Erfahrungen mit der Campuskarte der TU Berlin

Transkript

1 Erfahrungen mit der Campuskarte der TU Berlin DFN Betriebstagung, 06. Oktober 2009 Christopher Ritter, Thomas Hildmann IT Dienstleistungszentrum der TU Berlin

2 TU-tubIT-IDM Christopher Ritter Leiter Abteilung IDM Dipl. Inform. mit Schwerpunkt verteilte Systeme / Sicherheit Abteilung Identitätsmanagement (IDM) 7 fest angestellte Mitarbeiter Provisionierung, Chipkarten, Benutzerkonten Rollenverwaltung... tubit - IT-Service-Center der TU-Berlin Zentraleinrichtung gegründet 2006 derzeit 83 Mitarbeiter (22 stud. Mitarbeiter)

3 Agenda Motivation CKv1 - Ein Rückblick AA - Infrastruktur der TU-Berlin CKv2 - Gegenwart Provisioning DFN-PKI Einsatzumgebung Portal Zusammenfassung

4 Ziele der Campuskarte Sichtausweis Träger für Barcode der Bibliothek Semesterticket Elektronischer Dienstausweis Pseudonyme Authentisierung ewallet Mensacard ZEH Zutrittskontrolle per RFID Erweiterbar Titel Dienstausweis Technische Universität Berlin Vorname Maximilian Magnus Nachname Mustermann zu Musterhausen Gültig bis: Aug

5 CKv1

6 CKv1 Ursprung im Arbeitskreis der Berliner und Brandenburgischen Hochschulen ab Start des Projektes TU-Campuskarte bis Ende 2002 Aufbau der technischen Infrastruktur 2003 Verzögerung durch Ausstieg von Motorola WiSe 03/04 Chipkarte für Studierende und Mitarbeiter seit WiSe 04/05 Chipkarte nur noch für Mitarbeiter

7 Infrastruktur CKv1 Hybrid Karte Eigene PKI inkl. Trust Center Vorpersonalisierung durch Trust Center der TU Personalisierung in der Kartenausgabestelle (RA) der TU AAI ermöglicht pseudonyme Authentisierung Unterstüzung nur für Windows Plattformen durch uneinheitliches Java API

8 Infrastruktur V 1.5 Seit Sommer 2005 Entwicklung des rollenbasierten IDMS Personalisierten Portals mit SSO Hybride-Authentisierung in Stufen Username / Passwort Einmalpasswort durch Passwort und TAN Chipkarte und PIN

9 CKv2

10 CKv2 - Anforderungen Kein RFID Chip Unterstützung der Plattformen Windows Linux Mac OS X Solaris Keine Eigenentwicklung, keine JavaCard Von der ersten Campuskarte übernommen: Sichtausweis für Mitarbeiter und Studierende Bibliotheksausweis Semester- / Firmenticket Elektronischer Ausweis

11 Sichtausweis

12 Bibliotheksausweis

13 Träger für VBB Tickets

14 Smartcard mit z.zt. drei Schlüsselpaaren

15 CKv2 - Das Token Kontakbehaftete Siemens OS V4.2b Karte Drei bis vier 2048bit Schlüsselpaare Authentisierung Signierung Verschlüsselung Logon PKCS#15 Verzeichnisstruktur

16 CKv2 - Infrastruktur Rückbau des TU Trust Center Umstieg auf DFN PKI Zertifizierung der Schlüssel über DFN-SOAP-Schnittstelle schwache pseudonyme Authentisierung

17 CKv2 - Die Middleware CSSI - Middleware der Firma Charismatics Unterstützt breites Angebot an Karten OS PKCS#11 Bibliotheken CrypoAPI Unterstützung unter Windows CryptoLib unter MacOS X Grafische Benutzer und Adminanwendungen

18 CKv2 - Die Middleware

19 Am Anfang war das Provisioning

20 Provisioning für... Mitarbeiter Provisioning-Anschreiben mit der Anstellung Campuskarte = Dienstausweis Studierende Provisioning-Anschreiben mit der Immatrikulation Wahl zwischen Karte und TAN-Liste Ausserordentliche Mitglieder der TU Berlin Nebenhörer, nebenberufliche Lehrkräfte, Doktorand ohne Anstellung, Stipendiat, externe stud. Beschäftigte,... Benutzerkonto ohne Karte Sonderfall: Gäste bekommen pseudonyme Accounts für WLAN-Nutzung Kein Zugang zum personalisierten Portal

21 Provisioning Workflow *P * *P * *P * *P * Technische Universität Berlin TU Berlin, tubit IT-Service-Center, Sekr. E-N 50, Einsteinufer 17, D Berlin / Tel: (030) Herr Saroj Paudel P E-N 50. TU-Provisioning Dieses Schreiben dient gemeinsam mit Ihrem Personalausweis als Grundlage für das Provisioning (automatische Versorgung von TUB-Mitgliedern mit Diensten der IT-Technik). Zu den Diensten zählen beispielsweise das tubit-nutzerkonto, eine -Adresse, der TAN-Dienst (TAN = Einmalpaßwort) und vieles mehr. Nähere Informationen erhalten Sie auf der Webseite des IT-Service Center der TUB tubit ( Gehen Sie bitte mit Ihrem Personalausweis und diesem Schreiben zum Raum H01b (im Hauptgebäude der TUB). Dort wird alles weitere veranlasst. Mit freundlichen Grüßen Ihr tubit Team

22 C. Ritter 51. DFN Betriebstagung 2009

23 Provisioning 1. Immatrikulation, Einstellung, Neues TU-Mitglied erhält Provisioning-Anschreiben. 3. Kostenloses Foto wird am Fotoautomaten im Foyer des Hauptgebäudes erstellt. 4. In der Kartenausgabestelle erhält die Benutzerin / der Benutzer eine Campuskarte und/oder initiales Passwort und TAN-Brief. 5. Wahl eines Benutzerkontos über Freischaltungsseite.

24 5.1: 4.2: 2.2: 2.2: 4.2: 4.2: 2.2: 5.1: 2.3: 5: 5.1: 3.4: 2.1: 2.4: 4.1: 1: 2: 2.5: 3: 3.3: 4: 3.2: 3.1: C. Ritter 51. DFN Betriebstagung 2009

25 Am Ende steht das Portal

26 Portal

27 Anwendungen CMS Typo3 (Webauftritt) Loga HCM (Personalverwaltung) SuperX (Reportsystem) LINF (Leistungsindikatoren in der Forschung) QIS/POS (Prüfungsanmeldung) asknet-portal (Software Onlineshop) Hardware Onlineshop (TU Eigenentwicklung) Online Anträge (z.b. IP, Gäste, Exchangekonten) TUBIS Rollenverwaltung Schnittstelle zur informationellen Selbstbestimmung Selbstverwaltung (Passwörter, TANs etc.) Aktuelle Liste im Portal.

28 Zahlen und Fakten Im tubit-idm verwaltete Personen: > Studierende > 6000 Mitarbeiter (inkl stud. Mitarb.) > 500 außerordentliche Mitglieder Derzeit noch gültige CKv1: Mitarbeiter mit CKv2: 1887 Studierende mit CKv2: 4215 Einzug der alten Karten für Ende 2010 geplant

29 Ausblick Vollstände Unterstützung von Mac OS >= 10.5 Geplanter Aufbau von weiteren Kartenausgabstellen Ausgabe von Chipkarten für außerordentliche Mitglieder Nutzung der Campuskarte zum Logon

30 Zusammenfassung Starke Reduzierung der Anforderungen Erhöhte Akzeptanz durch Standard-Karte Keine Installation von Wurzelzertifikaten nötig! Breite Unterstützung an Plattformen Einfache Installation der Middleware Unkomplizierte Umstellung auf DFN-PKI Gute Unterstützung durch den DFN DFN Schnittstelle läuft sehr zuverlässig

31 Vielen Dank für die Aufmerksamkeit! Fragen, Anmerkungen C. Ritter 51. DFN Betriebstagung 2009