Sécurité pour client Swing

Notre système actuel c'est qu'on a notre propre système d'authentification. Quand on lance le client swing, on demande le user/pwd. Une fois c'est vérifié, le client aura l'accès aux tous les EJB.

Le problème c'est que des gens peuvent écrire un programe en utilisant directement le url JNDI et profitent les services EJB.

Donc on a développé des EJBs dont l'accès est contrôlé on fonction du rôle. Le but c'est que la vérification du rôle se fait automatiquement coté serveur quand on invoque des méthodes EJB depuis le client swing (j'imagine bien qu'on a besoin de s'identifier une fois au démarrage du client swing).

La seule question c'est comment faire? J'ai cherché pas mal sur internet (surtout JAAS) mais je n'arrive pas à grande choses. Quelqu'un pouvait me donner des pistes? Merci beaucoup!