Identificatie en authenticatie

LDAP (Lightweight Directory Access Protocol) is een internetstandaard die toegang biedt tot gegevens in verschillende computersystemen en toepassingen. LDAP maakt gebruik van een set protocollen om toegang te krijgen tot gegevensmappen en om gegevens op te halen. Een map of directory is vergelijkbaar met een database, maar bevat gegevens die meer beschrijvend zijn en die op kenmerken zijn gebaseerd. De gegevens in een map worden doorgaans meer gelezen dan weggeschreven of gewijzigd. Een toepassing kan met behulp van LDAP, indien uitgevoerd op het computerplatform van een instelling, gegevens ophalen zoals gebruikersnamen en wachtwoorden.

Door dit type gegevens centraal op te slaan, is er maar één beheerpunt en werkt alles dus eenvoudiger. De gebruikersgegevens bevinden zich op één locatie, waardoor er geen opslag wordt verspild aan dubbele gegevens. Dit betekent weer dat er minder onderhoud nodig is. LDAP-verificatie stelt gebruikers bovendien in staat om met één aanmeldingsnaam en -wachtwoord toegang te krijgen tot verschillende toepassingen.

CAS (Central Authentication Service) is het bekendste SSO-protocol (Single Sign On of eenmalige aanmelding) voor verificatie binnen een organisatie. Het is een gecentraliseerde voorziening die via een webbrowser werkt.

SunGardHE Luminis 5 ondersteunt CAS, waardoor Luminis wordt vereenvoudigd naar Blackboard Eenmalige aanmelding.

Security Assertion Markup Language (SAML) is een op XML gebaseerde gegevensindeling die kan worden gebruikt voor het verifiëren en autoriseren van gebruikers tussen afzonderlijke systemen. SAML wordt vaak gebruikt als Eenmalige aanmelding (SSO) oplossing, ook voor Blackboard. Als SAML correct is geïnstalleerd en geconfigureerd, kunnen Blackboard-gebruikers zich aanmelden met hun gebruikersnaam en wachtwoord van een andere instelling of toepassing. SSO bespaart tijd voor zowel beheerders als gebruikers door een naadloze integratie voor aanmelden te bieden.

Gebruikersgegevens worden via een SAML-bevestiging doorgegeven tussen systemen. De identiteitsprovider is de externe host van het account van de gebruiker en je Blackboard-exemplaar fungeert als de serviceprovider. De identiteitsprovider verzendt kenmerken die Blackboard gebruikt om een account voor de gebruiker te maken of bij te werken. Deze kenmerken kunnen gegevens bevatten zoals de gebruikersnaam, voornaam, achternaam en e-mailadres, en worden verpakt in een beveiligingstoken zoals een SAML-bevestiging. De identiteitsprovider stuurt deze SAML-assertie naar Blackboard wanneer de gebruiker zijn inloggegevens invoert met behulp van single sign-on. Als de gebruikersnaam van de gebruiker niet overeenkomt met de gebruikerskenmerken in het systeem, maakt Blackboard een nieuw account met de gebruikerskenmerken in de SAML-assertie.

Blackboard wordt geleverd met een interne authenticator. Deze voorziening wordt vaak gebruikt door instellingen die niet volledig zijn geïntegreerd met een externe verificatieprovider, zoals LDAP, of als een secundaire verificatieprovider voor externe gebruikers zoals gastdocenten of familieleden.

Wachtwoorden van gebruikers worden standaard opgeslagen met behulp van de 'salted' SHA-512-standaard uit de SHA-2-familie, zoals gedefinieerd in de speciale publicatie 180-4 Secure Hash Standard van het National Institute for Standards and Technology (NIST). Blackboard Learn voegt de aanbevolen procedure van 'salting' toe via een beveiligde willekeurige seed van HMAC-SHA-512. 'Salting' is belangrijk omdat deze techniek ervoor zorgt dat er meer rekencapaciteit nodig is voor het kraken van een wachtwoord, in het geval dat hashes van gebruikerswachtwoorden in handen vallen van kwaadwillende personen.

Verificatiepogingen worden vastgelegd in een gestandaardiseerd beveiligingslogboek. Configuraties van schema's voor wachtwoordopslag en migraties van gebruikerswachtwoorden naar een nieuw schema voor wachtwoordopslag worden ook vastgelegd in het gestandaardiseerde beveiligingslogboek.