Das Portal id.ac-versailles.fr basiert heute auf zwei unterschiedlichen Authentifizierungsmodi, um auf Arena und die Fachanwendungen zuzugreifen: klassisches Passwort und OTP-Token. Die tatsächliche Effektivität jedes Mechanismus zu messen, verbleibende Schwachstellen zu identifizieren und die derzeit im Einsatz befindlichen Protokolle zu vergleichen, ermöglicht es, zu erkennen, was bis 2026 geändert werden muss, um den akademischen Zugang zu sichern, ohne die Benutzererfahrung zu beeinträchtigen.
Vergleich der Authentifizierungsprotokolle auf dem akademischen Portal Versailles
| Protokoll | Aktuelle Verfügbarkeit | Phishing-Widerstand | Benutzerfreundlichkeit | Horizont 2026 |
|---|---|---|---|---|
| Nur Passwort | Alle Arena-Dienste | Niedrig (Wiederverwendung, lokale Speicherung) | Niedrig | Schrittweise Abschaffung bei sensiblen Modulen |
| OTP (temporärer Code) | Empfindliche Module von Arena und I-Prof | Mittel (läuft nach einigen Dutzend Sekunden ab) | Variabel (mobiles Netzwerk, langsame Ladezeiten) | Geplante MFA-Verallgemeinerung |
| OAuth2 / Einheitliches SSO | E-Mail, Webmail, ENT | Hoch (kein lokal gespeichertes Passwort) | Niedrig nach der Erstkonfiguration | Erweiterung auf alle Dienste |
| Passkeys (FIDO-Zugangsschlüssel) | Nicht bereitgestellt | Sehr hoch | Sehr niedrig | Studie läuft, bedingte Bereitstellung |
Die Tabelle hebt eine deutliche Diskrepanz zwischen dem Schutz, der nur durch ein Passwort geboten wird, und dem Schutz durch neuere Protokolle hervor. Die Stärkung der Authentifizierung auf id ac Versailles arena erfolgt durch die Reduzierung des Umfangs, in dem das Passwort die einzige Barriere darstellt.
OAuth2 und SSO in der akademischen E-Mail Versailles: Was sich durch den Verzicht auf das feste Passwort ändert
Das Rektorat von Versailles verlangt nun OAuth2 als Standard-Authentifizierungsmethode für den Zugriff auf IMAP- und POP-Dienste der akademischen E-Mail. Die Kombination aus Benutzername und Passwort, die direkt in einem E-Mail-Client (Thunderbird, Outlook, mobile Anwendung) eingegeben wird, wird schrittweise aufgegeben.
Der Unterschied ist strukturell. Mit dem alten Modell wurde das Passwort im Klartext oder lokal verschlüsselt auf jedem Terminal gespeichert. Ein kompromittierter Arbeitsplatz stellte sofort den vollständigen Zugriff auf das Konto bereit. OAuth2 ersetzt diese Speicherung durch ein erneuerbares Sitzungstoken, das serverseitig verwaltet wird.
In der Praxis authentifiziert sich der Benutzer einmal über den Browser, dann erhält der E-Mail-Client ein temporäres Token, ohne das Passwort jemals zu bearbeiten. Dieser Mechanismus bereitet den Boden für ein einheitliches SSO zwischen Webmail, ENT und Arena, wo eine einzige authentifizierte Sitzung den Zugang zu allen Diensten eröffnet, ohne dass eine erneute Eingabe erforderlich ist.
Grenzen des SSO in einem Multi-Portal-Kontext
Ein schlecht konfiguriertes SSO verwandelt einen einzigen Einstiegspunkt in einen einzigen Fehlerpunkt. Wenn das Sitzungstoken gestohlen wird (Session-Hijacking-Angriff), werden alle damit verbundenen Dienste zugänglich.
Die Skalierung des SSO auf Arena setzt daher eine gleichzeitige Verschärfung der Sitzungsverwaltung voraus: verkürzte Lebensdauer der Tokens, automatische Ungültigmachung nach Inaktivität, Erkennung geografischer Anomalien.
Generalisierte MFA auf Arena bis 2026: Was die Bereitstellungsdaten offenbaren
Die Akademie von Versailles hat eine schrittweise Verallgemeinerung der Multi-Faktor-Authentifizierung seit Ende 2024 eingeleitet. MFA ist bereits für einige sensible Module von Arena und I-Prof erforderlich, mit einer geplanten Skalierung auf weitere Dienste bis 2026.
Zwei sekundäre Faktoren werden angeboten: SMS und Authentifizierungsanwendung. Die Daten vor Ort zeigen jedoch, dass das OTP-Token ein Zuverlässigkeitsproblem aufweist. Der Code läuft nach einigen Dutzend Sekunden ab. In einem überlasteten mobilen Netzwerk oder bei einem langsam ladenden Browser akzeptiert das Formular die Eingabe, aber der Server lehnt den Code ab, weil das Gültigkeitsfenster überschritten ist.
Macadam-Voraussetzungen und Wiederherstellungsfaktoren
Die Migration zu Microsoft 365 für akademische Konten hat eine neue Abhängigkeit geschaffen. Jeder Mitarbeiter muss in Macadam eine Wiederherstellungs-E-Mail-Adresse und eine Mobiltelefonnummer angeben, die Voraussetzung für jede Passwortänderung und für die Wiederherstellungsprozesse ist.
Diese Verpflichtung spielt eine doppelte Rolle. Sie sichert die Wiederherstellung, indem sie langsame Papierverfahren vermeidet. Sie bildet auch die technische Grundlage für die MFA: Ohne registrierte Mobilnummer gibt es keine Bestätigungs-SMS, also keinen Zugang zu geschützten Modulen.
- Überprüfen Sie, dass die Wiederherstellungsadresse eine aktive persönliche Adresse ist, kein akademisches Alias, das selbst vom Konto abhängt, das wiederhergestellt werden soll
- Bevorzugen Sie eine Authentifizierungsanwendung (z. B. TOTP) anstelle von SMS, die anfälliger für SIM-Swapping-Angriffe ist
- Aktualisieren Sie die Macadam-Informationen bei jeder Änderung der Telefonnummer, um eine vollständige Sperrung des Kontos zu vermeiden
Passkeys und Zero Trust: Die Mechanismen, die die klassische MFA ersetzen könnten
MFA per SMS oder Anwendung bleibt ein Kompromiss. Passkeys (FIDO2-Zugangsschlüssel) entfernen das Passwort aus der Gleichung. Die Authentifizierung basiert auf einem kryptografischen Schlüssel, der mit dem Terminal verbunden ist und durch Biometrie oder einen lokalen PIN entsperrt wird. Kein über das Netzwerk übertragbares Geheimnis, also kein Fenster für Abhörversuche.
Die Bereitstellung von Passkeys in einem akademischen Umfeld stellt spezifische Anforderungen:
- Die in Lehrerzimmern genutzten Shared-Workstations speichern keinen persistenten Schlüssel, was einen Rückfallmechanismus (klassische MFA oder physischer USB-Schlüssel) erforderlich macht
- Mitarbeiter, die häufig das Terminal wechseln (Ersatz, Versetzung), müssen in der Lage sein, ihren Schlüssel ohne vollständige Neuregistrierung zu migrieren
- Die Browserkompatibilität bleibt ungleichmäßig, insbesondere auf Arbeitsplätzen, die in einigen Einrichtungen noch mit alten Betriebssystemen ausgestattet sind
Der Zero-Trust-Ansatz, der jede Anfrage unabhängig vom Netzwerkstandort überprüft, ergänzt dieses System. Anstatt einem Terminal zu vertrauen, weil es mit dem Netzwerk der Einrichtung verbunden ist, wird jeder Zugriff in Echtzeit bewertet basierend auf dem Terminal, der Geolokalisierung und dem Verhalten des Benutzers.
Die Stärkung der Authentifizierung auf dem akademischen Portal von Versailles bis 2026 basiert weniger auf der Hinzufügung zusätzlicher Schichten als auf dem Austausch der schwächsten Mechanismen. OAuth2 beseitigt die lokale Speicherung von Passwörtern, die generalisierte MFA verringert die Auswirkungen von Phishing, und Passkeys könnten letztendlich das Passwort selbst abschaffen.
Der Wendepunkt wird von der Fähigkeit des Rektorats abhängen, den Übergang auf einem heterogenen Terminalpark zu steuern, ohne die Mitarbeiter von ihren täglichen Werkzeugen auszuschließen.