Implementação do Protocolo OAuth2 e OpenID Connect em uma arquitetura orientada a microsserviços

Abstract

O Centro de Inteligência da Polícia Militar do Estado de São Paulo (CIPM/PMESP) passou por um estágio evolutivo em seus sistemas legados, que atualmente se encontram em uma arquitetura de microsserviços. Tal arquitetura divide um aplicativo em pequenos serviços, que são implementados de forma independente, com sua própria unidade de deployment. Essa arquitetura pode trazer benefícios, no entanto, também apresenta desafios, principalmente quanto aos aspectos de segurança. Portanto, surge a importância de explorar o conhecimento sobre questões de segurança em microsserviços, principalmente nos aspectos de autenticação e autorização. Soma-se ainda a natureza da atividade de inteligência que obrigatoriamente deve atingir uma série de princípios por conta da natureza sensível dessa atividade. Um desses princípios é a compartimentação, que objetiva restringir o acesso a determinadas informações somente para profissionais que tenham necessidade de conhecer. Reforça-se assim que é preciso verificar se o ambiente atual se encontra adequado em questões de autenticação e autorização, para garantir o cumprimento de tal princípio. Este trabalho tem o objetivo de propor e avaliar a segurança de uma solução orientada a microsserviços para realizar a autenticação e autorização nos Sistemas de Inteligência da Polícia Militar do Estado de São Paulo. Para tal, é feita uma Revisão Sistemática de Literatura para checar quais são os principais desafios em autenticação e autorização na arquitetura de microsserviço, os mecanismos que lidam com tais desafios e as tecnologias open source que implementam tais mecanismos. Com esses achados, é apresentado um questionário de validação, para verificar se tais descobertas são observadas na indústria. O objetivo é confirmar a utilização prática do que foi encontrado, além de procurar apurar novas respostas que não foram encontradas anteriormente. Por fim, é realizada uma execução no ambiente de inteligência da PMESP com a tecnologia open-source que utiliza os mecanismos encontrados, aplicando testes de segurança no ambiente atual e o novo, com vistas de verificar se esses mecanismos melhoraram sua segurança.