Data science and data security

5 min

Meer beveiliging en privacy voor diensten in de cloud

Aanbieders van cloud-diensten die hun SaaS-klanten (Software as a Service) voldoende databeveiliging en privacy willen bieden, hebben het niet gemakkelijk.

Scroll

Aanbieders van cloud-diensten die hun SaaS-klanten (Software as a Service) voldoende databeveiliging en privacy willen bieden, hebben het niet gemakkelijk. Om hen te helpen is imec een unieke samenwerking aangegaan met drie bedrijven die elk een andere SaaS-benadering vertegenwoordigen. Hun imec.icon-project SEQUOIA resulteerde in een innovatief beveiligingskader dat als een nieuwe norm kan fungeren voor multitenant SaaS-diensten. SEQUOIA biedt fijnkorrelige, op attributes gebaseerde veiligheidsregels die rekening houden met de specifieke businesslogica van elke klant. Het werd geïmplementeerd als een add-on bij de data access middleware en het kan in bestaande middleware worden geïntegreerd zonder nieuwe oplossingen vanaf de grond te moeten herontwikkelen.

Veiligheid en privacy, een hele uitdaging voor SaaS-providers

Steeds meer bedrijven organiseren hun activiteiten met behulp van software in de cloud. Denk aan telecombedrijven die enorme aantallen facturen creëren, bekijken en beheren. Tegenwoordig kunnen zij dit doen met een SaaS-service (Software as a Service) die door derden wordt aangeboden. Dit komt erop neer dat zij hun facturen creëren en beheren via een interface-applicatie en een database die door een SaaS-provider worden geleverd.

Maar de meeste van deze diensten bieden inherent niet de mogelijkheid om gegevens te beheren op basis van klantspecifieke beveiligings- of privacy-eisen. Zo kan het gebeuren dat een accountmanager bij het telecombedrijf bijv. na een query alle facturen te zien krijgt, ongeacht zijn functie, de aan hem toegewezen klanten, of de regio in kwestie.

SaaS-providers lossen dit probleem meestal op door de beveiligingslogica van hun klant aan hun SaaS-applicatie toe te voegen. Maar bijna even vaak is een dergelijke oplossing foutgevoelig, niet efficiënt, moeilijk te auditeren en duur om te beheren en te wijzigen.

En om deze situatie nog erger te maken: voor de SaaS-provider is het op deze manier vrijwel onmogelijk om multitenant databases te hanteren, dus databases die door een aantal van zijn klanten worden gedeeld. Dat zou betekenen dat de provider de beveiligingslogica van de diverse klanten in één applicatie moet programmeren en beheren, maar dat maakt audits en wijzigingen exponentieel moeilijker. Om toch een minimaal veiligheids- en privacyniveau te garanderen zien SaaS-providers zich bijgevolg verplicht om aparte installaties per klant op te zetten, hoezeer dit ook indruist tegen hun businessmodel.

Wat is het doel van SEQUOIA en hoe verbetert het de veiligheid en privacy?

De partners van het imec.icon-project hadden met SEQUOIA (Safe Query Operations for Cloud-Based SaaS Applications) de ambitie om een generische beveiligingsoplossing voor SaaS-providers te creëren. Een oplossing die hen eerst en vooral moet in staat stellen om één multitenant database op te zetten voor meerdere klanten, met garantie voor de veiligheid en privacy. Daarvoor krijgt elke SaaS-klant de mogelijkheid om fijnkorrelige, op attributes gebaseerde beveiligingsregels te definiëren volgens de eigen businesslogica.

Om naar ons voorbeeld terug te keren: met SEQUOIA kan het telecombedrijf dat een SaaS-applicatie gebruikt, zelf bepalen en wijzigen wie facturen mag zien en aanpassen, op basis van de regio, iemands functie of bevoegdheden of het klantenbestand van individuele accountmanagers.

Een bijkomend probleem met de huidige manier van werken is dat een request, bijv. om bepaalde openstaande facturen te zien, zal leiden tot een algemene database-query die alle openstaande facturen oplevert. Vervolgens gaan de SaaS-applicatie en de voorgeprogrammeerde beveiligingslogica de resultaten filteren en alleen die facturen laten zien waarvoor deze specifieke accountmanager bevoegd is. In combinatie met alle aspecten van de rulebase betekent dit dat de responstijd en de prestaties afhankelijk zijn van de omvang van de database.

SEQUOIA daarentegen formatteert de query op maat vóór die wordt uitgevoerd, zodat alleen naar de juiste facturen wordt gezocht. Dit is veel efficiënter en veiliger. De queries herschrijven en compacter maken gebeurt met een add-on module op het niveau van de data access middleware, dus volledig gescheiden van de database of klantapplicaties. Elke SaaS-klant kan zijn eigen regels voor het herschrijven van query’s aanleveren, in een taal die gemakkelijk te begrijpen en te auditeren is. Dit betekent dat de regels van elke klant apart kunnen worden beheerd en verwerkt, ongeacht hoeveel klanten dezelfde applicatie en database gebruiken.

Uiteindelijk stelt SEQUOIA SaaS-providers dus in staat om hun service meer waarde te geven, zonder nieuwe databases of middleware te installeren en zonder applicaties te herprogrammeren. Elke klant kan bovendien zijn eigen regels toevoegen en beheren en dat maakt een enorm verschil in beveiliging en auditeerbaarheid.

Hoe werkt SEQUOIA?

SEQUOIA is ontwikkeld als middleware voor schaalbare, op attributes gebaseerde querying van multitenant, cloud-based databases. Het is een beveiligingsoplossing die complexe autorisatieregels op maat oplegt aan zoekquery’s, met gewaarborgde veiligheid, correctheid en prestaties.

SEQUOIA wordt geïmplementeerd als een add-on voor data access middleware, de API die zich tussen de database en de querybron (klantapplicatie, webserver, …) bevindt. De oplossing ontvangt een query, zoekt de relevante beveiligingsregels op, vertaalt deze in beperkingen die in de query worden geïnjecteerd en maakt de query compacter vóór ze naar de database wordt verstuurd. Sequoia kan aan beproefde, hoogwaardige data access middleware worden toegevoegd zonder dat de oplossing van de grond af moet worden herontwikkeld.

SEQUOIA omvat een eenvoudig te gebruiken declaratieve taal waarmee elke SaaS-klant zijn eigen set van op attributes gebaseerde toegangsregels kan schrijven. Dit biedt garanties voor de onafhankelijkheid van de applicatiecode en voor het gemak waarmee toegang, wijziging en audit mogelijk zijn. Omdat de regels voor de querying worden toegepast, worden de prestaties niet beïnvloed door de omvang van de database.

SEQUOIA werd gevalideerd in talrijke opslag- en query-architecturen, voor interactieve en background-querying, zowel met SQL-gestructureerde query’s als met NoSQL ongestructureerde querying. Er werd een proof-of-concept uitgevoerd in geavanceerde data access middleware en er werden drie demonstrators gebouwd en gevalideerd in de toepassingsdomeinen van de projectpartners, bovenop MySQL, MS SQL, en ElasticSearch.

Win-winsituatie voor de icon.project-partners en toegevoegde waarde voor SaaS-providers

Het SEQUOIA-project werd gefinancierd door imec en VLAIO, het Vlaams Agentschap Innoveren en Ondernemen. Imec.icon projecten ondersteunen vraaggedreven, coöperatief onderzoek met multidisciplinaire teams van imec onderzoekers en industriepartners of socialprofitorganisaties. Samen leggen zij de basis voor digitale oplossingen die uitmonden in sterk verbeterde producten.

Het SEQUOIA team bestond uit twee imec onderzoeksgroepen (imec–DistriNet–KU Leuven en imec–IDLab–UGent) en drie industriële partners die elk een aparte SaaS-use case vertegenwoordigen. UP-nxt beheert voor klanten administratieve data zoals facturen, met toegangsregels tot op het niveau van individuele accountmanagers, of regio’s. Verizon gebruikt multitenant databases met logs van beheerde IT-infrastructuur, met uiterst gevoelige en beperkte toegang. En ESAS wil een field service management opzetten waarbij service-ingenieurs in de field toegang hebben tot hun taken, berichten en status.

Dankzij de ervaring die de SEQUOIA-partners met dit project hebben opgedaan, beschikken zij nu over alle expertise en software om hun SaaS-aanbod een meerwaarde te geven. Zij werken nu aan de validatie en opname van nieuwe middleware in hun live omgevingen. Zij zien vooral drie voordelen aan de SEQUOIA-middleware:

  • SEQUOIA neemt bij klanten twijfel weg over de beveiliging van multitenant cloudoplossingen. Elke klant bezit, valideert en auditeert immers zijn eigen rulebase.
  • Het SaaS-aanbod krijgt een meerwaarde en wordt aantrekkelijker en concurrerender, opnieuw vooral wegens de unieke mogelijkheid om klantspecifieke rulebases op te zetten, die ook nog eens heel gemakkelijk in het gebruik zijn.
  • De gebruikskosten dalen aanzienlijk, aangezien SEQUOIA slechts één multitenant cloudinstallatie vereist en dedicated installaties per businesscase niet langer nodig zijn.

Biografie Bert Lagaisse

Bert Lagaisse is senior onderzoeker bij imec–DistriNet–KU Leuven en industrieel onderzoeksmanager bij het Industrieel Onderzoeksfonds van de KU Leuven. Hij staat aan het hoofd van de cloud & security middleware onderzoekstracks. Als expert in multitenant cloudarchitecturen en SaaS-beveiliging kent hij het SEQUOIA-project door en door. Bert is bereikbaar op bert.lagaisse@kuleuven.be.

This website uses cookies for analytics purposes only without any commercial intent. Find out more here.

Accept cookies