LTI 1.3 · Vertrauen

Trust-Ledger

DE | EN

Wer haelt nach der Registrierung welchen Wert - und woher stammt das Vertrauen darin? Dieselbe Beziehung, aus beiden Blickwinkeln.

Wie das Vertrauen entsteht

0

Out-of-band

Der Betreiber uebergibt der Schule die Registrierungs-URL und einen Zugangscode. Das geschieht ausserhalb des Protokolls - per Vertrag, Mail, Ticket. Es ist der einzige menschlich gepruefte Schritt und die Erlaubnis, ueberhaupt eine Vertrauensbeziehung aufzubauen.

1

Registrierung

Das Tool prueft den Zugangscode, liest die Konfiguration der Plattform, meldet sich selbst an. Erst jetzt tauschen beide Seiten IDs und die JWKS-URLs aus, mit denen sie spaeter Signaturen pruefen. Einmalig.

2

Laufender Betrieb

Bei jedem Launch signiert die Plattform ihr JWT, das Tool prueft es gegen die Plattform-JWKS - und umgekehrt fuer Noten (AGS) und Teilnehmerliste (NRPS). Kein Schluesseltausch mehr, dazu bei jedem Aufruf die Lizenzpruefung.

Was jede Seite jetzt haelt
WertMoodle (Plattform)ToolHerkunft / Vertrauensbasis
Issuer (Plattform-Identitaet)https://moodle.bzu.cheigener Werthttps://moodle.bzu.chgespeichertIdentitaet der Plattform; beidseitig bekannt.
client_idnach ZugangscodebgDUvGD82ysDLIkeigener WertbgDUvGD82ysDLIkgespeichertVon der Plattform bei der Registrierung vergeben.
deployment_idnach Zugangscode12eigener Wert12gespeichertVon der Plattform erzeugt; ggf. beim ersten Launch ergaenzt.
Authorization-Endpoint (Plattform)nach Zugangscodehttps://moodle.bzu.ch/mod/lti/auth.phpeigener Werthttps://moodle.bzu.ch/mod/lti/auth.phpgespeichertAus der openid-configuration der Plattform gelesen.
Token-Endpoint (Plattform)nach Zugangscodehttps://moodle.bzu.ch/mod/lti/token.phpeigener Werthttps://moodle.bzu.ch/mod/lti/token.phpgespeichertAus der openid-configuration der Plattform gelesen.
JWKS-URL der PlattformVertrauenswurzelhttps://moodle.bzu.ch/mod/lti/certs.phpeigener Werthttps://moodle.bzu.ch/mod/lti/certs.phpgespeichertAus der openid-configuration; hiermit prueft das Tool die Plattform-Signatur.
Login-URL des Toolshttps://lti.mybzu.ch/logingespeicherthttps://lti.mybzu.ch/logineigener WertVom Tool bei der Registrierung an die Plattform gemeldet.
Launch-URL des Toolshttps://lti.mybzu.ch/launchgespeicherthttps://lti.mybzu.ch/launcheigener WertVom Tool gemeldet; einzige URL, an die die Plattform starten darf.
JWKS-URL des ToolsVertrauenswurzelhttps://lti.mybzu.ch/jwksgespeicherthttps://lti.mybzu.ch/jwkseigener WertVom Tool gemeldet; hiermit prueft die Plattform die Tool-Signatur.
Lizenzstatuskennt es nichtactivegespeichertRein tool-intern, bei jedem Login/Launch neu geprueft.
nach ZugangscodeErst nach bestandenem Zugangscode geholt - ohne die Erlaubnis aus Phase 0 stuende in diesen Zeilen nichts.
VertrauenswurzelDie beiden JWKS-URLs sind die eigentliche Vertrauenswurzel: damit prueft jede Seite die Signatur der anderen.

Drei Dinge, die der Ledger zeigt