eduroam y 802.1X: Autenticación WiFi segura para educación superior

GUION DE PODCAST: eduroam y 802.1X - Autenticación WiFi segura para educación superior Duración: aproximadamente 10 minutos Voz: inglés británico, masculino, tono de consultor sénior - seguro, conversacional, autoritario --- [INTRODUCCIÓN - 1 minuto] Bienvenidos de nuevo. Durante los próximos diez minutos os guiaré a través de eduroam y 802.1X: qué son, cómo funcionan realmente bajo el capó y qué necesita saber vuestro equipo antes de desplegarlos o integrarse con cualquiera de ellos. Si eres responsable de TI, arquitecto de red o CTO en una universidad, centro de estudios superiores o institución de investigación - o si gestionas un espacio y necesitas comprender qué esperan tus visitantes académicos de tu infraestructura inalámbrica - esta es la sesión informativa para ti. Comencemos con una visión general. eduroam significa "education roaming" (itinerancia educativa). Es un servicio global de itinerancia WiFi que permite a estudiantes, investigadores y personal de las instituciones miembros conectarse a internet en cualquier espacio participante de forma automática y segura, utilizando las credenciales de su institución de origen. Sin Captive Portal de invitados. Sin códigos de cupones. Sin pedir la contraseña en recepción. Lleva en funcionamiento desde 2003, actualmente cubre más de 10.000 instituciones en más de 100 países y es el estándar de facto para redes inalámbricas universitarias en la educación superior de todo el mundo. Si tu organización se relaciona con universidades - ya seas un hotel cerca de un campus, un centro de conferencias que acoge eventos académicos o una biblioteca pública en una ciudad universitaria - comprender eduroam es directamente relevante para tu estrategia de red. --- [INMERSIÓN TÉCNICA - 5 minutos] Bien. Entremos en los aspectos técnicos. eduroam se basa en el estándar IEEE 802.1X, el estándar de control de acceso a redes basado en puertos. 802.1X define un marco para autenticar dispositivos antes de que se les conceda acceso a una red. Se diseñó originalmente para Ethernet por cable, pero se adapta perfectamente a las redes inalámbricas y es la base de lo que llamamos seguridad WPA2-Enterprise o WPA3-Enterprise. El modelo 802.1X tiene tres componentes. Primero, el Supplicant (suplicante): es el dispositivo que intenta conectarse. El ordenador portátil de un estudiante, el teléfono de un investigador. Segundo, el Authenticator (autenticador): es tu punto de acceso de red o switch gestionado. Se sitúa entre el suplicante y el resto de la red, y actúa como guardián. Tercero, el servidor de autenticación (Authentication Server): casi siempre un servidor RADIUS. RADIUS responde a las siglas de Remote Authentication Dial-In User Service. Es el componente que realmente valida las credenciales. Así es como funciona el saludo de conexión. El dispositivo del estudiante se asocia con el punto de acceso inalámbrico. El punto de acceso aún no concede acceso total a la red, sino que abre lo que se denomina un puerto controlado, pero únicamente para el tráfico EAP. EAP es el Protocolo de Autenticación Extensible. El punto de acceso actúa como proxy para la conversación EAP entre el dispositivo y el servidor RADIUS. El servidor RADIUS desafía al dispositivo, el dispositivo responde con las credenciales (por lo general, un nombre de usuario y contraseña, o un certificado) y, si el servidor RADIUS queda conforme, devuelve un mensaje Access-Accept. A continuación, el punto de acceso abre el puerto de red completo. Todo el intercambio se realiza en menos de dos segundos en un despliegue bien configurado. Ahora bien, ¿dónde se superpone eduroam en todo esto? eduroam utiliza una infraestructura proxy RADIUS jerárquica. Cada institución participante gestiona su propio servidor RADIUS, denominado Proveedor de Identidad, o IdP. Cuando un estudiante de, por ejemplo, la Universidad de Manchester visita el Imperial College de Londres y se conecta al SSID de eduroam, su dispositivo envía sus credenciales con el formato usuario@manchester.ac.uk. El servidor RADIUS de Imperial detecta el dominio (la parte que va después del símbolo @) y desvía la solicitud de autenticación mediante proxy hacia el servidor RADIUS nacional, gestionado en el Reino Unido por Jisc, la red nacional de investigación y educación. A continuación, Jisc enruta la solicitud al servidor RADIUS de la Universidad de Manchester, que valida las credenciales y devuelve un mensaje de aceptación o rechazo. Toda la cadena se resuelve en milisegundos. Esta cadena de proxies es lo que permite que eduroam funcione a través de los límites institucionales sin necesidad de secretos precompartidos entre las instituciones. Cada salto de la cadena utiliza un secreto RADIUS compartido únicamente con su vecino inmediato. La contraseña real del estudiante nunca sale del servidor RADIUS de la institución de origen, ya que está protegida de extremo a extremo por el túnel EAP. En lo que respecta a los métodos EAP (aquí es donde fallan muchos despliegues, así que preste atención), los métodos EAP más comunes en eduroam son PEAP (EAP protegido) y EAP-TLS. PEAP envuelve un método de autenticación interno, normalmente MSCHAPv2, dentro de un túnel TLS. Requiere un certificado en el lado del servidor en el servidor RADIUS, pero el cliente solo necesita un nombre de usuario y una contraseña. EAP-TLS es la opción más segura: utiliza autenticación mediante certificados mutuos, lo que significa que tanto el servidor como el cliente presentan certificados. Es más difícil de desplegar a gran escala porque se necesita una PKI para emitir certificados de cliente, pero es básicamente inmune al phishing de credenciales. El requisito de seguridad crítico que muchas instituciones configuran de forma incorrecta es la validación de certificados en el lado del cliente. Cuando un dispositivo se conecta a eduroam mediante PEAP, el dispositivo debe verificar el certificado del servidor RADIUS antes de enviar las credenciales. Si el dispositivo está mal configurado y acepta cualquier certificado, un atacante puede levantar un punto de acceso falso que emita el SSID de eduroam, presentar un certificado autofirmado y capturar credenciales. Este es un vector de ataque conocido. La solución consiste en configurar los perfiles de suplicante (a través de MDM para dispositivos gestionados, o mediante la herramienta eduroam Configuration Assistant Tool, conocida como CAT, para dispositivos personales) para vincular la autoridad de certificación y el nombre de servidor esperados. Desde la perspectiva de los estándares, se espera que los despliegues de eduroam cumplan con la eduroam Policy Service Definition, la cual exige TLS 1.2 o superior para todas las conexiones RADIUS sobre TLS, prohíbe el uso de métodos EAP débiles como EAP-MD5 o LEAP, y requiere que todas las conexiones proxy RADIUS utilicen RadSec (RADIUS sobre TLS) en lugar de RADIUS UDP básico siempre que sea posible. Esto se alinea con las directrices del NCSC en el Reino Unido y de la norma NIST SP 800-120 en los EE. UU. Otro punto técnico que vale la pena señalar: la asignación de VLAN. En un despliegue de eduroam bien estructurado, la respuesta RADIUS Access-Accept incluye atributos de VLAN que indican al punto de acceso a qué VLAN debe asignar el dispositivo que se conecta. Esto le permite segmentar el tráfico, dirigiendo a los estudiantes visitantes a una VLAN restringida con acceso exclusivo a internet, mientras que su propio personal es enrutado a la red interna. Esto resulta esencial para el cumplimiento normativo, especialmente si está sujeto a PCI-DSS o si necesita mantener la separación entre las redes de datos de investigación y el tráfico general de internet. - [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES - 2 minutos] Permítame ofrecerle algunas directrices prácticas. Si va a desplegar eduroam por primera vez, su primer paso debe ser ponerse en contacto con su NREN nacional (en el Reino Unido es Jisc, en Irlanda HEAnet, en los EE. UU. Internet2). Ellos gestionan la afiliación a la federación y le asignarán un dominio RADIUS. No puede participar en eduroam sin ser miembro de su federación nacional. Su lista de comprobación de infraestructura: necesita puntos de acceso compatibles con 802.1X; cualquier equipo de nivel empresarial de Cisco, Aruba, Juniper, Ruckus o Ubiquiti UniFi servirá para esto. Necesita un servidor RADIUS (FreeRADIUS es el estándar de código abierto, o puede usar Microsoft NPS, Cisco ISE o Aruba ClearPass). Necesita un certificado TLS válido para su servidor RADIUS emitido por una CA en la que confíe la comunidad de eduroam, normalmente un certificado de la PKI de su institución o de una CA comercial que figure en la lista aprobada de eduroam. Los tres fallos de despliegue más comunes que observo son: primero, la configuración incorrecta de los certificados - ya sea porque el certificado RADIUS ha caducado o porque los perfiles del suplicante del cliente no están vinculados correctamente. Segundo, los tiempos de espera del proxy RADIUS - si su conexión NREN ascendente tiene problemas de latencia, la autenticación se agotará y los usuarios verán fallos de conexión que parecen errores de credenciales. Tercero, la configuración incorrecta de VLAN - los usuarios visitantes terminan en el segmento de red equivocado, ya sea sin acceso a Internet o, lo que es peor, obteniendo acceso a recursos internos que no deberían ver. En el lado del cliente, despliegue perfiles eduroam CAT en todos los dispositivos gestionados a través de su plataforma MDM. Para dispositivos personales, publique el enlace del instalador CAT de forma destacada. Este único paso elimina la mayoría de los tiques de soporte. Para los espacios que no son instituciones de educación superior pero quieren ofrecer acceso a eduroam - centros de conferencias, hoteles y similares - el proceso se denomina eduroam Visitor Access, o eVA. Permite a las organizaciones no miembros alojar el SSID de eduroam y realizar la autenticación proxy ante la federación sin ser miembros de pleno derecho. Vale la pena investigarlo si organiza regularmente conferencias académicas o eventos universitarios. --- [PREGUNTAS Y RESPUESTAS RÁPIDAS - 1 minuto] Preguntas rápidas que me hacen con regularidad. "¿Puede eduroam reemplazar por completo nuestro WiFi de invitados?" No. eduroam solo funciona para usuarios que tienen credenciales en una institución miembro. Seguirá necesitando una solución de WiFi de invitados independiente para todos los demás: visitantes, contratistas y público en general. "¿Cumple eduroam con el GDPR?" Sí, con salvedades. La arquitectura de la federación significa que su institución procesa los datos de autenticación, pero debe asegurarse de que sus avisos de privacidad cubran esto y de que sus registros de RADIUS se manejen de manera adecuada. "¿Podemos usar WPA3 con eduroam?" Sí. WPA3-Enterprise es totalmente compatible con 802.1X y es el estándar recomendado para nuevos despliegues. Añade cifrado en modo de 192 bits para entornos de alta seguridad. "¿Cuál es la diferencia entre eduroam y OpenRoaming?" OpenRoaming es una iniciativa de la industria más amplia de la Wireless Broadband Alliance que utiliza la misma arquitectura de proxy RADIUS y 802.1X, pero amplía el roaming más allá de la educación a espacios comerciales. Algunas plataformas, incluida Purple, admiten OpenRoaming como parte de su oferta de WiFi de invitados. --- [RESUMEN Y PRÓXIMOS PASOS - 1 minuto] Para terminar. eduroam es un servicio de roaming WiFi maduro, bien gobernado y desplegado globalmente, creado sobre 802.1X y una infraestructura de proxy RADIUS jerárquica. Ofrece autenticación por usuario, un cifrado fuerte y un roaming fluido en más de 10.000 instituciones, sin contraseñas compartidas ni Captive Portals. Para los equipos de TI que despliegan o actualizan la red inalámbrica del campus: prioricen EAP-TLS sobre PEAP donde su PKI pueda admitirlo, apliquen la validación de certificados en todos los perfiles de cliente, utilicen RadSec para todas las conexiones proxy RADIUS y segmenten a los usuarios visitantes en una VLAN dedicada. Para los operadores de espacios: si recibís visitantes académicos con regularidad, investigad eduroam Visitor Access. Y con independencia de si desplegáis eduroam o no, vuestra infraestructura de WiFi para invitados debería construirse sobre principios de 802.1X de nivel empresarial, no sobre PSK compartidas. Si queréis profundizar en cualquiera de estos temas - arquitectura RADIUS, diseño de PKI para EAP-TLS o cómo plataformas como Purple se integran con eduroam y OpenRoaming - la guía escrita completa está enlazada en las notas del programa. Gracias por escucharnos. Hasta la próxima. --- FIN DEL GUION