eduroam et 802.1X : Authentification WiFi sécurisée pour l'enseignement supérieur

SCRIPT DE PODCAST : eduroam et 802.1X — L'authentification WiFi sécurisée pour l'enseignement supérieur Durée : environ 10 minutes Voix : Anglais britannique, homme, ton de consultant senior — confiant, conversationnel, faisant autorité --- [INTRO — 1 minute] Bienvenue. Je vais passer les dix prochaines minutes à vous présenter eduroam et 802.1X — ce qu'ils sont, comment ils fonctionnent réellement sous le capot, et ce que votre équipe doit savoir avant de déployer ou de s'intégrer à l'un ou l'autre. Si vous êtes responsable informatique, architecte réseau ou CTO dans une université, un établissement d'enseignement supérieur ou un institut de recherche — ou si vous êtes un exploitant de site qui doit comprendre ce que vos visiteurs académiques attendent de votre infrastructure sans fil — ce briefing est fait pour vous. Commençons par une vue d'ensemble. eduroam signifie "education roaming" (itinérance éducative). Il s'agit d'un service mondial d'itinérance WiFi qui permet aux étudiants, chercheurs et personnels des institutions membres de se connecter à Internet sur n'importe quel site participant — automatiquement, de manière sécurisée, en utilisant les identifiants de leur institution d'origine. Pas de Captive Portal. Pas de codes de coupon. Pas besoin de demander un mot de passe à l'accueil. Il fonctionne depuis 2003, couvre aujourd'hui plus de 10 000 institutions dans plus de 100 pays et constitue le standard de facto pour les réseaux sans fil des campus de l'enseignement supérieur dans le monde entier. Si votre organisation est en contact avec des universités — que vous soyez un hôtel à proximité d'un campus, un centre de conférence accueillant des événements académiques ou une bibliothèque publique dans une ville universitaire — la compréhension d'eduroam est directement pertinente pour votre stratégie réseau. --- [PLONGÉE TECHNIQUE — 5 minutes] Très bien. Entrons dans la mécanique. eduroam repose sur la norme IEEE 802.1X — le standard de contrôle d'accès réseau basé sur les ports. La norme 802.1X définit un cadre pour l'authentification des appareils avant qu'ils ne soient autorisés à accéder à un réseau. Conçue à l'origine pour l'Ethernet filaire, elle s'adapte parfaitement au sans fil et constitue le fondement de ce que nous appelons la sécurité WPA2-Enterprise ou WPA3-Enterprise. Le modèle 802.1X comporte trois composants. Tout d'abord, le Supplicant — c'est l'appareil qui tente de se connecter. L'ordinateur portable d'un étudiant, le téléphone d'un chercheur. Deuxièmement, l'Authenticator — c'est votre point d'accès réseau ou votre commutateur managé. Il se situe entre le supplicant et le reste du réseau et joue le rôle de gardien. Troisièmement, le serveur d'authentification — presque toujours un serveur RADIUS. RADIUS signifie Remote Authentication Dial-In User Service. C'est le composant qui valide réellement les identifiants. Voici comment fonctionne la phase de négociation (handshake). L'appareil de l'étudiant s'associe au point d'accès sans fil. Le point d'accès n'accorde pas encore un accès complet au réseau — il ouvre ce que l'on appelle un port contrôlé, mais uniquement pour le trafic EAP. L'EAP est le protocole d'authentification extensible (Extensible Authentication Protocol). Le point d'accès sert de proxy pour la conversation EAP entre l'appareil et le serveur RADIUS. Le serveur RADIUS interroge l'appareil, l'appareil répond avec des identifiants — généralement un nom d'utilisateur et un mot de passe, ou un certificat — et si le serveur RADIUS valide la demande, il renvoie un message Access-Accept. Le point d'accès ouvre alors le port réseau complet. L'ensemble de cet échange prend moins de deux secondes dans un déploiement bien configuré. Maintenant, comment eduroam s'intègre-t-il là-dedans ? eduroam utilise une infrastructure de proxy RADIUS hiérarchique. Chaque établissement participant gère son propre serveur RADIUS — appelé le fournisseur d'identité, ou IdP. Lorsqu'un étudiant de l'Université de Manchester, par exemple, visite l'Imperial College de Londres et se connecte au SSID eduroam, son appareil envoie ses identifiants au format utilisateur@manchester.ac.uk. Le serveur RADIUS d'Imperial détecte le domaine (realm) — la partie située après le symbole @ — et relaie la demande d'authentification vers le serveur RADIUS national, géré au Royaume-Uni par Jisc, le réseau national de recherche et d'enseignement. Jisc achemine ensuite la demande vers le serveur RADIUS de l'Université de Manchester, qui valide les identifiants et renvoie un message Accept ou Reject. Toute la chaîne se résout en quelques millisecondes. C'est cette chaîne de proxy qui permet à eduroam de fonctionner au-delà des frontières institutionnelles sans aucun secret pré-partagé entre les établissements. Chaque étape de la chaîne utilise un secret RADIUS partagé uniquement avec son voisin immédiat. Le mot de passe réel de l'étudiant ne quitte jamais le serveur RADIUS de son établissement d'origine — il est protégé de bout en bout par le tunnel EAP. En parlant de méthodes EAP — c'est là que de nombreux déploiements échouent, alors soyez attentif. Les méthodes EAP les plus courantes dans eduroam sont PEAP (Protected EAP) et EAP-TLS. PEAP encapsule une méthode d'authentification interne, généralement MSCHAPv2, dans un tunnel TLS. Elle nécessite un certificat côté serveur sur le serveur RADIUS, mais le client n'a besoin que d'un nom d'utilisateur et d'un mot de passe. EAP-TLS est l'option la plus sécurisée — elle utilise une authentification mutuelle par certificat, ce qui signifie que le serveur et le client présentent tous deux des certificats. Elle est plus difficile à déployer à grande échelle car vous avez besoin d'une PKI pour émettre des certificats clients, mais elle est essentiellement immunisée contre le phishing d'identifiants. L'exigence de sécurité critique que de nombreuses institutions ne respectent pas correctement est la validation du certificat côté client. Lorsqu'un appareil se connecte à eduroam via PEAP, il doit vérifier le certificat du serveur RADIUS avant de soumettre ses identifiants. Si l'appareil est mal configuré et accepte n'importe quel certificat, un attaquant peut déployer un point d'accès malveillant diffusant l'SSID eduroam, présenter un certificat auto-signé et intercepter les identifiants. Il s'agit d'un vecteur d'attaque connu. La solution consiste à configurer vos profils de demandeur (supplicant) — via MDM pour les appareils gérés, ou via l'outil d'assistance à la configuration eduroam, appelé CAT, pour les appareils personnels — afin de verrouiller l'autorité de certification et le nom de serveur attendus. D'un point de vue des normes, les déploiements eduroam doivent être conformes à la définition du service de politique eduroam, qui impose le protocole TLS 1.2 ou supérieur pour toutes les connexions RADIUS sur TLS, interdit l'utilisation de méthodes EAP faibles comme EAP-MD5 ou LEAP, et exige que toutes les connexions proxy RADIUS utilisent RadSec — RADIUS sur TLS — plutôt que le protocole UDP RADIUS standard lorsque cela est possible. Cela s'aligne sur les directives du NCSC au Royaume-Uni et du NIST SP 800-120 aux États-Unis. Un autre point technique important à souligner : l'attribution des VLAN. Dans un déploiement eduroam bien architecturé, la réponse RADIUS Access-Accept inclut des attributs VLAN qui indiquent au point d'accès quel VLAN attribuer à l'appareil qui se connecte. Cela vous permet de segmenter le trafic — en plaçant les étudiants visiteurs sur un VLAN restreint avec un accès Internet uniquement, tandis que votre propre personnel est dirigé vers le réseau interne. C'est essentiel pour la conformité, en particulier si vous êtes soumis à la norme PCI DSS ou si vous devez maintenir une séparation entre les réseaux de données de recherche et le trafic Internet général. --- [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — 2 minutes] Voici quelques conseils pratiques. Si vous déployez eduroam pour la première fois, votre premier contact doit être votre NREN national — au Royaume-Uni, il s'agit de Jisc, en Irlande de HEAnet, et aux États-Unis d'Internet2. Ils gèrent l'adhésion à la fédération et vous attribueront un domaine RADIUS. Vous ne pouvez pas participer à eduroam sans être membre de votre fédération nationale. Votre liste de contrôle d'infrastructure : vous avez besoin de points d'accès compatibles 802.1X — n'importe quel équipement de classe entreprise de Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi fera l'affaire. Vous avez besoin d'un serveur RADIUS — FreeRADIUS est la norme open-source, ou vous pouvez utiliser Microsoft NPS, Cisco ISE ou Aruba ClearPass. Vous avez besoin d'un certificat TLS valide pour votre serveur RADIUS, émis par une autorité de certification approuvée par la communauté eduroam — généralement un certificat provenant de la PKI de votre institution ou d'une autorité de certification commerciale figurant sur la liste approuvée d'eduroam. Les trois échecs de déploiement les plus courants que je constate sont : premièrement, une mauvaise configuration des certificats — soit le certificat RADIUS a expiré, soit les profils de suppliant client ne sont pas correctement épinglés. Deuxièmement, les délais d'attente du proxy RADIUS — si votre connexion NREN en amont présente des problèmes de latence, l'authentification expirera et les utilisateurs verront des échecs de connexion ressemblant à des erreurs d'identifiants. Troisièmement, une mauvaise configuration des VLAN — les utilisateurs visiteurs se retrouvent sur le mauvais segment de réseau, soit sans accès à Internet, soit, pire encore, avec un accès à des ressources internes qu'ils ne devraient pas voir. Du côté client, déployez les profils eduroam CAT sur tous les appareils gérés via votre plateforme MDM. Pour les appareils personnels, publiez le lien de l'installateur CAT de manière bien visible. Cette simple étape élimine la majorité des tickets de support. Pour les sites qui ne sont pas des établissements d'enseignement supérieur mais qui souhaitent offrir un accès eduroam — centres de conférence, hôtels et autres —, le processus s'appelle eduroam Visitor Access, ou eVA. Il permet aux organisations non membres d'héberger l'SSID eduroam et de relayer l'authentification vers la fédération sans être membres à part entière. Cela vaut la peine d'être étudié si vous accueillez régulièrement des conférences académiques ou des événements universitaires. --- [Q&A RAPIDE — 1 minute] Questions rapides que l'on me pose régulièrement. "eduroam peut-il remplacer entièrement notre WiFi invité ?" Non. eduroam ne fonctionne que pour les utilisateurs qui possèdent des identifiants dans une institution membre. Vous avez toujours besoin d'une solution de WiFi invité distincte pour tous les autres — visiteurs, prestataires, grand public. "eduroam est-il conforme au GDPR ?" Oui, avec des réserves. L'architecture de la fédération signifie que votre institution traite les données d'authentification, mais vous devez vous assurer que vos avis de confidentialité couvrent cela et que vos journaux RADIUS sont gérés de manière appropriée. "Pouvons-nous utiliser le WPA3 avec eduroam ?" Oui. Le WPA3-Enterprise est entièrement compatible avec le 802.1X et constitue la norme recommandée pour les nouveaux déploiements. Il ajoute un chiffrement en mode 192 bits pour les environnements à haute sécurité. "Quelle est la différence entre eduroam et OpenRoaming ?" OpenRoaming est une initiative industrielle plus large de la Wireless Broadband Alliance qui utilise la même architecture de proxy 802.1X et RADIUS, mais étend l'itinérance au-delà de l'éducation aux sites commerciaux. Certaines plateformes, dont Purple, prennent en charge OpenRoaming dans le cadre de leur offre de WiFi invité. --- [RÉSUMÉ ET PROCHAINES ÉTAPES — 1 minute] Pour conclure. eduroam est un service d'itinérance WiFi mature, bien gouverné et déployé à l'échelle mondiale, basé sur le 802.1X et une infrastructure de proxy RADIUS hiérarchique. Il offre une authentification par utilisateur, un chiffrement fort et une itinérance transparente à travers plus de 10 000 institutions — sans mots de passe partagés ni Captive Portals. Pour les équipes informatiques qui déploient ou mettent à niveau le réseau sans fil d'un campus : donnez la priorité à l'EAP-TLS par rapport au PEAP là où votre PKI peut le prendre en charge, imposez la validation des certificats sur tous les profils clients, utilisez RadSec pour toutes les connexions proxy RADIUS et segmentez les utilisateurs visiteurs dans un VLAN dédié. Pour les exploitants de sites : si vous accueillez régulièrement des visiteurs universitaires, renseignez-vous sur eduroam Visitor Access. Et que vous déployiez eduroam ou non, votre infrastructure WiFi pour invités doit reposer sur des principes 802.1X de classe entreprise — et non sur des PSK partagés. Si vous souhaitez approfondir l'un de ces sujets — l'architecture RADIUS, la conception PKI pour EAP-TLS, ou la manière dont des plateformes comme Purple s'intègrent à eduroam et OpenRoaming — le guide écrit complet est disponible via le lien dans les notes de l'émission. Merci pour votre écoute. À la prochaine. --- FIN DU SCRIPT