Eduroam et 802.1X : authentification WiFi sécurisée pour l'enseignement supérieur | Purple

SCRIPT DE PODCAST : eduroam et 802.1X - Authentification WiFi sécurisée pour l'enseignement supérieur Durée : environ 10 minutes Voix : anglais britannique, homme, ton de consultant senior - confiant, conversationnel, faisant autorité --- [INTRO - 1 minute] Bienvenue. Je vais passer les dix prochaines minutes à vous présenter eduroam et 802.1X - ce qu'ils sont, comment ils fonctionnent réellement sous le capot, et ce que votre équipe doit savoir avant de déployer ou d'intégrer l'un ou l'autre. Si vous êtes responsable informatique, architecte réseau ou CTO dans une université, un collège ou un institut de recherche - ou si vous êtes un gestionnaire de site qui doit comprendre ce que vos visiteurs académiques attendent de votre infrastructure sans fil - ce briefing est pour vous. Commençons par une vue d'ensemble. eduroam signifie "education roaming". Il s'agit d'un service mondial de roaming WiFi qui permet aux étudiants, chercheurs et personnels des institutions membres de se connecter à Internet dans n'importe quel site participant - automatiquement, de manière sécurisée, en utilisant les identifiants de leur établissement d'origine. Pas de portails invités. Pas de codes de coupon. Pas besoin de demander un mot de passe à l'accueil. Il fonctionne depuis 2003, couvre aujourd'hui plus de 10 000 institutions dans plus de 100 pays, et constitue le standard de facto pour les réseaux sans fil sur les campus de l'enseignement supérieur du monde entier. Si votre organisation est en lien avec des universités - que vous soyez un hôtel à proximité d'un campus, un centre de conférences accueillant des événements académiques ou une bibliothèque publique dans une ville universitaire - comprendre eduroam est directement pertinent pour votre stratégie réseau. --- [ANALYSE TECHNIQUE APPROFONDIE - 5 minutes] Très bien. Entrons dans les détails de la mécanique. eduroam est construit sur la base de la norme IEEE 802.1X - le standard de contrôle d'accès réseau basé sur les ports. Le 802.1X définit un cadre pour authentifier les appareils avant de leur accorder l'accès à un réseau. Conçu à l'origine pour l'Ethernet filaire, il s'adapte parfaitement au sans fil et constitue le fondement de ce que nous appelons la sécurité WPA2-Enterprise ou WPA3-Enterprise. Le modèle 802.1X comprend trois composants. Tout d'abord, le Supplicant - c'est l'appareil qui tente de se connecter. L'ordinateur portable d'un étudiant, le téléphone d'un chercheur. Deuxièmement, l'Authenticator - c'est votre point d'accès réseau ou votre commutateur managé. Il se situe entre le supplicant et le reste du réseau et joue le rôle de gardien. Troisièmement, le Serveur d'Authentification - presque toujours un serveur RADIUS. RADIUS signifie Remote Authentication Dial-In User Service. C'est le composant qui valide réellement les identifiants. Voici comment fonctionne la négociation de connexion. L'appareil de l'étudiant s'associe au point d'accès sans fil. Le point d'accès n'accorde pas encore un accès réseau complet - il ouvre ce que l'on appelle un port contrôlé, mais uniquement pour le trafic EAP. EAP est le protocole d'authentification extensible. Le point d'accès relaie la conversation EAP entre l'appareil et le serveur RADIUS. Le serveur RADIUS interroge l'appareil, l'appareil répond avec des identifiants - généralement un nom d'utilisateur et un mot de passe, ou un certificat - et si le serveur RADIUS est satisfait, il renvoie un message Access-Accept. Le point d'accès ouvre alors le port réseau complet. L'ensemble de l'échange prend moins de deux secondes dans un déploiement bien configuré. Maintenant, comment eduroam se superpose-t-il à cela ? eduroam utilise une infrastructure de proxy RADIUS hiérarchique. Chaque institution participante gère son propre serveur RADIUS - appelé le fournisseur d'identité, ou IdP. Lorsqu'un étudiant de, disons, l'Université de Manchester visite l'Imperial College London et se connecte au SSID eduroam, son appareil envoie ses identifiants au format username@manchester.ac.uk. Le serveur RADIUS de l'Imperial détecte le domaine - c'est la partie après le symbole @ - et relaie la demande d'authentification vers le serveur RADIUS national, qui est géré au Royaume-Uni par Jisc, le réseau national pour la recherche et l'enseignement. Jisc route ensuite la demande vers le serveur RADIUS de l'Université de Manchester, qui valide les identifiants et renvoie un Accept ou un Reject. Toute la chaîne se résout en quelques millisecondes. Cette chaîne de proxy est ce qui permet à eduroam de fonctionner au-delà des frontières institutionnelles sans aucun secret partagé préalablement entre les institutions. Chaque saut de la chaîne utilise un secret RADIUS partagé uniquement avec son voisin immédiat. Le mot de passe réel de l'étudiant ne quitte jamais le serveur RADIUS de son institution d'origine - il est protégé de bout en bout par le tunnel EAP. En parlant des méthodes EAP - c'est là que de nombreux déploiements échouent, alors soyez attentif. Les méthodes EAP les plus courantes dans eduroam sont PEAP - Protected EAP - et EAP-TLS. PEAP enveloppe une méthode d'authentification interne, généralement MSCHAPv2, dans un tunnel TLS. Elle nécessite un certificat côté serveur sur le serveur RADIUS, mais le client a seulement besoin d'un nom d'utilisateur et d'un mot de passe. EAP-TLS est l'option la plus sécurisée - elle utilise une authentification mutuelle par certificat, ce qui signifie que le serveur et le client présentent tous deux des certificats. Elle est plus difficile à déployer à grande échelle car vous avez besoin d'une PKI pour délivrer des certificats clients, mais elle est essentiellement immunisée contre le phishing d'identifiants. L'exigence de sécurité critique que de nombreuses institutions négligent est la validation du certificat du côté client. Lorsqu'un appareil se connecte à eduroam via PEAP, il doit vérifier le certificat du serveur RADIUS avant de soumettre ses identifiants. Si l'appareil est mal configuré et accepte n'importe quel certificat, un attaquant peut installer un point d'accès malveillant diffusant le SSID eduroam, présenter un certificat auto-signé et dérober les identifiants. Il s'agit d'un vecteur d'attaque bien connu. La solution consiste à configurer vos profils de demandeur - via MDM pour les appareils gérés, ou via l'outil d'assistance à la configuration eduroam, appelé CAT, pour les appareils personnels - afin de verrouiller l'autorité de certification et le nom de serveur attendus. D'un point de vue réglementaire, les déploiements eduroam doivent être conformes à la définition du service de politique eduroam, qui impose TLS 1.2 ou supérieur pour toutes les connexions RADIUS sur TLS, interdit l'utilisation de méthodes EAP faibles comme EAP-MD5 ou LEAP, et exige que toutes les connexions proxy RADIUS utilisent RadSec - RADIUS sur TLS - plutôt que RADIUS UDP standard dans la mesure du possible. Cela s'aligne sur les directives du NCSC au Royaume-Uni et du NIST SP 800-120 aux États-Unis. Un autre point technique important à souligner : l'attribution des VLAN. Dans un déploiement eduroam bien structuré, la réponse RADIUS Access-Accept inclut des attributs VLAN qui indiquent au point d'accès le VLAN auquel attribuer l'appareil connecté. Cela vous permet de segmenter le trafic - en plaçant les étudiants invités sur un VLAN restreint avec un accès Internet uniquement, tandis que votre propre personnel est dirigé vers le réseau interne. C'est essentiel pour la conformité, en particulier si vous êtes soumis à PCI-DSS ou si vous devez maintenir une séparation entre les réseaux de données de recherche et le trafic Internet général. - [RECOMMANDATIONS DE DÉPLOIEMENT ET PIÈGES À ÉVITER - 2 minutes] Voici quelques conseils pratiques. Si vous déployez eduroam pour la première fois, votre premier contact doit être votre NREN national - au Royaume-Uni, il s'agit de Jisc, en Irlande de HEAnet, et aux États-Unis d'Internet2. Ils gèrent l'adhésion à la fédération et vous attribueront un domaine RADIUS. Vous ne pouvez pas participer à eduroam sans être membre de votre fédération nationale. Votre liste de contrôle d'infrastructure : vous avez besoin de points d'accès compatibles 802.1X - n'importe quel équipement d'entreprise de Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi fera l'affaire. Vous avez besoin d'un serveur RADIUS - FreeRADIUS est la norme open-source, ou vous pouvez utiliser Microsoft NPS, Cisco ISE ou Aruba ClearPass. Vous avez besoin d'un certificat TLS valide pour votre serveur RADIUS provenant d'une autorité de certification approuvée par la communauté eduroam - généralement un certificat de l'infrastructure PKI de votre institution ou d'une autorité de certification commerciale figurant sur la liste approuvée d'eduroam. Les trois échecs de déploiement les plus courants que je constate sont : premièrement, une mauvaise configuration des certificats - soit le certificat RADIUS a expiré, soit les profils des suppliants clients ne sont pas correctement épinglés. Deuxièmement, les délais d'attente du proxy RADIUS - si votre connexion NREN en amont présente des problèmes de latence, l'authentification expirera et les utilisateurs verront des échecs de connexion qui ressemblent à des erreurs d'identifiants. Troisièmement, une mauvaise configuration de VLAN - les utilisateurs invités se retrouvent sur le mauvais segment de réseau, soit sans accès internet, soit, pire encore, avec un accès à des ressources internes qu'ils ne devraient pas voir. Du côté client, déployez les profils eduroam CAT sur tous les appareils gérés via votre plateforme MDM. Pour les appareils personnels, publiez le lien de l'installateur CAT de manière bien visible. Cette seule étape élimine la majorité des tickets de support. Pour les sites qui ne sont pas des établissements d'enseignement supérieur mais qui souhaitent proposer un accès eduroam - centres de conférence, hôtels et autres - le processus s'appelle eduroam Visitor Access, ou eVA. Il permet à des organisations non membres d'héberger l'SSID eduroam et de déléguer l'authentification à la fédération sans en être membres de plein droit. C'est une piste à étudier si vous accueillez régulièrement des conférences académiques ou des événements universitaires. - [QUESTIONS-RÉPONSES RAPIDES - 1 minute] Questions rapides que l'on me pose régulièrement. "eduroam peut-il remplacer entièrement notre WiFi invité ?" Non. eduroam ne fonctionne que pour les utilisateurs qui possèdent des identifiants dans une institution membre. Vous avez toujours besoin d'une solution de WiFi invité distincte pour tous les autres - visiteurs, prestataires, grand public. "eduroam est-il conforme au GDPR ?" Oui, avec des réserves. L'architecture de la fédération signifie que votre institution traite les données d'authentification, mais vous devez vous assurer que vos politiques de confidentialité couvrent ce point et que vos journaux RADIUS sont gérés de manière appropriée. "Pouvons-nous utiliser WPA3 avec eduroam ?" Oui. WPA3-Enterprise est entièrement compatible avec 802.1X et constitue la norme recommandée pour les nouveaux déploiements. Il ajoute un chiffrement en mode 192 bits pour les environnements de haute sécurité. "Quelle est la différence entre eduroam et OpenRoaming ?" OpenRoaming est une initiative industrielle plus large de la Wireless Broadband Alliance qui utilise la même architecture 802.1X et de proxy RADIUS, mais étend l'itinérance au-delà de l'éducation aux sites commerciaux. Certaines plateformes, dont Purple, prennent en charge OpenRoaming dans le cadre de leur offre de WiFi invité. - [RÉSUMÉ ET PROCHAINES ÉTAPES - 1 minute] Pour conclure. eduroam est un service d'itinérance WiFi mature, bien encadré et déployé à l'échelle mondiale, reposant sur le 802.1X et une infrastructure de proxy RADIUS hiérarchique. Il offre une authentification par utilisateur, un chiffrement fort et une itinérance fluide à travers plus de 10 000 institutions - sans mots de passe partagés ni Captive Portals. Pour les équipes informatiques qui déploient ou mettent à niveau le réseau sans fil d'un campus : donnez la priorité à EAP-TLS par rapport à PEAP là où votre PKI peut le prendre en charge, imposez la validation des certificats sur tous les profils clients, utilisez RadSec pour toutes les connexions proxy RADIUS et segmentez les utilisateurs invités dans un VLAN dédié. Pour les gestionnaires de sites : si vous accueillez régulièrement des visiteurs académiques, étudiez l'option eduroam Visitor Access. Et que vous déployiez eduroam ou non, votre infrastructure WiFi pour invités doit être construite sur les principes du 802.1X de classe entreprise - et non sur des PSK partagées. Si vous souhaitez approfondir l'un de ces sujets - architecture RADIUS, conception PKI pour EAP-TLS ou la manière dont des plateformes comme Purple s'intègrent avec eduroam et OpenRoaming - le guide écrit complet est accessible via le lien dans les notes de l'émission. Merci pour votre écoute. À la prochaine fois. --- FIN DU SCRIPT