SURFfederatie

SURFFederatie flyer http://rsnijders.info/edocs/SURFfederatie.pdf

Vraaggestuurd en mobiel onderwijs

Het traditionele aanbodmodel van onderwijs verandert geleidelijk in een vraaggestuurd model.En mede als gevolg van de Europese standaardisatievan kwalificaties, zoals het ‘bachelor/master’ programma, neemt ook de mobiliteit van studenten toe. Het volgen van vakken aan andere instellingen in binnen- en buitenland wordt laagdrempeliger en er ontstaan samenwerkingsverbanden tussen instellingen, universitair medische centra en het bedrijfsleven. Om dit mogelijk te maken is het noodzakelijk dat er op allerlei niveaus afspraken gemaakt worden. Niet alleen ten aanzien van waardering van vakken (het European Credit Transfer System), of de inhoud van vakken, maar ook ten aanzien van het vertrouwen in elkaars gebruikersauthenticatie en het veilig uitwisselen van gegevens over gebruikers.

Federatief identiteitsbeheer voor netwerktoegang

Om een eerste vorm van samenwerking over de instellings- en landsgrenzen heen mogelijk te maken is enkele jaren geleden eduroam opgezet. Via eduroam kunnen instellingen gebruikers toegang verlenen tot elkaars (draadloze) netwerken. De inloggegevens van een gastgebruiker worden daarbij door de thuisinstelling van de gebruiker geverifieerd, waarna de gastinstelling toegang tot het netwerk geeft. De gastinstelling ‘ziet’ hierbij slechts van welke instelling de gebruiker afkomstig is en of de verificatie van de identiteit (ook wel authenticatie genoemd) geslaagd is of niet. De identiteit zelf en het gebruikte wachtwoord zijn niet zichtbaar voor de gastinstelling. Eduroam zorgt er zo voor dat gebruikers met één inlognaam en wachtwoord overal toegang kunnen krijgen tot het netwerk. Dat is voor hen gemakkelijk, maar zeker ook voor de instellingen. Eduroam voorkomt namelijk dat de organisatie vele (technische) koppelingen met andere instellingen moet onderhouden. Eduroam is daarmee een zogenaamde onderwijsfederatie; een set van (technische) standaarden en (juridische) afspraken die een probleemloze samenwerking mogelijk maken en de rechten en plichten van gebruikers en instellingen regelt.

Federatief identiteitsbeheer voor toegang tot applicaties

Met eduroam is er sprake van federatief identiteitsbeheer waar het gaat om authenticatie voor netwerktoegang. Je kunt zien dat iemand succesvol zijn identiteit heeft aangetoond en bij welke instelling hij ‘hoort’. Op basis daarvan kan de toegang tot het netwerk al dan niet gegeven worden. Eduroam volstaat echter niet waar het gaat om de toegang tot (web)applicaties. Om webapplicaties flexibel te kunnen beveiligen en/of te kunnen personaliseren is het namelijk wenselijk om méér te weten van de gebruiker. Bij welke faculteit hoort deze persoon? Is het een medewerker of student? Uit welk jaar? Ook op dit niveau – de autorisatie op basis van dergelijke ‘attributen’ – is federatief identiteitsbeheer mogelijk. Het probleem is echter dat er tot voor kort eigenlijk nog geen alom geaccepteerde standaard beschikbaar was.

SAML als standaard

Om (web)applicaties flexibel te kunnen beveiligen en om te kunnen samenwerken in een federatie heeft SURFnet A-Select ontwikkeld op basis van open source software. A-Select servers die elkaar vertrouwen, kunnen attributen uitwisselen, autorisatie uitvoeren en toegang geven tot elkaars applicaties. A-Select wordt in Nederland intussen op grote schaal gebruikt. Niet alleen door het onderwijs en de openbare bibliotheken, maar ook bij de overheid – onder meer als basis voor DigiD - en commerciële partijen. Er bestaan echter ook andere federatieve software producten, zoals het open source product Shibboleth en commerciële producten zoals van Novell, Oracle, Microsoft en Sun. Het gevolg is dat men elders de federatie in het hoger onderwijs baseert op andere producten dan in Nederland, zoals Shibboleth in Zwitserland, Finland en Engeland, FEIDE in Noorwegen en PAPI in Spanje. Al die federaties zien echter de noodzaak tot standaardisering en die is er dan ook gekomen in de vorm van de Security Assertion Markup Language (SAML). Deze op XML gebaseerde standaard beschrijft hoe authenticatie-en autorisatiegegevens van gebruikers over HTTP kunnen worden getransporteerd tussen verschillende domeinen. Uiteraard zijn er net als bij eduroam ook afspraken nodig: welke SAML berichten worden precies uitgewisseld; verstaan we wel hetzelfde onder een student (inclusief of exclusief alumni?) en hoe goed is het registratie- en authenticatieproces van een instelling. Met andere woorden: wat is het betrouwbaarheidsniveau van de uitwisselingen binnen de federatie?

De SURFfederatie

Om ervoor te zorgen dat de Nederlandse onderwijsinstellingen optimaal kunnen samenwerken met elkaar en met informatie- en dienstenleveranciers, heeft SURFnet de SURFfederatie opgezet. De SURFfederatie bestaat uit een set met afspraken (federatie policies) en een technische infrastructuur. Deze maken het mogelijk om via een netwerk van centrale ‘hubs’ toegangscontrole uit te voeren tot op het niveau van de individuele eindgebruiker, op basis van de naam van de organisatie waartoe de gebruiker behoort en eventuele specifieke gebruikerskenmerken. De echte identiteit van de gebruiker kan daarbij anoniem blijven. De federatie is opgezet op basis van A-Select, dat inmiddels SAML ondersteunt. Sinds 1 december 2007 is het zover dat je ook aan kan sluiten via SAML 2.0 en WS-Federation/ADFS. De TU Eindhoven koppelt nu bijv. daadwerkelijk op basis van Microsoft’s ADFS.

De SURFfederatie in praktijkElsevier Science Direct

Veel uitgeverijen maken voor de authenticatie van gebruikers gebruik van de IP-nummerreeks van de faculteit of instelling. Hierbij is plaatsonafhankelijk werken eigenlijk geen optie, omdat bijvoorbeeld een PC thuis of op een andere instelling niet valt binnen de juiste IP-nummerreeks. Federatief identiteitsbeheer biedt ook hier uitkomst. In een project van Elsevier, Universiteit van Tilburg (UvT) en SURFnet is aangetoond dat via de SURFfederatie (op basis van A-Select) identiteitsgegevens en gebruikerskenmerken verstuurd kunnen worden. Op grond van deze gegevens biedt Elsevier studenten van de UvT toegang tot haar database.

Sites of artikelen