Eduroam und 802.1X: Sichere WiFi Authentifizierung für den Hochschulbereich | Purple

PODCAST-SKRIPT: eduroam und 802.1X - Sichere WiFi-Authentifizierung für den Hochschulbereich Laufzeit: ca. 10 Minuten Stimme: Britische Stimme, männlich, Tonfall eines Senior-Beraters - selbstbewusst, locker, autoritativ --- [INTRO - 1 Minute] Willkommen zurück. Ich werde Sie in den nächsten zehn Minuten durch eduroam und 802.1X führen - was sie sind, wie sie unter der Haube tatsächlich funktionieren und was Ihr Team wissen muss, bevor Sie eines von beiden bereitstellen oder integrieren. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO an einer Universität, Hochschule oder Forschungseinrichtung sind - oder wenn Sie ein Betreiber von Veranstaltungsorten sind, der verstehen muss, was Ihre akademischen Besucher von Ihrer Wireless-Infrastruktur erwarten -, dann ist dies das richtige Briefing für Sie. Fangen wir mit dem Gesamtbild an. eduroam steht für "education roaming". Es ist ein globaler WiFi-Roaming-Dienst, der es Studierenden, Forschenden und Mitarbeitenden von Mitgliedsinstitutionen ermöglicht, sich an jedem teilnehmenden Standort automatisch und sicher mit dem Internet zu verbinden - unter Verwendung der Zugangsdaten ihrer Heimatbehörde. Keine Gästeportale. Keine Gutscheincodes. Kein Fragen an der Rezeption nach einem Passwort. Der Dienst läuft seit 2003, deckt heute über 10.000 Institutionen in mehr als 100 Ländern ab und ist der De-facto-Standard für drahtlose Campus-Netzwerke in der Hochschulbildung weltweit. Wenn Ihre Organisation Überschneidungen mit Universitäten hat - sei es als Hotel in der Nähe eines Campus, als Konferenzzentrum, das akademische Veranstaltungen ausrichtet, oder als öffentliche Bibliothek in einer Universitätsstadt -, ist das Verständnis von eduroam direkt relevant für Ihre Netzwerkstrategie. --- [TECHNISCHER DEEP-DIVE - 5 Minuten] Gut. Gehen wir ins Detail. eduroam basiert auf IEEE 802.1X - dem Standard für portbasierte Netzwerkzugriffskontrolle. 802.1X definiert ein Framework zur Authentifizierung von Geräten, bevor ihnen Zugriff auf ein Netzwerk gewährt wird. Es wurde ursprünglich für kabelgebundenes Ethernet entwickelt, lässt sich aber nahtlos auf Wireless übertragen und ist das Fundament dessen, was wir als WPA2-Enterprise- oder WPA3-Enterprise-Sicherheit bezeichnen. Das 802.1X-Modell besteht aus drei Komponenten. Erstens der Supplicant - das ist das Gerät, das versucht, eine Verbindung herzustellen. Der Laptop eines Studenten, das Telefon einer Forscherin. Zweitens der Authenticator - das ist Ihr Netzwerk-Access-Point oder Managed Switch. Er sitzt zwischen dem Supplicant und dem restlichen Netzwerk und fungiert als Gatekeeper. Drittens der Authentication Server - fast immer ein RADIUS-Server. RADIUS steht für Remote Authentication Dial-In User Service. Dies ist die Komponente, die die Zugangsdaten tatsächlich überprüft. So funktioniert der Handshake. Das Gerät des Studierenden verbindet sich mit dem Wireless Access Point. Der Access Point gewährt noch keinen vollen Netzwerkzugriff - er öffnet einen sogenannten kontrollierten Port, jedoch nur für EAP-Traffic. EAP steht für Extensible Authentication Protocol. Der Access Point leitet die EAP-Kommunikation zwischen dem Gerät und dem RADIUS-Server weiter. Der RADIUS-Server fordert das Gerät zur Authentifizierung auf, das Gerät antwortet mit Anmeldedaten - in der Regel Benutzername und Passwort oder ein Zertifikat - und wenn der RADIUS-Server diese akzeptiert, sendet er eine Access-Accept-Nachricht zurück. Der Access Point öffnet dann den vollständigen Netzwerk-Port. In einer gut konfigurierten Bereitstellung dauert dieser gesamte Austausch weniger als zwei Sekunden. Wie fügt sich eduroam hier ein? eduroam nutzt eine hierarchische RADIUS-Proxy-Infrastruktur. Jede teilnehmende Einrichtung betreibt ihren eigenen RADIUS-Server - den sogenannten Identity Provider oder IdP. Wenn beispielsweise ein Student der University of Manchester das Imperial College London besucht und sich mit der eduroam SSID verbindet, sendet sein Gerät die Anmeldedaten im Format benutzername@manchester.ac.uk. Der RADIUS-Server von Imperial erkennt den Realm - das ist der Teil nach dem @-Symbol - und leitet die Authentifizierungsanfrage an den nationalen RADIUS-Server weiter, der im Vereinigten Königreich von Jisc, dem nationalen Forschungs- und Bildungsnetzwerk, betrieben wird. Jisc leitet die Anfrage dann an den RADIUS-Server der University of Manchester weiter, der die Anmeldedaten validiert und ein Accept oder Reject zurücksendet. Die gesamte Kette wird in Millisekunden aufgelöst. Diese Proxy-Kette ermöglicht es, dass eduroam über Einrichtungsgrenzen hinweg funktioniert, ohne dass vorab gemeinsame Secrets zwischen den Institutionen ausgetauscht werden müssen. Jeder Hop in der Kette nutzt ein gemeinsames RADIUS-Secret nur mit seinem direkten Nachbarn. Das tatsächliche Passwort des Studierenden verlässt niemals den RADIUS-Server der Heimateinrichtung - es ist durchgehend durch den EAP-Tunnel geschützt. Apropos EAP-Methoden - hier treten bei vielen Bereitstellungen Fehler auf, passen Sie also gut auf. Die am häufigsten genutzten EAP-Methoden in eduroam sind PEAP - Protected EAP - und EAP-TLS. PEAP verpackt eine innere Authentifizierungsmethode, meist MSCHAPv2, in einen TLS-Tunnel. Es erfordert ein serverseitiges Zertifikat auf dem RADIUS-Server, aber der Client benötigt nur einen Benutzernamen und ein Passwort. EAP-TLS ist die sicherere Option - es nutzt eine gegenseitige Zertifikatsauthentifizierung, was bedeutet, dass sowohl der Server als auch der Client Zertifikate vorlegen. Die Skalierung bei der Bereitstellung ist aufwendiger, da eine PKI zur Ausstellung von Client-Zertifikaten benötigt wird, aber es ist im Grunde immun gegen Credential-Phishing. Die kritische Sicherheitsanforderung, die viele Institutionen falsch machen, ist die zertifikatsseitige Validierung auf der Client-Seite. Wenn sich ein Gerät über PEAP mit eduroam verbindet, muss das Gerät das Zertifikat des RADIUS-Servers überprüfen, bevor es Anmeldedaten übermittelt. Wenn das Gerät so falsch konfiguriert ist, dass es jedes Zertifikat akzeptiert, kann ein Angreifer einen betrügerischen Access Point einrichten, der die eduroam SSID ausstrahlt, ein selbstsigniertes Zertifikat vorlegen und Anmeldedaten abgreifen. Dies ist ein bekannter Angriffsvektor. Die Lösung besteht darin, Ihre Supplicant-Profile - über MDM für verwaltete Geräte oder über das eduroam Configuration Assistant Tool, bekannt als CAT, für persönliche Geräte - so zu konfigurieren, dass sie die erwartete Zertifizierungsstelle und den Servernamen anpinnen. Aus Sicht der Standards wird von eduroam-Bereitstellungen erwartet, dass sie mit der eduroam Policy Service Definition übereinstimmen, die TLS 1.2 oder höher für alle RADIUS-over-TLS-Verbindungen vorschreibt, die Verwendung schwacher EAP-Methoden wie EAP-MD5 oder LEAP verbietet und verlangt, dass alle RADIUS-Proxy-Verbindungen nach Möglichkeit RadSec - RADIUS over TLS - anstelle von einfachem UDP RADIUS verwenden. Dies deckt sich mit den NCSC-Richtlinien im Vereinigten Königreich und NIST SP 800-120 in den USA. Ein weiterer technischer Punkt, der hervorgehoben werden sollte: die VLAN-Zuweisung. In einer gut durchdachten eduroam-Bereitstellung enthält die RADIUS-Access-Accept-Antwort VLAN-Attribute, die dem Access Point mitteilen, welchem VLAN das verbindende Gerät zugewiesen werden soll. Auf diese Weise können Sie den Datenverkehr segmentieren - so können Sie Gaststudenten in ein eingeschränktes VLAN mit reinem Internetzugang leiten, während Ihre eigenen Mitarbeiter in das interne Netzwerk weitergeleitet werden. Dies ist für die Compliance unerlässlich, insbesondere wenn Sie PCI-DSS unterliegen oder die Trennung zwischen Forschungsdatennetzwerken und allgemeinem Internetverkehr aufrechterhalten müssen. - - - [IMPLEMENTIERUNGSEMPFEHLUNGEN UND STRUCHELSTEINE - 2 Minuten] Lassen Sie mich Ihnen einige praktische Ratschläge geben. Wenn Sie eduroam zum ersten Mal bereitstellen, sollte Ihr erster Anruf bei Ihrem nationalen NREN eingehen - im Vereinigten Königreich ist das Jisc, in Irland HEAnet, in den USA Internet2. Diese verwalten die Verbundmitgliedschaft und weisen Ihnen einen RADIUS-Realm zu. Sie können nicht an eduroam teilnehmen, ohne Mitglied Ihres nationalen Verbunds zu sein. Ihre Infrastruktur-Checkliste: Sie benötigen 802.1X-fähige Access Points - jedes professionelle Equipment von Cisco, Aruba, Juniper, Ruckus oder Ubiquiti UniFi ist dafür geeignet. Sie benötigen einen RADIUS-Server - FreeRADIUS ist der Open-Source-Standard, oder Sie können Microsoft NPS, Cisco ISE oder Aruba ClearPass verwenden. Sie benötigen ein gültiges TLS-Zertifikat für Ihren RADIUS-Server von einer Zertifizierungsstelle, der die eduroam-Community vertraut - in der Regel ein Zertifikat aus der PKI Ihrer Institution oder von einer kommerziellen Zertifizierungsstelle auf der genehmigten eduroam-Liste. Die drei häufigsten Fehler bei der Bereitstellung, die ich beobachte, sind: Erstens eine Fehlkonfiguration der Zertifikate - entweder ist das RADIUS-Zertifikat abgelaufen oder die Client-Supplicant-Profile sind nicht richtig verknüpft. Zweitens RADIUS-Proxy-Timeouts - wenn Ihre Upstream-Verbindung zum NREN Latenzprobleme hat, läuft die Authentifizierung ab und Benutzer sehen Verbindungsfehler, die wie Anmeldeinformationsfehler aussehen. Drittens VLAN-Fehlkonfigurationen - Gastbenutzer landen im falschen Netzwerksegment und erhalten entweder keinen Internetzugang oder, was noch schlimmer ist, Zugriff auf interne Ressourcen, die sie nicht sehen sollten. Auf der Client-Seite sollten Sie eduroam CAT-Profile über Ihre MDM-Plattform auf allen verwalteten Geräten bereitstellen. Für private Geräte sollten Sie den Link zum CAT-Installer gut sichtbar veröffentlichen. Dieser einzige Schritt eliminiert die Mehrheit der Support-Tickets. Für Standorte, die keine Hochschuleinrichtungen sind, aber eduroam-Zugang anbieten möchten - wie Konferenzzentren, Hotels und ähnliche - nennt sich dieser Prozess eduroam Visitor Access, oder eVA. Er ermöglicht es Organisationen, die kein Mitglied sind, die eduroam SSID bereitzustellen und die Authentifizierung an die Föderation weiterzuleiten, ohne Vollmitglieder zu sein. Es lohnt sich, dies zu prüfen, wenn Sie regelmäßig akademische Konferenzen oder Universitätsveranstaltungen ausrichten. - [SCHNELLES Q&A - 1 Minute] Schnelle Fragen, die mir regelmäßig gestellt werden. "Kann eduroam unser Gäste WiFi komplett ersetzen?" Nein. eduroam funktioniert nur für Benutzer, die über Zugangsdaten einer Mitgliedsinstitution verfügen. Für alle anderen - Besucher, Auftragnehmer, die allgemeine Öffentlichkeit - benötigen Sie weiterhin eine separate Gäste WiFi Lösung. "Ist eduroam konform mit der GDPR?" Ja, mit Einschränkungen. Die Föderationsarchitektur bedeutet, dass Ihre Institution Authentifizierungsdaten verarbeitet, aber Sie müssen sicherstellen, dass Ihre Datenschutzerklärungen dies abdecken und Ihre RADIUS-Logs angemessen behandelt werden. "Können wir WPA3 mit eduroam nutzen?" Ja. WPA3-Enterprise ist vollständig kompatibel mit 802.1X und ist der empfohlene Standard für neue Bereitstellungen. Es fügt eine 192-Bit-Verschlüsselung für hochsichere Umgebungen hinzu. "Was ist der Unterschied zwischen eduroam und OpenRoaming?" OpenRoaming ist eine breitere Brancheninitiative der Wireless Broadband Alliance, die dieselbe 802.1X- und RADIUS-Proxy-Architektur nutzt, das Roaming jedoch über den Bildungsbereich hinaus auf kommerzielle Standorte ausdehnt. Einige Plattformen, einschließlich Purple, unterstützen OpenRoaming als Teil ihres Gäste-WiFi-Angebots. - [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - 1 Minute] Fazit: eduroam ist ein ausgereifter, gut verwalteter und weltweit eingesetzter WiFi-Roaming-Dienst, der auf 802.1X und einer hierarchischen RADIUS-Proxy-Infrastruktur basiert. Er bietet Authentifizierung pro Benutzer, starke Verschlüsselung und nahtloses Roaming in über 10.000 Institutionen - ohne gemeinsame Passwörter oder Captive Portals. Für IT-Teams, die das Campus-WLAN bereitstellen oder aktualisieren: Priorisieren Sie EAP-TLS gegenüber PEAP, wo Ihre PKI dies unterstützen kann, erzwingen Sie die Zertifikatsvalidierung für alle Client-Profile, nutzen Sie RadSec für alle RADIUS-Proxy-Verbindungen und segmentieren Sie Gastbenutzer in ein dediziertes VLAN.Für Betreiber von Veranstaltungsorten: Wenn Sie regelmäßig akademische Besucher empfangen, prüfen Sie eduroam Visitor Access. Und unabhängig davon, ob Sie eduroam bereitstellen oder nicht: Ihre Gast-WiFi-Infrastruktur sollte auf 802.1X-Prinzipien der Enterprise-Klasse aufbauen - nicht auf gemeinsam genutzten PSKs. Wenn Sie tiefer in diese Themen einsteigen möchten - RADIUS-Architektur, PKI-Design für EAP-TLS oder die Integration von Plattformen wie Purple mit eduroam und OpenRoaming -, finden Sie den Link zum vollständigen schriftlichen Leitfaden in den Show Notes. Vielen Dank fürs Zuhören. Bis zum nächsten Mal. --- ENDE DES SKRIPTS