Autorisierungskonzept

Beschreibung

Mobile Apps für L²P erlauben es, mit einer für mobile Endgeräte zugeschnittenen Benutzeroberfläche die im Lernportal enthaltenen Informationen darzustellen bzw. Aktionen auszulösen. Dies geschieht in personalisierter Form. Greift eine Nutzerin oder ein Nutzer mit der App auf L²P zu, muss sie/er sich daher authentifizieren bzw. die App zu den Aktionen autorisieren.

Es ist jedoch nicht ratsam, einer App einfach die Benutzercredentials anzuvertrauen und diese auf dem mobilen Endgerät zu speichern. Der/die Nutzer/in kann später kaum nachvollziehen, welche Apps er autorisiert hat, was diese Apps tun und ob die Daten missbraucht werden. Da die für L²P genutzte TIM-ID den Zugriff auf weitere Informationsdienste erlaubt, würde der Anwendung dieser Zugriff ebenfalls erlaubt. Eine Auswahl der Dienste kann nicht erfolgen. Es muss daher in Abstimmung mit dem Datenschutzbeauftragten der Hochschule ein Mechanismus implementiert werden, der die Sicherheit der Benutzercredentials garantiert.

Das IT Center implementiert daher einen neuen Token Service (OAuth 2) für die Haltung der Autorisierungsdaten und die Kommunikation mit der Anwendung.

Ziel ist es, jeder Anwendung ein eigenes, eindeutiges Zugriffstoken bereitzustellen, das nicht zwischen verschiedenen Anwendungen ausgetauscht werden darf. Mit diesem Zugriffstoken kann die Anwendung verschiedene Informationsdienste im Kontext des Benutzers verwenden.

Die Kommunikation zwischen der Anwendung, dem Token Service und den Informationsdiensten erfolgt über das HTTPS-Protokoll und ist grundsätzlich verschlüsselt. Eine unverschlüsselte Kommunikation zwischen den Services ist nicht möglich.

Schema Autorisierung

Abb. 1: Schematische Darstellung der Autorisierung einer Anwendung

Der Prozess zur Autorisierung einer Anwendung durchläuft dabei die in Abb. 1 gezeigten Schritte:

1.     Die Anwendung (A) erfragt beim Token Service Zugriff auf einen Informationsdienst. Zur Identifikation erhält die Anwendung einen Autorisierungstoken. Die Anwendung gibt das Autorisierungstoken an den/die Benutzer/in weiter.

2.     Der/die Benutzer/in loggt sich über Shibboleth (C) ein. Damit bestätigt er/sie seine/ihre Identität des Benutzers für die Webseite zur Verwaltung der Autorisierung.

3.     Shibboleth (C) gibt die Benutzerdaten (den Benutzerkontext) an den Token Service (D) weiter.

4.     Der/die Benutzer/in bestätigt die Autorisierung der Anwendung.

5.     Der Token Service (D) bestätigt der Anwendung (A) die Autorisierung. Dabei erhält die Anwendung ein Zugriffstoken, mit dem Anfragen im Benutzerkontext durchgeführt werden.

6.     Die Anwendung (A) benutzt das Zugriffstoken, um im Benutzerkontext Informationen vom Informationsdienst (E) abzurufen (5a) oder darauf Aktionen durchzuführen (5b). Dabei wird bei jeder Anfrage das Zugriffstoken mitgeschickt, um den Benutzerkontext zu identifizieren.

7.     Der Informationsdienst (E) kann den zum Zugriffstoken gehörigen Benutzerkontext beim Token Service (D) abfragen. Der Benutzerkontext wird beispielsweise durch den Benutzernamen beschrieben.

8.     Der Informationsdienst (E) liefert dann die gewünschten Informationen (7a) oder eine Bestätigung der durchgeführten Aktion (5b) an die Anwendung (A). Die Anwendung kann mit dem vorhandenen Zugriffstoken weitere Anfragen ausführen.

Aktivitäten

  • Ein Prototyp wurde bereits implementiert. Im Juni 2013 beginnt eine Test- und Evaluierungsphase mit L²P als erstem Informationsdienst.
Letzte Änderung: 01.04.2014

Schreiben Sie eine Antwort

Bitte füllen Sie diese Captcha: * Time limit is exhausted. Please reload CAPTCHA.