eduroam e 802.1X: Autenticação WiFi Segura para o Ensino Superior

ROTEIRO DO PODCAST: eduroam e 802.1X - Autenticação WiFi Segura para o Ensino Superior Duração: aproximadamente 10 minutos Voz: inglês britânico, masculino, tom de consultor sênior - confiante, conversacional, autoritário --- [INTRODUÇÃO - 1 minuto] Bem-vindo de volta. Vou passar os próximos dez minutos explicando o eduroam e o 802.1X - o que são, como eles realmente funcionam nos bastidores e o que sua equipe precisa saber antes de implantar ou integrar com qualquer um deles. Se você é gerente de TI, arquiteto de rede ou CTO em uma universidade, faculdade ou instituição de pesquisa - ou se é um operador de local que precisa entender o que seus visitantes acadêmicos esperam de sua infraestrutura sem fio - este é o briefing para você. Vamos começar com o panorama geral. eduroam significa "education roaming". É um serviço global de roaming WiFi que permite que estudantes, pesquisadores e funcionários de instituições parceiras se conectem à internet em qualquer local participante - de forma automática, segura, usando as credenciais de sua instituição de origem. Sem portais de convidados. Sem códigos de voucher. Sem pedir uma senha na recepção. Ele funciona desde 2003, hoje cobre mais de 10.000 instituições em mais de 100 países e é o padrão de fato para redes sem fio de campus no ensino superior em todo o mundo. Se a sua organização interage com universidades - seja você um hotel perto de um campus, um centro de conferências que hospeda eventos acadêmicos ou uma biblioteca pública em uma cidade universitária - entender o eduroam é diretamente relevante para sua estratégia de rede. --- [MERGULHO TÉCNICO PROFUNDO - 5 minutos] Certo. Vamos entrar na mecânica. O eduroam é construído com base no IEEE 802.1X - o padrão de controle de acesso à rede baseado em porta. O 802.1X define uma estrutura para autenticar dispositivos antes que eles recebam acesso a uma rede. Ele foi originalmente projetado para Ethernet com fio, mas se adapta perfeitamente ao sem fio e é a base do que chamamos de segurança WPA2 ou WPA3. O modelo 802.1X possui três componentes. Primeiro, o Solicitante (Supplicant) - esse é o dispositivo que está tentando se conectar. O notebook de um estudante, o telefone de um pesquisador. Segundo, o Autenticador (Authenticator) - esse é o seu ponto de acesso de rede ou switch gerenciado. Ele fica entre o solicitante e o restante da rede e atua como um guardião. Terceiro, o Servidor de Autenticação (Authentication Server) - quase sempre um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o componente que realmente valida as credenciais.Veja como funciona o handshake. O dispositivo do aluno se associa ao ponto de acesso sem fio. O ponto de acesso ainda não concede acesso total à rede - ele abre o que é chamado de porta controlada, mas apenas para tráfego EAP. O EAP é o Extensible Authentication Protocol. O ponto de acesso atua como proxy na conversa EAP entre o dispositivo e o servidor RADIUS. O servidor RADIUS desafia o dispositivo, o dispositivo responde com credenciais - normalmente um nome de usuário e senha, ou um certificado - e, se o servidor RADIUS estiver satisfeito, ele envia de volta uma mensagem Access-Accept. O ponto de acesso então abre a porta de rede total. Toda essa troca leva menos de dois segundos em uma implantação bem configurada. Agora, onde o eduroam se posiciona sobre isso? O eduroam usa uma infraestrutura de proxy RADIUS hierárquica. Cada instituição participante executa seu próprio servidor RADIUS - chamado de Provedor de Identidade, ou IdP. Quando um aluno de, por exemplo, da University of Manchester visita o Imperial College London e se conecta ao SSID eduroam, seu dispositivo envia suas credenciais no formato username@manchester.ac.uk. O servidor RADIUS da Imperial vê o realm - que é a parte após o símbolo @ - e envia a solicitação de autenticação por proxy para o servidor RADIUS nacional, que é operado no Reino Unido pela Jisc, a rede nacional de pesquisa e educação. A Jisc então encaminha a solicitação para o servidor RADIUS da University of Manchester, que valida as credenciais e envia de volta um Accept ou Reject. Toda a cadeia é resolvida em milissegundos. Essa cadeia de proxy é o que faz o eduroam funcionar além das fronteiras institucionais sem nenhum segredo compartilhado previamente entre as instituições. Cada salto na cadeia usa um segredo RADIUS compartilhado apenas com seu vizinho imediato. A senha real do aluno nunca sai do servidor RADIUS da instituição de origem - ela é protegida de ponta a ponta pelo túnel EAP. Falando em métodos EAP - é aqui que muitas implantações dão errado, então preste atenção. Os métodos EAP mais comuns no eduroam são o PEAP - Protected EAP - e o EAP-TLS. O PEAP envolve um método de autenticação interno, geralmente MSCHAPv2, dentro de um túnel TLS. Ele requer um certificado do lado do servidor no servidor RADIUS, mas o cliente precisa apenas de um nome de usuário e senha. O EAP-TLS é a opção mais segura - ele usa autenticação de certificado mútuo, o que significa que tanto o servidor quanto o cliente apresentam certificados. É mais difícil de implantar em escala porque você precisa de uma PKI para emitir certificados de cliente, mas é essencialmente imune a phishing de credenciais. O requisito crítico de segurança que muitas instituições erram é a validação de certificado no lado do cliente. Quando um dispositivo se conecta ao eduroam usando PEAP, o dispositivo deve verificar o certificado do servidor RADIUS antes de enviar as credenciais. Se o dispositivo estiver configurado incorretamente para aceitar qualquer certificado, um invasor pode criar um ponto de acesso malicioso transmitindo o SSID eduroam, apresentar um certificado autoassinado e roubar credenciais. Este é um vetor de ataque conhecido. A solução é configurar seus perfis de suplicante - via MDM para dispositivos gerenciados, ou via eduroam Configuration Assistant Tool, conhecido como CAT, para dispositivos pessoais - para fixar a autoridade de certificação e o nome do servidor esperados. Sob a perspectiva de padrões, espera-se que as implantações do eduroam estejam em conformidade com a Definição de Serviço de Política do eduroam, que exige TLS 1.2 ou superior para todas as conexões RADIUS sobre TLS, proíbe o uso de métodos EAP fracos como EAP-MD5 ou LEAP, e exige que todas as conexões de proxy RADIUS usem RadSec - RADIUS sobre TLS - em vez de RADIUS UDP simples, sempre que possível. Isso se alinha com as orientações do NCSC no Reino Unido e do NIST SP 800-120 nos EUA. Mais um ponto técnico que vale a pena destacar: atribuição de VLAN. Em uma implantação eduroam bem arquitetada, a resposta RADIUS Access-Accept inclui atributos de VLAN que informam ao ponto de acesso qual VLAN atribuir ao dispositivo de conexão. Isso permite segmentar o tráfego - colocando estudantes visitantes em uma VLAN restrita apenas com acesso à internet, enquanto sua própria equipe é roteada para a rede interna. Isso é essencial para a conformidade, particularmente se você estiver sujeito ao PCI-DSS ou precisar manter a separação entre redes de dados de pesquisa e o tráfego geral de internet. - - - [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS — 2 minutos] Deixe-me dar as orientações práticas. Se você estiver implantando o eduroam pela primeira vez, seu primeiro contato deve ser com a NREN nacional - no Reino Unido é a Jisc, na Irlanda a HEAnet, nos EUA a Internet2. Eles lidam com a associação à federação e atribuirão a você um domínio RADIUS. Você não pode participar do eduroam sem ser um membro da sua federação nacional. Sua lista de verificação de infraestrutura: você precisa de pontos de acesso compatíveis com 802.1X - qualquer equipamento de nível corporativo da Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi fará isso. Você precisa de um servidor RADIUS - o FreeRADIUS é o padrão de código aberto, ou você pode usar Microsoft NPS, Cisco ISE ou Aruba ClearPass. Você precisa de um certificado TLS válido para o seu servidor RADIUS de uma CA que seja confiável para a comunidade eduroam - normalmente um certificado da PKI da sua instituição ou de uma CA comercial na lista aprovada do eduroam. Os três erros de implantação mais comuns que vejo são: primeiro, a configuração incorreta do certificado - ou o certificado RADIUS expirou ou os perfis de suplicante do cliente não estão fixados corretamente. Segundo, limites de tempo (timeouts) do proxy RADIUS - se a sua conexão upstream do NREN tiver problemas de latência, a autenticação expirará e os usuários verão falhas de conexão que parecem erros de credencial. Terceiro, configuração incorreta de VLAN - os usuários visitantes acabam no segmento de rede errado, não obtendo acesso à internet ou, pior, obtendo acesso a recursos internos que não deveriam ver. No lado do cliente, implante os perfis CAT do eduroam em todos os dispositivos gerenciados por meio de sua plataforma MDM. Para dispositivos pessoais, publique o link do instalador CAT em destaque. Essa única etapa elimina a maior parte dos chamados de suporte. Para locais que não são instituições de ensino superior, mas desejam oferecer acesso ao eduroam - centros de conferências, hotéis e afins - o processo é chamado de eduroam Visitor Access, ou eVA. Ele permite que organizações não membras hospedem o SSID do eduroam e façam o proxy de autenticação para a federação sem serem membros plenos. Vale a pena investigar se você costuma sediar conferências acadêmicas ou eventos universitários. - - - [PERGUNTAS E RESPOSTAS RÁPIDAS - 1 minuto] Perguntas frequentes que recebo regularmente. "O eduroam pode substituir completamente o nosso WiFi de convidados?" Não. O eduroam funciona apenas para usuários que possuem credenciais em uma instituição membro. Você ainda precisa de uma solução de WiFi de convidados separada para todos os outros - visitantes, prestadores de serviços, público em geral. "O eduroam está em conformidade com o GDPR?" Sim, com ressalvas. A arquitetura da federação significa que sua instituição processa dados de autenticação, mas você precisa garantir que seus avisos de privacidade cubram isso e que seus logs RADIUS sejam tratados adequadamente. "Podemos usar WPA3 com eduroam?" Sim. O WPA3-Enterprise é totalmente compatível com 802.1X e é o padrão recomendado para novas implantações. Ele adiciona criptografia no modo de 192 bits para ambientes de alta segurança. "Qual é a diferença entre eduroam e OpenRoaming?" O OpenRoaming é uma iniciativa mais ampla do setor, da Wireless Broadband Alliance, que usa a mesma arquitetura de proxy 802.1X e RADIUS, mas estende o roaming além da educação para locais comerciais. Algumas plataformas, incluindo a Purple, oferecem suporte ao OpenRoaming como parte de sua oferta de WiFi de convidados. - - - [RESUMO E PRÓXIMAS ETAPAS - 1 minuto] Para finalizar. O eduroam é um serviço de roaming de WiFi maduro, bem governado e implantado globalmente, baseado em 802.1X e em uma infraestrutura hierárquica de proxy RADIUS. Ele oferece autenticação por usuário, criptografia forte e roaming contínuo em mais de 10.000 instituições - sem senhas compartilhadas ou Captive Portals. Para equipes de TI que implantam ou atualizam redes sem fio em campus: priorize o EAP-TLS em relação ao PEAP onde sua PKI puder suportá-lo, aplique a validação de certificado em todos os perfis de cliente, use RadSec para todas as conexões de proxy RADIUS e segmente os usuários visitantes em uma VLAN dedicada. Para operadores de locais: se você hospeda visitantes acadêmicos regularmente, investigue o eduroam Visitor Access. E independentemente de você implantar o eduroam, sua infraestrutura de WiFi de convidados deve ser construída com base em princípios 802.1X de nível empresarial - não PSKs compartilhados. Se você quiser se aprofundar em qualquer um desses tópicos - arquitetura RADIUS, design de PKI para EAP-TLS ou como plataformas como a Purple se integram com o eduroam e OpenRoaming - o guia escrito completo está vinculado nas notas do programa. Obrigado por ouvir. Até a próxima. --- FIM DO SCRIPT