Das Portal id.ac-versailles.fr basiert auf einem SSO-Authentifizierungssystem (Single Sign-On), das den Zugang zu Arena, IProf und der akademischen E-Mail zentralisiert. Seit Ende 2024 hat die Akademie von Versailles mit einer schrittweisen Einführung der Multi-Faktor-Authentifizierung für diese Dienste begonnen, mit einem massiven Rollout-Plan bis 2026. Die technischen Mechanismen hinter dieser Entwicklung zu verstehen, ermöglicht es, die Änderungen vorherzusehen und seine Praktiken bereits jetzt anzupassen.
TOTP-Protokoll und Token-Ablauf auf id.ac Versailles
Der zweite Faktor, der auf id.ac-versailles.fr angeboten wird, basiert auf einem einmaligen OTP-Token, das gemäß dem TOTP-Protokoll (Time-based One-Time Password) generiert wird. Dieser temporäre Code, der vom Hauptpasswort getrennt ist, ändert sich alle paar Dutzend Sekunden.
Der Server vergleicht den eingegebenen Code mit dem auf Serverseite aus einem gemeinsamen Geheimnis und dem Zeitstempel berechneten Code. Wenn die Uhr des Benutzers abweicht (schlecht synchronisiertes Telefon, zwischengespeicherter Browser), wird der Code abgelehnt, selbst wenn er gerade kopiert wurde. Diese Zeitabweichung ist die häufigste Ursache für Verbindungsprobleme bei mobilen Verbindungen zu Arena.
Damit der Mechanismus funktioniert, muss die Authentifizierungsanwendung (Microsoft Authenticator, FreeOTP, Google Authenticator) die gleiche Zeitreferenz wie der akademische Server verwenden. Die automatische Zeitsynchronisation auf dem Smartphone vor jeder Eingabe zu überprüfen, beseitigt die Mehrheit der Validierungsfehler. Ein detaillierter Leitfaden hilft dabei, die Authentifizierung auf id.ac Versailles zu sichern, indem diese technischen Einschränkungen berücksichtigt werden.
Generalisierte MFA auf Arena und IProf: Akademischer Zeitplan 2025-2026
Die Akademie von Versailles hat die MFA seit Ende 2024 für bestimmte Module von IProf und Arena verpflichtend gemacht. Die nächste Phase, die für 2025-2026 geplant ist, erweitert diese Verpflichtung auf das akademische Webmail, mit der Abschaffung externer Weiterleitungen und der Verschärfung der IMAP/SMTP-Protokolle auf TLS und OAuth2.
Dieser Kurs geht über die bloße Hinzufügung eines zweiten Faktors hinaus. Der Übergang zu OAuth2 für E-Mail-Clients ersetzt die Authentifizierung mit Klartextpasswort in den E-Mail-Protokollen. Konkret müssen Programme wie Thunderbird oder Outlook so konfiguriert werden, dass sie ein OAuth2-Token anstelle des lokal gespeicherten Benutzername/Passwort-Paares verwenden.
Benutzer, die alte E-Mail-Clients oder veraltete IMAP-Konfigurationen verwenden, müssen ihre Einstellungen aktualisieren. Ohne dieses Update wird der Zugriff auf das Webmail von Versailles verweigert, sobald der Wechsel vollzogen ist.
Was dieser Rollout für die täglichen Benutzer ändert
- Jede neue Sitzung auf Arena oder IProf erfordert einen TOTP-Code oder eine Push-Bestätigung, auch von einem Arbeitsplatz in der Einrichtung
- Weiterleitungen zu Drittanbieter-Login-Seiten werden abgeschafft, wodurch die Phishing-Angriffsfläche verringert wird
- Passwörter müssen strengere Komplexitätskriterien erfüllen (erhöhte Mindestlänge, Verbot der Wiederverwendung alter Passwörter)
Robustes Passwort, das häufige Eingaben auf id.ac Versailles unterstützt
Ein langes und komplexes Passwort verliert seine Nützlichkeit, wenn es den Benutzer dazu bringt, es auf einem Post-it oder in einer unverschlüsselten Textdatei zu speichern. Die Passphrase bleibt der beste Kompromiss zwischen Robustheit und Merkbarkeit für den täglichen akademischen Gebrauch.
Eine Passphrase aus vier bis fünf Wörtern ohne logischen Zusammenhang (zum Beispiel eine Reihe zufälliger Substantive, die durch ein Sonderzeichen getrennt sind) bietet eine höhere Entropie als ein Passwort aus acht Zeichen mit Großbuchstaben und Symbolen. Sie lässt sich schneller eingeben und besser merken.
Passwortmanager und akademisches Umfeld
Auf einem geteilten Arbeitsplatz im Lehrerzimmer stellt ein lokal installierter Passwortmanager ein Sicherheitsproblem dar: Die Datenbank bleibt für den nächsten Benutzer zugänglich, wenn die Sitzung nicht gesperrt ist. Die Bevorzugung eines Managers mit biometrischer Entsperrung auf persönlichen Geräten umgeht dieses Risiko.
Auf einem festen Arbeitsplatz in der Einrichtung bleibt die beste Option die manuelle Eingabe der Passphrase in Kombination mit dem TOTP-Code. Kein Passwort sollte im Browser eines gemeinsam genutzten Computers gespeichert werden.
Zielgerichtetes Phishing auf akademische Portale: Angriffe 2026 erkennen
Phishing-Kampagnen, die auf akademische Konten abzielen, reproduzieren die Login-Seite von id.ac-versailles.fr mit zunehmender Genauigkeit. MFA verringert das Risiko, beseitigt es jedoch nicht: Techniken wie Adversary-in-the-Middle fangen das TOTP-Token in Echtzeit ab, zwischen der Eingabe des Benutzers und dem legitimen Server.
Zwei technische Reflexe helfen, diese Angriffe zu vereiteln:
- Systematisch überprüfen, dass die URL in der Adresszeile genau mit https://id.ac-versailles.fr beginnt, ohne orthografische Varianten oder ungewöhnliche Subdomains
- Nie auf einen Login-Link klicken, der per akademischer E-Mail empfangen wurde: Auf das Portal zugreifen, indem man die Adresse manuell eingibt oder über ein gespeichertes Lesezeichen
- Push-Benachrichtigungen aktivieren, anstatt den TOTP-Code manuell einzugeben, wenn die Akademie dies anbietet, da die Benachrichtigung die IP-Adresse und den Standort des Anmeldeversuchs anzeigt
Akademisches Phishing nutzt oft die Zeiten des Schulbeginns oder der Versetzung, wenn neue Mitarbeiter ihre Anmeldedaten entdecken. Die ersten Anmeldungen sind am anfälligsten, da der Benutzer die legitime Benutzeroberfläche noch nicht kennt und visuelle Unterschiede nicht erkennt.
Sitzungssicherheit und gemeinsam genutzte Terminals in der Einrichtung
Die Lebensdauer einer SSO-Sitzung auf id.ac-versailles.fr bestimmt, wie lange ein Benutzer angemeldet bleibt, ohne seine Anmeldedaten erneut eingeben zu müssen. Auf einem persönlichen Terminal verbessert eine lange Sitzung den Komfort. Auf einem gemeinsamen Arbeitsplatz schafft sie jedoch eine Sicherheitslücke.
Das Schließen des Tabs reicht nicht aus, um die Sitzung zu beenden. Das Sitzungscookie bleibt bis zur Ablauffrist oder einer expliziten Löschung bestehen. Die Abmeldung über die dafür vorgesehene Schaltfläche im Portal ist die einzige zuverlässige Methode, um das Token auf Serverseite ungültig zu machen.
Auf den Geräten der Einrichtung sollte der Browser so konfiguriert werden, dass Cookies beim Schließen automatisch gelöscht werden, um eine zusätzliche Schutzschicht hinzuzufügen. Diese Maßnahme ersetzt nicht die manuelle Abmeldung, begrenzt jedoch die Schäden im Falle eines Vergessens.
Die Einführung der generalisierten MFA für alle akademischen Dienste in Versailles macht diese Sitzungsvorkehrungen umso relevanter: Ein gestohlenes TOTP-Token hat nur während seines Gültigkeitszeitraums Wert, aber ein aktives Sitzungscookie gewährt vollständigen Zugang ohne zweiten Faktor bis zu seinem Ablauf.