Wednesday, July 29, 2009

Can we do cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Security Stack API RESTfully? (Part 3)

(Part 1 and Part 2 are here respectively)
(a bit of a shorter post tonight as I was on nephew duty)
So far, I've been focusing on organization elements of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stack, by that I mean things about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 provider, specifically policies and compliance.
We're going to start moving into cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stack space that deals with individual elements, and where we start using bits of SCAP. Before we can start considering individual elements, we need a way to register an element:
  • /ssapi/registration/ - invoked by a POST on an XML payload containing Common Platform Enumeration data, IP address and ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r unique network identifiers (for example a FQDN - thinking MAC addresses are a problem given network segmentation) returns a UUID and new credentials to be cached by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 POSTer. The POSTing element was provided with a limited use credential for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 initial registration (consider this an aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ntication boorstrap). If anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r element tries to register cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same IP address or ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r unique identifier - note, after having examined CPE, I think my comment earlier this morning about self-asserted URI's into a namespace ("I am 10.45.0.34" & "I am http://www.f5.com/products/...") was slightly off, so I'm changing course a little.
  • /ssapi/registration/ - invoked by an aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365nticated DELETE will unregister cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 element. Invoked by an aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365nticated PUT will allow cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 element to update previously provided data including cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 network identifier, if and only if that identifier hasn't been claimed by anyone else (if it has, an error message is returned).
The registration payload could look like this:
note: I'm being lazy, this is not fully formed XML, pseudo XML at best
A few more thoughts:
  • this is a RESTful API, which implies web servers, but I don't think we want to start running embedded web servers all over cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 place (not a fan of increasing attack surfaces). So most elements in an environment would push information to a purpose built aggregator.
  • Much of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data that could be returned by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stack is not for public (or valued customer) consumption. That means part of this stack will be a generalized security information collection and sharing mechanism - I want to avoid repeating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 wheel. The ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r part, and I think this is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 most important thing we can accomplish, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stack provides cloud users with a tool and shared meaning to be confident in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir cloud providers security.
  • I haven't said anything about aucá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365nticating access to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stack or access restrictions to parts of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 stack - I'm thinking OAuth for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 former and something akin to SNMP's public/private for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 access restrictions (keep it simple for now, refine in v2.x).
  • The unique network identifier used by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 element should be strongly bound to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 element, that is we need some way to prevent impersonation of one element by a malicious element - client side x509 certs are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 easy answer but impose deployment overhead, will need to think more on this. Once registration is complete, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 unique network identifier must be bound to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 issued credentials and UUID.
  • I've avoided discovery for now, you could use a trusted feed from NMAP to populate some of your data set, but you still need to register cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 element for future conversation, although I suppose one feature implementation could be an agentless aggregator that also provides element security state using remote scanning.
Thanks to @lmacvittie for some thoughts on unique identifiers which led to a discussion on auto-discovery and ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r goodness - cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 bad news is that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 security stack has a lot more work to be put in, so maybe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 squirrel won't get his Friday wish, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 goods news is Monday is a public holiday, so lots of thinking time this long weekend.
more to follow...
note: made some minor changes post a reread - removed incorrect reference to shared secret and revised URI to include UUID.

No comments:

Post a Comment