KAMPUS DIŞI ERİŞİM YÖNETİM SİSTEMLERİ

Belgin Çetin Gülercan

Yusuf Yalçın

İbrahim Gençbüyür

Kampus dışı erişim sistemi nedir? Neden ihtiyaç duyulur?

Bilgi çağının gereği olan ‘online’ bilgiye erişim;

– Hizmeti sunan firmalar/aracı kurumlar için güvenli kısıtlı erişimin sağlanması

– Hizmetten yararlanmak isteyen kurumlar için de kullanıcının hızlı, ortam bağımsız ve internet ortamında kişi özerkliğinin korunmasını

Ve bütün bu ihtiyaçların hepsine karşılık verebilecek çözümlerin geliştirilmesini zorunlu hale getirmiştir.

Mevcut kampus dışı erişim sistemleri

– ‘IP address validation ‘ iki sistem arasındaki en basit yöntemdir. Uzak sistem/lisanslı web içerik erişim isteyen kurumun sağladığı IP bilgilerini karşılaştırır ve onay verir veya vermez.

Avantajı: İşletimi kolay

Dezavantajı: Kampüs dışı erişimler için uygun değildir. IP adresi sistemler arasında taşındığı için kişi özerkliği için uygun değildir.

Kampus PC’si Kampus network Intern

et

Hizmet veren aracı kurum/uzak sistem sunucusu

Mevcut kampus dışı erişim sistemleri

Kullanıcısının kampus dışı ortamlardan da erişim gereksinimi , bu yöntemin yerine uzak erişimlerde ‘proxy sunucu’ nun kullanımını gerektirmiştir.

Proxy sunucu genel olarak, web sunucular ve kullanıcı arasında duran ve kullanıcının isteğini alarak bunu sunucuya ulaştıran servisler olarak tanımlanabilir.

Kullanım Alanları:

» İnternet hızının korunması

» Kullanıcının belirli sayfalara erişim kısıtlamaları

» Erişim istatistikleri alabilmek

» Lisanslı sistemlere erişim servisi

Mevcut kampus dışı erişim sistemleri

İş akışı :

Proxy sunucu hizmet talep eden kurumun (üniversitenin) bünyesinde bulunan bir sunucudur . Uzak sisteme erişim isteyen kullanıcı proxy sunucu üzerinden geçerek lisanslı veritabanlarına erişim sağlar. Bu aracılık kullanıcıya kampus dışında da istediği ortamdan erişim imkanı sunar (Proxy kullanıcıyı sanki kampus ‘den bağlanıyor gibi davrandırır). Bu yöntemin temeli de IP bazlı doğrulamaya dayanır ve uzak sistem IP’yi doğrularsa erişim hakkı verir veya vermez.

•Kampus dışı kullanıcı gerekli browser ayarlamaları yapılmış (bazı ticari yazılımlarda buna gerek yoktur) PC’sinden erişmek istediği lisanslı kaynağı seçer•Kullanıcıya kullanıcı bilgileri sorulur (username/password) sorulur. Kişi kurum kullanıcısı olduğunu onaylatır bu aşamaya authentication/doğrulama diyoruz. •Doğru bilgileri girmiş ise Proxy sunucu tarafından kabul edilir.•Ve artık sistem kullanıcıyı kampus içinden geliyormuş gibi algıladığı için IP doğrulamasına uyan kaynaklara erişim sağlanabilir

Herhangi bir yerden erişim isteyen kurum kullanıcısı

Kampus Proxy sunucusu

Internet Hizmet veren aracı kurum/uzak sistem sunucusu

Mevcut kampus dışı erişim sistemleriÖzelliklerine göre Proxy sunucular;

Transparent Proxy sunucular:

Transparent(seffaf, saydam) proxy kullanıcıdan gelen istekleri bir proxy aracılığı ile yöneten servistir. Kısacası kullanıcıdan habersiz kullanıcı ile orjinal sunucu arasına girmektir.

Kullanıcı----->Seffaf_proxy----->orjinal_web_sunucu Örnek ürünler;

•Apache •Squid •Microsoft ISA sunucu•Delegate

Avantaj, dezavantajları :

•Programlanması ‘Rewriting Proxy’ çözümlerinden daha kolay•Kullanıcını browser’ı üzerinde konfigurasyon yapmasını gerektirir.•Kampus dışı bağlantılarda bazı ticari servis sağlayıcılar ile çalışmayabilir.

Mevcut kampus dışı erişim sistemleri

Rewriting Proxy Sunucular:

Sunucu lisanslı veritabanından URL bilgisini alır, kendisi web sunucu gibi davranarak , kullanıcının PC’si üzerinde herhangi bir konfigurasyon yapmasına gerek kalmadan içerikten yararlanmasını sağlar.

Örnek ürünler;

•EZproxy •Libproxy•Obvia•Web Access Management

Avantaj, dezavantajları :

•Kullanıcı browser’ında konfigürasyon ayarları yapmaya gerek yoktur ve firewall üzerinden gelen browser’larda da başarılı çalışır.•Kurulumu kolaydır.•Eklenen her kaynak için IP bilgileri eklenmesi gibi bakım ve yönetimi gerekir.

Mevcut kampus dışı erişim sistemleri

Temin edilebilirliklerine göre Proxy sunucular;

•Açık kaynak kodlu sunucular: Açık kaynak kodlu yazılımlar , temin edilmesi ücretsiz kurulumun ve geliştirilmenin kurum tarafından yapıldığı yazılımlardır;

– Apache (ek kod yazılarak rewriting özelliği verilebilir)– Squid (ek kod yazılarak rewriting özelliği verilebilir)– Libproxy– Delegate

•Ticari Proxy sunucular :

– Microsoft ISA server– Winproxy– EZproxy– Web Access Management(WAM) from Innovative Interfaces

Mevcut kampus dışı erişim sistemleri

Proxy sunucuların kullanım amaçları ve tercih edilen servisler :

(68 akademik, 10 halk kütüphanesinde yapılan anket çalışması)

Proxy sunucuların uzak erişim amaçlı kullanımı:

YAZILIM KULLANIM SAYISI

EZproxy 29

Web Access Management 14

Squid 9

Apache 6

Microsoft Proxy 4

Netscape Proxy 3

Delegate 1

Mevcut kampus dışı erişim sistemleri

Proxy sunucuların kullanım amaçları ve tercih edilen servisler :

(68 akademik, 10 halk kütüphanesinde yapılan anket çalışması)

Proxy sunucuların istatistik amaçlı kullanımı:

YAZILIM KULLANIM SAYISI

Microsoft Proxy 5

EZproxy 2

Squid 2

Netscape Proxy 1

Mevcut kampus dışı erişim sistemleri(Gelecek Çözümler)

Gelecek Çözümler : Son zamanlarda kişi özerkliğinin ön plana çıkması ile VPN (Virtual Private Network) , Federated Authentication olarak anılan (Shibboleth, A-select, PAPI, Tequila, WS-Federation, Liberty alliance project) gibi sistemlerden bahsedilmeye başlanmıştır.

VPN (Virtual Private Network) – Sanal özel ağ anlamına gelen güvenli ağ erişim yöntemidir. Sistemler arasında network üzerinden veri transferini gerçekleştirmeyi amaçlar ve güvenli bağlantı ile kampus içi olanaklara, kampus dışından erişim sağlanır.

Avantaj ve dezavantajları:

•En önemli avantajı erişimde güvenliktir•Kurulumu ve yönetimi network mühendisliği gerektirdiği için gerekli teknik bilgi ve deneyime sahip olmayı gerektirir •Kişi başına lisans ödendiği için maliyeti yüksek•Kullanıcının PC’si üzerinde bir takım ayarlar yapması gerekir•Bahsedilen dezavantajlar yüzünden uzak erişim sistemi olarak kullanımı oldukça düşüktür.

Mevcut uzak erişim sistemleri(Gelecek Çözümler)

Gelecek çözümler olarak adlandırılan Shibboleth gibi sistemlerin işletim felsefesi ‘commumity’ olarak adlandırılan gruplara üyelik sistemi üzerine kurulmuştur. Grup üyeleri aracı kurumlar, yayıncılar ve üniversitelerden oluşur. Sistemi kullanabilmek için kurumlar aralarında karşılıklı sözleşmeler imzalarlar.

Mevcut kampus dışı erişim sistemleri(Gelecek Çözümler)

Shibboleth :

Shibboleth uzak erişim yönetim sistemlerinde yeni bir yaklaşım olması ve eğitim sektöründe birçok kurum tarafından tercih edilirliği sebebiyle detaylı olarak incelenmiştir.

Shibboleth (Tanım)

Internet2 konsorsiyum tarafından geliştirilmiştir.

Internet2 amerika’da 208 akademik üniversitenin bir araya gelerek,  eğitim sektöründeki network uygulama ve teknolojilerini geliştirmeyi hedeflemektedir.

Shibboleth proxy kullanmaya gerek duymadan lisanslı e-içeriklere erişimde yeni bir yapı getirmiş ve sistemler arasındaki erişim doğrulaması attribute ‘lar ile sağlanır hale gelmiştir.

Ücretsiz olarak faydalanılabilir, geliştirilebilir açık kaynak kodlu ve açık standart tabanlı bir yazılımdır.

Partner'ları Cisco Systems, Comcast, Intel, Sum Microsystems dır.

Shibboleth (Kavramlar)

Shibboleth bir XML standardı olan SAML teknolojisini kullanarak attribute ve authentication/authorization bilgilerinin kişi özerkliğini (user privacy) koruyarak web üzerinden sistemler arasında güvenli geçişini kontrol eder.

Sistemler;

Attribute: uzak sistemlere erişmek istiyen kullanıcıların özelliklerini belirten kriterlerdir ( faculty member, employee, ID etc.) uzak sistemin gereksinim duyduğu kriterleri karşılayan kullanıcının lisanslı e-içeriklere erişimi sağlanyabilir.

XML: web standart’dıdır , bilgiler web ortamında sistemler arasında rahatça transfer olabilir ve digital ortamdaki kaynağın yönetimine olanak verir.

Authentication : Kullanıcının kendisini kurum personeli olduğunu doğrulamasını yapmasını sağlayan servis. Yaygın kullanılan ticari ürün LDAP etc.

Authorization: Kullanıcısının güvenlik gerektiren alanlara erişim hakkını denetlemeye yarayan sistemlerdir.

SAML – Security Assertion Markup Language

Identity Provider – e-içeriklere erişmek istiyen kurumlar

Service Provider – Yayıcılar ,e-içerik sağlayıcılar

Attribute

Trust relationship

Shibboleth (Attribute)

Web üzerinden lisanslı içeriğe erişmek isteyen kullanıcının erişimini doğrulamak için uzak sistem(service provider) birtakım krtiterleri (attribute’leri) sorgulamak ister ve bu isteği kullanıcı kurum sunucusundaki (identity provider) bu iş için özel ayrılmış sunucuya(AA-Attribute authority) iletir. AA ‘dan geri dönen yanıtlara göre kullanıcıyı kabul eder ve etmez.

Shibboleth (İş akış çizelgesi)

Identity Provider – e-içerik’lere erişmek istiyen kurumlar

Attribute Authority(AA)

Service Provider – Yayıcılar ,e-içerik sağlayıcılar

user PC

WWW

1

2

3

Kurum authentication sistemleriLDAP v.s.

4

56 7

8

WAYF

1. Kullanıcı ‘service provider’ ın sayfasına web üzerinden erişmek ister2. ‘service provider’ kullanıcıdan kendisini doğrulamasını ister ve bu istek WAYF(Where are you

from)sunucusundan ‘Identity Provider’ web sunucusuna yönlendirilir.3. WAYF sunucu kullanıcı ekranında, kullanıcının hangi ‘Identity provider’ dan geldiğini sorar(yani

kurum adını sorar)4. Kullanıcı kendisini kurumundaki mevcut doğrulama sistemini kullarak

tanıtır.Örn:LDAP(username/password)5. Bu tanımlar ‘service provider’ sunucusuna erişir6. Buna ek olarak ‘service provider’ kişiyi doğrulamadan önce bir takım attribute bilgilerini

AA(Attribute Authority)sunucudan ister 7. Toplu attribute veritabanından ‘service Provider’ın istediği kadar bilgi geri döner8. ‘service provider’ bu bilgilere göre kullanıcının web sayfasına erişimi onaylar veya onaylamaz

Shibboleth (Özellikler )

Shibboleth’i klasik uzak erişim sistemlerinden ayıran en önemli özelliği ;

• Klasik IP tanlamasından çok daha esnek bir yapısının olması, yani tanımlama artık PC bazlı değil, aralarında ‘trust relationship’ anlaşması olan sistemler temellidir.

(Hangi IP’den geldiğinizin önemi yok. Kendinizi tanımladığınız heryerden erişminiz mümkün. )

• Erişim isteyen Kullanıcı kendisini kurum network’ü içinde ‘authenticate’ eder. Uzak sistemler üzerinde değil.

• SSO(single sign on ) dur ; kendinizi kendi kurum authentication(LDAP) sisteminde bir kere tanımlamanız yeterli.

(Artık sistem size gereksiz login ekranları getirmez.)

• Sistem IP doğrulamalı çalışmadığı için , erişmek istediğiniz sistem size ‘attribute’ olarak adlandırılan ek bilgiler sorar, gerekli biligilerin neler olacağı kurumunuz ve uzak siste arasındaki anlaşma ile önceden belirlenmiştir.

Attribute-Based Authorization

Shibboleth (Özellikler)

Shibboleth’i klasik uzak erişim sistemlerinden ayıran en önemli özelliği ;

• Kişi özerkliği ve güvenlik olarak diğer sistemlerden üstündür.

• Standart tabanlı sistemdir(Internet2 Middleware Initiative).

Shibboleth (Avantaj-Dezavantaj)

Avantajları:

Ücretsiz, geliştirilebilir, kullanımı ve uygulanması kolay (iyi dokümante edilmiştir)

Kullanıcının gereksiz login bilgileri hatırlamasına gerek yok

Kişi bilgileri kullanıcı network alanında kalır. Uzak sistemlerin doğrulama yapabilmesi için bu bilgilerin internet ortamında gezinmesi engellenmiş olur

Dezavantajları :

Şu an sadece web uygulamalarında çalışabiliyor

Kendi içinde bir authentication sistemi yok. Kurumlar kendi sistemlerini kullanıyorlar (LDAP gibi)

İşletimi için yeterli teknik donanımı olan kişiye ihtiyaç duyar

Şu an yeterince e-erişim sağlayan firma bu sistemi kabul etmiş durumda değil (Shibboleth-enable) bu da sistemin etkin kullanılmasını engelliyor

Shibboleth (Shibboleth community)

• Sistemi kullanabilmek için shibboleth topluluğuna üye olmak gerekir • Topluluk yayıncılar, aracı kurumlar, üniversitelerden oluşur

• Üyeler aralarında ‘trust relationship’ anlaşmaları yaparlar ve bu prosedüre göre kullanıcılarının erişim hakları oluşur

• Uluslararası bir çok federasyon vardır.

– Australia – Denmark – Finland - HAKA – France - CRU – Norway - FEIDE (SAML based) – Switzerland - SWITCH – UK - SDSS (test) – UK - (production) – US - InCommon

Shibboleth (InCommon topluluğu katılımcı üniversiteler)

Shibboleth (Shibboleth community)

Abone Olduğunu Elektronik Kaynaklara Kampus Dışı Erişim

İmkanı Var mı?

Sıklık Yüzde Toplam

Evet 44 63,8 63,8

Hayır 25 36,2 100

Toplam 69 100

Uzaktan erişim için kullandığınız Proxy yazımını belirtiniz

12 2

3

67

23

2,3

4,5 4,5

6,8

13,6

15,9

52,3

0

10

20

30

40

50

60

Netscape Proxy   Apache EZproxy Web AccessManagement  

Diğer Microsoft Proxy   Squid

Sıklık

Yüzde

Uzaktan erişim için kullandığınız Proxy yazımını belirtiniz (Diğer)

• Donanımsal Proxy• MICROSOFT ISA• Proxy-rewrite• proxy kullanmıyoruz. VPN YOLUYLA ERİŞİM

MEVCUT• Proxy Plus• Free Proxy

Kullandığınız Proxy Sunucuyu Tercih Etme Gerekçeniz Nedir

1

2

4

6

7

10

2,3

13,6

9,1

4,5

22,7

15,9

0

5

10

15

20

25

Kampüs dışı erişimiçin yaygın kullanılan

bir üründü  

Kurulumu ve yönetimikolaydı  

Diger Mevcut kütüphaneyazılımının bir parçası

idi  

Ücretsiz olarak teminetmek kurum için

avantajdı  

Kullanıcının w ebbrow ser üzerindekiayarlarında değişiklik

yapmasına gerekkalmadan ürünü

kullanması 

Sıklık

Yüzde

Kullandığınız Kampus Dışı Erişimler Yöntemleri Dışında , Günümüz Eğitim Sektöründe Uzak

Erişim Sistemi Olarak Kullanılan Yeni

Çözümlerden Haberdar Mısınız? (VPN)

Sıklık Yüzde Toplam

Evet 32 72,7 72,7

Hayır 12 17,4 100

Toplam 44 100

ATHENS

Sıklık Yüzde Toplam

Evet 21 47,7 47,7

Hayır 23 52,3 100

Toplam 44 25

SHIBBOLETH

Sıklık Yüzde Toplam

Evet 14 31,8 31,8

Hayır 30 43,5 100

Toplam 44 100