Zefektivnění procesů pomocí vyššího zabezpečení
Jihočeská univerzita v Českých Budějovicích patří mezi deset největších vysokých škol v České republice. Studuje zde přes 10 000 studentů a každý rok nastupují tisíce nových. Univerzita celkově spravuje více než 15 000 aktivních digitálních identit. Pro jejich správu využívá IDM řešení od společnosti Orchitech postavené na open-source platformě Wren:IDM. V rámci tohoto systému bylo potřeba najít způsob, jak zefektivnit a zároveň lépe zabezpečit proces nastavení a resetu hesla. Řešením se stalo napojení IDM na NIA a Bank iD.
Výchozí situace
Specifikem univerzitního prostředí je každoroční přírůstek velkého množství nových identit. To klade vysoké nároky na správu uživatelských účtů a hesel. Jedním ze základních problémů je, jak novým studentům bezpečně doručit iniciální hesla.
V původním procesu správy hesel bylo několik oblastí, které vyžadovaly pozornost:
- Slabá iniciální hesla – z důvodu obtížného doručení byla generována z osobních údajů a při prvním přihlášení si musel student iniciální heslo změnit.
- Časová náročnost – při zapomenutí hesla musel uživatel kontaktovat administrátora (osobně, telefonicky nebo přes Service Desk), který následně heslo ručně resetoval do iniciálního tvaru.
- Omezená možnost ověření totožnosti – pokud se uživatel nedostavil osobně, nebylo možné jeho identitu spolehlivě ověřit.
Řešení
Po zvážení různých možností se Orchitech ve spolupráci s Jihočeskou univerzitou rozhodl využít ověření totožnosti pomocí NIA a Bank iD. Cílem bylo umožnit uživatelům bezpečný a plně automatizovaný proces nastavení a resetu hesla.
Výsledkem bylo zavedení self-service resetu hesla s ověřením přes NIA nebo Bank iD, které vytvářejí federativní prostředí propojující poskytovatele služeb (SP/RP) a poskytovatele identit (IdP).
Do IDM byla začleněna autentizační brána:
- Integrace s NIA probíhá přes protokol SAML 2.0, univerzitní IDM vystupuje v roli Service Provider (SP).
- Integrace s Bank iD probíhá přes OpenID Connect, IDM v tomto případě funguje jako Relying Party (RP).
Po úspěšné autentizaci jsou do IDM předány vyžádané údaje a dochází ke ztotožnění uživatele, tedy dohledání jeho identity v systému.
Průběh resetu hesla z pohledu uživatele
- Uživatel na přihlašovací stránce zvolí „Zapomenuté heslo“.
- Vybere způsob ověření (NIA nebo Bank iD).
- Po úspěšné autentizaci je přesměrován zpět do IDM a nastaví si nové heslo.
Přínosy pro univerzitu
- Výrazné snížení zátěže administrátorů – ručně se řeší jen výjimečné případy.
- Rychlost a komfort pro uživatele – reset hesla probíhá okamžitě, bez čekání.
- Zvýšení bezpečnosti – odstranění odhadnutelných hesel odvozených z osobních údajů, využití silné autentizace díky důvěryhodnému ověření identity.
Díky zavedení self-service resetu hesla s ověřením přes NIA / Bank iD univerzita dosáhla vyšší bezpečnosti, efektivnější IT podpory a lepší uživatelské zkušenosti.
