eduroam y 802.1X: Autenticación WiFi segura para la educación superior

PODCAST SCRIPT: eduroam y 802.1X — Secure WiFi Authentication for Higher Education Duración: aproximadamente 10 minutos Voz: inglés británico, masculino, tono de consultor senior — seguro, conversacional, con autoridad --- [INTRO — 1 minuto] Bienvenidos de nuevo. Durante los próximos diez minutos los guiaré a través de eduroam y 802.1X: qué son, cómo funcionan realmente bajo el capó y qué necesita saber su equipo antes de implementarlos o integrarse con alguno de ellos. Si es un gerente de TI, arquitecto de redes o CTO en una universidad, colegio o institución de investigación —o si es un operador de un recinto que necesita entender qué esperan sus visitantes académicos de su infraestructura inalámbrica— este informe es para usted. Comencemos con el panorama general. eduroam significa "education roaming". Es un servicio global de roaming de WiFi que permite a estudiantes, investigadores y personal de las instituciones miembro conectarse a internet en cualquier recinto participante —de forma automática, segura y utilizando las credenciales de su institución de origen. Sin Captive Portals. Sin códigos de cupones. Sin pedir la contraseña en la recepción. Ha estado funcionando desde 2003, ahora cubre a más de 10,000 instituciones en más de 100 países y es el estándar de facto para redes inalámbricas de campus en la educación superior a nivel mundial. Si su organización interactúa con universidades —ya sea que se trate de un hotel cerca de un campus, un centro de conferencias que alberga eventos académicos o una biblioteca pública en una ciudad universitaria— entender eduroam es directamente relevante para su estrategia de red. --- [TECHNICAL DEEP-DIVE — 5 minutos] Muy bien. Entremos en los detalles técnicos. eduroam está construido sobre IEEE 802.1X, el estándar de control de acceso a la red basado en puertos. 802.1X define un marco para autenticar dispositivos antes de que se les conceda acceso a una red. Se diseñó originalmente para Ethernet cableado, pero se adapta perfectamente a la tecnología inalámbrica y es la base de lo que llamamos seguridad WPA2-Enterprise o WPA3-Enterprise. El modelo 802.1X tiene tres componentes. Primero, el Supplicant (suplicante): ese es el dispositivo que intenta conectarse. La laptop de un estudiante, el teléfono de un investigador. Segundo, el Authenticator (autenticador): ese es su punto de acceso de red o switch administrado. Se ubica entre el suplicante y el resto de la red y actúa como un guardián. Tercero, el Authentication Server (servidor de autenticación): casi siempre un servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. Es el componente que realmente valida las credenciales. Así es como funciona el saludo de conexión (handshake). El dispositivo del estudiante se asocia con el punto de acceso inalámbrico. El punto de acceso aún no otorga acceso completo a la red; abre lo que se conoce como un puerto controlado, pero solo para el tráfico EAP. EAP es el Protocolo de Autenticación Extensible (Extensible Authentication Protocol). El punto de acceso actúa como proxy de la conversación EAP entre el dispositivo y el servidor RADIUS. El servidor RADIUS desafía al dispositivo, el dispositivo responde con las credenciales (normalmente un usuario y contraseña, o un certificado) y, si el servidor RADIUS queda satisfecho, devuelve un mensaje de Access-Accept. El punto de acceso entonces abre el puerto de red completo. Todo este intercambio toma menos de dos segundos en un despliegue bien configurado. Ahora, ¿cómo se acopla eduroam a todo esto? eduroam utiliza una infraestructura de proxy RADIUS jerárquica. Cada institución participante opera su propio servidor RADIUS, llamado Proveedor de Identidad o IdP. Cuando un estudiante de, por ejemplo, la Universidad de Manchester visita el Imperial College de Londres y se conecta al SSID de eduroam, su dispositivo envía sus credenciales en el formato usuario@manchester.ac.uk. El servidor RADIUS de Imperial detecta el dominio (realm) —la parte después del símbolo @— y reenvía la solicitud de autenticación como proxy al servidor RADIUS nacional, el cual es operado en el Reino Unido por Jisc, la red nacional de investigación y educación. Jisc luego enruta la solicitud al servidor RADIUS de la Universidad de Manchester, el cual valida las credenciales y devuelve un mensaje de Aceptado (Accept) o Rechazado (Reject). Toda la cadena se resuelve en milisegundos. Esta cadena de proxies es lo que permite que eduroam funcione a través de fronteras institucionales sin necesidad de secretos precompartidos entre las instituciones. Cada salto en la cadena utiliza un secreto RADIUS compartido únicamente con su vecino inmediato. La contraseña real del estudiante nunca sale del servidor RADIUS de su institución de origen, ya que está protegida de extremo a extremo por el túnel EAP. Hablando de los métodos EAP —aquí es donde fallan muchos despliegues, así que preste atención. Los métodos EAP más comunes en eduroam son PEAP (EAP protegido) y EAP-TLS. PEAP envuelve un método de autenticación interno, normalmente MSCHAPv2, dentro de un túnel TLS. Requiere un certificado en el lado del servidor RADIUS, pero el cliente solo necesita un usuario y contraseña. EAP-TLS es la opción más segura: utiliza autenticación mutua mediante certificados, lo que significa que tanto el servidor como el cliente presentan certificados. Es más difícil de desplegar a escala porque se requiere una PKI para emitir certificados de cliente, pero es esencialmente inmune al phishing de credenciales. El requisito de seguridad crítico que muchas instituciones configuran incorrectamente es la validación de certificados en el lado del cliente. Cuando un dispositivo se conecta a eduroam usando PEAP, el dispositivo debe verificar el certificado del servidor RADIUS antes de enviar las credenciales. Si el dispositivo está mal configurado para aceptar cualquier certificado, un atacante puede montar un punto de acceso falso que transmita el SSID eduroam, presentar un certificado autofirmado y recopilar credenciales. Este es un vector de ataque conocido. La solución es configurar sus perfiles de suplicante (a través de MDM para dispositivos gestionados, o mediante la Herramienta de Asistencia de Configuración de eduroam, conocida como CAT, para dispositivos personales) para vincular la autoridad de certificación y el nombre de servidor esperados. Desde la perspectiva de los estándares, se espera que las implementaciones de eduroam cumplan con la Definición del Servicio de Políticas de eduroam, la cual exige TLS 1.2 o superior para todas las conexiones RADIUS sobre TLS, prohíbe el uso de métodos EAP débiles como EAP-MD5 o LEAP, y requiere que todas las conexiones de proxy RADIUS utilicen RadSec (RADIUS sobre TLS) en lugar de RADIUS UDP simple siempre que sea posible. Esto se alinea con la guía de la NCSC en el Reino Unido y la norma NIST SP 800-120 en los EE. UU. Un punto técnico adicional que vale la pena destacar: la asignación de VLAN. En una implementación de eduroam bien estructurada, la respuesta Access-Accept de RADIUS incluye atributos de VLAN que indican al punto de acceso a qué VLAN asignar el dispositivo que se conecta. Esto le permite segmentar el tráfico, colocando a los estudiantes visitantes en una VLAN restringida con acceso exclusivo a internet, mientras que su propio personal es enrutado a la red interna. Esto es esencial para el cumplimiento, particularmente si está sujeto a PCI DSS o si necesita mantener la separación entre las redes de datos de investigación y el tráfico de internet general. --- [RECOMENDACIONES DE IMPLEMENTACIÓN Y ERRORES COMUNES — 2 minutos] Permítame ofrecerle la guía práctica. Si está implementando eduroam por primera vez, su primer contacto debe ser con su NREN nacional (en el Reino Unido es Jisc, en Irlanda HEAnet, en los EE. UU. Internet2). Ellos gestionan la membresía de la federación y le asignarán un dominio RADIUS. No puede participar en eduroam sin ser miembro de su federación nacional. Su lista de verificación de infraestructura: necesita puntos de acceso con capacidad 802.1X; cualquier equipo de nivel empresarial de Cisco, Aruba, Juniper, Ruckus o Ubiquiti UniFi servirá para esto. Necesita un servidor RADIUS: FreeRADIUS es el estándar de código abierto, o puede usar Microsoft NPS, Cisco ISE o Aruba ClearPass. Necesita un certificado TLS válido para su servidor RADIUS proveniente de una CA de confianza para la comunidad de eduroam, normalmente un certificado de la PKI de su institución o de una CA comercial en la lista aprobada de eduroam. Los tres fallos de implementación más comunes que veo son: primero, la configuración incorrecta de certificados, ya sea porque el certificado RADIUS ha expirado o porque los perfiles de los suplicantes de los clientes no están anclados correctamente. Segundo, los tiempos de espera del proxy RADIUS: si tu conexión ascendente con la NREN tiene problemas de latencia, la autenticación se agotará por límite de tiempo y los usuarios verán fallos de conexión que parecen errores de credenciales. Tercero, la configuración incorrecta de la VLAN: los usuarios visitantes terminan en el segmento de red equivocado, ya sea sin acceso a Internet o, peor aún, obteniendo acceso a recursos internos que no deberían ver. Por el lado del cliente, implementa perfiles eduroam CAT en todos los dispositivos administrados a través de tu plataforma MDM. Para dispositivos personales, publica el enlace del instalador CAT en un lugar visible. Este único paso elimina la mayoría de los tickets de soporte. Para los recintos que no son instituciones de educación superior pero quieren ofrecer acceso a eduroam (centros de conferencias, hoteles y similares), el proceso se llama eduroam Visitor Access, o eVA. Permite a las organizaciones que no son miembros alojar el SSID de eduroam y delegar la autenticación al proxy de la federación sin ser miembros de pleno derecho. Vale la pena investigarlo si organizas regularmente conferencias académicas o eventos universitarios. --- [PREGUNTAS Y RESPUESTAS RÁPIDAS — 1 minuto] Preguntas rápidas que me hacen con frecuencia. "¿Puede eduroam reemplazar por completo a nuestro WiFi de invitados?" No. eduroam solo funciona para usuarios que tienen credenciales en una institución miembro. Aún necesitas una solución de WiFi de invitados independiente para todos los demás: visitantes, contratistas y el público en general. "¿Cumple eduroam con el GDPR?" Sí, con matices. La arquitectura de la federación significa que tu institución procesa los datos de autenticación, pero debes asegurarte de que tus avisos de privacidad cubran esto y que tus registros de RADIUS se manejen adecuadamente. "¿Podemos usar WPA3 con eduroam?" Sí. WPA3-Enterprise es totalmente compatible con 802.1X y es el estándar recomendado para nuevas implementaciones. Añade cifrado en modo de 192 bits para entornos de alta seguridad. "¿Cuál es la diferencia entre eduroam y OpenRoaming?" OpenRoaming es una iniciativa de la industria más amplia de la Wireless Broadband Alliance que utiliza la misma arquitectura de proxy RADIUS y 802.1X, pero extiende el roaming más allá de la educación a recintos comerciales. Algunas plataformas, incluyendo Purple, admiten OpenRoaming como parte de su oferta de WiFi de invitados. --- [RESUMEN Y PRÓXIMOS PASOS — 1 minuto] Para resumir: eduroam es un servicio de WiFi roaming maduro, bien gobernado e implementado globalmente, construido sobre 802.1X y una infraestructura jerárquica de proxy RADIUS. Ofrece autenticación por usuario, cifrado sólido y un roaming sin interrupciones en más de 10,000 instituciones, sin contraseñas compartidas ni Captive Portals. Para los equipos de TI que implementan o actualizan la red inalámbrica del campus: prioricen EAP-TLS sobre PEAP donde su PKI pueda admitirlo, exijan la validación de certificados en todos los perfiles de cliente, utilicen RadSec para todas las conexiones de proxy RADIUS y segmenten a los usuarios visitantes en una VLAN dedicada. Para los operadores de recintos: si reciben visitantes académicos con frecuencia, investiguen eduroam Visitor Access. Y, independientemente de si implementan eduroam, su infraestructura de WiFi para invitados debe basarse en principios 802.1X de nivel empresarial, no en PSK compartidas. Si desean profundizar en alguno de estos temas —arquitectura RADIUS, diseño de PKI para EAP-TLS o cómo plataformas como Purple se integran con eduroam y OpenRoaming—, la guía escrita completa está enlazada en las notas del programa. Gracias por escuchar. Hasta la próxima. --- FIN DEL GUION