Cowboytricks fik koblet Google Apps på lukket gymnasie-system
Efter sommerferien skal omkring 2.000 elever på Borupgaard Gymnasium i Ballerup og Ørestad Gymnasium på Amager vænne sig til at tjekke e-mail, lave gruppearbejde og aflevere opgaver gennem Googles webbaserede kontorpakke, Apps.
Konsulentfirmaet IT Security and Compliance, som specialiserer sig i webbaserede løsninger bygget op om Googles tjenester, har skræddersyet en løsning til gymnasierne, så den integrerer Google Apps med studieadministrationssystemet Lectio, som gymnasierne bruger i forvejen.
**Læs også: **2.000 elever på Borupgaard og Ørestad Gymnasium får Google Apps efter ferien
Google Apps er Googles webbaserede kontorpakke, som placerer alt brugerens indhold ? herunder dokumenter, regneark, e-mails og billeder - i skyen.
Løsningen fra IT Security and Compliance er fremstillet, så administrationen på gymnasiet nemt kan oprette og nedlægge elever i systemet, ligesom eleverne får mulighed for at aflevere deres opgaver gennem systemet. Hver elev får opsat en mappestruktur i Apps-systemet, og det er så defineret i samarbejde med gymnasierne, hvilke mapper eleverne har adgang til.
Softwareudvikler Christian Hansson Noreke fortæller her om projektet.
Hvad har din rolle været i projektet?
Jeg har været den eneste udvikler på projektet. Jeg har arbejdet sammen med vores projektleder, som har holdt styr på kommunikationen med gymnasierne.
- Hvilke teknologier har været i brug under projektet?*
Vi har brugt udviklingsmiljøet Visual Studio 2010 med .Net 4.0. Derudover bruger vi SQL Server 2005 og så Googles API'er til Apps, som vi kobler op imod.
Jeg er vældig pragmatisk i min tilgang til softwareudvikling, og selve arkitekturen bag systemet er ikke specielt avanceret. Den er opbygget omkring en række baggrundsjob, der fungerer lidt ligesom eventbaserede webservices, der lægger sig mellem Lectio og Google Apps.
Når en elev oprettes i Lectio, opsætter vi eleven som bruger i Google Apps og opsætter alle de tilknyttede mapper og permissions.
Alt elevernes elektroniske materiale skal ligge i Google Apps, hvilket vil sige afleveringsmapper, mapper til undervisningsmateriale og så videre.
De forskellige job ligger så i baggrunden og bliver trigget efter en række regler. Eleven skal for eksempel eksistere i systemet på forhånd, før der kan lægges permissions på én af elevens mapper, og mappen skal eksistere, før der kan lægges permissions på den. Det styres fra en række services, herunder MemberService, UserService og FolderService.
SQL Server 2005 ligger på én af vores egne servere og holder styr på selve forløbet i kommunikationen mellem Lectio og Google Apps, altså hvilke oplysninger, der skal sendes til Google.
Derudover har jeg udviklet en brugergrænseflade i C#, som lægger sig mellem Google Apps og Lectio. Det er den, eleverne bruger til at se, hvilke mapper eleven har tilknyttet i Google Apps.
Hvilke problemer eller udfordringer er du stødt på undervejs i projektet?
Udfordringen har ligget i at sikre en stabil og skalerbar arkitektur, som også kan kunne håndtere flere gymnasier fremover.
Derudover har Lectio været en udfordring at integrere op imod, fordi systemet er meget lukket.
Det bedste for mig ville have været, hvis jeg kunne foretage kald direkte ind i Lectio og dermed tilgå data om eleverne.
Derfor er løsningen blevet, at data om eleverne bliver eksporteret ud fra Lectio i en .csv-fil (tekstfil med kommaseparerede værdier, red.), som vi så kan læse ind i vores eget system. Indholdet af .csv-filen bliver omdannet til en masse objekter med oplysninger om fornavn, efternavn og så videre, som vi så kan arbejde på.
Rent praktisk har det ikke været det store problem at hente data ud fra Lectio, men det ville klart have været nemmere at kunne foretage kald direkte til Lectio. Så havde vi også sluppet for at skulle finde en løsning på det problem.
Hvilke gode råd kan du give videre?
Helt grundlæggende handler det om at danne sig et overblik over de informationer og data, man skal håndtere for at afgøre, hvordan arkitekturen skal laves. Det kan nemt gå hen at blive store mængder data, der skal håndteres, og derfor er vigtigt at have det overblik, inden man begynder udviklingen af systemet. I vores tilfælde har det handlet om at få det overblik, der sikrer, at vores arkitektur også kan håndtere flere skoler, der måtte komme til fremover.
Kommentarer (18)
Det er trist at se hvor tralvt offentlige instanser har med at finansere services via salg af persondata til kommercielle tredjeparter & kommerciel lockin til totalt usikre services.
Man ignorer totalt at Datatilsynet for en sjælden gangs skyld faktisk levede op til deres ansvar.
http://www.datatilsynet.dk/afgoerelser/seneste-afgoerelser/artikel/udtal...
Man kan ikke sikre cloud - så ingen persondata eller nøgler i cloud. Kan man ikke forstå det, så må man bare lære det udenad.
Selvfølgelig vil man gerne kunne udnytte eventuelle fordele ved cloud, men modellerne er slet ikke sikkerhedsmæssigt eller markedsmæssigt modne. Specielt ikke med NemID som sikkerhedsmæssigt er ikke-kompatibelt med cloud.
-
0 -
0
Stephan der er ingen der er i tvivl om du har en stor og nyttig viden omkring IT-sikkerhed og mange af dine observationer omkring Google Apps er korrekte.
Men hvorfor insistere du på at råbe op om sikkerhedsaspektet, når det er totalt urelateret til artiklen? Du gør det tit og har afsporet mere end en kommentar tråd på denne måde.
Her har vi en artikel med et rigtig godt praktisk udgangpunkt med en masse gode eksempler, kan vi for en gangs skyld ikke gemme sikkerhedsdiskussionen til en af de artikler hvor ordet sikkerhed rent faktisk indgår i artiklen?
Du har meget nyttigt at bidrage med, men jeg syntes du udvander dig selv og dine indlæg på denne måde. Der er i forvejen en overordnet artikel om Borupgård sagen:
http://www.version2.dk/artikel/15633-2000-elever-paa-borupgaard-og-oeres...
kan vi ikke tage den sædvanlige sikkerhedsdiskussion der?
-
0
-
0
@Rasmus.
Argumenterer du for at lovgivningen kun skal overholdes når man synes det er praktisk?
For så kender jeg en masse lovgivning som jeg ikke synes jeg skal overholde. MOMS-loven. Skattelovgisningen. Færdselsloven. Bla.
-
0
-
0
@Nils
Nej, Rasmus argumenterer ikke for at lovgivningen kun skal overholdes når man synes det er praktisk.
-
0
-
0
Jeg synes at Stephans kommentar er særdeles relevant.
Hvilke informationer og services kan vores offentlige institutioner bruge, og samtidig overholde diverse lovgivninger vedrørende data?
-
0
-
0
Jeg synes også at Stephans kommentar er særdeles relevant. Hvor er ideen i at lære ungerne at de ikke lægger alt muligt ud på en facebook profil, hvis skolen/gymnasiet/osv så efterfølgende gør det?
Skal vi lave en håndsoprækning for at tælle hvor mange, der har forstået det? Jeg frygter lidt at vi blot er nogle håndfulde på landsplan.
"Kan man ikke forstå det, så må man bare lære det udenad."
LOL, den tror jeg at jeg vil printe ud og hænge op :-)
-
0
-
0
Jeg synes også at Stephans kommentar er særdeles relevant. Hvor er ideen i at lære ungerne at de ikke lægger alt muligt ud på en facebook profil, hvis skolen/gymnasiet/osv så efterfølgende gør det?
Skal vi lave en håndsoprækning for at tælle hvor mange, der har forstået det? Jeg frygter lidt at vi blot er nogle håndfulde på landsplan.
"Kan man ikke forstå det, så må man bare lære det udenad."
LOL, den tror jeg at jeg vil printe ud og hænge op :-)
-
0
-
0
@ Rasmus
Jeg forsøger at holde mine kommenter nede på det centrale.
Hvis man tager sikkerheds diskussionen under den anden artikel - hvor påpeger man så økonomidiskussionen som jeg rejser her?
Problemet er at artikler som denne reelt er grov misinformation der fremstiller en dårlig mockupmodel som en positiv business case. Min pointe er ikke noget Google vs. MS vs. Open Source - det er langt vigtigere.
Vi taler om samfundsudviklingen skal være behovsdrevet som i menneskers behov først eller særinteressedrevet som i Systemer først. Den sidste er ustabil, dvs. bryder sammen.
Jeg kritiserer ikke det specifikke gymnasium eller en teknikker som flikker en teknisk lappeløsning sammen uden at addressere problemerne.
Den offentlige sektor MÅ bare ikke gøre den slags. Selvom Datatilsynet for en gangs skyld pippede om den konkrete problemstilling, så er problemet generelt at tilsynsmyndighederne bare lader stå til.
Vi skal effektivisere den offentlige sektor og vi skal øge sikkerheden. Men det sker ved at man isolerer transaktioner og gør dem kunde/borgerstyrede - ikke ved at man tvangstilpasser borgerne til primitive bureaukratcentralistiske tankegange og kommercielle udnyttelsesmodeller.
Ja, Google er med til at lukke nogle aspekter op, men regningnen er eksorbitant og vi har slet ikke råd til den.
-
0
-
0
@Niels
Nej jeg gør ikke, og det er heller ikke det jeg skriver.
@Stephan
Der er faktisk intet i dit indlæg som jeg er uenig, du har været en stor indflydelse i at gøre mig mere kritisk over for Google Apps. Men det er ikke det min kommentar handler om.
Jeg sigter efter at gøre dig opmærksom på, at du er her, der og alle vegne med din sikkerhedsdiskussion. Ja, du får en masse positiv respons for folk som allerede er mere eller mindre kritisk over for Google Apps. Personligt, bliver irriteret og fanger måske ikke de guldkorn der er. Hvilket er utroligt synd, fordi du har mange gode argumenter og synsvinkler. Og som internettet er bygget op, er der sikkert en eller to derude som har det ligesom mig, og det er synd hvis de ikke får bare lidt af den indsigt du har, fordi de ser en malplaceret diskussion.
Det jeg vil frem til, er at få dig til at vælge dine kampe. Den her artikel er så blottet for politisk, ledelsesmæssig og sikkerhedsmæssig fokus at det er synd at klaske en sikkerhedsdiskussion på den.
-
0
-
0
@ Rasmus
Point taken.
Du må bare gøre dig kalrt at der er et stort skridt fra at bekæmpe det onde og så til at få noget konstuktivt til at ske.
Vhis alle samfundsbehov bliver addresseret med overgreb fremfor bæredygtige løsninger, så er der ingen fornyelseskræfter til at trække samfundet fremad.
Cloud må ikke glippe - ligger persondata først i cloud, kan du godt droppe alle tanker om demokrati og fri markedsdannelse. Vi er i eller anden uhodlbar form for oligopolistisk bureaukrati eller feudal konstruktion.
Der er masser af gammelt skidt som skal ryddes op, men investeringer skal nødvendigvis bruges konstruktivt. Ellers kan det ikke ende godt.
-
0
-
0
Forstår ikke helt problemet, gymnasierne ligger allerede alt deres data (dokumenter, skema, kalender) hos tredjepartsfirmaer.
Så om det ligger hos Google, Lectio eller Fronter er vel i og for sig ligemeget. Eller er det fordi det er Google der er indblandet at der er et problem?
-
0
-
0
Jeg går naturligvis ud fra at man ikke ligger ukrypterede persondata hos 3. part.
Ellers var det nok på tide at få gjort noget ved problermene i stedet for at eskalere dem helt ud af kontrol. Sikkerheden svækkes løbende af den tekniske udvikling og systemintegration og misbruget er hastigt stigende.
Google er en kraftig forværring fordi Google lever af at misbruge persondata uden for den sammenhæng hvor de er opsamlet, dvs. har indbygget en afgrunddyb interessekonflikt (tror du på gratis frokost?). Cloud er en kraftig forværring fordi cloud ikke kan sikres. Google og Cloud er bare no-can-do for persondata - specielt for den offentlige sektor hvor man ikke engang har valgfrihed.
-
0
-
0
Hej Stephan,
Jeg går naturligvis ud fra at man ikke ligger ukrypterede persondata hos 3. part.
Jeg kender ikke meget til Googles Cloud-løsning, men understøtter den, at data lægges krypterede op?
Er der andre Cloud-løsninger, der tilbyder dette?
-
0
-
0
Jesper
Hvad er persondata
og hvad er ikke persondata?
Google Apps understøtter Googles forretningsmodel
Det er ikke et filantropisk foretagende.
Pointen er bare at den offentlige institutioner sælger noget til Google, som de ikke ejer eller har ret til.
-
0
-
0
Man ignorer totalt at Datatilsynet for en sjælden gangs skyld faktisk levede op til deres ansvar.
Det vil klæde Version2 at følge op på dette spørgsmål.
Når det er sagt, så er det ikke sikkert at der er et problem her. Det ser ud til at de to gymnasier kun vil bruge Google Apps til eleverne, mens datatilsynet har udtalt sig om administrationens brug af Google Apps.
-
0
-
0
Hej Stephan,
Hvad er persondata og hvad er ikke persondata?
Det var ikke det jeg spurgte om.
Google Apps understøtter Googles forretningsmodel Det er ikke et filantropisk foretagende. Pointen er bare at den offentlige institutioner sælger noget til Google, som de ikke ejer eller har ret til.
Naturligvis skal Google generere omsætning og overskud, men derfor kunne det jo godt være, at de havde en Cloud-løsning, hvor data blev krypteret derude. Den sky-baserede back-up jeg anvender tilbyder det som en standard ting, så det er jo ikke helt uset, at det bliver tilbudt.
-
0
-
0
Hej Jesper.
Jeg kender ikke meget til Googles Cloud-løsning, men understøtter den, at data lægges krypterede op? Er der andre Cloud-løsninger, der tilbyder dette?
tarsnap (http://www.tarsnap.com) gør og benytter Amazon's skyer, men jeg ved ikke om det er den slags services du tænker på.
Morten
-
0
-
0
Jesper
Problemet er at cloud-funktionen kører i et usikkert rum, dvs. data er ude af kontrol og grundprinippet er derfor at man slet ikke må komme data som kan misbruges ind i den kasse.
Eftersom der ikke er meget vloud-servicen kan gøre med krypterede data udover opbevaring og transport, så er det kritiske at fokusere på hvordan man skaber data som er isoleret til transaktionen, dvs. serverside IKKE kan kobles med andre transaktioner hverken via device eller personinformation.
Man kan ikke sikre cloud indenfor coud, dvs. du skal fokusere på sikkerheden i de klient-dele som styrer adgangen til cloud. Hvis du ikke isolerer transaktionen udefra, så er det et uløseligt problem.
Man skal selvfølgelig ikke antage noget naivt om klient-siden. Der er både hackere og brugere er i sjældne tilfælde kriminelle. Nøglekontrollen skal over i dedikeret hardware så man kan validere transaktioner end-to-end selvom man ikke bør stole på nogen af de mellemliggende enheder.
-
0
-
0
Tilføj kommentar
