Open-Source-Migration der Monopolkommission
Beispiel einer Migration von Windows 2000 auf Open-Source-Software.
Für die Mitarbeiter der Monopolkommission ist als Regelfall das Arbeiten im Netzwerk der Monopolkommission vorgesehen. Für diesen Fall sind alle Dienste und Applikationen für die Mitarbeiter zugänglich. Der Benutzer authentifiziert sich mit Chipkarte und Fingerabdruck. Die Integration der Chipkarte in das System erfolgt über eine PAM (Pluggable Authentification Module)-Schnittstelle, so dass die Authentifizierung für den Displaymanager (der verantwortlich für den Anmeldebildschirm ist) und auch für die Bildschirmschoner zur Verfügung steht. Nach Einschub der Chipkarte werden die verschlüsselten Biometriedaten vom Server geladen und mittels Fingerprintschlüssel entschlüsselt. Im Anmeldebildschirm und per LED-Anzeige der Maus erscheint dann die Aufforderung, einen Finger auf den Sensor zu legen. Die Biometriedaten werden extrahiert und mit den entschlüsselten Daten verglichen.Ist der Benutzer am System angemeldet und wird die Karte entfernt, wird die Arbeitsstation per Bildschirmschoner gesperrt. Nach Wiedereinschub der Karte werden wiederum die Biometriedaten verglichen und ggf. der Zugriff auf die Arbeitsstation gewährt.
Unter der Online-Umgebung wird die Netzwerkumgebung verstanden, bei der folgende Voraussetzungen gelten. Zum einen muss ein Client eine physische Verbindung zum Netzwerk haben (Netzwerkkabel). Zum zweiten müssen dann im Netzwerk folgende Dienste zur Verfügung stehen: Nameservice, Adminservice (LDAP-Service), Fileservice.
Für den Fall, dass die Netzwerkverbindung gestört ist und die Arbeitsplatzrechner keinen Zugriff zu den Servern haben, ist keine normale Anmeldung am Arbeitsplatz möglich. Der Benutzer erkennt dies an der Anmeldemaske. Er findet dann nicht die gewohnte Anmeldemaske vor, sondern eine spezielle »Offline«-Anmeldemaske.
In solchen Fällen kann sich ein Benutzer nur »Offline« anmelden. Dafür wird ausschließlich die Chipkarte benötigt, da die Biometriedaten bei einer Anmeldung mit den Daten des LDAP-Directory verglichen werden müssten, die aber nur über das Netzwerk zu erreichen wären.
Da die vom Benutzer erstellten Daten nicht auf dem zentralen Fileserver abgelegt werden können, wird bei der ersten »Offline«-Anmeldung an einem Arbeitsplatz ein Home-Verzeichnis für den Benutzer angelegt, in dem er seine Daten speichern kann. Zu diesem Home-Verzeichnis haben nur der Benutzer und der Administrator Zugriff. Sollte sich an dem Rechner ein anderer Mitarbeiter anmelden, wird auch für ihn ein eigenes Home-Verzeichnis angelegt. Wenn der Benutzer sich an diesem Arbeitsplatz später wieder »Online« anmeldet, wird sein Home-Verzeichnis mit gemountet, d.h. er kann auf seine lokal gespeicherten Daten wieder zugreifen. Dabei hat er für den Datenabgleich selbst zu sorgen. Wenn er »Online« ist, kann er Daten vom Fileserver in sein lokales Home-Verzeichnis kopieren oder verschieben und auch umgekehrt Daten aus dem Home-Verzeichnis auf dem Server ablegen. Ein Abgleich der Dateien ist manuell zu tätigen.
Als Applikationen stehen dem Benutzer dann StarOffice und Sylpheed als Mail-Client zur Verfügung. Da alle anderen Dienste und Applikationen nur für den Netzwerkgebrauch vorgesehen sind, kann der Benutzer diese im Offline-Modus nicht nutzen.
Digitale Signatur
Im Rahmen des Migration der Monopolkommission sollte die Einführung der digitalen Signatur für den gesicherten Mailverkehr erfolgen. Da das BSI mit dem Projekt Ägypten über ein Open-Source-Projekt verfügt, das den Standard nach Sphinx zur Erstellung einer Public-Key-Infrastruktur (PKI) erfüllt, solle, wenn möglich, die digitale Signatur aufgrund der dort getätigten Entwicklung mit dem Mail-Client KMail umgesetzt werden. Da zum Entscheidungszeitpunkt die Arbeiten im Projekt Ägypten noch nicht in Form eines einsatzreifen Produktes abgeschlossen waren, wurde als die digitale Signatur in Form von GNUpg-Schlüsseln realisiert. Dabei werden die GNUpg-Daten verschlüsselt auf der Chipkarte abgelegt.
Die Serverumgebung
Angeboten war im Bereich der Server die INFRAppliances der Firma SFI Technology Services AG, die als Open-Source-Software im Rahmen des Projektes Anpassungen erfuhren oder erstellt wurden, um den Anforderungen an die zentrale Administration der gesamten Client- und Serverlandschaft zu entsprechen. Die Serverfunktionen sollten sich im Rahmen des Projektes auf einem Server installieren lassen.
Bei der INFRAppliance Administration Console handelt es sich um ein webbasiertes Werkzeug, mit dem alle wesentlichen Parameter für die Server, Clients, Applikationen und Benutzer administriert werden können. Die Daten werden dabei in einem LDAP-Server mit OpenLDAP abgelegt. Von dort können sie bei Bedarf auch wieder hergestellt werden.
Die Administration Console unterstützt in der IT-Umgebung die zentrale Verwaltung von Benutzerkonten und -einstellungen, Druckern, Softwarepaketen für die Softwareverteilung und Client-Hardwarekonfiguration
Damit wurde die Administration Console zentraler Angelpunkt für die umfangreichen zentralen Funktionen, die in dem Konzept zur Verfügung stehen. Die auf der Administrationskonsole eingestellten Parameter werden serverseitig durch den Daemon sfi-director im Hintergrund verarbeitet. Dadurch ist es möglich, die getätigten Einstellungen auch auf mehrere Server zu replizieren, um so eine einheitliche Administrationsoberfläche für verschiedene Linux-Server zur Verfügung zu stellen.
Der INFRAppliance Fileserver hält in der Monopolkommission alle von den Benutzern erstellten Daten in deren Home-Verzeichnissen vor. Gleichzeitig sind für den Austausch von Daten oder das Zusammenarbeiten von Mitarbeitern Gruppenverzeichnisse angelegt, in die die Mitglieder einer Gruppe Dateien legen und aus denen sie auch lesen können. Integriert ist ein Backup-Modul, mit dem die Daten des Fileserver nach einstellbaren Parametern gesichert und rückgesichert werden können.
