Interoperabilidad y Analítica S.A.S.

SERVICIOS CENTRALES

 

Los servicios centrales constan de servidor central y un proxy de configuración. El Servidor Central contiene el registro de miembros de X-Road y sus Servidores de Seguridad. Además, el servidor central contiene la política de seguridad de la instancia de X-Road que incluye una lista de autoridades de certificación confiables, una lista de autoridades confiables de estampado de tiempo y parámetros de configuración. Tanto el registro de miembros como la política de seguridad están disponibles para los Servidores de Seguridad a través del protocolo HTTP. Este conjunto distribuido de datos forma la configuración global que utilizan los servidores de seguridad para mediar en los mensajes enviados a través de X-Road. El operador de X-Road es responsable de operar el servidor central.

 

Proxy de Configuración es un componente opcional que se puede utilizar como proxy para publicar la configuración global en los Servidores de Seguridad para su descarga. El proxy de configuración primero descarga la configuración global del servidor central y luego la distribuye de forma segura. El proxy de configuración se puede utilizar para aumentar la disponibilidad del sistema mediante la creación de una fuente de configuración adicional y reducir la carga en el servidor central. El operador de X-Road es responsable de operar el proxy de configuración.

 

SERVIDOR DE SEGURIDAD

 

El Servidor de Seguridad es el punto de entrada a X-Road y es necesario tanto para producir como para consumir servicios a través de X-Road. El Servidor de Seguridad media las llamadas de servicio y las respuestas de servicio entre los sistemas de información. El Servidor de Seguridad maneja los aspectos de seguridad de la infraestructura de X-Road: administrar claves para firma y autenticación, enviar mensajes a través de un canal seguro, crear el valor de prueba para los mensajes con firmas digitales, estampado de tiempo y registro. Para un consumidor de servicios y un sistema de información de proveedor de servicios, El Servidor de Seguridad ofrece un protocolo de mensajes basado en REST y otro basado en SOAP. El protocolo es el mismo tanto para el cliente como para el proveedor de servicios, lo que hace que el Servidor de Seguridad sea transparente para las aplicaciones.

 

Un único Servidor de Seguridad puede alojar varias organizaciones (multicliente). La organización que administra el Servidor de Seguridad es la propietaria del servidor y las organizaciones alojadas son clientes de el.

 

El Servidor de Seguridad gestiona dos tipos de claves. Las claves de autenticación se asignan a un Servidor de Seguridad y se utilizan para establecer canales de comunicación criptográficamente seguros con otros Servidores de Seguridad. Las claves de firma se asignan a los clientes del Servidor de Seguridad y se utilizan para firmar los mensajes intercambiados. Una autoridad de certificación emite certificados para las claves. Los certificados emitidos por otras autoridades de certificación se consideran inválidos.

 

Para poder mediar mensajes, El Servidor de Seguridad debe tener una copia válida de la configuración global disponible todo el tiempo. El Servidor de Seguridad descarga la configuración global del servidor central con regularidad y utiliza una copia local mientras procesa los mensajes. El Servidor de Seguridad permanece operativo siempre que tenga una copia válida de la configuración global disponible localmente. De manera similar, la información de validez del certificado se descarga de la Autoridad de certificación y se almacena en caché localmente. El almacenamiento en caché permite que el Servidor de Seguridad funcione incluso cuando las fuentes de datos de configuración no están disponibles.

 

El Servidor de Seguridad tiene un balanceador de carga interno del lado del cliente y también admite el balanceo de carga externo. El balanceador de carga del lado del cliente es una función incorporada y proporciona alta disponibilidad. En cambio, el balanceador de carga externo proporciona alta disponibilidad y escalabilidad desde el punto de vista del rendimiento.

 

SISTEMA DE INFORMACION

 

El Sistema de Información produce y / o consume servicios a través de X-Road y es propiedad de un miembro de X-Road. X-Road admite el consumo y la producción de servicios REST y SOAP. Sin embargo, X-Road no proporciona conversiones automáticas entre diferentes tipos de mensajes y servicios.

 

Para un sistema de información del consumidor de servicios, El Servidor de Seguridad actúa como un punto de entrada a todos los servicios X-Road. El consumidor puede descubrir miembros registrados de X-Road y sus servicios disponibles utilizando el protocolo de metadatos de X-Road.

 

El sistema de información de un proveedor de servicios implementa un servicio REST y / o SOAP y lo pone a disposición en X-Road. Los servicios REST existentes no requieren ningún cambio; se pueden publicar tal cual. En su lugar, los servicios SOAP deben implementar el protocolo de mensajes X-Road para SOAP. Las descripciones de servicios de los servicios REST se definen mediante la especificación OpenAPI3, y las descripciones de servicios de los servicios SOAP se definen mediante WSDL. Los consumidores de servicios pueden descargar descripciones de servicios utilizando el protocolo de metadatos X-Road.

 

AUTORIDAD DE ESTAMPADO DE TIEMPO (TSA)

 

Todos los mensajes enviados a través de X-Road tienen una estampa de tiempo y el servidor de seguridad los registra. El propósito del estampado de tiempo es certificar la existencia de elementos de datos en un momento determinado. La TSA proporciona un servicio de estampado de tiempo que el Servidor de Seguridad utiliza para estampar todas las solicitudes / respuestas entrantes / salientes. Solo se pueden utilizar las TSA de confianza definidas en el servidor central.

 

La autoridad de estampado de tiempo debe implementar el protocolo de estampado de tiempo compatible con X-Road. X-Road utiliza estampado de tiempo por lotes, lo que reduce la carga del servicio de estampado de tiempo. La carga no depende de la cantidad de mensajes intercambiados a través del X-Road. En cambio, depende de la cantidad de servidores de seguridad en el sistema.

 

AUTORIDAD DE CERTIFICACIÓN (CA)

 

La autoridad de certificación (CA) emite certificados a los servidores de seguridad (certificados de autenticación) y organizaciones miembros de X-Road (certificados de firma). Los certificados de autenticación se utilizan para asegurar la conexión entre dos servidores de seguridad. Los certificados de firma se utilizan para firmar digitalmente los mensajes enviados por los miembros de X-Road. Solo se pueden utilizar los certificados emitidos por autoridades de certificación de confianza que están definidas en el servidor central.

 

El Servidor de Seguridad comprueba la validez de los certificados de firma y autenticación mediante el Protocolo de estado de certificados en línea (OCSP). Cada Servidor de Seguridad es responsable de consultar la información de validez de sus certificados y luego compartir la información con otros Servidores de Seguridad como parte del proceso de intercambio de mensajes. Solo los Servidores de Seguridad con certificados de autenticación y firma válidos pueden intercambiar mensajes con otros Servidores de Seguridad.