eduroam e 802.1X: autenticazione WiFi sicura per l'istruzione superiore

PODCAST SCRIPT: eduroam e 802.1X — Autenticazione WiFi Sicura per l'Istruzione Superiore Durata: circa 10 minuti Voce: inglese britannico, maschile, tono da consulente senior — fiducioso, colloquiale, autorevole --- [INTRO — 1 minuto] Bentornati. Nei prossimi dieci minuti vi guiderò attraverso eduroam e 802.1X — cosa sono, come funzionano effettivamente dietro le quinte e cosa deve sapere il vostro team prima di distribuire o integrarli. Se siete un IT manager, un progettista di rete o un CTO presso un'università, un istituto di istruzione superiore o un istituto di ricerca — o se siete gestori di una sede che ha bisogno di capire cosa si aspettano i visitatori accademici dalla vostra infrastruttura wireless — questo è il briefing che fa per voi. Iniziamo con il quadro generale. eduroam sta per "education roaming". Si tratta di un servizio di roaming WiFi globale che consente a studenti, ricercatori e personale delle istituzioni affiliate di connettersi a Internet presso qualsiasi sede partecipante — in modo automatico, sicuro e utilizzando le credenziali del proprio istituto di provenienza. Nessun Captive Portal. Nessun codice voucher. Nessuna richiesta di password alla reception. È attivo dal 2003, copre oggi oltre 10.000 istituti in più di 100 paesi ed è lo standard de facto per le reti wireless nei campus universitari di tutto il mondo. Se la vostra organizzazione interagisce con le università — che siate un hotel vicino a un campus, un centro congressi che ospita eventi accademici o una biblioteca pubblica in una città universitaria — comprendere eduroam è direttamente rilevante per la vostra strategia di rete. --- [APPROFONDIMENTO TECNICO — 5 minuti] Bene. Entriamo nei dettagli tecnici. eduroam è basato sullo standard IEEE 802.1X — lo standard di controllo dell'accesso alla rete basato su porte. L'802.1X definisce un framework per l'autenticazione dei dispositivi prima che venga concesso loro l'accesso a una rete. Originariamente era stato progettato per le reti Ethernet cablate, ma si adatta perfettamente al wireless ed è la base di ciò che chiamiamo sicurezza WPA2-Enterprise o WPA3-Enterprise. Il modello 802.1X si compone di tre elementi. Primo, il Supplicant — ovvero il dispositivo che tenta di connettersi. Il laptop di uno studente, lo smartphone di un ricercatore. Secondo, l'Authenticator — cioè il vostro access point di rete o switch gestito. Si interpone tra il supplicant e il resto della rete e funge da gatekeeper. Terzo, l'Authentication Server — quasi sempre un server RADIUS. RADIUS sta per Remote Authentication Dial-In User Service. È il componente che convalida effettivamente le credenziali. Ecco come funziona l'handshake. Il dispositivo dello studente si associa all'access point wireless. L'access point non concede ancora l'accesso completo alla rete: apre quello che viene chiamato una porta controllata, ma solo per il traffico EAP. EAP è l'Extensible Authentication Protocol. L'access point fa da proxy per la conversazione EAP tra il dispositivo e il server RADIUS. Il server RADIUS sfida il dispositivo, il dispositivo risponde con le credenziali — in genere un nome utente e una password, o un certificato — e se il server RADIUS è soddisfatto, invia un messaggio di Access-Accept. L'access point apre quindi la porta di rete completa. L'intero scambio richiede meno di due secondi in un'implementazione ben configurata. Ora, come si inserisce eduroam in questo contesto? eduroam utilizza un'infrastruttura proxy RADIUS gerarchica. Ogni istituto partecipante gestisce il proprio server RADIUS, chiamato Identity Provider o IdP. Quando uno studente, ad esempio, dell'Università di Manchester visita l'Imperial College di Londra e si connette all'SSID eduroam, il suo dispositivo invia le credenziali nel formato username@manchester.ac.uk. Il server RADIUS dell'Imperial vede il realm — ovvero la parte dopo il simbolo @ — e inoltra la richiesta di autenticazione al server RADIUS nazionale, gestito nel Regno Unito da Jisc, la rete nazionale per la ricerca e l'istruzione. Jisc reindirizza quindi la richiesta al server RADIUS dell'Università di Manchester, che convalida le credenziali e restituisce un Accept o Reject. L'intera catena si risolve in millisecondi. Questa catena di proxy è ciò che consente a eduroam di funzionare oltre i confini istituzionali senza segreti precondivisi tra gli istituti. Ogni hop nella catena utilizza un segreto RADIUS condiviso solo con il suo vicino immediato. La password effettiva dello studente non lascia mai il server RADIUS dell'istituto di origine: è protetta end-to-end dal tunnel EAP. A proposito di metodi EAP — è qui che molte distribuzioni falliscono, quindi fate attenzione. I metodi EAP più comuni in eduroam sono PEAP — Protected EAP — ed EAP-TLS. PEAP avvolge un metodo di autenticazione interno, solitamente MSCHAPv2, all'interno di un tunnel TLS. Richiede un certificato lato server sul server RADIUS, ma il client ha bisogno solo di nome utente e password. EAP-TLS è l'opzione più sicura: utilizza l'autenticazione reciproca con certificato, il che significa che sia il server che il client presentano i certificati. È più difficile da distribuire su larga scala perché è necessaria una PKI per emettere i certificati client, ma è essenzialmente immune al phishing delle credenziali. Il requisito di sicurezza fondamentale su cui molte istituzioni sbagliano è la validazione del certificato lato client. Quando un dispositivo si connette a eduroam utilizzando PEAP, il dispositivo deve verificare il certificato del server RADIUS prima di inviare le credenziali. Se il dispositivo è configurato in modo errato per accettare qualsiasi certificato, un malintenzionato può attivare un access point non autorizzato che trasmette l'SSID eduroam, presentare un certificato autofirmato e sottrarre le credenziali. Questo è un vettore di attacco noto. La soluzione consiste nel configurare i profili dei supplicant — tramite MDM per i dispositivi gestiti, o tramite l'eduroam Configuration Assistant Tool, noto come CAT, per i dispositivi personali — per bloccare l'autorità di certificazione e il nome del server previsti. Dal punto di vista degli standard, le implementazioni di eduroam devono essere conformi alla eduroam Policy Service Definition, che impone TLS 1.2 o superiore per tutte le connessioni RADIUS su TLS, vieta l'uso di metodi EAP deboli come EAP-MD5 o LEAP, e richiede che tutte le connessioni proxy RADIUS utilizzino RadSec — RADIUS su TLS — anziché il semplice UDP RADIUS dove possibile. Questo è in linea con le linee guida NCSC nel Regno Unito e NIST SP 800-120 negli Stati Uniti. Un altro punto tecnico degno di nota: l'assegnazione della VLAN. In un'implementazione eduroam ben progettata, la risposta RADIUS Access-Accept include attributi VLAN che indicano all'access point quale VLAN assegnare al dispositivo che si connette. Ciò consente di segmentare il traffico, inserendo gli studenti in visita su una VLAN limitata con accesso solo a Internet, mentre il proprio personale viene instradato verso la rete interna. Questo è essenziale per la conformità, in particolare se si è soggetti a PCI DSS o se è necessario mantenere la separazione tra le reti di dati di ricerca e il traffico internet generale. --- [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE DA EVITARE — 2 minuti] Permettetemi di fornirvi alcune indicazioni pratiche. Se state implementando eduroam per la prima volta, la vostra prima chiamata dovrebbe essere alla vostra NREN nazionale — nel Regno Unito è Jisc, in Irlanda HEAnet, negli Stati Uniti Internet2. Gestiscono l'adesione alla federazione e vi assegneranno un dominio RADIUS. Non è possibile partecipare a eduroam senza essere membri della propria federazione nazionale. La vostra checklist per l'infrastruttura: avete bisogno di access point compatibili con 802.1X — qualsiasi kit di livello enterprise di Cisco, Aruba, Juniper, Ruckus o Ubiquiti UniFi andrà bene. Avete bisogno di un server RADIUS — FreeRADIUS è lo standard open-source, oppure potete usare Microsoft NPS, Cisco ISE o Aruba ClearPass. È necessario un certificato TLS valido per il server RADIUS emesso da una CA attendibile per la community eduroam — in genere un certificato della PKI dell'istituto o di una CA commerciale inclusa nell'elenco approvato di eduroam. I tre fallimenti di implementazione più comuni che riscontro sono: in primo luogo, l'errata configurazione dei certificati — o il certificato RADIUS è scaduto, o i profili del supplicant client non sono associati correttamente. In secondo luogo, i timeout del proxy RADIUS — se la connessione NREN a monte presenta problemi di latenza, l'autenticazione andrà in timeout e gli utenti vedranno errori di connessione che sembrano errori di credenziali. In terzo luogo, l'errata configurazione delle VLAN — gli utenti ospiti finiscono sul segmento di rete sbagliato, non ottenendo alcun accesso a Internet o, peggio, ottenendo l'accesso a risorse interne che non dovrebbero vedere. Sul lato client, distribuisci i profili eduroam CAT a tutti i dispositivi gestiti tramite la tua piattaforma MDM. Per i dispositivi personali, pubblica in evidenza il link del programma di installazione CAT. Questo singolo passaggio elimina la maggior parte dei ticket di supporto. Per le sedi che non sono istituti di istruzione superiore ma desiderano offrire l'accesso a eduroam — centri congressi, hotel e simili — il processo si chiama eduroam Visitor Access, o eVA. Consente alle organizzazioni non membre di ospitare l'SSID eduroam e di delegare l'autenticazione tramite proxy alla federazione senza essere membri effettivi. Vale la pena approfondire se ospiti regolarmente conferenze accademiche o eventi universitari. --- [DOMANDE E RISPOSTE RAPIDE — 1 minuto] Domande rapide che mi vengono poste regolarmente. "eduroam può sostituire interamente il nostro WiFi per gli ospiti?" No. eduroam funziona solo per gli utenti che dispongono di credenziali presso un istituto membro. Avrai comunque bisogno di una soluzione WiFi per gli ospiti separata per tutti gli altri — visitatori, appaltatori, pubblico in generale. "eduroam è conforme al GDPR?" Sì, con alcune riserve. L'architettura della federazione implica che il tuo istituto elabori i dati di autenticazione, ma devi assicurarti che le tue informative sulla privacy coprano questo aspetto e che i tuoi log RADIUS siano gestiti in modo appropriato. "Possiamo usare WPA3 con eduroam?" Sì. WPA3-Enterprise è completamente compatibile con 802.1X ed è lo standard consigliato per le nuove implementazioni. Aggiunge la crittografia in modalità a 192 bit per ambienti ad alta sicurezza. "Qual è la differenza tra eduroam e OpenRoaming?" OpenRoaming è un'iniziativa di settore più ampia della Wireless Broadband Alliance che utilizza la stessa architettura proxy 802.1X e RADIUS ma estende il roaming oltre l'istruzione ai siti commerciali. Alcune piattaforme, tra cui Purple, supportano OpenRoaming come parte della loro offerta WiFi per gli ospiti. --- [RIEPILOGO E PROSSIMI PASSI — 1 minuto] Per concludere. eduroam è un servizio di roaming WiFi maturo, ben regolamentato e distribuito a livello globale, basato su 802.1X e su un'infrastruttura proxy RADIUS gerarchica. Offre autenticazione per singolo utente, crittografia avanzata e roaming trasparente in oltre 10.000 istituti — senza password condivise o Captive Portal. Per i team IT che distribuiscono o aggiornano la rete wireless del campus: date priorità a EAP-TLS rispetto a PEAP dove la vostra PKI può supportarlo, applicate la validazione dei certificati su tutti i profili client, utilizzate RadSec per tutte le connessioni proxy RADIUS e segmentate gli utenti ospiti in una VLAN dedicata. Per i gestori delle sedi: se ospitate regolarmente visitatori accademici, informatevi su eduroam Visitor Access. E a prescindere dal fatto che implementiate o meno eduroam, la vostra infrastruttura guest WiFi dovrebbe essere basata su principi 802.1X di livello enterprise, non su PSK condivise. Se desiderate approfondire uno di questi argomenti — architettura RADIUS, progettazione PKI per EAP-TLS o come piattaforme come Purple si integrano con eduroam e OpenRoaming — la guida scritta completa è accessibile tramite il link nelle note dell'episodio. Grazie per l'ascolto. Alla prossima. --- FINE DELLO SCRIPT