|
Úvod
Len príďte, tešíme sa na vašu návštevu, sme tu pre vás!
Niet azda väčšieho zadosťučinenia pre pracovníkov knižnice ako možnosť privítať čitateľa, opýtať sa ho, čo
hľadá, čo potrebuje a občas to aj nájsť na tom správnom regáli. Skôr než sa však rozvinie tento krehký dialóg, treba
bez ohľadu na protokol položiť onú naliehavú otázku. Dôvodom je potreba získať základný súbor nutných a postačujúcich
údajov na vytvorenie formalizovaného vzťahu medzi subjektom poskytujúcim knižničné a informačné pramene a služby a
subjektom, ktorý je spotrebiteľom týchto hodnôt. Dôvodom sú aj požiadavky na adresné poskytovanie knižničných a
informačných služieb, vyvolané rozmachom informačných a komunikačných technológií. Zasielanie správ na mobilné
telefóny, automatická distribúcia výstupov prostredníctvom elektronickej pošty sú čoraz častejšou formou obsluhy
používateľa knižnice, o ktorom treba vedieť aspoň to, čo nevyhnutne treba (a je dovolené). Register používateľov už
dávno neplní iba štatistickú funkciu, je základným nástrojom na manažovanie procesov čoraz komplexnejšej informačnej
obsluhy. Používateľ (dávno už nie iba čitateľ) podpisom registračnej prihlášky vstupuje do právneho vzťahu, v ktorom
sa zaväzuje rešpektovať dohodnutý rámec zásad daných všeobecnými právnymi predpismi a špecifické pravidlá (knižničný
poriadok) inštitúcie [4, 5]. Prijatím tejto zmluvy preberá knižnica povinnosti dané jej poslaním, záväzky stanovené
osobitnými predpismi, ktoré sa týkajú bezpečnosti, ochrany údajov, ochrany majetku, a deklaruje zásady kvality,
tradície a dobrej praxe. Registrácia čitateľa má aspekt právny, finančný a spoločenský. Je to procedúra nezriedka
komplikovaná, takmer vždy obťažujúca, avšak nevyhnutná.
Pojmy a termíny
Autentifikácia (authentication) –
je proces preverovania, či niekto alebo niečo je tým, čo deklaruje. Používateľ nadobúda právo prihlásiť sa do
systému (
login). V praxi sa najčastejšie na autentifikáciu používa
meno používateľa (user name) a prihlasovacie
heslo (password). Meno v tomto prípade nemusí byť identické s pravým menom používateľa, bežne sa používa
pseudonym, ktorý zaručuje potrebnú mieru jeho anonymity. Na autentifikáciu možno však použiť aj náročnejšie nástroje
či metódy, ako je pamäťová karta (magnetická, čipová), rozpoznanie hlasu, skenovanie sietnice alebo odtlačku prsta.
Vysokú bezpečnosť autentifikácie možno dosiahnuť najmä použitím biometrických metód a digitálnych certifikátov
[6].
Autorizácia
(authorisation)
– je proces udelenia povolení na prístup k vyhradeným cieľom (informačným prameňom a služ-
bám) práve autentifikovanému používateľovi. Tento používateľ sa prihlásil a má prístup do systému, autorizácia
určuje jeho práva, privilégiá a možnosti využívania zdrojov a služieb systému.
Manažment prístupu
(access management)
– je širší termín na pomenovanie procesov využívania sieťových prameňov. Prístup možno povoliť, obmedziť alebo
zakázať podľa najrôznejších kritérií alebo príznakov (vek, štátna príslušnosť, členstvo, funkcia, sieťová adresa,
časový interval a pod.). Súbor pravidiel na administráciu a
riadenie prístupu
(access control) k sieťovým prameňom sa nazýva
politika (policy).
V reálnom živote sú uvedené procesy a politika úzko prepojené a nemožno ich vnímať oddelene. Po
autentifikácii logicky a automaticky nasleduje autorizácia, ktorá sa opiera o stanovenú politiku. Často sa preto
stretávame so združenými termínmi alebo akronymami na označenie komplexných procesov riadenia prístupu.
AAA
(authentication, authorization, accounting,
resp.
authentication, authorisation and access control) – označuje podsystém riadenia, autentifikácie, autorizácie a
evidencie
(accountability) v systémoch a prostrediach, ktoré sa opierajú o politiku určenú administrátormi a
používateľmi.
AAI
(authentication and authorisation infrastructure) –
je súbor technických, programových a prevádzkových prostriedkov a nástrojov na realizáciu politiky prístupu a
využívania informačných systémov.
Subjekt
(subject)
– entita alebo množina entít, ktorá vytvorí požiadavku a je preverená ako autorizovaná alebo neautorizovaná na
uplatnenie tejto požiadavky. Pod subjektom sa v našom kontexte rozumie používateľ knižnice.
Cieľ
(target)
– entita alebo množina entít, ktorá podlieha politike. Pod entitou sa v našom kontexte rozumejú sieťové
informačné pramene a služby.
Manažment prístupu
Kontrola a riadenie prístupu používateľov ku knižničným systémom a službám nadobúda osobitný význam v oblasti
licencovaných sieťových informačných prameňov. V tomto prípade inštitúcia (knižnica, univerzita) alebo konzorcium
uzatvára s poskytovateľom licenčnú dohodu o využívaní produktov a definuje komunitu používateľov s právom na
prístup. Poskytovateľ alebo prevádzkovateľ príslušného sieťového informačného prameňa (operátor) musí mať možnosť
zistiť, či používateľ, ktorý sa snaží o prístup, patrí do komunity pokrytej danou dohodou. Licenčná dohoda
vyjadruje, že operátor a inštitúcia našli uspokojivé riešenie problému registrácie používateľov a riadenia ich
prístupu a že disponujú spoľahlivými systémovými nástrojmi na realizáciu dohodnutých pravidiel. Na rozdiel od
individuálnych zákazníkov v priamom obchodnom vzťahu s poskytovateľom je inštitúcia správcom
komunitnej licencie (community license) a v rámci nej sprostredkovateľom služieb pre svojich používateľov. V
súčasnej praxi má používateľ obvykle viacero identít, ktoré mu slúžia na prístup k rôznym aplikáciám v rámci danej
inštitúcie alebo v rôznych inštitúciách. Iná môže byť identita (pseudonym, heslo) na prístup do intranetu domovskej
inštitúcie či školy, iná na účely výpožičného systému domovskej knižnice a ďalšie identity vzhľadom na iné členstvá
a využívané systémy. S identitou používateľa, ktorá sa overuje v procese autentifikácie, sú bezprostredne zviazané
jeho atribúty, ktoré sa využívajú ako parametre na autorizáciu. Záleží na rozhodnutí používateľa, pod akou
identitou sa do informačného systému prihlási, a podľa toho mu systém pridelí zodpovedajúce práva a sprístupní
požadované pramene. Atribúty môžu mať demografický charakter (vek, štátna či menšinová príslušnosť, vzdelávací
alebo ekonomický status) alebo môžu explicitne definovať práva k jednotlivým sieťovým prameňom. Autorizácia je
proces, v ktorom sa určuje, či prezentovaná identita môže uskutočniť požadovanú aktivitu, napríklad prístup k
prameňu. Neznamená to však, že sa to v danom okamihu aj uskutoční, keďže v rámci licencie môžu existovať ďalšie
obmedzenia, ako je napríklad maximálny počet paralelných prístupov k danému prameňu. Autentifikáciu a autorizáciu
pritom možno vykonávať naprieč informačnou reťazou, teda na rôznych miestach, rôznymi inštitúciami a v rôznych
fázach procesu riadenia prístupu. Čím viac účastníkov a objektov sa podieľa na informačnom procese, tým zložitejší
je tento problém. Autentifikácia a autorizácia by mala byť efektívna nielen vnútri jednej, ale aj v rámci viacerých
spolupracujúcich inštitúcií. Z hľadiska používateľa je ideálne jednorazové prihlasovanie
(single signon), žiada sa minimalizácia registračných a autentifikačných procedúr. Pre inštitúciu aj pre
operátora je dôležitá spoľahlivosť, robustnosť a jednoduchosť prevádzky AAI. IT infraštruktúra sa však stále vyvíja
a implementuje sa na rôznych miestach v rôznom rozsahu a rôznym spôsobom. Uspokojivé riešenie problému manažmentu
prístupu treba hľadať v stanovení jednoduchého štandardného komunikačného rozhrania medzi jednotlivými článkami
informačnej reťaze. Teda nie centralizovaná architektúra AAI, ale distribuovaný systém aplikácií, ktoré komunikujú
štandardizovaným protokolom. Výpadok niektorej z aplikácií nespôsobí v tomto prípade zrútenie celého systému
[3].
Evidencia
AAA podsystém informačného systému nepretržite spracúva, generuje a uchováva údaje potrebné na manažment
prístupu. Na jednej strane dominuje požiadavka na zabezpečenie anonymity používateľa, podopretá legislatívou na
ochranu osobných údajov, na druhej strane sa rozvíjajú metódy adresného poskytovania informácií a služieb vrátane
ich úplného alebo čiastočného spoplatňovania. Osobitnou kategóriou sú priebežné údaje o využívaní informačných
kanálov a prameňov, ktoré slúžia na účely plánovania, organizácie a ekonomizácie príslušných služieb. Zabezpečenie
ochrany osobných údajov používateľov klasických knižničných fondov vrátane zberu údajov na štatistické účely je v
praxi dobre zavedené. Licencované elektronické pramene sa však väčšinou sprístupňujú zo serverov operátora, ktorý
by nemal vedieť, kto, čo a koľkokrát číta. Ak stoja v ceste k prameňu ďalší operátori (agregátori, agentúry),
problém evidencie sa ešte viac komplikuje. Ochranu osobných údajov svojich používateľov musí zabezpečiť domovská
inštitúcia prinajmenšom na úrovni požadovanej legislatívou [2]. Prenášanie tejto zodpovednosti v rámci licenčnej
zmluvy na tretiu stranu nie je prijateľné. Základom politiky na ochranu osobných údajov je posilnenie anonymity
používateľov informačných prameňov a služieb. Ako príklad možno uviesť niekoľko scenárov:
-
anonymný prístup (každá relácia je anonymná, identitu používateľa nemožno zistiť),
-
pseudonymný prístup (relácia je evidovaná pod pseudonymom, napr. XY007, rozsah využívania možno
individuálne evidovať, identitu používateľa nemožno zistiť),
-
skupinový prístup (relácia sa opiera o demografickú charakteristiku, rozsah využívania možno sledovať podľa
demograficky odlíšených skupín používateľov, identitu používateľa nemožno zistiť),
-
individuálny prístup (relácia sa viaže na identitu používateľa).
Z hľadiska zodpovednosti inštitúcie treba rozlišovať osobné údaje vyžiadané pri registrácii používateľov,
ktoré sú nutné a postačujúce na formalizáciu právneho vzťahu a manažment prístupu, a osobné údaje, ktoré zadá
používateľ dobrovoľne s cieľom personalizovať pre seba služby systému (e-mail, osobný profil, poznámkový aparát a
pod.). Ochrana osobných údajov patrí medzi atribúty vyspelej spoločnosti a je obvykle dôsledne ošetrená
legislatívou. Ochrana osobných údajov však nie je iba problém právny či morálny.
X500 a LDAP
Protokol X500 definovala CCIT ako
množinu otvorených systémov, ktoré využívajú spoločnú bázu údajov, v ktorej sa nachádzajú informácie o reálnych
objektoch. CCIT špecifikovala tri komunikačné protokoly: 1. protokol na prístup k informáciám
(directory access protocol – DAP), 2. protokol na komunikáciu medzi servermi
(directory service protocol – DSP) a 3. protokol na implementáciu politiky (
directory information shadowing protocol – DISP). Báza údajov predstavuje hierarchicky štruktúrovaný zoznam
objektov. Informácie sa vkladajú do vopred definovaných objektových tried s príslušným názvom, typom a rozsahom
hodnôt. X500 sa vo všeobecnosti považuje za dokonalý protokol, ktorý dovoľuje popísať všetko, čo jestvuje. Tomu
zodpovedá i náročnosť a zložitosť jeho úplnej implementácie a ťažkopádnosť realizovaných riešení. Azda aj preto
roku 1995 na Univerzite v Michigane vybrali pragmatickú podmnožinu X500 a definovali tzv. ľahký protokol na prístup
k zoznamom (
lightweight directory access protocol – LDAP). LDAP poskytuje úplný prístup k zoznamom prostredníctvom
bežného sieťového komunikačného protokolu TCP/IP a zjednodušuje používanie zoznamov podľa štandardu X500. LDAP mal
pôvodne plniť funkciu sprostredkovania medzi servermi X500 a klientmi IP, jeho neskoršie implementácie však
umožnili informácie o objektoch ukladať a nahradiť funkcionalitu serverov X500.
V súčasnosti sa využíva nespočetné množstvo rôznych aplikácií, ktoré sa opierajú o proprietárne implementácie
báz údajov zoznamového typu. Napríklad každý automatizovaný knižničný systém narába s vlastnou bázou používateľov
(zoznamom), ktorých v báze reprezentujú štruktúrované záznamy informácií o ich identite a oprávneniach, ako to
vidieť na
obrázku 1.
Obr. 1 Nesynchronizované individuálne zoznamy
LDAP zabezpečuje interoperabilitu aplikácií využívajúcich rôzne štruktúrované informácie o používateľoch,
ktorých zoznamy sa však obvykle prekrývajú. Ako príklad možno uviesť automatizovaný systém evidencie dochádzky,
operujúci so zoznamom tých istých zamestnancov, ako informačný systém inštitúcie kontrolujúci prístup a práva podľa
prihlasovacieho mena a hesla
(pozri obr. 2).
Obr. 2 Synchronizovaná autentifikácia a autorizácia na báze LDAP
Shibboleth®
Projekt združenia Internet2 a IBM
Shibboleth® sa zameriava na návrh architektúry sietí a technológií na podporu kontrolovaného prístupu a
kooperatívneho využívania webových služieb a prameňov. Systém zabezpečuje štandardizované spojenie medzi
autentifikačným systémom žiadateľa a systémom poskytovateľa prameňov alebo služieb [1]. Napríklad ak používateľ
knižnice žiada o prístup k plnému textu licencovaného časopisu,
Shibboleth® postúpi požiadavku lokálnemu systému, ktorý zabezpečí autentifikačnú procedúru a odošle
autorizačnú charakteristiku do cieľového systému. Autentifikačné a autorizačné údaje (atribúty žiadateľa) sa
prenášajú štandardným spôsobom, čo dovoľuje spoluprácu medzi rôznymi technologickými riešeniami a zabezpečovacími
systémami. Odpadá tak viacnásobné používanie množstva individuálnych kont. Používateľ má pritom možnosť požiadať o
autentifikáciu vo svojej domovskej sieti z ľubovoľného miesta, t. j. aj zvonku, a po autorizácii dosiahnuť žiadaný
cieľ.
Shibboleth® zabezpečuje anonymný prístup pre vlastných registrovaných používateľov k licencovaným prameňom v
rámci lokálnej siete, ako aj k vzdialeným prameňom vyžadujúcim autorizáciu. Spôsob komunikácie ilustrujú obrázky 3,
4, 5. Na obr. 3 je klasický prípad individuálnej registrácie používateľov v oboch systémoch – lokálnom i
vzdialenom.
Obr. 3 Individuálna autentifikácia a autorizácia v lokálnom a vzdialenom systéme
Obr. 4 Autentifikácia a autorizácia v lokálnom systéme + inštitucionálna licencia
Obr. 5 Medziinštitucionálna autentifikácia a autorizácia prostredníctvom Shibboleth®
Problém identifikácie v UKB
Zavedenie čiarového kódu do knižničných aplikácií (knižničných informačných systémov – KIS) v 80. rokoch
znamenalo generačný prelom a zdá sa, že bude i naďalej oporou v súčasnosti deklarovanej tretej generácie KIS. Vývoj
v oblasti IKT je však obvykle rýchlejší ako postup implementátorov, a tak sa načim pripraviť na nástup 4G
technológií a novej generácie architektúry KIS. Epocha centralizovaných megasystémov 3. generácie je vo vyspelom
svete dávnejšie prekonaná, systémy a jednotlivé aplikácie sa rozvíjajú nezávisle, integrujúcimi nástrojmi sú
jednotné rozhrania, protokoly a štruktúry údajov. Cieľom je zabezpečenie čoraz lepšej informačnej obsluhy a
prístupu k prameňom z ľubovoľného miesta a v ľubovoľnom čase. Infraštruktúra medziinštitucionálnej autentifikácie a
autorizácie vrátane individuálnych autentifikačných nástrojov (čipová karta, biometria) je charakteristickou črtou
tejto novej generácie systémov, ktorá zaklopala aj na brány UKB.
Problém identifikácie subjektov v UKB možno charakterizovať takto:
-
vstup (a výstup) do verejnej časti knižnice je kontrolovaný automatickými turniketmi prístupového systému,
ktoré reagujú na autentifikačné údaje nasnímané z čipovej karty;
-
vstup (a výstup) zamestnancov do služobnej časti knižnice je kontrolovaný dochádzkovým systémom, ktorý sa
opiera o zamestnanecký preukaz vo fome čipovej karty;
-
zamestnanci knižnice sú zároveň používateľmi knižnice, t. j. subjektmi prístupového systému;
-
vstup a výstup do vyhradených zón, v služobnej časti sa kontroluje automatickými zámkami, ktoré reagujú na
identifikačné kódy zamestnancov;
-
výpožičný systém integrovaného systému ALEPH 500 sa opiera o vlastnú internú registráciu používateľov
vrátane zamestnancov knižnice;
-
v knižnici sa inštaluje samoobslužný kopírovací systém, ktorý je riadený údajmi z čipových kariet
používateľov (t. j. zároveň zamestnancov);
-
implementuje sa uzatvorený malý platobný systém, v ktorom prebiehajú transakcie prostredníctvom čipových
kariet;
-
vo funkcii knižničného preukazu sa bude okrem knižničného pasu vydaného UKB akceptovať aj karta ISIC a
ITIC;
-
knižnica poskytuje prístup k viacerým licencovaným elektronickým prameňom na inštitucionálnej,
konzorciálnej a celoštátnej úrovni;
-
knižnica implementuje nezávislý systém zasielania dokumentov, ktorý sa opiera o individuálne profily a
údaje používateľov;
-
na prístup do katalógov a aplikácíi sa inštalovali sieťové počítačové terminály (SunRay), ktoré sú riadené
individuálnym profilom používateľa…
Takmer každý z uvedených systémov vyžaduje registráciu subjektov, nezriedka je táto funkcia proprietárne
zabudovaná do jednotlivých aplikácií. I keď sa podarí zjednotiť identifikačný nástroj jednotlivca vo forme
knižničného pasu na báze čipovej karty, zosúladiť štruktúry registračných údajov a harmonizovať jednotlivé pracovné
postupy, neznamená to, že nie je potrebná osobitná registrácia v každom z uvedených systémov. Odstránenie
heterogenity registračných procedúr možno riešiť implementáciou centrálneho zoznamu (registra) všetkých subjektov
(používateľov, zamestnancov a návštevníkov) a synchronizáciou tohto zoznamu naprieč všetkými aplikáciami. Riešenie
smeruje k využitiu systémového autentifikačného nástroja, ktorý pracuje s protokolom LDAP, a k návrhu príslušných
synchronizačných procedúr.
Knižničný pas
Úvahy o optimalizácii procesov autentifikácie nastoľujú zároveň otázky racionalizácie iniciačných procedúr,
ako je registrácia používateľa, prihlásenie do systému, zadanie individuálneho profilu používateľa a tiež potreba
automatizácie špecifických knižnično-informačných procesov (výpožičné služby, MVS, SDI, kopírovanie) vrátane
individuálneho účtovania za poskytované pramene a služby. Zjednotenie zoznamu viacerých aplikácií jednej inštitúcie
napríklad na báze LDAP dovoľuje na strane používateľa použiť jedinú identitu – jeden knižničný preukaz, jeden
používateľský kód. Implementácia štandardizovanej medziinštitucionálnej autentifikačnej komunikácie, napríklad na
báze
Shibboleth®, rozširuje túto výhodu na celý, inštitucionálne vymedzený WWW priestor. Používateľ môže použiť
svoj kód na prihlásenie z ľubovoľného miesta v ľubovoľnom čase (
anywhere-anytime). Individuálny knižničný preukaz nadobúda funkciu “knižničného pasu”, ktorý dovoľuje
prezentovať identitu nielen voči viacerým externým operátorom, ale aj na účely registrácie vo viacerých
informačných systémoch a knižnično-informačných inštitúciách. Technológia pamäťových kariet rôzneho typu
(smartcard…) dovoľuje bezpečné zakódovanie nutných a postačujúcich osobných údajov a možno ju využiť na
racionalizáciu viacerých operácií vrátane mikroplatieb. Návrh na zavedenie jednotného knižničného pasu sa opiera o
úspešnú a dobre sa rozvíjajúcu implementáciu identifikačnej čipovej karty (ČK) v rezorte školstva (medzinárodná
študentská karta ISIC či medzinárodný preukaz vysokoškolského pedagóga ITIC). Karty možno používať v celej palete
vnútorných aplikácií (študijné informácie, kontrola prístupu, menza, knižnica…) a vďaka medzirezortným dohodám sa
akceptujú aj v dopravných systémoch (električenka, dopravné zľavy…). Čipová karta umožňuje dva spôsoby
použitia:
-
ako identifikačná karta – identifikácia majiteľa na základe výrobného čísla karty (SNR) – celá logika je
prenesená do čítačky ČK alebo na PC – prístupový, stravovací, dochádzkový… systém – počet aplikácii nie je
obmedzený;
-
multifunkčná ČK – aplikácia zapisuje/číta údaje z ČK – obmedzený počet aplikácii podľa požiadaviek na
pamäťový priestor.
Orientáciu na uvedený typ čipovej karty podporuje aj štruktúra používateľov Univerzitnej knižnice v
Bratislave. Roku 2002 sa prihlásilo v UKB 19 181 fyzických a 25 právnických osôb, z toho 40 % tvorili nové
prihlášky a 60 % predĺženia. Vyše 47 % (7 900) tvorili študenti rôznych vysokých škôl. Vysokoškolská čipová karta
pritom obsahuje takmer všetky potrebné údaje, ktoré treba na registráciu do knižničných aplikácií. V tab. 1 sa
ilustruje hypotetická štruktúra údajov na čipovej karte knižničného pasu, ktorá vychádza zo štruktúry
vysokoškolskej karty.
Tab. 1 Hypotetická štruktúra údajov na čipovej karte knižničného pasu 1
Táto skutočnosť podporuje zámer využiť uložené individuálne údaje na prípadnú registráciu (je to podmienené
dohodou inštitúcií a súhlasom nositeľa karty) alebo priamo využiť vysokoškolskú kartu ako jeden z možných preukazov
na vstup používateľa do knižnice. Bolo by tak možné ušetriť takmer 50 % nákladov a najmä času pri vydávaní
preukazov. Navrhovaný typ a štruktúra knižničného pasu preto vychádza z použitého štandardu karty MIFARE MF1 S70 (4
kB). Na účely knižničných aplikácií sa čiastočne dopĺňa štruktúra údajov (e-mail, telefón) a funkcionalita karty sa
rozširuje o uzavretý platobný systém (mikroplatby za kopírovanie a ďalšie služby vrátane občerstvenia). Okrem
údajov uložených v pamäti sa predpokladá tlač minimálnych osobných údajov a prípadne aj fotografie na prednú stranu
karty. Vychádza sa opäť zo štandardu medzinárodných kariet ISIC a ITIC. Na účely niektorých tradičných knižničných
systémov sa k týmto údajom dotláča číslo karty v čiarovom kóde, čím sa podstatne rozširuje potenciál využiteľnosti
kariet naprieč inštitúciami. Zadná strana karty s primeraným motívom, ktorý vychádza z firemnej (knižničnej)
kultúry a symboliky jej vydavateľa a/alebo sponzora nesie okrem nápisu KNIŽNIČNÝ PAS jedinečné číslo čipovej karty
v analógovom tvare (číslice v strojom čitateľnom OCR fonte).
Vízia
Je nedeľné ráno. Skôr však než kohút stihne zakikiríkať svoj budíček, pípne hospodárovi do ucha
prichádzajúca SMS. Sotva otvorí oči, potme na vysvietenom displeji číta: “Platnosť Vášho knižničného pasu končí,
je najvyšší čas prísť do knižnice! Prišla praktická príručka o klonovaní hydiny a pre manželku máme nové číslo
dámskeho magazínu!”
“Kde som len mal hlavu, keď som to podpísal,” zamrmlal a s úsmevom dosníval prerušený sen o svojej
pastierskej mladosti, keď mu stačilo poznať zopár číslic a písmená J, Q, K, A.
Bibliografické odkazy:
|