Fneuch2EE

Quand sécurité rhyme avec difficulté!

Ça fait un bon petit bout que j'ai pas écris! Plusieurs raisons en sont la cause. Des raisons qui d'après moi n'ont besoins d'aucune justification ici.

Sauf que pour vous donner un «cue», j'avais besoins de vacance et j'en ai pris. (3 semaine et demi pour votre curiosité)

Je l'ai déjà mentionné, on travaillait en décembre sur un concept de sécurité applicative. Quand je dis «on», je dois levé mon chapeau à Alex, mon partner au bureau! Il a réussis à mettre en oeuvre les concepts de sécurité applicative que j'avais en tête. Et il a fichu une super bonne job! Je l'agace en disant qu'il en a trop fait, il a fait ça juste pour épater la galerie... lol Alex! Par contre, le composant qu'il a développer est tellement génial qu'on peut passer d'une authentification ldap, à une en xml, une sur la BD Oracle ou avec SSO en changement seulement un paramêtre dans le fichier de config.

Notre module de sécurité est fort simple en soi, il utilise les concepts de JAAS et les mécanismes déclaratifs de J2EE (mécanismes qui sont libre de l'implémentation par les manufacturier) . La combinaison de ces 2 concepts est faite en utilisant une partie de l'implémentation Jazn d'Oracle. (Si vous ne saviez pas que nous étions avec Oracle, c'est que vous ne venez pas souvent sur mon blogue.)

Notre mécanisme d'authentification et d'authorisation utilise un composant commun que nous avons développé. Et qui dit composant commun dit généralement un déploiement unique pour toutes les applications, bref un EJB.

C'est ce mécanisme que nous devions livrer au 10 décembre. Or, vacance nuisant (et pas seulement les miennes) le module n'a été livré qu'en unitaire, soit sur le poste des développeurs qui en avaient besoins. Les vacances finissent, tout le monde reviens, quelques modifications sont nécéssaires au module pour fin de «fine tuning».

Et voilà, nous sommes prêts à déployer le mécanismes sur nos serveurs... Paf, patate! Le module ne fonctionne pas d'un serveur à l'autre... De notre poste-client au composant serveur, ça marchait, mais de serveur à serveur, niet, zéro, nada. Ça fait une semaine qu'on travaille d'arrache pied pour faire fonctionner notre module de sécurité. Ça fait 2 jours qu'on sait que le problème de notre module de sécurité, et bien c'est la sécurité! Nous ne sommes pas en mesures d'appeler un remote EJB. (Et on a tout fait comme il faut, vérifier au moins 6 fois.)

Dans cette impasse (et dans l'impatience montante de mon boss), on décide de temporairement distribué notre composant en EJB local à l'application (chose que nous fesions auparavent) et deviné quoi... Pouf, patate! le module ne fonctionne plus. Que voulez-vous, en informatique, il y a comme une espèce de malédiction qui dit : comprends pas, ça marchait hier!

Dans cette impasse, on jase au monde avec qui on travaille et on se rend compte, que ce soit au niveau de la sécurité technologique (implantation d'un serveur d'authentification, implantation d'un mécanisme de sécurité d'accès au batiment), au niveau des progiciels dont le ministère se fait acquéreurs (Un christie de logiciel pourri, comprends pas pourquoi quand t'as un module qui est pourri, tu va en acheter un deuxième... Enfin bref.) ou tout simplement au niveau des modules que nous développons nous-même, la sécurité cause des difficultés!

En soit, ce n'est pas la sécurité qui cause tant de difficulté, mais plutôt la betise humaine qui nous entoure. Ça fait 7 ans que je travaille pour mon employeur et nous n'avions au paravent de sécurité que le nom! Maintenant, ils faudraient que tout soit sécurisé sans rien modifier dans leurs façons de faire. Eh! Oh! On peut pas avoir le beurre et l'argent du beurre...

Bon, maintenant que ma crise est un peu passé, je retourne à mes tentatives de déploiement de mon composant EJB. Je vous en redonne des news bientôt.

En attendant, surveillez bien vos voisins, votre employeur, les employés de magasins que vous croisez, l'agent de police, le médecin, le fonctionnaire... Car depuis environ un an maintenant, la paranoïa gouvernemental sur la sécurité est bien enraciné...

No Comment