eduroam e 802.1X: autenticazione WiFi sicura per l'istruzione superiore | Purple

COPIA DELLO SCRIPT DEL PODCAST: eduroam e 802.1X - Autenticazione WiFi sicura per l'istruzione superiore Durata: circa 10 minuti Voce: inglese britannico, maschile, tono da consulente senior - fiducioso, colloquiale, autorevole --- [INTRODUZIONE - 1 minuto] Bentornati. Nei prossimi dieci minuti vi illustrerò eduroam e 802.1X - cosa sono, come funzionano effettivamente dietro le quinte e cosa deve sapere il vostro team prima di implementarli o integrarli. Se siete responsabili IT, network architect o CTO presso un'università, un college o un istituto di ricerca - o se gestite una sede che deve comprendere le aspettative dei visitatori accademici rispetto alla vostra infrastruttura wireless - questo è il briefing che fa per voi. Cominciamo con un quadro generale. eduroam sta per "education roaming". Si tratta di un servizio di roaming WiFi globale che consente a studenti, ricercatori e personale delle istituzioni affiliate di connettersi a Internet in qualsiasi sede aderente - in modo automatico, sicuro e utilizzando le credenziali del proprio istituto di appartenenza. Niente portali per gli ospiti. Niente codici voucher. Niente richieste di password alla reception. Attivo dal 2003, oggi copre oltre 10.000 istituzioni in più di 100 paesi ed è lo standard de facto per la rete wireless dei campus nell'istruzione superiore in tutto il mondo. Se la vostra organizzazione ha contatti con le università - che si tratti di un hotel vicino a un campus, di un centro congressi che ospita eventi accademici o di una biblioteca pubblica in una città universitaria - comprendere eduroam è direttamente rilevante per la vostra strategia di rete. --- [APPROFONDIMENTO TECNICO - 5 minuti] Bene. Entriamo nei dettagli tecnici. eduroam è basato su IEEE 802.1X - lo standard di controllo dell'accesso alla rete basato su porte. Lo standard 802.1X definisce un framework per l'autenticazione dei dispositivi prima che venga concesso loro l'accesso a una rete. Originariamente progettato per l'Ethernet cablata, si adatta perfettamente al wireless ed è la base di ciò che chiamiamo sicurezza WPA2-Enterprise o WPA3-Enterprise. Il modello 802.1X è composto da tre elementi. Primo, il Supplicant - ovvero il dispositivo che tenta di connettersi. Il laptop di uno studente, il telefono di un ricercatore. Secondo, l'Authenticator - ovvero il vostro access point di rete o switch gestito. Si colloca tra il supplicant e il resto della rete e funge da gatekeeper. Terzo, l'Authentication Server - quasi sempre un server RADIUS. RADIUS sta per Remote Authentication Dial-In User Service. È il componente che convalida effettivamente le credenziali. Ecco come funziona l'handshake. Il dispositivo dello studente si associa all'access point wireless. L'access point non concede ancora l'accesso completo alla rete - apre invece una cosiddetta porta controllata, ma solo per il traffico EAP. EAP è l'Extensible Authentication Protocol. L'access point fa da proxy per la conversazione EAP tra il dispositivo e il server RADIUS. Il server RADIUS interroga il dispositivo, il dispositivo risponde con le credenziali - in genere un nome utente e una password, o un certificato - e se il server RADIUS è soddisfatto, restituisce un messaggio di Access-Accept. L'access point apre quindi la porta di rete completa. L'intero scambio richiede meno di due secondi in un'implementazione ben configurata. Ora, come si posiziona eduroam al di sopra di questo? eduroam utilizza un'infrastruttura proxy RADIUS gerarchica. Ogni istituto partecipante gestisce il proprio server RADIUS - chiamato Identity Provider, o IdP. Quando uno studente, ad esempio, dell'Università di Manchester visita l'Imperial College London e si connette all'SSID eduroam, il suo dispositivo invia le credenziali nel formato username@manchester.ac.uk. Il server RADIUS dell'Imperial riconosce il realm - la parte dopo il simbolo @ - e inoltra la richiesta di autenticazione tramite proxy al server RADIUS nazionale, che nel Regno Unito è gestito da Jisc, la rete nazionale per la ricerca e l'istruzione. Jisc instrada quindi la richiesta al server RADIUS dell'Università di Manchester, che convalida le credenziali e restituisce un Accept o un Reject. L'intera catena si risolve in millisecondi. Questa catena di proxy è ciò che fa funzionare eduroam oltre i confini istituzionali senza alcun segreto pre-condiviso tra gli istituti. Ogni hop della catena utilizza un segreto RADIUS condiviso solo con il suo vicino immediato. La password effettiva dello studente non lascia mai il server RADIUS dell'istituto di origine - è protetta end-to-end dal tunnel EAP. A proposito di metodi EAP - questo è il punto in cui molte implementazioni falliscono, quindi fate attenzione. I metodi EAP più comuni in eduroam sono PEAP - Protected EAP - ed EAP-TLS. PEAP avvolge un metodo di autenticazione interno, solitamente MSCHAPv2, all'interno di un tunnel TLS. Richiede un certificato lato server sul server RADIUS, ma al client bastano un nome utente e una password. EAP-TLS è l'opzione più sicura - utilizza l'autenticazione reciproca dei certificati, il che significa che sia il server sia il client presentano dei certificati. È più difficile da implementare su scala perché è necessaria una PKI per emettere i certificati client, ma è essenzialmente immune al phishing delle credenziali. Il requisito di sicurezza critico che molte istituzioni trascurano è la validazione del certificato sul lato client. Quando un dispositivo si connette a eduroam utilizzando PEAP, il dispositivo deve verificare il certificato del server RADIUS prima di inviare le credenziali. Se il dispositivo è configurato in modo errato per accettare qualsiasi certificato, un malintenzionato può attivare un access point non autorizzato che trasmette l'SSID eduroam, presentare un certificato autofirmato e sottrarre le credenziali. Questo è un vettore di attacco noto. La soluzione consiste nel configurare i profili del supplicant - tramite MDM per i dispositivi gestiti, o tramite l'eduroam Configuration Assistant Tool, noto come CAT, per i dispositivi personali - per associare l'autorità di certificazione e il nome del server previsti. Dal punto di vista degli standard, le distribuzioni eduroam devono essere conformi alla eduroam Policy Service Definition, che impone TLS 1.2 o superiore per tutte le connessioni RADIUS su TLS, vieta l'uso di metodi EAP deboli come EAP-MD5 o LEAP e richiede che tutte le connessioni proxy RADIUS utilizzino RadSec - RADIUS su TLS - anziché il semplice UDP RADIUS, ove possibile. Questo è in linea con le linee guida NCSC nel Regno Unito e NIST SP 800-120 negli Stati Uniti. Un altro aspetto tecnico che vale la pena segnalare è l'assegnazione della VLAN. In una distribuzione eduroam ben progettata, la risposta RADIUS Access-Accept include attributi VLAN che indicano all'access point a quale VLAN assegnare il dispositivo di connessione. Ciò consente di segmentare il traffico - inserendo gli studenti ospiti in una VLAN limitata con solo accesso a Internet, mentre il personale interno viene instradato verso la rete interna. Questo è essenziale per la conformità, in particolare se si è soggetti a PCI-DSS o se è necessario mantenere la separazione tra le reti di dati di ricerca e il traffico Internet generale. - [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI - 2 minuti] Ecco alcune indicazioni pratiche. Se state implementando eduroam per la prima volta, la vostra prima chiamata dovrebbe essere rivolta alla vostra NREN nazionale - nel Regno Unito è Jisc, in Irlanda HEAnet, negli Stati Uniti Internet2. Gestiscono l'adesione alla federazione e vi assegneranno un dominio RADIUS. Non è possibile partecipare a eduroam senza essere membri della propria federazione nazionale. La checklist per l'infrastruttura: sono necessari access points compatibili con 802.1X - qualsiasi kit di livello enterprise di Cisco, Aruba, Juniper, Ruckus o Ubiquiti UniFi andrà bene. È necessario un server RADIUS - FreeRADIUS è lo standard open source, oppure è possibile utilizzare Microsoft NPS, Cisco ISE o Aruba ClearPass. È necessario un certificato TLS valido per il server RADIUS emesso da una CA attendibile per la community eduroam - in genere un certificato della PKI della propria istituzione o di una CA commerciale inclusa nell'elenco approvato da eduroam. I tre fallimenti di implementazione più comuni che riscontro sono: in primo luogo, la configurazione errata dei certificati - o il certificato RADIUS è scaduto, o i profili supplicant dei client non sono associati correttamente. In secondo luogo, i timeout del proxy RADIUS - se la connessione NREN a monte presenta problemi di latenza, l'autenticazione andrà in timeout e gli utenti vedranno errori di connessione che sembrano errori di credenziali. In terzo luogo, la configurazione errata della VLAN - gli utenti ospiti finiscono nel segmento di rete errato, non ottenendo alcun accesso a Internet o, peggio, ottenendo l'accesso a risorse interne che non dovrebbero vedere. Sul lato client, implementa i profili eduroam CAT su tutti i dispositivi gestiti tramite la tua piattaforma MDM. Per i dispositivi personali, pubblica in modo evidente il link all'installer CAT. Questo singolo passaggio elimina la maggior parte dei ticket di supporto. Per le strutture che non sono istituti di istruzione superiore ma desiderano offrire l'accesso a eduroam - centri congressi, hotel e simili - il processo è chiamato eduroam Visitor Access, o eVA. Consente alle organizzazioni non membre di ospitare l'SSID eduroam e di delegare l'autenticazione tramite proxy alla federazione senza essere membri effettivi. Vale la pena approfondire se si ospitano regolarmente conferenze accademiche o eventi universitari. - [Q&A RAPIDO - 1 minuto] Domande frequenti che mi vengono poste regolarmente. "eduroam può sostituire completamente il nostro WiFi per gli ospiti?" No. eduroam funziona solo per gli utenti che possiedono credenziali presso un istituto membro. Avrai comunque bisogno di una soluzione WiFi per gli ospiti separata per tutti gli altri - visitatori, appaltatori, pubblico in generale. "eduroam è conforme al GDPR?" Sì, con alcune riserve. L'architettura della federazione implica che il tuo istituto elabori i dati di autenticazione, ma devi assicurarti che le tue informative sulla privacy coprano questo aspetto e che i tuoi log RADIUS siano gestiti in modo appropriato. "Possiamo usare WPA3 con eduroam?" Sì. WPA3-Enterprise è completamente compatibile con 802.1X ed è lo standard consigliato per le nuove implementazioni. Aggiunge la crittografia in modalità a 192 bit per gli ambienti ad alta sicurezza. "Qual è la differenza tra eduroam e OpenRoaming?" OpenRoaming è un'iniziativa di settore più ampia della Wireless Broadband Alliance che utilizza la stessa architettura proxy 802.1X e RADIUS ma estende il roaming oltre l'istruzione ai luoghi commerciali. Alcune piattaforme, tra cui Purple, supportano OpenRoaming come parte della loro offerta WiFi per gli ospiti. - [RIASSUNTO E PROSSIMI PASSI - 1 minuto] Per concludere. eduroam è un servizio di roaming WiFi maturo, ben regolamentato e implementato a livello globale, basato su 802.1X e su un'infrastruttura proxy RADIUS gerarchica. Offre autenticazione per singolo utente, crittografia forte e roaming trasparente in oltre 10.000 istituti - senza password condivise o Captive Portals. Per i team IT che implementano o aggiornano il wireless del campus: date priorità a EAP-TLS rispetto a PEAP dove la vostra PKI può supportarlo, imponete la convalida dei certificati su tutti i profili client, utilizzate RadSec per tutte le connessioni proxy RADIUS e segmentate gli utenti ospiti in una VLAN dedicata. Per i gestori delle sedi: se ospitate regolarmente visitatori accademici, informatevi su eduroam Visitor Access. E indipendentemente dal fatto che implementiate o meno eduroam, la vostra infrastruttura WiFi per gli ospiti dovrebbe essere basata sui principi di livello enterprise dello standard 802.1X - non su chiavi pre-condivise (PSK). Se desiderate approfondire uno di questi aspetti - architettura RADIUS, progettazione PKI per EAP-TLS o il modo in cui piattaforme come Purple si integrano con eduroam e OpenRoaming - la guida scritta completa è accessibile tramite il link nelle note dell'episodio. Grazie per l'ascolto. Alla prossima. --- FINE DELLA COPIA DELLO SCRIPT