Система за управление на идентификацията в БеУ

transcript

СИСТЕМА ЗА УПРАВЛЕНИЕ НА ИДЕНТИФИКАЦИЯТА В БЕУ

Практикум 3Отбор 2 - Ягодка

ЕКИПЧлен на екипа РолиНикодим Маринов Project Manager, Designer,

ImplementerВенцислав Русев Software Architect, Database

Designer, Designer, System Administrator, Implementer

Михаела Стоянова Business Analyst, Database Designer, Implementer

Владимир Коцев Business Analyst, Test Manager, Test Designer, Test Analyst, Tester

Калин Димитров User-Interface Designer, GUI Implementer, Technical Writer

Ивелин Стефанов Tester, Reviewer, Course Developer

УПРАВЛЕНИЕ НА ПРОЕКТА План на проекта Skype срещи Система за контрол на задачите (JIRA) Помощен документ за работа със

системата за контрол на задачите

ИЗГОТВЕНИ ДОКУМЕНТИ Венцислав: Data Model, Design Model, Risk

List, Software Architecture Владимир: Vision; Software Requirements

Specification; Quality Assurance Plan; Master Test Plan

Ивелин: User Manual Калин: JIRA Manual Михаела: Requirements; Business Model;

Site Map Никодим: Project Plan, Software

Development Plan, Deployment Plan

ГЛАВНИ ФУНКЦИОНАЛНОСТИ НА СИСТЕМАТА

Доставяне на удостоверителна услуга идентификация удостоверение на самоличността (aвтентикация) проверка на правата за достъп (оторизация)

Издаване и управление на електронни белези за идентификация за граждани (Собственик на еИ) за юридически лица (Потребител еИ) за системни потребители

Възможност за изграждане на организационна структура (услуги, функции, права, роли) от доставчиците на услуги

Възможност за добавяне на допълнителни данни за гражданите в три различни нива на достъп

БИЗНЕС РОЛИ Граждани (СеИ) Юридически лица (ПеИ) Служители на Регистриращия орган (РО) Служители на Сертифициращия орган

(СО)

USE-CASE МОДЕЛ – ОБЩ ИЗГЛЕД

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА СЕИ

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА ПЕИ

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА УСЛУГИ

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА ФУНКЦИИ

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА РОЛИ

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА ДОПЪЛНИТЕЛНИ ДАННИ

USE-CASE МОДЕЛ – АДМИНИСТРИРАНЕ НА СИСТЕМАТА

БИЗНЕС ПРОЦЕСИ (1) Вход в системата Бизнес процеси за СеИ

Издаване на еИ Издаване на нова еИ от СО

Активиране на еИ Деактивиране на еИ Закриване на еИ Закриване на еИ при

изтичане на давност

БИЗНЕС ПРОЦЕСИ (2) Бизнес процеси за ПеИ

Добавяне на доставчик на услуги Добавяне на нов

доставчик на услуги Получаване на ПеИ от

доставчик Активиране на

доставчик на услуги Деактивиране на ПеИ Закриване на ПеИ Закриване на ПеИ при

изтичане на давност Определяне на достъп

до ЛД Добавяне на роля

Актуализиране на роля Изтриване на роля Добавяне на функция Преглед и изтриване

на функция Добавяне на услуга Актуализиране на

услуга Изтриване на услуга Добавяне на

допълнителни данни Актуализиране на

допълнителни данни Изтриване на

допълнителни данни

БИЗНЕС ПРОЦЕС „ВХОД В СИСТЕМАТА“

BPMN Вход в системата

«Lane» Система«Lane» Потребител на системата

Въвеждане напотребителско име

и парола

Извеждане на съобщение загрешно въведени потребителско

име и/или парола

Проверка застатуса на

потребителя

Извеждане насъобщение зазакрито eID

Отваряне наначална страница

за СеИ

за ПеИ

Проверка за видапотребител

Отваряненаначална страница

за СО

за РО

за администриранена системата

грешно въведени потребиелскоиме и/или парола

коректно въведенипотребителско име и парола

статус - закрит

стаус: нов,активен,неактивен

вход на ПеИ

служител на РО

СеИ или ПеИ

вход на СеИ

администратор

служител на СО

БИЗНЕС ПРОЦЕС „ИЗДАВАНЕ НА ЕИ“BPMN Издаване на eID

«Pool» С

истема ЕИ

«Lane» Служител на СО«Lane» Система

«Pool» С

Заявка за издаванена eID

Извеждане насъобщение за нужнитедокументи и начинът

на попълване

Извеждане насъобщение за вече

издадено eID налицето

Издаване на новоeID от СО

Извеждане на съобщениеза причините порадикоито не може да се

издаде eID

Закриване насъществуващо eID

За изпълнение на чиновническите операции се изисква успешен вход от страна на чиновника в системата.

Пускане на 5 годишен таймер за давност

Проверка надокументи

не пълни документинужни за издаването

има издаеноeID на лицето

няма здадено eID и имаправа за издаване

няма права заиздавне на eID отказ от

преиздаванена eID

искане запреиздаванена eID

БИЗНЕС ПРОЦЕС „ЗАКРИВАНЕ НА ЕИ“ BPMN Закриване на eID

«Pool» Система ЕИ

«Lane» Система

«Pool» СеИ

«Lane» Служител на СО«Lane» С

еИ браузър

Промяна настатуса на закритоeID и извеждане на

съобщение

Извеждане насъобщение, че не еоткрито търсеното

Избор на eID зазакриване

Описване напричините за

закриване на eID

Искане за закриване eID от правоимащ орган

Проверка засъществуащо eID

Отнемане на правана собственика заиздаване на ново

Закриване при преиздаване на eID

Подаване назаявление за

закриване на eID

Закриване от собственика на ЕИ през браузъра

Закриване на ЕИ

eID еоткрито

не е открито eIDили вече е билозакрито

БИЗНЕС ПРОЦЕС „ОПРЕДЕЛЯНЕ НА ДОСТЪП ДО ЛД“

BPMN Определяне на достъп до ЛД

«Lane» ПеИ

браузър

«Pool» Систем

а за електронна идентификация

«Lane» Систем

«Pool» ПеИ

«Lane» Служ

ител на РО

Подаване наискане за достъпдо лични данни

Разглеждане наискането за достъп

до ЛД от РО

Изпращане на съобщениес причините за отказ на

достъп до ЛД от искането

Изпращане на съобщениес информация за

ползването на исканитеЛД

Даване на права задостъп на

доставчика доисканите ЛД

Отхвърляне наискането

Искане за достъпдо лични данни

одобряванена искането

отказ наискането

БИЗНЕС ПРОЦЕС “ДОБАВЯНЕ НА РОЛЯ”

BPMN Добавяне на роля

Актуализиране направо за функция

Актуализиране народтелска роля«Lane» ПеИ

Добавяне на имена ролята

Добавяне наролята

Добавяне наописание на

ролята

добавяне наописание

няма да се променят прават по функциите

няма да се добавят род. роли

определяне надостъп до функция

ще се добавирод.роля

няма да се добавя описание

БИЗНЕС ПРОЦЕС „ИЗТРИВАНЕ НА РОЛЯ“

BPMN Изтриване на роля

«Lane» ПеИ браузър«Lane» Система

Избор на роля заизтриване

Извеждане насъобщене за

грешно избранароля

Изтриване наролята

Извеждане насъобщение че

ролята не може дабъде изтрита

ролят енаследена

ролята не сенаследява

изтрии ако несе ползва

изтриинавсякъде

не енамеренаролята

намеренароля

СОФТУЕРНА АРХИТЕКТУРА Стандартно трислойно приложение на базата на JavaEE Разположено върху Google App Engine (servlet 2.5

container) Нерелационно хранилище за бази данни Google Data

Store Service Достъп на потребителите на системата се осъществява

чрез HTTPS, WSDL, SOAP, SAML протокилите Java Server Faces (JSF) – Mojarra (Sun JSF RI) Unified Expression Language (EL) – JBoss EL 2.0 Web Service Security (WSS) – Apache WSS4J 1.6.9 Security Assertion Markup Language (SAML) – Shibboleth

opensaml 2.5.1 Система за контрол на версиите – SVN Интегрирана среда за разработка – Eclipse Juno

МОДЕЛ НА РАЗПОЛАГАНЕТО

КОМПОНЕНТЕН МОДЕЛ

БАЗА ДАННИ Анотации за класовете и полетата в тях,

показващи начина на съхранение в базата данни и начина на валидация

Единен интерфейс за валидиране на полета по време на JSF фазата Validation, както и по време на запис на данните в базата данни

21 унифицирани и специализирани валидатори

РЕАЛИЗАЦИЯ (1) Криптирана комуникация (HTTPS) login, loginSAML, невъзможност за логин с

повече от две сесии, CAPTCHA Права за достъп на отделните типове

потребители до отделните страници Меню според типа на потребителя Комуникация между уеб страниците Външен конфигурационен файл Уеб услуги Access Person Data, Manage Structure

Username, SAML Artifact Resolver

РЕАЛИЗАЦИЯ (2) SAML

РЕАЛИЗАЦИЯ (3)

stm SecurityToken

ACTIVE

INACTIVE

CLOSEDЗакриване по исканена собственика

Не променяне на паролатав срок от 1 година

Промяна напаролата

Издаване Получаване от собственика

Неполучаванеот собственика

Закриване по исканеот собственика

• Диаграма на състоянията за белег на идентификация

РЕАЛИЗАЦИЯ (4) Сетртифициращ орган

Администриране на СеИ Преглед на СеИ

Регистриращ орган Администриране на ПеИ Преглед на ПеИ Промяна на достъпа на ПеИ до лични данни на

СеИ

РЕАЛИЗАЦИЯ (5) Организационна стуктура и данни за ПеИ

Добавяне, администриране и преглед на услуги Добавяне, администриране и преглед на финкции Добавяне, администриране и преглед на роли Добавяне, администриране и преглед на допълнителни

данни Искане за добавяне на глобални данни Преглед на направени искания за глобални данни Заявяване на достъп до глобални данни

Администриране на системата Управление на системен потребител Преглед на системен потебител Управление на полета с глобални данни Изготвяне на справки

РЕАЛИЗАЦИЯ (6) Изготвяне на страниците - XHTML Изготвяне на дизайна – цветова палитра на

сайта:

JavaScript, jQuery Ajax

НЕСВЪРШЕНА РАБОТА ПО РЕАЛИЗАЦИЯТА Модул за Изготвяне на справки не е описан

и реализиран На някои страници Ajax не работи CSS и JavaScript не е минифициран Следните контролери не са реализирани:

Преглед на заявки за глобални данни Управление на достъп до полета с глобални

данни

ТЕСТВАНЕ (1) администриране на

функции администриране на

роли администриране на

допълнителни данни администриране на

услуги преглед на функции преглед на роли преглед на

допълнителни данни

преглед на услуги добавяне на функция добавяне на роли добавяне на

допълнителни данни добавяне на услуги заявяване на достъп

до глобални данни искане за добавяне

на глобални данни

USE CASE – АДМИНИСТРИРАНЕ НА РОЛИ

BUSINESS PROCESS MODEL – ДОБАВЯНЕ НА РОЛЯ

Обект на тестване: Администриране на роля / Добавяне на роля ТСл №: 09P/01

Тип на тестване: Функционално Начин на тестване:

Ръчно

Начални изисквания: Потребителят трябва да е влязал в профила сиНасоченост на тестването: Позитивен

№ Действие Очаквван резултат Реален резултат

1 Натискане на бутон „Добавяне на роля”

Отваря се диалогов прозорец с празни полета

2 ТСл №: 09/02ТСл №: 09/03ТСл №: 09/04ТСл №: 09/05

Системата маркира коректно въведени данни

3 Потребителят на еИ натиска бутона „добавяне на нови роли”

Новата роля е добавена успешно

Очакван краен резултат: Успешно добавена роляРеален краен резултат: Изготвил и изпълнил: Ивелин Стефанов

Обект на тестване: Администриране на роля / Добавяне на описание на роля

ТСл №: 09P/02

Тип на тестване:

Функционално Начин на тестване:

Ръчно

Начални изисквания: Потребителят трябва да е влязал в профила си

Насоченост на тестването: Позитивен№ Действие Очаквван резултат Реален резултат

1 Потребителят на еИ добавя описание на ролята в полето

Описанието е коректно въведено въведено

Очакван краен резултат: Успешно е добавено уписание на ролята

Реален краен резултат: Изготвил и изпълнил: Ивелин Стефанов

Обект на тестване: Администриране на роля / Добавяне на име на роля ТСл №: 09P/03

Тип на тестване:

Функционално

Начин на тестване: Ръчно

Начални изисквания: Потребителят трябва да е влязал в профила сиНасоченост на тестването: Позитивен

№ Действие Очаквван резултат

Реален резултат

1 Потребителят на еИ добавя име на ролята в празното поле

Името е въведено коректно

Очакван краен резултат: Успешно е добавено име на ролятаРеален краен резултат: Изготвил и изпълнил: Ивелин Стефанов

Обект на тестване: Администриране на роля/ Актуализиране на права за функции

ТСл №: 09P/04

Тип на тестване: Функционално

Начални изисквания: Потребителят на еИ да е влязъл в профила сиНасоченост на тестването: Позитивен

1 Потребителят натиска бутона „Ибор на роля за промяна”

Ролята е коректна и се отваря нов прозорец с данните на ролята

2 Потребителят променя правата за функциите

Системата проверява дали промяната е коректна

3 Натиска бутона „Запази промените”

правата за функции са коректно актоализирани

Очакван краен резултат: Коректно е актуализирани права за функцииРеален краен резултат: Изготвил и изпълнил: Ивлин Стеданов

Обект на тестване: Администриране на роля/ Актуализиране на родителски роли ТСл №: 09P/05

Тип на тестване: Функционално

Начални изисквания: Потребителят на еИ да е влязъл в профила сиНасоченост на тестването: Позитивен

1 Потребителят натиска бутона „Ибор на роля за промяна”

Ролята е коректна и се отваря нов прозорец с данните на ролята

2 Потребителят променя родителската ролята

Системата проверява дали промяната е коректна

3 Натиска бутона „Запази промените”

Род. роля е коректно актоализирана

Очакван краен резултат: Коректно е актуализирана род. роляРеален краен резултат: Изготвил и изпълнил: Ивлин Стеданов

Обект на тестване: Администриране на роля ТСц №: 09 G/01Тип на тестване: Функционално Начин на тестване: Ръчно

Начални изисквания: Потребителя на еИ да е влязъл в профила си№ Тестов случай

№Име на тестов случай Резултат [pass/fail]

1 ТСл №: 09P/01 Изтриване на роля

2 ТСл №: 09N/01 Изтриване на роля - негативен

3 ТСл №: 09P/02 Избор на роля за изтриване

4 ТСл №: 09N/02 Избор на роля за изтриване - негативен

5 ТСл №: 09P/03 Съобщение за грешно избрана роля

6 ТСл №: 09N/03 Съобщение за грешно избрана роля - негативен

7 ТСл №: 09P/01 Добавяне на роля – попълнени са всички полета

8 ТСл №: 09N/01 Добавяне на роля - негаривен

9 ТСл №: 09P/02 Описание на роля

10 ТСл №: 09N/02 Описание на роля - негативен

11 ТСл №: 09P/03 Добавяне на име на роля

12 ТСл №: 09N/03 Добавяне на име на роля - негативен

13 ТСл №: 09P/04 Актуализиране на права за функции

14 ТСл №: 09N/04 Актуализиране на права за функции - негативен

15 ТСл №: 09P/05 Актуализиране на родителски роли

16 ТСл №: 09N/05 Актуализиране на родителски роли - негативен

Краен резултат [pass/fail]: Изготвил и изпълнил: Ивелин Стефанов

ТЕСТВАНЕ (2) Функционалност

ръчно SoapUI

Производителност BlazeMeter (включва JMeter) LoadUI Yslow Low Orbit Ion Cannon

Сигурност OWASP Zed Attack Proxy

ФУНКЦИОНАЛНО ТЕСТВАНЕ

Нисък

Среден

Висок

Много

висок

Открити дефекти споредприоритета им

Активни18%

Отстранени

Открити дефекти споредсъстоянието им

Нисък

Среден50%

Висок28%

Активни дефекти споредприоритета им

ТЕСТВАНЕ С НАТОВАРВАНЕ

СТРЕСОВО ТЕСТВАНЕ

ЕКСТРЕМНО СТРЕСОВО ТЕСТВАНЕ

АТАКА ЗА ОТКАЗ НА УСЛУГА Натоварване 99 заявки в секунда Продължителност 5 минути Времето за зареждане на страница бе

повишено на 25-30 секунди

Системата не притежава автоматично блокиране на прекалено голямо натоварване от един хост

ТЕСТВАНЕ НА ПРОИЗВОДИТЕЛНОСТ НА УЕБ УСЛУГИ

Заявки в секундаСредно време за отговор

АНАЛИЗ НА УЕБ ПРОИЗВОДИТЕЛНОСТ Общ резултат 88/100

Съдържание – ОК Cookies – ОК CSS – OK Изображения – ОК JavaScript – OK Сървър – проблеми с нисък приоритет

ТЕСТВАНЕ НА СИГУРНОСТ Разнообразен набор от

атаки Проблеми с много

нисък приоритет

1 проблем със средновисок приоритет - отстранен

Path traversalRemote file inclusionURL redirector abuseServer side includeCross site scriptingSQL injectionDirectory browsingSession ID in URL rewriteSecure page browser cacheExternal redirectCRLF injectionParameter tampering

НЕСВЪРШЕНА РАБОТА ПО ТЕСТВАНЕТО Някои от инструментите предвидени в

Главен план за тестване не са използвани Не е проведено пълноценно тестване на

Internet Explorer

ДРУГИ СТАТИСТИКИМетрика Текущ

проектПредишен проект

Брой Java класове 155 142Брой таблици в БД 20 33Брой атрибути в БД 111 190Брой уеб страници 30 41Брой уеб услуги 3 3Брой операции в уеб услугите 26 12Реда Java код (без празни редове и коментари)

14442 19884

Реда Java коментари 5813 2230Реда xhtml код 3703 6964Брой „качвания“ на SVN сървъра 501 322Брой тестови сценарии 30 18

БРОЙ „КАЧВАНИЯ“ НА SVN СЪРВЪРА

БРОЙ „КАЧВАНИЯ“ НА SVN СЪРВЪРА (2)

БРОЙ ПРОМЕНЕНИ РЕДОВЕ В КОДА

ВЪЗМОЖНИ ПОДОБРЕНИЯ Използване на асиметрични ключове и

сертификати за удостоверяване на самоличността на потребителите (без тези неща сесията на потребителя може да бъде открадната)

Недопускане на replay атаки Поддържане на регистър с всички услуги

налични за ползване от гражданите (СеИ) Запускане на процеси почистващи базата данни

от вече невалидни записи Използване на Memcache услугата, която ще

ускори работата на системата и ще намали броя на запитванията към базата данни

Използване WSS във всички услуги

ПРОБЛЕМИ Лоша комуникация между членовете на

екипа Липса на достатъчно мотивация за работа Закъсняло предоставяне на работеща

система на тестова среда Липса на опит с определени инструменти

за тестване

ДЕМОНСТРАЦИЯ

Система за управление на идентификацията в БеУ

Documents