CAPRI: Infrastruktur zur Einführung und Management von Hochschulkarten Jan Gellweiler IT & Medien Centrum, TU Dortmund

Transkript

1 CAPRI: Infrastruktur zur Einführung und Management von Hochschulkarten Jan Gellweiler IT & Medien Centrum, TU Dortmund

2 Agenda UniCard 2.0 Projekt, Hardware, Betrieb, Anwendungen Vorstellung der Produktionsumgebung / CAPRI Überblick, Core, neue Funktionen opencapri Softwarepaket, Workflow-Engine, Demo

3 UniCard 2.0: Anforderungen UniCard-Studierende und UniCard-Personal Design und Aufdruck entspr. UAMR-Layout Bezahlfunktion Drei DFN-Zertifikate für: Authentifizierung Signatur Verschlüsselung (E-Ticket)

4 UniCard 2.0: Hardware Kontaktlose GeldKarte der deutschen Kreditwirtschaft Dual-Interface-Chip mit SECCOS 6 Betriebssystem SECCOS Marktplatz & MIFARE Classic Emulation SECCOS Zertifikatsanwendung Schlüssel- und Zertifikatshoheit bei Hochschul-CA/DFN-PKI

5 UniCard 2.0: Projekt Herausforderungen Software für Kartenproduktion und -nutzung Hardware-Neuentwicklung SECCOS Zertifikatsanwendung Middleware für SECCOS 6 Zeitliche Vorgaben Projektinitialisierung: 8/2010 bis 12/2010 Projektlaufzeit: von 12/2010 bis 10/2011 Kartentausch: ab WS 2011/12

6 UniCard 2.0: Beteiligte Hochschulinterne Beteiligte Rechenzentrum Verwaltung Bibliothek Externe Beteiligte FH Dortmund / Studentenwerk Sparkasse Dortmund, DSV, S-Card, EURO Kartensysteme GmbH, SRC GmbH cv cryptovision GmbH

7 UniCard 2.0: Ausgabe / Austausch UniCard Studierende: Ab WS 2011/12 Direkte Ausgabe für Neueinschreiber Freiwilliger Umtausch für bisherige Studierende Insg Karten UniCard Personal Sobald die Dienstvereinbarung vorliegt Ca Karten

8 UniCard 2.0: Organisation laufender Betrieb Self Service Portal und Terminals Service-Desk Annahme Verlustmeldungen etc. Unterstützung bei Kartenausgabe zu Peak-Zeiten (Semesterbeginn) 1.st Level Support

9 UniCard 2.0: Organisation laufender Betrieb Ausgabestelle Kartenproduktion und -ausgabe 2.nd Level Support Entwicklungsabteilung Qualitätssicherung, Entwicklung weiterer Dienste 3.rd Level Support

10 UniCard 2.0: Anwendungen Ausweisen (z.b. Bibliothek, Hochschulsport, Prüfungen) Bezahlen (z.b. Mensa und Skriptenverkauf) Drucken und kopieren Authentifizieren (z.b. Web-SSO und AD) Signieren und Verschlüsseln (z.b. Mails und Dokumente) Nutzung von Schließfächer (z.b. in der Bibliothek) Tür-Schließsysteme (z.b. in den Neubauten für Chemie und Maschinenbau)

11 CAPRI: Überblick Module Portal ORDER DELEGATE MANAGER REPORT Externe Systeme IDM Produktion STORE BATCH RE CORE DFN PKI Service REVOKE HANDOUT

12 CAPRI Order Web-basiertes Karten-Bestellformular Portlet/JSR 268 (Liferay) Authentifizierung/Autorisierung des Antragstellers Basisdaten für Bestellung Name, Vorname Zentraler Uni-Account/IDM-ID -Adresse Hochladen eines Fotos Live -Anzeige des Produktionsstatus ORDER

13 CAPRI Data Store Zentrale Datenhaltung für CAPRI WebService-Schnittstelle für Bestellungen Alternative Bestell-Frontends möglich Einfache Integration in übergeordnete Prozesse möglich (Immatrikulation, Einstellung, ) Wird von allen CAPRI-Komponenten genutzt STORE

14 CAPRI Manager Web-basiertes Verwaltungstool für RA-Admins Portlet/JSR 268 (Liferay) Liste aller eingegangenen Bestellungen Zahlreiche Filtermöglichkeiten/Suchfunktionen MANAGER Studierenden-/Mitarbeiterkarten, Name, Antragsdatum, Sichtung und Freigabe der Anträge zur Produktion Überblick über Bestellvorgänge Verteilung auf mehrere Produktionslinien Statusinfos zur Produktion

15 CAPRI Batch: Preproduction Technische Steuerung der Produktion Datenabgleich mit IDM/Hintergrundsystemen Gesichtserkennung/automatisierte Foto-Bearbeitung Speicherung von Fotos für Folgekarten möglich Ggf. Sperrung alter Zertifikate (z.b. bei Verlust oder Umtausch) Priorisierung einzelner Aufträge BATCH BATCH BATCH

16 CAPRI Production Core Personalisierung/Produktion der Karte Ansteuerung des Kartendruckers Hardware-Handling (Drucker/Rohling) auf Treiber-Ebene Positionierung des Rohlings für Crypto-/Kontaktlos-Zugriff Aufdruck der Personalisierungsmerkmale Schlüssel-Generierung Auf der Karte oder extern Zertifikatserstellung Webservice-Schnittstelle des DFN Speichern der Zertifikate auf der Karte CORE CORE CORE

17 CAPRI Production Core (cont.) Benötigt: PKCS#11 für Zugriff auf die Karte Standardisiertes Interface Realisierung: SmartCard-Middleware sc/interface von der cv cryptovision GmbH Low-Level-Zugriff auf Karten-Hardware Schreiben von MIFARE/Marktplatz-Attributen CORE CORE CORE

18 CAPRI Batch: Postproduction Erstellung von Begleitdokumenten Anschreiben PIN/PUK-Brief Infoblatt Empfangsbestätigung BATCH BATCH BATCH Ablage der Dokumente im CAPRI Store (verschlüsselt) Nach Fertigstellung: Benachrichtigung per Zusätzlich: Status in Studierenden-/ Personalverwaltung

19 CAPRI Handout Manuell: Produzierte Karten in Kartei nach Matrikel- /Personalnummer sortieren Bei Abholung: Sichtkontrolle Karte, amtlicher Lichtbildausweis, ggf. Studienbescheinigung Danach: CAPRI Handout Entschlüsselung und Ausdruck der Begleitdokumente Bestellabschluss im Store/weiteren Hintergrundsystemen HANDOUT

20 CAPRI: Neue Funktionen CAPRI Delegate Kartenbeantragung im Auftrag DELEGATE CAPRI Report Erstellung von Produktionsstatistiken REPORT CAPRI Revoke Sperren von Karten und Zertifikaten REVOKE

21 CAPRI: Neue Funktionen (cont.)

22 OpenCAPRI: Open Source bei CampusSource Veröffentlichung von OpenCAPRI unter der GPL Veröffentlicht in der CampusSource Softwarebörse seit März 2012

23 OpenCAPRI: Softwarepaket Aufnahme von Daten für die Kartenproduktion Management-Interface Ausführung frei definierbaren Workflows. Vorbereitete Workflow Definitionen Vorbereitete Workflow Elemente zur Personalisierung und zum Drucken von Karten Bedrucken von Kartenrohlingen Erweiterungsschnittstelle

24 OpenCAPRI: Workflow-Engine Spezialisiert auf Kartenproduktion Sequentielle und parallele Abläufe Error Handling, Undo Vorbereitet Workflow Elemente für: Karteninitialisierung Schlüsselgenerierung Personalisierung Kodierung Markplatz Bedruckung Statisitik

25 OpenCAPRI: Einschränkungen SmartCard-Middleware (PKCS#11 Interface) ist nicht Bestandteil des Pakets sc/interface von der cv cryptovision GmbH nativ unterstützt OpenSC kann eingebunden werden Keine Komponenten, die direkt von der Infrastruktur der TU Dortmund abhängen Quellcode der Komponenten kann zur Anpassung an die eigene Infrastruktur zur Verfügung gestellt werden Unterstützung bei der Adaption durch die TU Dortmund möglich Folgende Drucker werden direkt unterstützt EDIsecure XID 570ie, 560ie und 9300 Unterstützung für andere Drucker muss implementiert werden

26 OpenCAPRI: Demo

27 Vielen Dank! Jan Gellweiler

28 NRW Hochschulausweiskarte Motivation Erhöhung der Service-Freundlichkeit für Studierende und Mitarbeiter Erschließung von Einsparungspotenzialen seitens der Hochschule Erhöhung des Sicherheitsniveaus

29 NRW Hochschulausweiskarte Anwendungsfälle Sich optisch und elektronisch ausweisen Studienbescheinigungen per Selbstbedienung Bargeldloses Bezahlen in der Mensa und bei weiteren Anbietern Ein E- Ticket als Semesterticket Sichere Nutzung elektronischer Dienstleistungen Schließsysteme ohne Schlüssel

30 NRW Hochschulausweiskarte Funktionen Ausweisfunktion (Aufdruck) Bezahlfunktion Semesterticket Zertifikate

31 CAPRI: Card Production Infrastructure CAPRI Order: Kartenbestellung CAPRI Data Store: Datenhaltung CAPRI Manager: RA-Verwaltungstool CAPRI Batch: Steuerung des Personalisierungsprozesses CAPRI Production Core: Personalisierung einzelner Karten CAPRI Handout: Erstellung der Begleitdokumente, Abschluss der Bestellung

32 Warum CAPRI? Keine umfassende, flexible Produktions-/Personalisierungssoftware verfügbar Integration kommerzieller Lösungen in Hochschul-IT schwierig Existierende Lösungen an Hochschulen sind zumeist stark individualisiert,... decken nur Teile des Gesamtprozesses ab, sind (meistens) nicht frei verfügbar.

33 Voraussetzungen für Design und Entwicklung Einfache Erweiterbarkeit und Wartung Kostenreduzierung bei der Entwicklung und Betrieb Ausreichende Sicherheit

34 Einfache Erweiterbarkeit und Wartung Modularisierung Lose Komponentenkopplung Skalierbarkeit Offene Schnittstellen

35 Kostenreduktion bei Entwicklung und Betrieb Opensource Basis (Jboss, MySQL) Enterpise Java + Standard Java Delegierte Softwareentwicklung (Kryptoprovider / Middleware)

36 Ausreichende Sicherheit Alle sensitive Daten sind verschlüsselt. Zugriffskontrolle (AccessCard). Jeder Server ist mit Firewall geschützt. Nur SSL Verbindung zw. Modulen.

37 CAPRI Production Core (Marktplatz) Ablage von Statusinformationen Tag-Length-Value (TVL) Kodierung TAG LÄNGE INHALT 1 Byte 1 Byte variabel Abgestimmt zwischen TU und FH Dortmund Bedeutung Tag Inhaltlänge, Byte Inhaltformat Bespiel Hochschule AA Variable, max. 18 ASCII AA C6C6F TU Dortmund Angehörigen- Status Beginn der Gültigkeit des Angehörigen- Status Ende der Gültigkeit des Angehörigen- Status AB 1 Hex: sehe Tabelle 3 AB0102 Angehörigen-Status Student AC 4 YY YY MM DD AC Status gültig ab AD 4 YY YY MM DD AD Status gültig bis einschließlich

38 CAPRI Production Core (Marktplatz)