Segurança de dados

SEGURANÇA DE DADOS

A segurança de dados é um assunto que vem se tornando cada vez mais relevante no desenvolvimento de aplicações corporativas. Em geral, podemos proteger com relativa facilidade as funcionalidades de nossos sistemas, atribuindo permissões de acesso aos usuários e verificando estas permissões durante a sua execução. Mas isto não é suficiente em aplicações corporativas. Por exemplo, em um sistema acadêmico, somente um professor pode atribuir notas a um aluno, correto? Isso parece fácil de ser implementado. No entanto, pode um professor atribuir uma nota a qualquer aluno? Definitivamente não! Ou seja, precisamos garantir a segurança dos dados, que poderia ser definida como: “A capacidade de um sistema de garantir que as informações fiquem restritas a um contexto de negócio”. Traduzindo, um usuário não pode visualizar ou alterar dados que não estejam em seu contexto de negócio, e não somente em suas permissões funcionais. Este objetivo é bastante ambicioso, mas totalmente necessário, e, em termos tecnológicos, temos evoluído bastante neste sentido. A especificação JavaEE 5 simplesmente ignora este problema, mas existem algumas soluções de mercado bastante robustas. Irei discorrer sobre duas delas (Spring Security e JBoss Seam), descrever rapidamente a solução que adotamos na Dextra para o desenvolvimento de um sistema de gestão acadêmica e, finalmente, propor uma nova e diferenciada abordagem.
1 – Spring Security O Spring Security tem como objetivo garantir a segurança no acesso aos objetos de domínio de uma aplicação. Através deste mecanismo, o componente de segurança impede que um objeto de domínio específico seja carregado ou alterado de acordo com uma ACL (access control list) cadastrada em banco de dados. Basicamente, ele permite que sejam armazenados e obtidos de forma eficiente uma ACL para cada um dos objetos de domínio de sua aplicação. Esta abordagem não me parece muito interessante porque, em geral, não quero cadastrar uma ACL