Atvirojo kodo RPA programinės įrangos prieigos kontrolės mechanizmų tobulinimas

Abstract

Baigiamojo darbo tikslas – nustatyti, įgyvendinti bei ištestuoti ir įvertinti išsikeltus saugumo bei funkcinius reikalavimus atitinkantį prieigos kontrolės mechanizmą, siekiant patobulinti vieną iš plačiai naudojamų atvirojo kodo RPA programinės įrangos sprendimų. Gilinantis į saugumo problemas RPA sprendimuose, galima pastebėti, kad viena iš pagrindinių spragų yra tai, kaip robotinis procesas identifikuojamas, autentifikuojamas bei gauna teisę atlikti įvairias užduotis ir rinkti svarbią informaciją, kad galėtų įgyvendinti procesą bei priimti sprendimus. Atvirojo kodo RPA sprendimuose šią problemą galima išspręsti užtikrinant, kad robotui būtų suteiktos tik reikalingos teisės bei galėtų atlikti tik tuos veiksmus, kuriems jis yra skirtas. Taip pat yra svarbu, kad būtų inicijuojamas unikalus prisijungimas kiekvienam resursui, kurį robotas naudoja. „OAuth2“ autorizacijos standartas užtikrina, kad būtų suteikiama tik reikiama prieiga prie apsaugotų resursų, todėl jį naudojant yra įgyvendinamas mažiausios privilegijos principas bei sukuriama galimybė organizacijos lygmenyje konkretiems naudotojams suteikti skirtingo lygio prieiga prie konkrečių resursų. Tai yra įgyvendinama naudojant autorizacijos žetoną, kuris leidžia nustatyti, kokiai auditorijai ir kokiai sričiai pastarasis yra skirtas. Šio standarto panaudojimas tobulinant RPA programinę įrangą sprendžia prieigos kontrolės trūkumą naudojant įvarius resursus. MTLS abipusio autentiškumo tipas naudojamas kartu su „OAuth2“ dar labiau sumažina galimas grėsmes. Darbo apimtis – 90 psl. teksto įskaitant priedėlius, 38 pav., 57 lentelės, 41 šaltinis, 1 priedas.

This thesis aims to identify, implement, test, and evaluate an access control mechanism that meets the security and functional requirements to improve one of the widely used open-source RPA software solutions. Delving deeper into the security issues in RPA solutions, it can be observed that one of the main gaps is how the robotic process is identified, authenticated, and given privileges to perform various tasks and collect relevant information to perform the process and make decisions. In open-source RPA solutions, this problem can be addressed by ensuring that the robot has the least privileged role and can only perform the actions for which it is intended. It is also important that a unique login is initiated for each resource the robot uses. The OAuth2 authorization standard ensures that only the necessary access to protected resources is granted, thus implementing the principle of least privilege, and enabling granular distribution of access rights to different resources within an organization. This is done by using an authorization token that allows the identification of the audience and the domain for which the token is intended. The use of this standard in the development of RPA software addresses the lack of access control over the use of sensitive resources. The use of MTLS in combination with OAuth2 reduces potential threats even further. The thesis consists of 90 p. text including appendices, 38 pictures, 57 tables, 41 bibliographical entries, and 1 annex.