eduroam and 802.1X: Secure WiFi Authentication for Higher Education

ROTEIRO DE PODCAST: eduroam e 802.1X — Autenticação WiFi Segura para o Ensino Superior Duração: aproximadamente 10 minutos Voz: Inglês britânico, masculino, tom de consultor sênior — confiante, conversacional, autoritário --- [INTRODUÇÃO — 1 minuto] Bem-vindo de volta. Vou passar os próximos dez minutos guiando você pelo eduroam e pelo 802.1X — o que são, como realmente funcionam nos bastidores e o que sua equipe precisa saber antes de implantar ou se integrar a qualquer um deles. Se você é gerente de TI, arquiteto de rede ou CTO em uma universidade, faculdade ou instituição de pesquisa — ou se é um operador de local que precisa entender o que seus visitantes acadêmicos esperam de sua infraestrutura sem fio —, este é o briefing ideal para você. Vamos começar com o panorama geral. eduroam significa "education roaming". É um serviço global de roaming de WiFi que permite que estudantes, pesquisadores e funcionários de instituições membros se conectem à internet em qualquer local participante — de forma automática, segura e usando as credenciais de sua instituição de origem. Sem Captive Portals de convidados. Sem códigos de voucher. Sem pedir senha na recepção. Ele funciona desde 2003, hoje cobre mais de 10.000 instituições em mais de 100 países e é o padrão de fato para redes sem fio de campus no ensino superior em todo o mundo. Se a sua organização se cruza com universidades — seja você um hotel perto de um campus, um centro de convenções que hospeda eventos acadêmicos ou uma biblioteca pública em uma cidade universitária —, entender o eduroam é diretamente relevante para a sua estratégia de rede. --- [MERGULHO TÉCNICO PROFUNDO — 5 minutos] Certo. Vamos entrar na parte mecânica. O eduroam é construído sobre o IEEE 802.1X — o padrão de controle de acesso à rede baseado em porta. O 802.1X define uma estrutura para autenticar dispositivos antes que eles recebam acesso a uma rede. Ele foi projetado originalmente para Ethernet com fio, mas se adapta perfeitamente ao sem fio e é a base do que chamamos de segurança WPA2-Enterprise ou WPA3-Enterprise. O modelo 802.1X possui três componentes. Primeiro, o Supplicant — que é o dispositivo que tenta se conectar. O laptop de um estudante, o telefone de um pesquisador. Segundo, o Authenticator — que é o seu ponto de acesso de rede ou switch gerenciado. Ele fica entre o supplicant e o restante da rede e atua como um guardião. Terceiro, o Authentication Server — quase sempre um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o componente que realmente valida as credenciais. Aqui está como funciona o handshake. O dispositivo do estudante se associa ao ponto de acesso sem fio. O ponto de acesso ainda não concede acesso total à rede — ele abre o que é chamado de porta controlada, mas apenas para tráfego EAP. O EAP é o Extensible Authentication Protocol. O ponto de acesso atua como proxy na conversa EAP entre o dispositivo e o servidor RADIUS. O servidor RADIUS desafia o dispositivo, o dispositivo responde com as credenciais — normalmente um nome de usuário e senha, ou um certificado — e, se o servidor RADIUS estiver satisfeito, ele envia de volta uma mensagem de Access-Accept. O ponto de acesso então abre a porta de rede completa. Toda essa troca leva menos de dois segundos em uma implantação bem configurada. Agora, onde o eduroam se sobrepõe a isso? O eduroam usa uma infraestrutura hierárquica de proxy RADIUS. Cada instituição participante executa seu próprio servidor RADIUS — chamado de Provedor de Identidade, ou IdP. Quando um estudante, digamos, da University of Manchester visita o Imperial College London e se conecta ao SSID eduroam, seu dispositivo envia suas credenciais no formato username@manchester.ac.uk. O servidor RADIUS da Imperial vê o domínio — que é a parte após o símbolo @ — e envia a solicitação de autenticação via proxy para o servidor RADIUS nacional, que é operado no Reino Unido pela Jisc, a rede nacional de pesquisa e educação. A Jisc então encaminha a solicitação para o servidor RADIUS da University of Manchester, que valida as credenciais e envia de volta um Accept ou Reject. Toda a cadeia se resolve em milissegundos. Esta cadeia de proxy é o que faz o eduroam funcionar através das fronteiras institucionais sem quaisquer segredos pré-compartilhados entre as instituições. Cada salto na cadeia usa um segredo RADIUS compartilhado apenas com seu vizinho imediato. A senha real do estudante nunca sai do servidor RADIUS da instituição de origem — ela é protegida de ponta a ponta pelo túnel EAP. Falando em métodos EAP — é aqui que muitas implantações dão errado, então preste atenção. Os métodos EAP mais comuns no eduroam são o PEAP — Protected EAP — e o EAP-TLS. O PEAP envolve um método de autenticação interno, geralmente o MSCHAPv2, dentro de um túnel TLS. Ele exige um certificado do lado do servidor no servidor RADIUS, mas o cliente precisa apenas de um nome de usuário e senha. O EAP-TLS é a opção mais segura — ele usa autenticação mútua por certificado, o que significa que tanto o servidor quanto o cliente apresentam certificados. É mais difícil de implantar em escala porque você precisa de uma PKI para emitir certificados de cliente, mas é essencialmente imune a phishing de credenciais. O requisito de segurança crítico que muitas instituições erram é a validação de certificado no lado do cliente. Quando um dispositivo se conecta ao eduroam usando PEAP, o dispositivo deve verificar o certificado do servidor RADIUS antes de enviar as credenciais. Se o dispositivo estiver mal configurado para aceitar qualquer certificado, um invasor pode criar um ponto de acesso não autorizado transmitindo o SSID eduroam, apresentar um certificado autoassinado e capturar credenciais. Este é um vetor de ataque conhecido. A solução é configurar seus perfis de suplicante — via MDM para dispositivos gerenciados, ou via eduroam Configuration Assistant Tool, conhecido como CAT, para dispositivos pessoais — para fixar a autoridade de certificação e o nome do servidor esperados. Do ponto de vista de padrões, espera-se que as implantações do eduroam estejam em conformidade com a Definição de Serviço de Política do eduroam, que exige TLS 1.2 ou superior para todas as conexões RADIUS sobre TLS, proíbe o uso de métodos EAP fracos como EAP-MD5 ou LEAP, e exige que todas as conexões proxy RADIUS usem RadSec — RADIUS sobre TLS — em vez de RADIUS UDP simples, sempre que possível. Isso se alinha com as orientações do NCSC no Reino Unido e do NIST SP 800-120 nos EUA. Mais um ponto técnico que vale a pena destacar: atribuição de VLAN. Em uma implantação do eduroam bem estruturada, a resposta RADIUS Access-Accept inclui atributos de VLAN que informam ao ponto de acesso qual VLAN atribuir ao dispositivo de conexão. Isso permite segmentar o tráfego — colocando estudantes visitantes em uma VLAN restrita com acesso apenas à internet, enquanto sua própria equipe é roteada para a rede interna. Isso é essencial para a conformidade, especialmente se você estiver sujeito ao PCI DSS ou precisar manter a separação entre redes de dados de pesquisa e o tráfego geral da internet. --- [RECOMENDAÇÕES DE IMPLANTAÇÃO E ARMADILHAS — 2 minutos] Deixe-me dar as orientações práticas. Se você estiver implantando o eduroam pela primeira vez, seu primeiro contato deve ser com a sua NREN nacional — no Reino Unido é a Jisc, na Irlanda a HEAnet, nos EUA a Internet2. Elas gerenciam a associação à federação e atribuirão a você um domínio RADIUS. Você não pode participar do eduroam sem ser membro da sua federação nacional. Sua lista de verificação de infraestrutura: você precisa de pontos de acesso compatíveis com 802.1X — qualquer equipamento de nível empresarial da Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi servirá. Você precisa de um servidor RADIUS — o FreeRADIUS é o padrão de código aberto, ou você pode usar o Microsoft NPS, Cisco ISE ou Aruba ClearPass. Você precisa de um certificado TLS válido para o seu servidor RADIUS de uma CA que seja confiável para a comunidade eduroam — normalmente um certificado da PKI da sua instituição ou de uma CA comercial na lista aprovada do eduroam. Os três erros de implantação mais comuns que vejo são: primeiro, a configuração incorreta do certificado — ou o certificado RADIUS expirou ou os perfis do suplicante do cliente não estão fixados corretamente. Segundo, tempos limites (timeouts) do proxy RADIUS — se a sua conexão NREN upstream tiver problemas de latência, a autenticação expirará e os usuários verão falhas de conexão que parecem erros de credenciais. Terceiro, a configuração incorreta de VLAN — os usuários visitantes acabam no segmento de rede errado, ficando sem acesso à internet ou, pior, obtendo acesso a recursos internos que não deveriam ver. No lado do cliente, implante os perfis eduroam CAT em todos os dispositivos gerenciados por meio da sua plataforma MDM. Para dispositivos pessoais, publique o link do instalador CAT em destaque. Esta única etapa elimina a maioria dos chamados de suporte. Para locais que não são instituições de ensino superior, mas desejam oferecer acesso ao eduroam — centros de conferências, hotéis e afins —, o processo é chamado de eduroam Visitor Access, ou eVA. Ele permite que organizações não membras hospedem o SSID do eduroam e façam o proxy de autenticação para a federação sem serem membros plenos. Vale a pena investigar se você sedia regularmente conferências acadêmicas ou eventos universitários. --- [PERGUNTAS E RESPOSTAS RÁPIDAS — 1 minuto] Perguntas rápidas que recebo regularmente. "O eduroam pode substituir totalmente o nosso WiFi de convidados?" Não. O eduroam só funciona para usuários que possuem credenciais em uma instituição membra. Você ainda precisa de uma solução de WiFi de convidados separada para todos os outros — visitantes, prestadores de serviços, público em geral. "O eduroam está em conformidade com a GDPR?" Sim, com ressalvas. A arquitetura da federação significa que sua instituição processa dados de autenticação, mas você precisa garantir que seus avisos de privacidade cubram isso e que seus logs do RADIUS sejam tratados adequadamente. "Podemos usar WPA3 com o eduroam?" Sim. O WPA3-Enterprise é totalmente compatível com 802.1X e é o padrão recomendado para novas implantações. Ele adiciona criptografia de modo de 192 bits para ambientes de alta segurança. "Qual é a diferença entre eduroam e OpenRoaming?" O OpenRoaming é uma iniciativa mais ampla do setor, da Wireless Broadband Alliance, que usa a mesma arquitetura de proxy 802.1X e RADIUS, mas estende o roaming além da educação para locais comerciais. Algumas plataformas, incluindo a Purple, oferecem suporte ao OpenRoaming como parte de sua oferta de WiFi de convidados. --- [RESUMO E PRÓXIMOS PASSOS — 1 minuto] Para resumir. O eduroam é um serviço de roaming de WiFi maduro, bem governado e implantado globalmente, construído em 802.1X e em uma infraestrutura hierárquica de proxy RADIUS. Ele oferece autenticação por usuário, criptografia forte e roaming contínuo em mais de 10.000 instituições — sem senhas compartilhadas ou Captive Portals. Para equipes de TI que implantam ou atualizam a rede sem fio do campus: priorize o EAP-TLS em vez do PEAP onde sua PKI puder dar suporte, force a validação de certificado em todos os perfis de clientes, use RadSec para todas as conexões de proxy RADIUS e segmente os usuários visitantes em uma VLAN dedicada. Para operadores de locais: se você recebe visitantes acadêmicos regularmente, investigue o eduroam Visitor Access. E independentemente de implantar o eduroam ou não, sua infraestrutura de WiFi para convidados deve ser construída com base em princípios 802.1X de nível empresarial — e não em PSKs compartilhadas. Se você quiser se aprofundar em qualquer um desses tópicos — arquitetura RADIUS, design de PKI para EAP-TLS ou como plataformas como a Purple se integram ao eduroam e ao OpenRoaming — o guia escrito completo está no link das notas do programa. Obrigado por ouvir. Até a próxima. --- FIM DO ROTEIRO