Nachfolgend werden die Konzepte zur Sicherung vor unerlaubtem Zugriff (Authentifizierung und Autorisierung) auf Daten und Funktionen eines POLYMAP3-Systems beschrieben.

Grundlegendes Konzept: Web-Anwendung und HTTP

POLYMAP3 ist eine reine Web-Anwendung. Es wird keinerlei Geschäftslogik auf dem Client ausgeführt. Auf dem Client sind dadurch keine Passwörter oder Zugangsdaten der Backend-Datensysteme bekannt. Der Client stellt eine reine Präsentationschicht (HTML und Javascript) dar. Angriffe auf Passwörter oder die Datenbanken (z.B. SQL-Injection) sind dadurch auf dem Client nicht möglich.

Jedweder Datenverkehr zwischen Client und Server wird über das HTTP-Protokoll abgewickelt. Dadurch sind alle allgemeinen Mittel zur Sicherung einer HTTP-Verbindung vor unerlaubtem Abhören auch auf ein POLYMAP-System anwendbar. Eine SSL-Verschlüsselung wird vom mitgelieferten Applikations-Server (Jetty) direkt unterstützt. Daneben können zusätzlich externe Komponenten eingesetzt werden, um weitere Sicherheitseigenschaften des HTTP-Verkehrs sicher zu stellen, wie zum Beispiel der Apache Web-Server.

Beispiele:

• stärkere SSL-Verschlüsselung (über Apache als Revers-Proxy)
• Einschränkung der IP-Adressen (über Apache als Revers-Proxy)
• sonstige Filter, z.B. Flood-Protection (Apache, Router oder sonstige Komponenten)

Authentifizierung

Jeder Zugriff auf ein POLYMAP-System erfolgt unter einer bekannten Nutzerkennung. Diese wird mit einem Login (Nutzername und Passwort) sichergestellt. Die Gültigkeit des Passwortes kann von verschiedenen Systemen überprüft werden.

Für öffentliche Zugänge zu POLYMAP, zum Beispiel im Rahmen eines Bürgerportals, kann ein automatisches Login eingerichtet werden. Da die präsentierten Daten hier aber per se frei zugänglich sind, ist ein "Gemeinschafts-Account", ohne genaue Zuordnung des Zugriffs einer konkreten Person, hier gewollt.

Autorisierung

Die Nutzer des Systems können einer oder mehreren Nutzergruppen zugeordnet werden. Über die Gruppenzugehörigkeit wird die für den Nutzer anzuwendende Konfiguration ermittelt.

Der Server

Die Konfiguration und Administration eines POLYMAP3-Systems findet ausschliesslich an einer Stelle, auf dem Server, statt. Die Dateien des Servers (Programm und Konfiguration) sind natürlich vor unerlaubtem Zugriff besonders zu schützen. Das obliegt dem lokalen Administrator und den dafür vor Ort geltenden Bestimmungen.