eduroam und 802.1X: Sichere WiFi Authentifizierung für die Hochschulbildung

PODCAST-SKRIPT: eduroam und 802.1X - Sichere WiFi Authentifizierung für die Hochschulbildung Laufzeit: ca. 10 Minuten Stimme: Britisches Englisch, männlich, Tonfall eines Senior Consultants - selbstbewusst, locker, autoritativ --- [INTRO - 1 Minute] Willkommen zurück. Ich werde Sie in den nächsten zehn Minuten durch eduroam und 802.1X führen - was sie sind, wie sie unter der Haube tatsächlich funktionieren und was Ihr Team wissen muss, bevor Sie eine der beiden Lösungen bereitstellen oder integrieren. Wenn Sie IT-Manager, Netzwerkarchitekt oder CTO an einer Universität, einer Hochschule oder einer Forschungseinrichtung sind - oder wenn Sie als Betreiber eines Veranstaltungsorts verstehen müssen, was Ihre akademischen Besucher von Ihrer drahtlosen Infrastruktur erwarten - dann ist dies das richtige Briefing für Sie. Fangen wir mit dem großen Ganzen an. eduroam steht für "education roaming". Es ist ein globaler WiFi Roaming-Dienst, mit dem sich Studierende, Forschende und Mitarbeitende von Mitgliedseinrichtungen an jedem teilnehmenden Standort automatisch und sicher mit dem Internet verbinden können - und zwar mit den Zugangsdaten ihrer Heimateinrichtung. Keine Captive Portals. Keine Gutscheincodes. Kein Fragen an der Rezeption nach einem Passwort. Es läuft seit 2003, deckt mittlerweile über 10.000 Institutionen in mehr als 100 Ländern ab und ist der De-facto-Standard für drahtlose Campus-Netzwerke in der Hochschulbildung weltweit. Wenn sich Ihre Organisation mit Universitäten überschneidet - sei es als Hotel in der Nähe eines Campus, als Konferenzzentrum, das akademische Veranstaltungen ausrichtet, oder als öffentliche Bibliothek in einer Universitätsstadt - ist das Verständnis von eduroam für Ihre Netzwerkstrategie von direkter Bedeutung. --- [TECHNISCHER DEEP-DIVE - 5 Minuten] Gut. Gehen wir auf die Details ein. eduroam basiert auf IEEE 802.1X - dem Standard für die portbasierte Netzwerkzugriffskontrolle. 802.1X definiert ein Framework zur Authentifizierung von Geräten, bevor ihnen Zugriff auf ein Netzwerk gewährt wird. Er wurde ursprünglich für kabelgebundenes Ethernet entwickelt, lässt sich aber nahtlos auf drahtlose Netzwerke übertragen und ist die Grundlage für das, was wir als WPA2-Enterprise- oder WPA3-Enterprise-Sicherheit bezeichnen. Das 802.1X-Modell besteht aus drei Komponenten. Erstens der Supplicant - das ist das Gerät, das versucht, sich zu verbinden. Der Laptop eines Studenten, das Telefon einer Forscherin. Zweitens der Authenticator - das ist Ihr Netzwerk-Access-Point oder Managed Switch. Er befindet sich zwischen dem Supplicant und dem Rest des Netzwerks und fungiert als Gatekeeper. Drittens der Authentication Server - fast immer ein RADIUS-Server. RADIUS steht für Remote Authentication Dial-In User Service. Dies ist die Komponente, die die Zugangsdaten tatsächlich überprüft. So funktioniert der Handshake: Das Gerät des Studierenden verbindet sich mit dem Wireless Access Point. Der Access Point gewährt noch keinen vollen Netzwerkzugriff - er öffnet einen sogenannten kontrollierten Port, aber nur für den EAP-Verkehr. EAP steht für Extensible Authentication Protocol. Der Access Point leitet die EAP-Kommunikation zwischen dem Gerät und dem RADIUS-Server per Proxy weiter. Der RADIUS-Server fordert das Gerät zur Authentifizierung auf, das Gerät antwortet mit den Anmeldedaten - in der Regel ein Benutzername und ein Passwort oder ein Zertifikat - und wenn der RADIUS-Server diese akzeptiert, sendet er eine Access-Accept-Nachricht zurück. Der Access Point öffnet daraufhin den vollständigen Netzwerkport. Der gesamte Austausch dauert in einer gut konfigurierten Bereitstellung weniger als zwei Sekunden. Und wie setzt eduroam darauf auf? eduroam nutzt eine hierarchische RADIUS-Proxy-Infrastruktur. Jede teilnehmende Institution betreibt ihren eigenen RADIUS-Server - den sogenannten Identity Provider oder IdP. Wenn beispielsweise ein Student der University of Manchester das Imperial College London besucht und sich mit der eduroam SSID verbindet, sendet sein Gerät die Anmeldedaten im Format benutzername@manchester.ac.uk. Der RADIUS-Server des Imperial College erkennt den Realm - das ist der Teil nach dem @-Symbol - und leitet die Authentifizierungsanfrage an den nationalen RADIUS-Server weiter, der im Vereinigten Königreich von Jisc, dem nationalen Forschungs- und Bildungsnetzwerk, betrieben wird. Jisc leitet die Anfrage dann an den RADIUS-Server der University of Manchester weiter, der die Anmeldedaten validiert und ein Accept oder Reject zurücksendet. Die gesamte Kette wird in Millisekunden aufgelöst. Diese Proxy-Kette ermöglicht es eduroam, über Institutionsgrenzen hinweg ohne vorab ausgetauschte Geheimnisse zwischen den Institutionen zu funktionieren. Jeder Hop in der Kette verwendet ein gemeinsames RADIUS-Geheimnis nur mit seinem direkten Nachbarn. Das tatsächliche Passwort des Studierenden verlässt niemals den RADIUS-Server der Heimateinrichtung - es ist durch den EAP-Tunnel durchgehend geschützt. Wo wir gerade von EAP-Methoden sprechen - hier laufen viele Bereitstellungen schief, also passen Sie gut auf. Die am häufigsten verwendeten EAP-Methoden in eduroam sind PEAP - Protected EAP - und EAP-TLS. PEAP verpackt eine interne Authentifizierungsmethode, in der Regel MSCHAPv2, in einen TLS-Tunnel. Es erfordert ein serverseitiges Zertifikat auf dem RADIUS-Server, aber der Client benötigt lediglich einen Benutzernamen und ein Passwort. EAP-TLS ist die sicherere Option - es verwendet eine gegenseitige Zertifikatsauthentifizierung, was bedeutet, dass sowohl der Server als auch der Client Zertifikate vorlegen. Die Bereitstellung in großem Maßstab ist schwieriger, da eine PKI zur Ausstellung von Client-Zertifikaten erforderlich ist, aber es ist im Grunde immun gegen Anmeldedaten-Phishing. Die kritische Sicherheitsanforderung, die viele Institutionen falsch umsetzen, ist die Zertifikatsvalidierung auf der Client-Seite. Wenn sich ein Gerät über PEAP mit eduroam verbindet, muss es das Zertifikat des RADIUS-Servers überprüfen, bevor es Anmeldedaten übermittelt. Wenn das Gerät so konfiguriert ist, dass es jedes beliebige Zertifikat akzeptiert, kann ein Angreifer einen gefälschten Access Point einrichten, der die eduroam SSID ausstrahlt, ein selbstsigniertes Zertifikat präsentieren und Anmeldedaten abgreifen. Dies ist ein bekannter Angriffsvektor. Die Lösung besteht darin, Ihre Supplicant-Profile - über MDM für verwaltete Geräte oder über das eduroam Configuration Assistant Tool, bekannt als CAT, für persönliche Geräte - so zu konfigurieren, dass sie die erwartete Zertifizierungsstelle und den Servernamen pinnen. Aus Sicht der Standards wird von eduroam-Bereitstellungen erwartet, dass sie mit der eduroam Policy Service Definition übereinstimmen. Diese schreibt TLS 1.2 oder höher für alle RADIUS-over-TLS-Verbindungen vor, verbietet die Verwendung schwacher EAP-Methoden wie EAP-MD5 oder LEAP und verlangt, dass alle RADIUS-Proxy-Verbindungen nach Möglichkeit RadSec - RADIUS over TLS - anstelle von reinem UDP-RADIUS verwenden. Dies deckt sich mit den NCSC-Richtlinien in Großbritannien und NIST SP 800-120 in den USA. Ein weiterer technischer Aspekt, der Beachtung verdient: die VLAN-Zuweisung. In einer gut durchdachten eduroam-Bereitstellung enthält die RADIUS Access-Accept-Antwort VLAN-Attribute, die dem Access Point mitteilen, welchem VLAN das verbindende Gerät zugewiesen werden soll. Dadurch können Sie den Datenverkehr segmentieren - indem Sie Gaststudenten in ein eingeschränktes VLAN mit reinem Internetzugang leiten, während Ihre eigenen Mitarbeiter in das interne Netzwerk geroutet werden. Dies ist für die Compliance unerlässlich, insbesondere wenn Sie PCI-DSS unterliegen oder eine Trennung zwischen Forschungsdatennetzen und dem allgemeinen Internetverkehr aufrechterhalten müssen. - [EMPFEHLUNGEN FÜR DIE IMPLEMENTIERUNG UND FALLSTRICKE - 2 Minuten] Lassen Sie mich Ihnen einige praktische Ratschläge geben. Wenn Sie eduroam zum ersten Mal bereitstellen, sollten Sie sich als Erstes an Ihr nationales NREN wenden - in Großbritannien ist das Jisc, in Irland HEAnet, in den USA Internet2. Diese verwalten die Verbundmitgliedschaft und weisen Ihnen einen RADIUS-Realm zu. Sie können nicht an eduroam teilnehmen, ohne Mitglied Ihres nationalen Verbunds zu sein. Ihre Infrastruktur-Checkliste: Sie benötigen 802.1X-fähige Access Points - jedes Enterprise-Gerät von Cisco, Aruba, Juniper, Ruckus oder Ubiquiti UniFi ist dafür geeignet. Sie benötigen einen RADIUS-Server - FreeRADIUS ist der Open-Source-Standard, oder Sie können Microsoft NPS, Cisco ISE oder Aruba ClearPass verwenden. Sie benötigen ein gültiges TLS-Zertifikat für Ihren RADIUS-Server von einer Zertifizierungsstelle, der die eduroam-Community vertraut - in der Regel ein Zertifikat aus der PKI Ihrer Institution oder von einer kommerziellen Zertifizierungsstelle auf der genehmigten eduroam-Liste. Die drei häufigsten Fehler bei der Implementierung, die ich beobachte, sind: Erstens eine Fehlkonfiguration von Zertifikaten - entweder ist das RADIUS-Zertifikat abgelaufen oder die Supplicant-Profile des Clients sind nicht korrekt verknüpft. Zweitens RADIUS-Proxy-Timeouts - wenn Ihre Upstream-NREN-Verbindung Latenzprobleme aufweist, kommt es bei der Authentifizierung zu einem Timeout und die Benutzer sehen Verbindungsfehler, die wie Anmeldefehler aussehen. Drittens eine VLAN-Fehlkonfiguration - Gastbenutzer landen im falschen Netzwerksegment und erhalten entweder keinen Internetzugang oder, was noch schlimmer ist, Zugriff auf interne Ressourcen, die sie nicht sehen sollten. Verteilen Sie auf Client-Seite eduroam CAT-Profile über Ihre MDM-Plattform auf alle verwalteten Geräte. Stellen Sie für persönliche Geräte den Link zum CAT-Installer gut sichtbar bereit. Dieser einzige Schritt beseitigt die Mehrheit der Support-Tickets. Für Veranstaltungsorte, die keine Hochschuleinrichtungen sind, aber dennoch eduroam-Zugang anbieten möchten - wie Konferenzzentren, Hotels und ähnliche -, nennt sich der Prozess eduroam Visitor Access, kurz eVA. Er ermöglicht es Organisationen, die kein Mitglied sind, die eduroam SSID bereitzustellen und die Authentifizierung an die Föderation weiterzuleiten, ohne Vollmitglieder zu sein. Es lohnt sich, dies zu prüfen, wenn Sie regelmäßig akademische Konferenzen oder Universitätsveranstaltungen ausrichten. - [SCHNELLES F&A - 1 Minute] Häufige Fragen, die mir regelmäßig gestellt werden. "Kann eduroam unser Gäste-WiFi vollständig ersetzen?" Nein. eduroam funktioniert nur für Benutzer, die über Zugangsdaten einer Mitgliedsinstitution verfügen. Sie benötigen weiterhin eine separate Gäste-WiFi-Lösung für alle anderen - Besucher, Auftragnehmer, die breite Öffentlichkeit. "Ist eduroam konform mit der GDPR?" Ja, mit Einschränkungen. Die Architektur der Föderation bedeutet, dass Ihre Institution Authentifizierungsdaten verarbeitet. Sie müssen jedoch sicherstellen, dass Ihre Datenschutzerklärungen dies abdecken und Ihre RADIUS-Protokolle angemessen behandelt werden. "Können wir WPA3 mit eduroam verwenden?" Ja. WPA3-Enterprise ist vollständig kompatibel mit 802.1X und ist der empfohlene Standard für neue Bereitstellungen. Es fügt eine 192-Bit-Verschlüsselung für Hochsicherheitsumgebungen hinzu. "Was ist der Unterschied zwischen eduroam und OpenRoaming?" OpenRoaming ist eine breitere Brancheninitiative der Wireless Broadband Alliance, die dieselbe 802.1X- und RADIUS-Proxy-Architektur nutzt, das Roaming jedoch über den Bildungsbereich hinaus auf kommerzielle Veranstaltungsorte ausdehnt. Einige Plattformen, darunter Purple, unterstützen OpenRoaming als Teil ihres Gäste-WiFi-Angebots. - [ZUSAMMENFASSUNG UND NÄCHSTE SCHRITTE - 1 Minute] Zusammenfassend lässt sich sagen: eduroam ist ein ausgereifter, gut verwalteter und weltweit implementierter WiFi-Roaming-Dienst, der auf 802.1X und einer hierarchischen RADIUS-Proxy-Infrastruktur basiert. Er bietet eine Authentifizierung pro Benutzer, starke Verschlüsselung und nahtloses Roaming in über 10.000 Institutionen - ohne gemeinsame Passwörter oder Captive Portals. Für IT-Teams, die Campus-WLAN bereitstellen oder aktualisieren: Bevorzugen Sie EAP-TLS gegenüber PEAP, wo Ihre PKI dies unterstützen kann, erzwingen Sie die Zertifikatsvalidierung für alle Client-Profile, verwenden Sie RadSec für alle RADIUS-Proxy-Verbindungen und segmentieren Sie Gastbenutzer in ein dediziertes VLAN. Für Betreiber von Veranstaltungsorten: Wenn Sie regelmäßig akademische Besucher empfangen, informieren Sie sich über eduroam Visitor Access. Und unabhängig davon, ob Sie eduroam bereitstellen, sollte Ihre Gäste-WiFi-Infrastruktur auf 802.1X-Prinzipien der Enterprise-Klasse basieren - nicht auf gemeinsam genutzten PSKs. Wenn Sie tiefer in diese Themen einsteigen möchten - RADIUS-Architektur, PKI-Design für EAP-TLS oder wie Plattformen wie Purple mit eduroam und OpenRoaming integriert werden - der vollständige schriftliche Leitfaden ist in den Show Notes verlinkt. Vielen Dank fürs Zuhören. Bis zum nächsten Mal. --- ENDE DES SKRIPTS