Visual Guard ne requièrent aucune compétence technique, vous avez toute latitude pour choisir à qui confier l administration des données de sécurité. Les administrateurs peuvent être des employés spécialisés dans la sécurité, des administrateurs systèmes, des chefs de département ou des chefs de sites distants Votre choix pour cette tâche ne dépend plus des compétences techniques. Vous pouvez vous conformer aux exigences internes en matière de sécurité tout en optimisant vos processus métier. Vous pouvez même définir plusieurs niveaux d administrateurs, chacun ayant plus ou moins de droits sur les formulaires d administration. Par exemple, vous pourriez avoir un super administrateur central en charge de la création des rôles et des permissions, et un administrateur local (ou sur site distant) qui ne serait autorisé qu a créer des comptes utilisateurs et à leur attribuer les rôles existants, mais sans avoir le droit de modifier ces rôles. Vous obtenez ainsi plus de flexibilité : Les administrateurs sont complètement indépendants. Ils peuvent changer les permissions, les rôles et les comptes utilisateurs à tout moment et ces changements sont actifs immédiatement. Vous libérez ainsi votre équipe de développement de la gestion quotidienne de la sécurité. Les rôles partagés Vous pourriez avoir besoin de définir des rôles valables dans toute votre organisation, quelque soit le nombre d applications existantes ou futures que vous devez sécuriser. Visual Guard offre la possibilité de créer des rôles partagés qui regroupent des permissions pour plusieurs applications. Vous n avez plus besoin de gérer un rôle séparé pour chaque application. Les outils pour l auditeur Un rôle «auditeur» est disponible à partir de la console de Visual Guard. Ce rôle restreint les fonctionnalités disponibles pour la personne chargée de l audit dans votre entreprise. L auditeur peut: Explorer le référentiel de sécurité en mode lecture seule, Générer des rapports détaillés sur les permissions, les rôles, et les comptes utilisateurs, Passer en revue les évènements gardés en mémoire pour enregistrer les transactions sensibles/ financières, Passer en revue les évènements administratifs pour tracer qui a donné quelle permission à tel ou tel utilisateur,
Fonctionnement de Visual Guard.Net Contenu de Visual Guard.Net Le référentiel de sécurité Le référentiel de sécurité permet de stocker les comptes utilisateurs, mots de passe et permissions. Il peut centraliser les permissions de toutes les applications Dotnet (winform, webform, webservices), ainsi que tous les comptes utilisateurs dans un seul endroit sécurisé. Note : vous pouvez utiliser Visual Guard pour créer et gérer des comptes applicatifs internes à Visual Guard, ou bien vous pouvez réutiliser des comptes existants, créés dans Active Directory ou dans votre base de données. Visual Guard.Net supporte les types de stockage d informations suivants : Visual Guard supporte SQL Server et Oracle pour le stockage des comptes utilisateurs, permissions et rôles. Visual Guard fournit des fichiers cryptés pour le stockage des comptes utilisateurs, permissions et rôles. Si vous décidez de réutiliser les comptes Windows pour le single sign-on et l authentification, les informations de connexion sont stockées dans Active Directory. L intégration de Visual Guard.Net ne nécessite pas de changer la base de données de vos applications. Visual Guard offre un assistant pour créer les référentiels. Vous pouvez choisir de créer les tables de Visual Guard.Net soit dans la base de données de votre application, soit dans une base de données indépendante. Le run time de Visual Guard Le runtime de Visual Guard: Est composé d assemblies Dotnet; Est intégré et déployé avec votre application; Communique avec le référentiel pour vérifier l identité des utilisateurs et pour charger ses permissions; Ajuste dynamiquement votre application aux permissions de l utilisateur. Intégration de Visual Guard.Net L intégration est facile et rapide : 1. Ajoutez le runtime de Visual Guard dans votre application et activez le service de sécurité de Visual Guard (seulement quelques lignes de code) 2. Implémentez la fenêtre de connexion de Visual Guard (ou bien utilisez votre propre fenêtre de login) ; 3. Compilez et déployez l application; 4. Définissez, pour chaque application, les permissions avec Visual Guard. La liste initiale des permissions est généralement définie par l équipe de développement avant que l application ne soit en production. Mais les permissions peuvent être créées et modifiées à n importe quel moment, même après le déploiement. Elles sont effectives immédiatement pour votre application. 5. Gérez les comptes utilisateurs, attribuez-leur des rôles et des permissions (fait en général par les administrateurs, mais cela peut aussi être fait par l équipe de développement). Pour plus d informations sur le processus d intégration, cliquez ici Tester Visual Guard
Que se passe t-il à de l exécution de l'application? L utilisateur final donne ses informations de connexion (sauf si un processus de single sign-on a été mis en place), Visual Guard vérifie l identité de l utilisateur, Visual Guard se connecte au référentiel de sécurité et charge les permissions de l utilisateur, Le run time de Visual Guard ajuste le projet en fonction des permissions. Exemple : quand un formulaire s ouvre, Visual Guard cache un bouton et filtre une liste (ces fonctionnalités sont supportées en ASP.NET, winform et webservices). Pour plus d information, consultez le manuel de l utilisateur. Spécifications techniques de Visual Guard.Net Applications supportées Visual Guard supporte toutes les applications Dotnet : Winforms (écrites avec VB.NET ou C#) Webforms (ASP.NET et ASP.NET2.0) Services Web (2.0 et 3.0 WCF) Visual Guard sécurise tous les composants.net (IHM, composants non visuels, composants dynamiques) Visual Guard supporte aussi PowerBuilder, versions 5 à 11. Le référentiel de Visual Guard Vous pouvez créer le référentiel dans : Oracle 9i et plus MS SQL Server (2000 et plus) Les fichiers cryptés de Visual Guard Pour les autres bases de données, contactez nous Authentification des utilisateurs Visual Guard.Net supporte l authentification des utilisateurs basée sur : Les comptes Windows (Single sign-on disponible pour les winforms, les webforms et les Services web), Active Directory (comptes utilisateurs d Active Directory et groupes), Les comptes de bases de données (nom d utilisateur et mot de passe stockés dans la base de données), Les comptes Visual Guard (nom d utilisateur et mot de passe définis dans Visaul Guard).