Sicherheit und Datenschutz
Verschiedene Mechanismen wie Authentifizierung, Autorisierung und Verschlüsselung sorgen in CampusNet dafür, dass nur berechtigte Personen gemäß der Spezifikation ihrer Rolle über gesicherte Verbindungen bestimmte Dienste nutzen können. Die Sicherheitskomponente greift dabei auf das Identitätsmanagement der Hochschule zurück.
Rechte-und Rollen-Konzept
Die Datenlotsen erarbeiten gemeinsam mit den Hochschulen ein klar definiertes Rechte-und-Rollen-Konzept und kooperieren dabei eng mit den Datenschutzbeauftragten der Hochschulen beziehungsweise des Landes. Das Rechte-und-Rollen-System ist dabei individuell für jede Hochschule mit den jeweiligen organisatorischen Strukturen verknüpft.
Lese- und Schreibrechte
Das Rechte-und-Rollen-System gewährleistet, dass bestimmte Daten nur für bestimmte Personen sichtbar sind. So werden beispielsweise den Lehrenden Lese- und Schreibrechte ausschließlich für die jeweils von ihnen betreuten Veranstaltungen gewährt. Sie können den Studienverlauf der Studierenden nicht verfolgen und auch nicht einsehen, wie diese in anderen Veranstaltungen abgeschnitten haben. Einen Überblick über alle Leistungen erhalten nur der Studierende selbst und die Mitarbeiter im zuständigen Prüfungsamt.
Erhöhte Sicherheit durch TAN-Verfahren
Um sich für Prüfungen anzumelden, müssen Studierende in CampusNet in der Regel zusätzlich eine Transaktionsnummer (TAN) verwenden. Die Lese- und Schreibrechte der Mitarbeiter in den Prüfungsämtern sind ebenfalls genau definiert: Sie können so konfiguriert sein, dass bestimmte Mitarbeiter Bewertungen zur Kenntnis nehmen, sie aber nicht verändern dürfen.
Identitätsmanagement
Der Umgang mit Identitäten ist ein wichtiger Bestandteil der Datenlotsen-Lösung zum integrierten Campus Management. In modernen Hochschulinfrastrukturen dürfen Dienste nur unter Berücksichtigung der nachgewiesenen Identität (Authentifizierung) und der Berechtigungsstufe beziehungsweise Rolle (Autorisierung) genutzt werden. Dies gilt für die Campus-Management-Lösung ebenso wie für Webservices oder weitere Anwendungen. Hierzu müssen bestehende Identitätsmanagement-Systeme nahtlos integriert oder neue Systeme aufgebaut werden.
Single Sign-On dank „Claim-Based-Identity“
Eine effiziente und leicht zu verwaltende Möglichkeit der Anbindung bestehender Identitätsmanagement-Systeme bietet die Nutzung des „Claim-Based Identity-Ansatzes“. Hierbei werden Authentifizierung und Autorisierung zentralisiert und in das Identity-Management verlagert. Dienstanbieter akzeptieren lediglich Anfragen, die ein sogenanntes „Security Token“, einen benutzerspezifischen Ausweis, mit sich führen.
So ist es einer Applikation oder einem Dienst möglich, einen rollenbasierten Zugang zu Funktionalitäten zu gewähren. Die gesonderte Authentifizierung in jeder Anwendung ist somit nicht mehr notwendig. Damit wird die Gesamtsicherheit des Systems deutlich erhöht sowie ein Single Sign-On (SSO) oder föderierte SSO-Szenarien realisierbar.
Die Datenlotsen setzten dabei auf etablierten Standards wie WS-Security, WS-Trust und WS-Federation sowie SAML 2.0 und dem SAML-Protokoll auf. Somit ist die Interoperabilität gewährleistet und beispielsweise eine Einbindung von Shibboleth zum Webapplikations-SSO möglich.