KAMPUS DIŞI ERİŞİM YÖNETİM SİSTEMLERİ Belgin Çetin Gülercan Yusuf Yalçın İbrahim Gençbüyür

Kampus dışı erişim sistemi nedir? Neden ihtiyaç duyulur? Bilgi çağının gereği olan ‘online’ bilgiye erişim; Hizmeti sunan firmalar/aracı kurumlar için güvenli kısıtlı erişimin sağlanması Hizmetten yararlanmak isteyen kurumlar için de kullanıcının hızlı, ortam bağımsız ve internet ortamında kişi özerkliğinin korunmasını Ve bütün bu ihtiyaçların hepsine karşılık verebilecek çözümlerin geliştirilmesini zorunlu hale getirmiştir.

Mevcut kampus dışı erişim sistemleri ‘IP address validation ‘ iki sistem arasındaki en basit yöntemdir. Uzak sistem/lisanslı web içerik erişim isteyen kurumun sağladığı IP bilgilerini karşılaştırır ve onay verir veya vermez. Avantajı: İşletimi kolay Dezavantajı: Kampüs dışı erişimler için uygun değildir. IP adresi sistemler arasında taşındığı için kişi özerkliği için uygun değildir. Kampus PC’si Kampus network Internet Hizmet veren aracı kurum/uzak sistem sunucusu

Mevcut kampus dışı erişim sistemleri Kullanıcısının kampus dışı ortamlardan da erişim gereksinimi , bu yöntemin yerine uzak erişimlerde ‘proxy sunucu’ nun kullanımını gerektirmiştir. Proxy sunucu genel olarak, web sunucular ve kullanıcı arasında duran ve kullanıcının isteğini alarak bunu sunucuya ulaştıran servisler olarak tanımlanabilir. Kullanım Alanları: İnternet hızının korunması Kullanıcının belirli sayfalara erişim kısıtlamaları Erişim istatistikleri alabilmek Lisanslı sistemlere erişim servisi

Mevcut kampus dışı erişim sistemleri İş akışı : Proxy sunucu hizmet talep eden kurumun (üniversitenin) bünyesinde bulunan bir sunucudur . Uzak sisteme erişim isteyen kullanıcı proxy sunucu üzerinden geçerek lisanslı veritabanlarına erişim sağlar. Bu aracılık kullanıcıya kampus dışında da istediği ortamdan erişim imkanı sunar (Proxy kullanıcıyı sanki kampus ‘den bağlanıyor gibi davrandırır). Bu yöntemin temeli de IP bazlı doğrulamaya dayanır ve uzak sistem IP’yi doğrularsa erişim hakkı verir veya vermez. Kampus dışı kullanıcı gerekli browser ayarlamaları yapılmış (bazı ticari yazılımlarda buna gerek yoktur) PC’sinden erişmek istediği lisanslı kaynağı seçer Kullanıcıya kullanıcı bilgileri sorulur (username/password) sorulur. Kişi kurum kullanıcısı olduğunu onaylatır bu aşamaya authentication/doğrulama diyoruz. Doğru bilgileri girmiş ise Proxy sunucu tarafından kabul edilir. Ve artık sistem kullanıcıyı kampus içinden geliyormuş gibi algıladığı için IP doğrulamasına uyan kaynaklara erişim sağlanabilir Herhangi bir yerden erişim isteyen kurum kullanıcısı Kampus Proxy sunucusu Internet Hizmet veren aracı kurum/uzak sistem sunucusu

Mevcut kampus dışı erişim sistemleri Özelliklerine göre Proxy sunucular; Transparent Proxy sunucular: Transparent(seffaf, saydam) proxy kullanıcıdan gelen istekleri bir proxy aracılığı ile yöneten servistir. Kısacası kullanıcıdan habersiz kullanıcı ile orjinal sunucu arasına girmektir. Kullanıcı----->Seffaf_proxy----->orjinal_web_sunucu Örnek ürünler; Apache Squid Microsoft ISA sunucu Delegate Avantaj, dezavantajları : Programlanması ‘Rewriting Proxy’ çözümlerinden daha kolay Kullanıcını browser’ı üzerinde konfigurasyon yapmasını gerektirir. Kampus dışı bağlantılarda bazı ticari servis sağlayıcılar ile çalışmayabilir.

Mevcut kampus dışı erişim sistemleri Rewriting Proxy Sunucular: Sunucu lisanslı veritabanından URL bilgisini alır, kendisi web sunucu gibi davranarak , kullanıcının PC’si üzerinde herhangi bir konfigurasyon yapmasına gerek kalmadan içerikten yararlanmasını sağlar. Örnek ürünler; EZproxy Libproxy Obvia Web Access Management Avantaj, dezavantajları : Kullanıcı browser’ında konfigürasyon ayarları yapmaya gerek yoktur ve firewall üzerinden gelen browser’larda da başarılı çalışır. Kurulumu kolaydır. Eklenen her kaynak için IP bilgileri eklenmesi gibi bakım ve yönetimi gerekir.

Mevcut kampus dışı erişim sistemleri Temin edilebilirliklerine göre Proxy sunucular; Açık kaynak kodlu sunucular: Açık kaynak kodlu yazılımlar , temin edilmesi ücretsiz kurulumun ve geliştirilmenin kurum tarafından yapıldığı yazılımlardır; Apache (ek kod yazılarak rewriting özelliği verilebilir) Squid (ek kod yazılarak rewriting özelliği verilebilir) Libproxy Delegate Ticari Proxy sunucular : Microsoft ISA server Winproxy EZproxy Web Access Management(WAM) from Innovative Interfaces

Mevcut kampus dışı erişim sistemleri Proxy sunucuların kullanım amaçları ve tercih edilen servisler : (68 akademik, 10 halk kütüphanesinde yapılan anket çalışması) Proxy sunucuların uzak erişim amaçlı kullanımı: YAZILIM KULLANIM SAYISI EZproxy 29 Web Access Management 14 Squid 9 Apache 6 Microsoft Proxy 4 Netscape Proxy 3 Delegate 1

Mevcut kampus dışı erişim sistemleri Proxy sunucuların kullanım amaçları ve tercih edilen servisler : (68 akademik, 10 halk kütüphanesinde yapılan anket çalışması) Proxy sunucuların istatistik amaçlı kullanımı: YAZILIM KULLANIM SAYISI Microsoft Proxy 5 EZproxy 2 Squid 2 Netscape Proxy 1

Mevcut kampus dışı erişim sistemleri(Gelecek Çözümler) Gelecek Çözümler : Son zamanlarda kişi özerkliğinin ön plana çıkması ile VPN (Virtual Private Network) , Federated Authentication olarak anılan (Shibboleth, A-select, PAPI, Tequila, WS-Federation, Liberty alliance project) gibi sistemlerden bahsedilmeye başlanmıştır. VPN (Virtual Private Network) – Sanal özel ağ anlamına gelen güvenli ağ erişim yöntemidir. Sistemler arasında network üzerinden veri transferini gerçekleştirmeyi amaçlar ve güvenli bağlantı ile kampus içi olanaklara, kampus dışından erişim sağlanır. Avantaj ve dezavantajları: En önemli avantajı erişimde güvenliktir Kurulumu ve yönetimi network mühendisliği gerektirdiği için gerekli teknik bilgi ve deneyime sahip olmayı gerektirir Kişi başına lisans ödendiği için maliyeti yüksek Kullanıcının PC’si üzerinde bir takım ayarlar yapması gerekir Bahsedilen dezavantajlar yüzünden uzak erişim sistemi olarak kullanımı oldukça düşüktür.

Mevcut uzak erişim sistemleri (Gelecek Çözümler) Gelecek çözümler olarak adlandırılan Shibboleth gibi sistemlerin işletim felsefesi ‘commumity’ olarak adlandırılan gruplara üyelik sistemi üzerine kurulmuştur. Grup üyeleri aracı kurumlar, yayıncılar ve üniversitelerden oluşur. Sistemi kullanabilmek için kurumlar aralarında karşılıklı sözleşmeler imzalarlar.

Mevcut kampus dışı erişim sistemleri (Gelecek Çözümler) Shibboleth : Shibboleth uzak erişim yönetim sistemlerinde yeni bir yaklaşım olması ve eğitim sektöründe birçok kurum tarafından tercih edilirliği sebebiyle detaylı olarak incelenmiştir.

Shibboleth (Tanım) Internet2 konsorsiyum tarafından geliştirilmiştir. Internet2 amerika’da 208 akademik üniversitenin bir araya gelerek,  eğitim sektöründeki network uygulama ve teknolojilerini geliştirmeyi hedeflemektedir. Shibboleth proxy kullanmaya gerek duymadan lisanslı e-içeriklere erişimde yeni bir yapı getirmiş ve sistemler arasındaki erişim doğrulaması attribute ‘lar ile sağlanır hale gelmiştir. Ücretsiz olarak faydalanılabilir, geliştirilebilir açık kaynak kodlu ve açık standart tabanlı bir yazılımdır. Partner'ları Cisco Systems, Comcast, Intel, Sum Microsystems dır. nolo

Shibboleth (Kavramlar) Shibboleth bir XML standardı olan SAML teknolojisini kullanarak attribute ve authentication/authorization bilgilerinin kişi özerkliğini (user privacy) koruyarak web üzerinden sistemler arasında güvenli geçişini kontrol eder. Sistemler; Attribute: uzak sistemlere erişmek istiyen kullanıcıların özelliklerini belirten kriterlerdir ( faculty member, employee, ID etc.) uzak sistemin gereksinim duyduğu kriterleri karşılayan kullanıcının lisanslı e-içeriklere erişimi sağlanyabilir. XML: web standart’dıdır , bilgiler web ortamında sistemler arasında rahatça transfer olabilir ve digital ortamdaki kaynağın yönetimine olanak verir. Authentication : Kullanıcının kendisini kurum personeli olduğunu doğrulamasını yapmasını sağlayan servis. Yaygın kullanılan ticari ürün LDAP etc. Authorization: Kullanıcısının güvenlik gerektiren alanlara erişim hakkını denetlemeye yarayan sistemlerdir. SAML – Security Assertion Markup Language Identity Provider – e-içeriklere erişmek istiyen kurumlar Service Provider – Yayıcılar ,e-içerik sağlayıcılar Attribute Trust relationship

Shibboleth (Attribute) Web üzerinden lisanslı içeriğe erişmek isteyen kullanıcının erişimini doğrulamak için uzak sistem(service provider) birtakım krtiterleri (attribute’leri) sorgulamak ister ve bu isteği kullanıcı kurum sunucusundaki (identity provider) bu iş için özel ayrılmış sunucuya(AA-Attribute authority) iletir. AA ‘dan geri dönen yanıtlara göre kullanıcıyı kabul eder ve etmez.

Shibboleth (İş akış çizelgesi) Identity Provider – e-içerik’lere erişmek istiyen kurumlar Attribute Authority(AA) Service Provider – Yayıcılar ,e-içerik sağlayıcılar user PC WWW 1 2 3 Kurum authentication sistemleri LDAP v.s. 4 5 6 7 8 WAYF Kullanıcı ‘service provider’ ın sayfasına web üzerinden erişmek ister ‘service provider’ kullanıcıdan kendisini doğrulamasını ister ve bu istek WAYF(Where are you from)sunucusundan ‘Identity Provider’ web sunucusuna yönlendirilir. WAYF sunucu kullanıcı ekranında, kullanıcının hangi ‘Identity provider’ dan geldiğini sorar(yani kurum adını sorar) Kullanıcı kendisini kurumundaki mevcut doğrulama sistemini kullarak tanıtır.Örn:LDAP(username/password) Bu tanımlar ‘service provider’ sunucusuna erişir Buna ek olarak ‘service provider’ kişiyi doğrulamadan önce bir takım attribute bilgilerini AA(Attribute Authority)sunucudan ister Toplu attribute veritabanından ‘service Provider’ın istediği kadar bilgi geri döner ‘service provider’ bu bilgilere göre kullanıcının web sayfasına erişimi onaylar veya onaylamaz

Shibboleth (Özellikler ) Shibboleth’i klasik uzak erişim sistemlerinden ayıran en önemli özelliği ; Klasik IP tanlamasından çok daha esnek bir yapısının olması, yani tanımlama artık PC bazlı değil, aralarında ‘trust relationship’ anlaşması olan sistemler temellidir. (Hangi IP’den geldiğinizin önemi yok. Kendinizi tanımladığınız heryerden erişminiz mümkün. ) Erişim isteyen Kullanıcı kendisini kurum network’ü içinde ‘authenticate’ eder. Uzak sistemler üzerinde değil. SSO(single sign on ) dur ; kendinizi kendi kurum authentication(LDAP) sisteminde bir kere tanımlamanız yeterli. (Artık sistem size gereksiz login ekranları getirmez.) Sistem IP doğrulamalı çalışmadığı için , erişmek istediğiniz sistem size ‘attribute’ olarak adlandırılan ek bilgiler sorar, gerekli biligilerin neler olacağı kurumunuz ve uzak siste arasındaki anlaşma ile önceden belirlenmiştir. Attribute-Based Authorization

Shibboleth (Özellikler) Shibboleth’i klasik uzak erişim sistemlerinden ayıran en önemli özelliği ; Kişi özerkliği ve güvenlik olarak diğer sistemlerden üstündür. Standart tabanlı sistemdir(Internet2 Middleware Initiative).

Shibboleth (Avantaj-Dezavantaj) Avantajları: Ücretsiz, geliştirilebilir, kullanımı ve uygulanması kolay (iyi dokümante edilmiştir) Kullanıcının gereksiz login bilgileri hatırlamasına gerek yok Kişi bilgileri kullanıcı network alanında kalır. Uzak sistemlerin doğrulama yapabilmesi için bu bilgilerin internet ortamında gezinmesi engellenmiş olur Dezavantajları : Şu an sadece web uygulamalarında çalışabiliyor Kendi içinde bir authentication sistemi yok. Kurumlar kendi sistemlerini kullanıyorlar (LDAP gibi) İşletimi için yeterli teknik donanımı olan kişiye ihtiyaç duyar Şu an yeterince e-erişim sağlayan firma bu sistemi kabul etmiş durumda değil (Shibboleth-enable) bu da sistemin etkin kullanılmasını engelliyor

Shibboleth (Shibboleth community) Sistemi kullanabilmek için shibboleth topluluğuna üye olmak gerekir Topluluk yayıncılar, aracı kurumlar, üniversitelerden oluşur Üyeler aralarında ‘trust relationship’ anlaşmaları yaparlar ve bu prosedüre göre kullanıcılarının erişim hakları oluşur Uluslararası bir çok federasyon vardır. Australia Denmark Finland - HAKA France - CRU Norway - FEIDE (SAML based) Switzerland - SWITCH UK - SDSS (test) UK - (production) US - InCommon

Shibboleth (InCommon topluluğu katılımcı üniversiteler)

Shibboleth (Shibboleth community)

Abone Olduğunu Elektronik Kaynaklara Kampus Dışı Erişim İmkanı Var mı? Sıklık Yüzde Toplam Evet 44 63,8 Hayır 25 36,2 100 69

Uzaktan erişim için kullandığınız Proxy yazımını belirtiniz

Uzaktan erişim için kullandığınız Proxy yazımını belirtiniz (Diğer) Donanımsal Proxy MICROSOFT ISA Proxy-rewrite proxy kullanmıyoruz. VPN YOLUYLA ERİŞİM MEVCUT Proxy Plus Free Proxy

Kullandığınız Proxy Sunucuyu Tercih Etme Gerekçeniz Nedir

Kullandığınız Kampus Dışı Erişimler Yöntemleri Dışında , Günümüz Eğitim Sektöründe Uzak Erişim Sistemi Olarak Kullanılan Yeni Çözümlerden Haberdar Mısınız? (VPN) Sıklık Yüzde Toplam Evet 32 72,7 Hayır 12 17,4 100 44

ATHENS Sıklık Yüzde Toplam Evet 21 47,7 Hayır 23 52,3 100 44 25

SHIBBOLETH Sıklık Yüzde Toplam Evet 14 31,8 Hayır 30 43,5 100 44