eduroam et 802.1X : authentification WiFi sécurisée pour l'enseignement supérieur

SCRIPT DE PODCAST : eduroam et 802.1X - Authentification WiFi sécurisée pour l'enseignement supérieur Durée : environ 10 minutes Voix : Anglais britannique, masculin, ton de consultant senior - confiant, conversationnel, faisant autorité --- [INTRO - 1 minute] Bienvenue. Je vais passer les dix prochaines minutes à vous présenter eduroam et 802.1X - ce qu'ils sont, comment ils fonctionnent réellement sous le capot et ce que votre équipe doit savoir avant de les déployer ou de s'y intégrer. Si vous êtes responsable informatique, architecte réseau ou CTO au sein d'une université, d'une grande école ou d'un institut de recherche - ou si vous êtes un exploitant de site qui doit comprendre ce que vos visiteurs du monde académique attendent de votre infrastructure sans fil - ce briefing est fait pour vous. Commençons par une vue d'ensemble. eduroam signifie "education roaming". Il s'agit d'un service de roaming WiFi mondial qui permet aux étudiants, chercheurs et membres du personnel des institutions membres de se connecter à Internet sur n'importe quel site participant - automatiquement, de manière sécurisée, en utilisant les identifiants de leur institution d'origine. Pas de portail invité. Pas de codes de coupon. Pas besoin de demander un mot de passe à l'accueil. Opérationnel depuis 2003, il couvre aujourd'hui plus de 10 000 institutions dans plus de 100 pays et constitue le standard de fait pour les réseaux sans fil universitaires dans l'enseignement supérieur à l'échelle mondiale. Si votre organisation interagit avec des universités - que vous soyez un hôtel à proximité d'un campus, un centre de conférence accueillant des événements académiques ou une bibliothèque publique dans une ville universitaire - comprendre eduroam est directement pertinent pour votre stratégie réseau. --- [ANALYSE TECHNIQUE APPROFONDIE - 5 minutes] Très bien. Entrons dans les détails techniques. eduroam est construit sur la base de la norme IEEE 802.1X - la norme de contrôle d'accès réseau basé sur les ports. La norme 802.1X définit un cadre pour authentifier les appareils avant de leur accorder l'accès à un réseau. Conçue à l'origine pour l'Ethernet filaire, elle s'adapte parfaitement au sans fil et constitue le fondement de ce que nous appelons la sécurité WPA2-Enterprise ou WPA3-Enterprise. Le modèle 802.1X comporte trois composants. Premièrement, le Supplicant - c'est l'appareil qui tente de se connecter. L'ordinateur portable d'un étudiant, le téléphone d'un chercheur. Deuxièmement, l'Authenticator - c'est votre point d'accès réseau ou votre commutateur managé. Il se situe entre le supplicant et le reste du réseau et joue le rôle de gardien. Troisièmement, le serveur d'authentification - presque toujours un serveur RADIUS. RADIUS signifie Remote Authentication Dial-In User Service. C'est le composant qui valide réellement les identifiants. Voici comment fonctionne l'échange initial. L'appareil de l'étudiant s'associe au point d'accès sans fil. Le point d'accès n'accorde pas encore un accès complet au réseau - il ouvre ce qu'on appelle un port contrôlé, mais uniquement pour le trafic EAP. L'EAP est le protocole d'authentification extensible. Le point d'accès sert de proxy pour la conversation EAP entre l'appareil et le serveur RADIUS. Le serveur RADIUS défie l'appareil, l'appareil répond avec des identifiants - généralement un nom d'utilisateur et un mot de passe, ou un certificat - et si le serveur RADIUS est satisfait, il renvoie un message Access-Accept. Le point d'accès ouvre ensuite le port réseau complet. L'ensemble de l'échange prend moins de deux secondes dans un déploiement bien configuré. Maintenant, comment eduroam se superpose-t-il à cela ? eduroam utilise une infrastructure de proxy RADIUS hiérarchique. Chaque institution participante gère son propre serveur RADIUS - appelé le fournisseur d'identité, ou IdP. Lorsqu'un étudiant, par exemple, de l'Université de Manchester visite l'Imperial College London et se connecte au SSID eduroam, son appareil envoie ses identifiants au format username@manchester.ac.uk. Le serveur RADIUS d'Imperial voit le domaine - c'est la partie après le symbole @ - et relaie la demande d'authentification vers le serveur RADIUS national, qui est géré au Royaume-Uni par Jisc, le réseau national de recherche et d'éducation. Jisc achemine ensuite la demande vers le serveur RADIUS de l'Université de Manchester, qui valide les identifiants et renvoie un Accept ou Reject. L'ensemble de la chaîne est résolu en quelques millisecondes. Cette chaîne de proxys est ce qui permet à eduroam de fonctionner au-delà des frontières institutionnelles sans aucun secret pré-partagé entre les institutions. Chaque saut de la chaîne utilise un secret RADIUS partagé uniquement avec son voisin immédiat. Le mot de passe réel de l'étudiant ne quitte jamais le serveur RADIUS de son institution d'origine - il est protégé de bout en bout par le tunnel EAP. En parlant de méthodes EAP - c'est là que de nombreux déploiements échouent, alors soyez attentif. Les méthodes EAP les plus courantes dans eduroam sont PEAP - Protected EAP - et EAP-TLS. PEAP enveloppe une méthode d'authentification interne, généralement MSCHAPv2, dans un tunnel TLS. Il nécessite un certificat côté serveur sur le serveur RADIUS, mais le client n'a besoin que d'un nom d'utilisateur et d'un mot de passe. EAP-TLS est l'option la plus sécurisée - elle utilise une authentification par certificat mutuel, ce qui signifie que le serveur et le client présentent tous deux des certificats. Elle est plus difficile à déployer à grande échelle car vous avez besoin d'une PKI pour émettre des certificats clients, mais elle est essentiellement immunisée contre le phishing d'identifiants. L'exigence de sécurité critique que de nombreuses institutions ne respectent pas correctement est la validation des certificats côté client. Lorsqu'un appareil se connecte à eduroam via PEAP, l'appareil doit vérifier le certificat du serveur RADIUS avant de soumettre les identifiants. Si l'appareil est mal configuré et accepte n'importe quel certificat, un attaquant peut configurer un point d'accès malveillant diffusant le SSID eduroam, présenter un certificat auto-signé et récupérer les identifiants. C'est un vecteur d'attaque connu. La solution consiste à configurer vos profils de demandeur - via MDM pour les appareils gérés, ou via l'outil d'assistance à la configuration eduroam, appelé CAT, pour les appareils personnels - afin d'épingler l'autorité de certification et le nom de serveur attendus. Du point de vue des normes, les déploiements eduroam doivent être conformes à la définition du service de politique eduroam, qui impose TLS 1.2 ou supérieur pour toutes les connexions RADIUS sur TLS, interdit l'utilisation de méthodes EAP faibles comme EAP-MD5 ou LEAP, et exige que toutes les connexions proxy RADIUS utilisent RadSec - RADIUS sur TLS - plutôt que le simple protocole UDP RADIUS dans la mesure du possible. Cela s'aligne sur les directives du NCSC au Royaume-Uni et de la norme NIST SP 800-120 aux États-Unis. Un autre point technique mérite d'être signalé : l'attribution de VLAN. Dans un déploiement eduroam bien architecturé, la réponse RADIUS Access-Accept inclut des attributs VLAN qui indiquent au point d'accès quel VLAN attribuer à l'appareil connecté. Cela vous permet de segmenter le trafic - en plaçant les étudiants visiteurs sur un VLAN restreint avec un accès internet uniquement, tandis que votre propre personnel est dirigé vers le réseau interne. C'est essentiel pour la conformité, en particulier si vous êtes soumis à la norme PCI-DSS ou si vous devez maintenir une séparation entre les réseaux de données de recherche et le trafic internet général. --- [RECOMMANDATIONS DE MISE EN ŒUVRE ET PIÈGES À ÉVITER — 2 minutes] Permettez-moi de vous donner des conseils pratiques. Si vous déployez eduroam pour la première fois, votre premier contact doit être votre NREN national - au Royaume-Uni, il s'agit de Jisc, en Irlande d'HEAnet, et aux États-Unis d'Internet2. Ils gèrent l'adhésion à la fédération et vous attribueront un domaine RADIUS. Vous ne pouvez pas participer à eduroam sans être membre de votre fédération nationale. Votre liste de contrôle d'infrastructure : vous avez besoin de points d'accès compatibles 802.1X - n'importe quel équipement de niveau entreprise de Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi fera l'affaire. Vous avez besoin d'un serveur RADIUS - FreeRADIUS est la norme open source, ou vous pouvez utiliser Microsoft NPS, Cisco ISE ou Aruba ClearPass. Vous avez besoin d'un certificat TLS valide pour votre serveur RADIUS provenant d'une autorité de certification approuvée par la communauté eduroam - généralement un certificat de l'infrastructure de clés publiques de votre institution ou d'une autorité de certification commerciale figurant sur la liste approuvée d'eduroam. Les trois échecs de déploiement les plus courants que je constate sont : premièrement, une mauvaise configuration des certificats - soit le certificat RADIUS a expiré, soit les profils de supplicant client ne sont pas correctement épinglés. Deuxièmement, les expirations de délai du proxy RADIUS - si votre connexion NREN en amont présente des problèmes de latence, l'authentification expirera et les utilisateurs verront des échecs de connexion qui ressemblent à des erreurs d'identifiants. Troisièmement, une mauvaise configuration VLAN - les utilisateurs visiteurs se retrouvent sur le mauvais segment de réseau, soit sans accès internet, soit, pire encore, avec un accès à des ressources internes qu'ils ne devraient pas voir. Du côté client, déployez les profils eduroam CAT sur tous les appareils gérés via votre plateforme MDM. Pour les appareils personnels, publiez le lien de l'installateur CAT de manière bien visible. Cette simple étape élimine la majorité des tickets d'assistance. Pour les sites qui ne sont pas des établissements d'enseignement supérieur mais qui souhaitent proposer un accès eduroam - centres de conférence, hôtels et similaires - le processus est appelé eduroam Visitor Access, ou eVA. Il permet aux organisations non membres d'héberger l'SSID eduroam et de relayer l'authentification par proxy vers la fédération sans être membres de plein droit. Cela vaut la peine de s'y intéresser si vous accueillez régulièrement des conférences académiques ou des événements universitaires. --- [Q&R RAPIDES - 1 minute] Questions rapides que l'on me pose régulièrement. "eduroam peut-il remplacer entièrement notre WiFi invité ?" Non. eduroam ne fonctionne que pour les utilisateurs qui possèdent des identifiants dans une institution membre. Vous avez toujours besoin d'une solution WiFi invité distincte pour tous les autres - visiteurs, prestataires, grand public. "eduroam est-il conforme au GDPR ?" Oui, avec des nuances. L'architecture de la fédération signifie que votre institution traite les données d'authentification, mais vous devez vous assurer que vos avis de confidentialité couvrent cela et que vos journaux RADIUS sont gérés de manière appropriée. "Pouvons-nous utiliser WPA3 avec eduroam ?" Oui. WPA3-Enterprise est entièrement compatible avec le protocole 802.1X et constitue la norme recommandée pour les nouveaux déploiements. Il ajoute un chiffrement en mode 192 bits pour les environnements de haute sécurité. "Quelle est la différence entre eduroam et OpenRoaming ?" OpenRoaming est une initiative industrielle plus large de la Wireless Broadband Alliance qui utilise la même architecture de proxy 802.1X et RADIUS, mais étend l'itinérance au-delà de l'éducation vers les sites commerciaux. Certaines plateformes, dont Purple, prennent en charge OpenRoaming dans le cadre de leur offre WiFi invité. --- [RÉSUMÉ ET PROCHAINES ÉTAPES - 1 minute] En résumé. eduroam est un service d'itinérance WiFi mature, bien gouverné et déployé à l'échelle mondiale, reposant sur le protocole 802.1X et une infrastructure de proxy RADIUS hiérarchique. Il offre une authentification par utilisateur, un chiffrement fort et une itinérance transparente à travers plus de 10 000 institutions - sans mots de passe partagés ni Captive Portals. Pour les équipes informatiques qui déploient ou mettent à niveau le réseau sans fil d'un campus : donnez la priorité à EAP-TLS par rapport à PEAP là où votre PKI peut le prendre en charge, imposez la validation des certificats sur tous les profils clients, utilisez RadSec pour toutes les connexions proxy RADIUS, et segmentez les utilisateurs visiteurs dans un VLAN dédié. Pour les exploitants de sites : si vous accueillez régulièrement des visiteurs universitaires, intéressez-vous à eduroam Visitor Access. Et que vous déployiez eduroam ou non, votre infrastructure WiFi invité doit être construite sur des principes 802.1X de classe entreprise - et non sur des PSKs partagés. Si vous souhaitez approfondir l'un de ces sujets - l'architecture RADIUS, la conception PKI pour EAP-TLS, ou la manière dont des plateformes comme Purple s'intègrent avec eduroam et OpenRoaming - le guide écrit complet est disponible dans les notes de l'émission. Merci de votre écoute. À la prochaine. --- FIN DU SCRIPT