eduroam und 802.1X: Sichere WiFi-Authentifizierung für den Hochschulbereich

PODCAST-SKRIPT: eduroam und 802.1X — Sichere WiFi-Authentifizierung für den Hochschulsektor Laufzeit: ca. 10 Minuten Stimme: Britisches Englisch, männlich, Tonfall eines Senior Consultants — selbstbewusst, partnerschaftlich, autoritativ --- [INTRO — 1 Minute] Willkommen zurück. Ich werde Sie in den nächsten zehn Minuten durch eduroam und 802.1X führen — was sie sind, wie sie unter der Haube tatsächlich funktionieren und was Ihr Team wissen muss, bevor Sie eines von beiden bereitstellen oder integrieren. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO an einer Universität, einer Hochschule oder einer Forschungseinrichtung sind — oder wenn Sie ein Betreiber von Veranstaltungsorten sind, der verstehen muss, was Ihre akademischen Besucher von Ihrer Wireless-Infrastruktur erwarten —, dann ist dies das richtige Briefing für Sie. Fangen wir mit dem großen Ganzen an. eduroam steht für „education roaming“. Es ist ein globaler WiFi-Roaming-Dienst, der es Studierenden, Forschenden und Mitarbeitenden von Mitgliedsinstitutionen ermöglicht, sich an jedem teilnehmenden Standort automatisch und sicher mit dem Internet zu verbinden — unter Verwendung der Zugangsdaten ihrer Heimateinrichtung. Keine Captive Portals. Keine Gutscheincodes. Kein Fragen an der Rezeption nach einem Passwort. Der Dienst läuft seit 2003, deckt mittlerweile über 10.000 Institutionen in mehr als 100 Ländern ab und ist der De-facto-Standard für drahtlose Campus-Netzwerke in der weltweiten Hochschulbildung. Wenn Ihr Unternehmen Berührungspunkte mit Universitäten hat — sei es als Hotel in der Nähe eines Campus, als Konferenzzentrum, das akademische Veranstaltungen ausrichtet, oder als öffentliche Bibliothek in einer Universitätsstadt —, ist das Verständnis von eduroam direkt relevant für Ihre Netzwerkstrategie. --- [TECHNISCHER DEEP-DIVE — 5 Minuten] Gut. Gehen wir ins Detail. eduroam basiert auf IEEE 802.1X — dem Standard für die portbasierte Netzwerkzugriffskontrolle. 802.1X definiert ein Framework für die Authentifizierung von Geräten, bevor ihnen Zugriff auf ein Netzwerk gewährt wird. Es wurde ursprünglich für kabelgebundenes Ethernet entwickelt, lässt sich aber nahtlos auf drahtlose Netzwerke übertragen und ist das Fundament dessen, was wir als WPA2-Enterprise- oder WPA3-Enterprise-Sicherheit bezeichnen. Das 802.1X-Modell besteht aus drei Komponenten. Erstens: der Supplicant (Bittsteller) — das ist das Gerät, das versucht, eine Verbindung herzustellen. Das Laptop eines Studenten, das Telefon eines Forschers. Zweitens: der Authenticator (Authentifizierer) — das ist Ihr Netzwerk-Access-Point oder Managed Switch. Er befindet sich zwischen dem Supplicant und dem Rest des Netzwerks und fungiert als Gatekeeper. Drittens: der Authentication Server (Authentifizierungsserver) — fast immer ein RADIUS-Server. RADIUS steht für Remote Authentication Dial-In User Service. Das ist die Komponente, die die Zugangsdaten tatsächlich validiert. So funktioniert der Handshake: Das Gerät des Studierenden verbindet sich mit dem Wireless Access Point. Der Access Point gewährt noch keinen vollständigen Netzwerkzugriff – er öffnet einen sogenannten kontrollierten Port, jedoch nur für EAP-Traffic. EAP steht für Extensible Authentication Protocol. Der Access Point leitet die EAP-Kommunikation zwischen dem Gerät und dem RADIUS-Server weiter. Der RADIUS-Server fordert das Gerät zur Authentifizierung auf, das Gerät antwortet mit den Anmeldedaten – in der Regel Benutzername und Passwort oder ein Zertifikat – und wenn der RADIUS-Server diese akzeptiert, sendet er eine Access-Accept-Nachricht zurück. Der Access Point öffnet daraufhin den vollständigen Netzwerkport. Der gesamte Austausch dauert in einer gut konfigurierten Bereitstellung weniger als zwei Sekunden. Wie baut eduroam nun darauf auf? eduroam nutzt eine hierarchische RADIUS-Proxy-Infrastruktur. Jede teilnehmende Institution betreibt ihren eigenen RADIUS-Server – den sogenannten Identity Provider oder IdP. Wenn ein Student beispielsweise von der University of Manchester das Imperial College London besucht und sich mit der eduroam SSID verbindet, sendet sein Gerät die Anmeldedaten im Format benutzername@manchester.ac.uk. Der RADIUS-Server von Imperial erkennt den Realm – das ist der Teil nach dem @-Symbol – und leitet die Authentifizierungsanfrage an den nationalen RADIUS-Server weiter, der in Großbritannien von Jisc, dem nationalen Forschungs- und Bildungsnetzwerk, betrieben wird. Jisc leitet die Anfrage dann an den RADIUS-Server der University of Manchester weiter, der die Anmeldedaten validiert und ein Accept oder Reject zurücksendet. Die gesamte Kette wird in Millisekunden aufgelöst. Diese Proxy-Kette ermöglicht es, dass eduroam über institutionelle Grenzen hinweg funktioniert, ohne dass vorab gemeinsame Schlüssel (Pre-Shared Keys) zwischen den Institutionen ausgetauscht werden müssen. Jeder Hop in der Kette verwendet ein gemeinsames RADIUS-Geheimnis nur mit seinem direkten Nachbarn. Das tatsächliche Passwort des Studierenden verlässt niemals den RADIUS-Server der Heimateinrichtung – es ist durch den EAP-Tunnel durchgängig geschützt. Wo wir gerade von EAP-Methoden sprechen – hier laufen viele Bereitstellungen schief, also aufgepasst. Die am häufigsten verwendeten EAP-Methoden in eduroam sind PEAP – Protected EAP – und EAP-TLS. PEAP verpackt eine interne Authentifizierungsmethode, meist MSCHAPv2, in einen TLS-Tunnel. Es erfordert ein serverseitiges Zertifikat auf dem RADIUS-Server, aber der Client benötigt lediglich einen Benutzernamen und ein Passwort. EAP-TLS ist die sicherere Option – sie nutzt eine gegenseitige Zertifikatsauthentifizierung, was bedeutet, dass sowohl der Server als auch der Client Zertifikate vorlegen. Die Bereitstellung in großem Maßstab ist schwieriger, da eine PKI zur Ausstellung von Client-Zertifikaten erforderlich ist, aber sie ist im Grunde immun gegen Phishing von Anmeldedaten. Die kritische Sicherheitsanforderung, die viele Institutionen falsch umsetzen, ist die clientseitige Zertifikatsvalidierung. Wenn sich ein Gerät über PEAP mit eduroam verbindet, muss das Gerät das Zertifikat des RADIUS-Servers überprüfen, bevor es Anmeldedaten übermittelt. Wenn das Gerät so konfiguriert ist, dass es jedes Zertifikat akzeptiert, kann ein Angreifer einen gefälschten Access Point einrichten, der die eduroam SSID ausstrahlt, ein selbstsigniertes Zertifikat vorlegen und Anmeldedaten abgreifen. Dies ist ein bekannter Angriffsvektor. Die Lösung besteht darin, Ihre Supplicant-Profile – über MDM für verwaltete Geräte oder über das eduroam Configuration Assistant Tool, bekannt als CAT, für persönliche Geräte – so zu konfigurieren, dass die erwartete Zertifizierungsstelle und der Servername fest hinterlegt sind. Aus Sicht der Standards wird von eduroam-Bereitstellungen erwartet, dass sie der eduroam Policy Service Definition entsprechen. Diese schreibt TLS 1.2 oder höher für alle RADIUS-over-TLS-Verbindungen vor, verbietet die Verwendung schwacher EAP-Methoden wie EAP-MD5 oder LEAP und verlangt, dass alle RADIUS-Proxy-Verbindungen nach Möglichkeit RadSec – RADIUS over TLS – anstelle von einfachem UDP-RADIUS verwenden. Dies deckt sich mit den NCSC-Richtlinien in Großbritannien und NIST SP 800-120 in den USA. Ein weiterer technischer Punkt, der hervorgehoben werden sollte: die VLAN-Zuweisung. In einer gut architektonisch aufgebauten eduroam-Bereitstellung enthält die RADIUS-Access-Accept-Antwort VLAN-Attribute, die dem Access Point mitteilen, welchem VLAN das verbindende Gerät zugewiesen werden soll. Dies ermöglicht Ihnen die Segmentierung des Datenverkehrs – so können Sie Gaststudenten in ein eingeschränktes VLAN mit reinem Internetzugang leiten, während Ihre eigenen Mitarbeiter in das interne Netzwerk geroutet werden. Dies ist für die Compliance unerlässlich, insbesondere wenn Sie PCI DSS unterliegen oder eine Trennung zwischen Forschungsdatennetzwerken und dem allgemeinen Internetverkehr aufrechterhalten müssen. --- [EMPFEHLUNGEN ZUR IMPLEMENTIERUNG UND FALLSTRICKE — 2 Minuten] Lassen Sie mich Ihnen die praktischen Ratschläge geben. Wenn Sie eduroam zum ersten Mal bereitstellen, sollte Ihr erster Ansprechpartner Ihr nationales NREN sein – in Großbritannien ist das Jisc, in Irland HEAnet, in den USA Internet2. Diese verwalten die Mitgliedschaft in der Föderation und weisen Ihnen einen RADIUS-Realm zu. Sie können nicht an eduroam teilnehmen, ohne Mitglied Ihrer nationalen Föderation zu sein. Ihre Infrastruktur-Checkliste: Sie benötigen 802.1X-fähige Access Points – jedes Enterprise-Gerät von Cisco, Aruba, Juniper, Ruckus oder Ubiquiti UniFi ist dafür geeignet. Sie benötigen einen RADIUS-Server – FreeRADIUS ist der Open-Source-Standard, oder Sie können Microsoft NPS, Cisco ISE oder Aruba ClearPass verwenden. Sie benötigen ein gültiges TLS-Zertifikat für Ihren RADIUS-Server von einer CA, der die eduroam-Community vertraut – in der Regel ein Zertifikat aus der PKI Ihrer Institution oder von einer kommerziellen CA auf der von eduroam zugelassenen Liste. Die drei häufigsten Bereitstellungsfehler, die ich sehe, sind: Erstens, eine Fehlkonfiguration der Zertifikate – entweder ist das RADIUS-Zertifikat abgelaufen oder die Client-Supplicant-Profile sind nicht korrekt gepinnt. Zweitens, RADIUS-Proxy-Timeouts – wenn Ihre Upstream-NREN-Verbindung Latenzprobleme hat, kommt es zu einem Timeout bei der Authentifizierung, und Benutzer sehen Verbindungsfehler, die wie Anmeldefehler aussehen. Drittens, VLAN-Fehlkonfiguration – Gastbenutzer landen im falschen Netzwerksegment und erhalten entweder keinen Internetzugang oder, was noch schlimmer ist, Zugriff auf interne Ressourcen, die sie nicht sehen sollten. Auf der Client-Seite sollten Sie eduroam CAT-Profile über Ihre MDM-Plattform auf allen verwalteten Geräten bereitstellen. Veröffentlichen Sie für persönliche Geräte den Link zum CAT-Installer gut sichtbar. Dieser einzige Schritt eliminiert die Mehrheit der Support-Tickets. Für Veranstaltungsorte, die keine Hochschuleinrichtungen sind, aber eduroam-Zugang anbieten möchten – Konferenzzentren, Hotels und ähnliche –, nennt sich das Verfahren eduroam Visitor Access, oder eVA. Es ermöglicht Organisationen, die kein Mitglied sind, die eduroam SSID bereitzustellen und die Authentifizierung an die Föderation weiterzuleiten, ohne Vollmitglieder zu sein. Es lohnt sich, dies zu prüfen, wenn Sie regelmäßig akademische Konferenzen oder Universitätsveranstaltungen ausrichten. --- [SCHNELLE FRAGEN & ANTWORTEN — 1 Minute] Häufige Fragen, die mir regelmäßig gestellt werden. "Kann eduroam unser Gäste-WiFi vollständig ersetzen?" Nein. eduroam funktioniert nur für Benutzer, die Zugangsdaten einer Mitgliedsinstitution besitzen. Sie benötigen weiterhin eine separate Gäste-WiFi-Lösung für alle anderen – Besucher, Auftragnehmer, die breite Öffentlichkeit. "Ist eduroam konform mit der GDPR?" Ja, mit Einschränkungen. Die Föderationsarchitektur bedeutet, dass Ihre Institution Authentifizierungsdaten verarbeitet. Sie müssen jedoch sicherstellen, dass Ihre Datenschutzerklärungen dies abdecken und Ihre RADIUS-Protokolle angemessen behandelt werden. "Können wir WPA3 mit eduroam verwenden?" Ja. WPA3-Enterprise ist vollständig kompatibel mit 802.1X und ist der empfohlene Standard für neue Bereitstellungen. Es fügt eine 192-Bit-Verschlüsselung für Hochsicherheitsumgebungen hinzu. "Was ist der Unterschied zwischen eduroam und OpenRoaming?" OpenRoaming ist eine breitere Brancheninitiative der Wireless Broadband Alliance, die dieselbe 802.1X- und RADIUS-Proxy-Architektur nutzt, das Roaming jedoch über den Bildungsbereich hinaus auf kommerzielle Veranstaltungsorte ausdehnt. Einige Plattformen, darunter Purple, unterstützen OpenRoaming als Teil ihres Gäste-WiFi-Angebots. --- [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE — 1 Minute] Zusammenfassend lässt sich sagen: eduroam ist ein ausgereifter, gut verwalteter und weltweit eingesetzter WiFi-Roaming-Dienst, der auf 802.1X und einer hierarchischen RADIUS-Proxy-Infrastruktur basiert. Er bietet eine Authentifizierung pro Benutzer, starke Verschlüsselung und nahtloses Roaming in über 10.000 Institutionen – ohne gemeinsame Passwörter oder Captive Portals. Für IT-Teams, die ein Campus-WLAN bereitstellen oder aktualisieren: Bevorzugen Sie EAP-TLS gegenüber PEAP, sofern Ihre PKI dies unterstützt, erzwingen Sie die Zertifikatsvalidierung auf allen Client-Profilen, verwenden Sie RadSec für alle RADIUS-Proxy-Verbindungen und segmentieren Sie Gastbenutzer in ein dediziertes VLAN. Für Betreiber von Veranstaltungsorten: Wenn Sie regelmäßig akademische Besucher empfangen, informieren Sie sich über den eduroam Visitor Access. Und unabhängig davon, ob Sie eduroam einsetzen, sollte Ihre Gäste-WiFi-Infrastruktur auf 802.1X-Prinzipien der Enterprise-Klasse basieren – nicht auf gemeinsam genutzten PSKs. Wenn Sie tiefer in diese Themen einsteigen möchten – RADIUS-Architektur, PKI-Design für EAP-TLS oder wie Plattformen wie Purple mit eduroam und OpenRoaming integriert werden –, finden Sie den Link zum vollständigen schriftlichen Leitfaden in den Shownotes. Vielen Dank fürs Zuhören. Bis zum nächsten Mal. --- ENDE DES SKRIPTS