eduroam e 802.1X: Autenticazione WiFi Sicura per l'Istruzione Superiore

SCRIPT DEL PODCAST: eduroam e 802.1X - Autenticazione WiFi sicura per l'istruzione superiore Durata: circa 10 minuti Voce: inglese britannico, maschile, tono da consulente senior - fiducioso, colloquiale, autorevole --- [INTRODUZIONE - 1 minuto] Benvenuti. Nei prossimi dieci minuti vi illustrerò eduroam e 802.1X: cosa sono, come funzionano effettivamente dietro le quinte e cosa deve sapere il vostro team prima di procedere all'implementazione o all'integrazione. Se siete responsabili IT, network architect o CTO di un'università, di un istituto di istruzione superiore o di un centro di ricerca, oppure se gestite una struttura e volete capire cosa si aspettano i visitatori accademici dalla vostra infrastruttura wireless, questo è il briefing che fa per voi. Partiamo dal quadro generale. eduroam sta per "education roaming". Si tratta di un servizio di roaming WiFi globale che consente a studenti, ricercatori e personale delle istituzioni affiliate di connettersi a Internet presso qualsiasi sede aderente, in modo automatico e sicuro, utilizzando le credenziali della propria istituzione d'origine. Nessun Captive Portal per gli ospiti. Nessun codice voucher. Senza dover chiedere la password alla reception. Attivo dal 2003, oggi copre oltre 10.000 istituzioni in più di 100 Paesi ed è lo standard de facto per le reti wireless nei campus universitari di tutto il mondo. Se la vostra organizzazione interagisce con le università - che si tratti di un hotel vicino a un campus, di un centro congressi che ospita eventi accademici o di una biblioteca pubblica in una città universitaria - comprendere eduroam è direttamente rilevante per la vostra strategia di rete. --- [APPROFONDIMENTO TECNICO - 5 minuti] Bene. Entriamo nei dettagli tecnici. eduroam si basa sullo standard IEEE 802.1X, lo standard di controllo dell'accesso alla rete basato su porte. Lo standard 802.1X definisce un framework per l'autenticazione dei dispositivi prima che venga concesso loro l'accesso a una rete. Originariamente progettato per l'Ethernet cablato, si adatta perfettamente al wireless ed è la base di ciò che chiamiamo sicurezza WPA2-Enterprise o WPA3-Enterprise. Il modello 802.1X è composto da tre elementi. In primo luogo, il Supplicant, ovvero il dispositivo che tenta di connettersi. Il laptop di uno studente, il telefono di un ricercatore. In secondo luogo, l'Authenticator, cioè l'access point di rete o lo switch gestito. Si interpone tra il supplicant e il resto della rete e funge da gatekeeper. In terzo luogo, l'Authentication Server, quasi sempre un server RADIUS. RADIUS sta per Remote Authentication Dial-In User Service. È il componente che convalida effettivamente le credenziali. Ecco come funziona l'handshake. Il dispositivo dello studente si associa all'access point wireless. L'access point non concede ancora l'accesso completo alla rete - apre quello che viene chiamato una porta controllata, ma solo per il traffico EAP. EAP è l'Extensible Authentication Protocol. L'access point fa da proxy per la conversazione EAP tra il dispositivo e il server RADIUS. Il server RADIUS sfida il dispositivo, il dispositivo risponde con le credenziali - in genere un nome utente e una password, o un certificato - e se il server RADIUS è soddisfatto, invia un messaggio di Access-Accept. L'access point apre quindi la porta di rete completa. L'intero scambio richiede meno di due secondi in un'installazione ben configurata. Ora, come si posiziona eduroam su tutto questo? eduroam utilizza un'infrastruttura proxy RADIUS gerarchica. Ogni istituto partecipante gestisce il proprio server RADIUS - chiamato Identity Provider, o IdP. Quando uno studente, ad esempio, della University of Manchester visita l'Imperial College London e si connette all'SSID eduroam, il suo dispositivo invia le credenziali nel formato username@manchester.ac.uk. Il server RADIUS dell'Imperial vede il dominio - cioè la parte dopo il simbolo @ - e inoltra la richiesta di autenticazione al server RADIUS nazionale, gestito nel Regno Unito da Jisc, la rete nazionale per la ricerca e l'istruzione. Jisc reindirizza quindi la richiesta al server RADIUS della University of Manchester, che convalida le credenziali e invia una risposta di Accept o Reject. L'intera catena si risolve in millisecondi. Questa catena di proxy è ciò che permette a eduroam di funzionare oltre i confini istituzionali senza segreti pre-condivisi tra gli istituti. Ogni nodo della catena utilizza un segreto RADIUS condiviso solo con il suo vicino immediato. La password reale dello studente non lascia mai il server RADIUS dell'istituto di origine - è protetta end-to-end dal tunnel EAP. A proposito di metodi EAP - è qui che molte distribuzioni falliscono, quindi fate attenzione. I metodi EAP più comuni in eduroam sono PEAP - Protected EAP - ed EAP-TLS. PEAP avvolge un metodo di autenticazione interno, solitamente MSCHAPv2, all'interno di un tunnel TLS. Richiede un certificato lato server sul server RADIUS, ma il client ha bisogno solo di nome utente e password. EAP-TLS è l'opzione più sicura - utilizza l'autenticazione a certificati reciproci, il che significa che sia il server che il client presentano i certificati. È più difficile da distribuire su larga scala perché è necessaria una PKI per emettere i certificati client, ma è essenzialmente immune al phishing delle credenziali. Il requisito di sicurezza fondamentale su cui molte istituzioni sbagliano è la validazione del certificato sul lato client. Quando un dispositivo si connette a eduroam utilizzando PEAP, deve verificare il certificato del server RADIUS prima di inviare le credenziali. Se il dispositivo è configurato in modo errato per accettare qualsiasi certificato, un utente malintenzionato può configurare un access point non autorizzato che trasmette l'SSID eduroam, presentare un certificato autofirmato e sottrarre le credenziali. Questo è un vettore di attacco noto. La soluzione consiste nel configurare i profili del richiedente - tramite MDM per i dispositivi gestiti o tramite lo strumento eduroam Configuration Assistant Tool, noto come CAT, per i dispositivi personali - per associare l'autorità di certificazione e il nome del server previsti. Dal punto di vista degli standard, le implementazioni eduroam devono essere conformi alla eduroam Policy Service Definition, che impone TLS 1.2 o superiore per tutte le connessioni RADIUS su TLS, vieta l'uso di metodi EAP deboli come EAP-MD5 o LEAP e richiede che tutte le connessioni proxy RADIUS utilizzino RadSec - RADIUS su TLS - anziché il semplice RADIUS UDP, ove possibile. Questo è in linea con le linee guida NCSC nel Regno Unito e NIST SP 800-120 negli Stati Uniti. Un altro punto tecnico che vale la pena segnalare: l'assegnazione della VLAN. In un'implementazione eduroam ben strutturata, la risposta RADIUS Access-Accept include attributi VLAN che indicano all'access point a quale VLAN assegnare il dispositivo che si connette. Ciò consente di segmentare il traffico, inserendo gli studenti in visita su una VLAN limitata con accesso solo internet, mentre il personale interno viene indirizzato alla rete interna. Questo è essenziale per la conformità, in particolare se si è soggetti a PCI-DSS o se è necessario mantenere la separazione tra le reti di dati di ricerca e il traffico internet generale. - [RACCOMANDAZIONI DI IMPLEMENTAZIONE E TRAPPOLE COMUNI - 2 minuti] Ecco alcune linee guida pratiche. Se state implementando eduroam per la prima volta, il vostro primo punto di contatto dovrebbe essere la vostra NREN nazionale: nel Regno Unito è Jisc, in Irlanda HEAnet, negli Stati Uniti Internet2. Gestiscono l'adesione alla federazione e vi assegneranno un dominio RADIUS. Non è possibile partecipare a eduroam senza essere membri della propria federazione nazionale. La vostra checklist per l'infrastruttura: avete bisogno di access point che supportino lo standard 802.1X - qualsiasi kit di livello enterprise di Cisco, Aruba, Juniper, Ruckus o Ubiquiti UniFi sarà adatto. Avete bisogno di un server RADIUS - FreeRADIUS è lo standard open source, oppure potete utilizzare Microsoft NPS, Cisco ISE o Aruba ClearPass. Avete bisogno di un certificato TLS valido per il vostro server RADIUS rilasciato da una CA fidata dalla community eduroam - in genere un certificato della PKI della vostra istituzione o di una CA commerciale inclusa nell'elenco approvato di eduroam. I tre fallimenti di implementazione più comuni che vedo sono: in primo luogo, la configurazione errata dei certificati - o il certificato RADIUS è scaduto, o i profili del supplicant client non sono associati correttamente. In secondo luogo, i timeout del proxy RADIUS - se la connessione NREN a monte ha problemi di latenza, l'autenticazione andrà in timeout e gli utenti riscontreranno errori di connessione che sembrano errori di credenziali. In terzo luogo, la configurazione errata delle VLAN - gli utenti visitatori finiscono nel segmento di rete errato, non ottenendo alcun accesso a Internet o, peggio, ottenendo l'accesso a risorse interne che non dovrebbero vedere. Lato client, distribuisci i profili eduroam CAT a tutti i dispositivi gestiti tramite la tua piattaforma MDM. Per i dispositivi personali, pubblica in evidenza il link del programma di installazione CAT. Questo singolo passaggio elimina la maggior parte dei ticket di supporto. Per le sedi che non sono istituti di istruzione superiore ma desiderano offrire l'accesso a eduroam - centri congressi, hotel e simili - il processo si chiama eduroam Visitor Access, o eVA. Consente alle organizzazioni non membre di ospitare l'SSID eduroam e l'autenticazione proxy alla federazione senza essere membri a tutti gli effetti. Vale la pena approfondire se ospiti regolarmente conferenze accademiche o eventi universitari. - - - [D&R RAPIDE - 1 minuto] Domande rapide che mi vengono poste regolarmente. "eduroam può sostituire interamente il nostro WiFi ospiti?" No. eduroam funziona solo per gli utenti che dispongono di credenziali presso un istituto membro. Hai comunque bisogno di una soluzione WiFi ospiti separata per tutti gli altri - visitatori, appaltatori, pubblico in generale. "eduroam è conforme al GDPR?" Sì, con alcune riserve. L'architettura della federazione implica che il tuo istituto elabori i dati di autenticazione, ma devi assicurarti che le tue informative sulla privacy coprano questo aspetto e che i tuoi log RADIUS siano gestiti in modo appropriato. "Possiamo usare WPA3 con eduroam?" Sì. WPA3-Enterprise è completamente compatibile con 802.1X ed è lo standard consigliato per le nuove implementazioni. Aggiunge la crittografia in modalità a 192 bit per ambienti ad alta sicurezza. "Qual è la differenza tra eduroam e OpenRoaming?" OpenRoaming è un'iniziativa di settore più ampia della Wireless Broadband Alliance che utilizza la stessa architettura 802.1X e proxy RADIUS, ma estende il roaming oltre l'istruzione ai luoghi commerciali. Alcune piattaforme, tra cui Purple, supportano OpenRoaming come parte della loro offerta WiFi ospiti. - - - [RIASSUNTO E PROSSIMI PASSI - 1 minuto] Per concludere. eduroam è un servizio di roaming WiFi maturo, ben regolamentato e distribuito a livello globale, basato su 802.1X e un'infrastruttura proxy RADIUS gerarchica. Offre autenticazione per utente, crittografia avanzata e roaming trasparente in oltre 10.000 istituti - senza password condivise o Captive Portals. Per i team IT che distribuiscono o aggiornano il wireless del campus: date priorità a EAP-TLS rispetto a PEAP dove la vostra PKI può supportarlo, imponete la convalida dei certificati su tutti i profili client, utilizzate RadSec per tutte le connessioni proxy RADIUS e segmentate gli utenti visitatori in una VLAN dedicata. Per i gestori delle sedi: se ospitate regolarmente visitatori accademici, informatevi su eduroam Visitor Access. E indipendentemente dal fatto che implementiate eduroam, la vostra infrastruttura WiFi per gli ospiti dovrebbe basarsi su principi 802.1X di livello enterprise - non su PSK condivise. Se desiderate approfondire uno di questi argomenti - l'architettura RADIUS, la progettazione PKI per EAP-TLS o il modo in cui piattaforme come Purple si integrano con eduroam e OpenRoaming - la guida scritta completa è indicata nelle note dell'episodio. Grazie per l'ascolto. Alla prossima. --- FINE DELLO SCRIPT