Eduroam e 802.1X: autenticação WiFi segura para o ensino superior | Purple

ROTEIRO DE PODCAST: eduroam e 802.1X - Autenticação WiFi Segura para o Ensino Superior Tempo de duração: aproximadamente 10 minutos Voz: Inglês britânico, masculino, tom de consultor sênior - confiante, conversacional, autoritário --- [INTRODUÇÃO - 1 minuto] Seja bem-vindo de volta. Vou passar os próximos dez minutos guiando você pelo eduroam e 802.1X - o que são, como eles realmente funcionam nos bastidores e o que sua equipe precisa saber antes de implantar ou se integrar com ambos. Se você é um gerente de TI, arquiteto de rede ou CTO em uma universidade, faculdade ou instituição de pesquisa - ou se é um operador de local que precisa entender o que seus visitantes acadêmicos esperam de sua infraestrutura sem fio - este é o briefing ideal para você. Vamos começar com o panorama geral. eduroam significa "education roaming" (roaming educacional). É um serviço global de roaming WiFi que permite que estudantes, pesquisadores e funcionários de instituições parceiras se conectem à internet em qualquer local participante - de forma automática, segura, usando as credenciais de sua própria instituição de origem. Sem portais de visitantes. Sem códigos de voucher. Sem pedir uma senha na recepção. Ele está em operação desde 2003, hoje abrange mais de 10.000 instituições em mais de 100 países e é o padrão de fato para redes sem fio de campus no ensino superior em todo o mundo. Se a sua organização interage com universidades - seja você um hotel perto de um campus, um centro de convenções que hospeda eventos acadêmicos ou uma biblioteca pública em uma cidade universitária - entender o eduroam é diretamente relevante para a sua estratégia de rede. --- [MERGULHO TÉCNICO - 5 minutos] Certo. Vamos entrar nos detalhes mecânicos. O eduroam é construído com base no IEEE 802.1X - o padrão de controle de acesso à rede baseado em porta. O 802.1X define uma estrutura para autenticar dispositivos antes que eles recebam acesso a uma rede. Ele foi originalmente projetado para Ethernet cabeada, mas se adapta perfeitamente ao ambiente sem fio, sendo a base do que chamamos de segurança WPA2-Enterprise ou WPA3-Enterprise. O modelo 802.1X possui três componentes. Primeiro, o Supplicant (Suplicante) - que é o dispositivo que tenta se conectar. O notebook de um estudante, o telefone de um pesquisador. Segundo, o Authenticator (Autenticador) - que é o seu ponto de acesso de rede ou switch gerenciado. Ele fica entre o suplicante e o restante da rede, agindo como um guardião. Terceiro, o Authentication Server (Servidor de Autenticação) - quase sempre um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o componente que realmente valida as credenciais. Aqui está como funciona o handshake. O dispositivo do estudante associa-se ao ponto de acesso sem fio. O ponto de acesso ainda não concede acesso total à rede - ele abre o que é chamado de porta controlada, mas apenas para tráfego EAP. O EAP é o Extensible Authentication Protocol. O ponto de acesso faz o proxy da conversação EAP entre o dispositivo e o servidor RADIUS. O servidor RADIUS desafia o dispositivo, o dispositivo responde com as credenciais - normalmente um nome de usuário e senha, ou um certificado - e, se o servidor RADIUS estiver satisfeito, ele envia de volta uma mensagem de Access-Accept. O ponto de acesso então abre a porta de rede completa. Toda a troca leva menos de dois segundos em uma implantação bem configurada. Agora, onde o eduroam se posiciona sobre isso? O eduroam usa uma infraestrutura hierárquica de proxy RADIUS. Cada instituição participante opera seu próprio servidor RADIUS - chamado de Provedor de Identidade, ou IdP. Quando um estudante de, por exemplo, a University of Manchester visita o Imperial College London e se conecta ao SSID eduroam, seu dispositivo envia suas credenciais no formato username@manchester.ac.uk. O servidor RADIUS da Imperial vê o domínio - que é a parte após o símbolo @ - e faz o proxy da solicitação de autenticação para o servidor RADIUS nacional, que é operado no Reino Unido pela Jisc, a rede nacional de pesquisa e educação. A Jisc então encaminha a solicitação para o servidor RADIUS da University of Manchester, que valida as credenciais e envia de volta um Accept ou Reject. Toda a cadeia se resolve em milissegundos. Esta cadeia de proxy é o que faz o eduroam funcionar através das fronteiras institucionais sem qualquer segredo pré-compartilhado entre as instituições. Cada salto na cadeia usa um segredo RADIUS compartilhado apenas com seu vizinho imediato. A senha real do estudante nunca sai do servidor RADIUS da instituição de origem - ela é protegida de ponta a ponta pelo túnel EAP. Falando de métodos EAP - é aqui que muitas implantações dão errado, então preste atenção. Os métodos EAP mais comuns no eduroam são o PEAP - Protected EAP - e o EAP-TLS. O PEAP envolve um método de autenticação interno, geralmente o MSCHAPv2, dentro de um túnel TLS. Ele requer um certificado do lado do servidor no servidor RADIUS, mas o cliente precisa apenas de um nome de usuário e senha. O EAP-TLS é a opção mais segura - ele usa autenticação de certificado mútuo, o que significa que tanto o servidor quanto o cliente apresentam certificados. É mais difícil de implantar em escala porque você precisa de uma PKI para emitir certificados de cliente, mas ele é essencialmente imune a phishing de credenciais. O requisito crítico de segurança que muitas instituições erram é a validação de certificado no lado do cliente. Quando um dispositivo se conecta ao eduroam usando PEAP, o dispositivo deve verificar o certificado do servidor RADIUS antes de enviar as credenciais. Se o dispositivo estiver configurado incorretamente para aceitar qualquer certificado, um invasor pode configurar um ponto de acesso malicioso transmitindo o SSID eduroam, apresentar um certificado autoassinado e roubar credenciais. Este é um vetor de ataque conhecido. A solução é configurar seus perfis de suplicante - via MDM para dispositivos gerenciados, ou via eduroam Configuration Assistant Tool, conhecido como CAT, para dispositivos pessoais - para fixar a autoridade certificadora e o nome do servidor esperados. Sob a perspectiva de padrões, espera-se que as implantações do eduroam estejam em conformidade com a eduroam Policy Service Definition, que exige TLS 1.2 ou superior para todas as conexões RADIUS sobre TLS, proíbe o uso de métodos EAP fracos como EAP-MD5 ou LEAP, e exige que todas as conexões de proxy RADIUS usem RadSec - RADIUS sobre TLS - em vez de UDP RADIUS simples, onde aplicável. Isso se alinha com as orientações do NCSC no Reino Unido e NIST SP 800-120 nos EUA. Mais um ponto técnico que vale a pena destacar: atribuição de VLAN. Em uma implantação do eduroam bem estruturada, a resposta RADIUS Access-Accept inclui atributos de VLAN que informam ao ponto de acesso qual VLAN atribuir ao dispositivo conectado. Isso permite segmentar o tráfego - colocando estudantes visitantes em uma VLAN restrita apenas com acesso à internet, enquanto seus próprios funcionários são roteados para a rede interna. Isso é essencial para conformidade, principalmente se você estiver sujeito ao PCI-DSS ou precisar manter a separação entre redes de dados de pesquisa e o tráfego geral de internet. - [RECOMENDAÇÕES DE IMPLANTAÇÃO E ARMADILHAS - 2 minutos] Deixe-me dar as orientações práticas. Se você estiver implantando o eduroam pela primeira vez, seu primeiro contato deve ser com a sua NREN nacional - no Reino Unido é a Jisc, na Irlanda a HEAnet, nos EUA a Internet2. Elas gerenciam a associação à federação e atribuirão a você um domínio RADIUS. Você não pode participar do eduroam sem ser um membro da sua federação nacional. Sua lista de verificação de infraestrutura: você precisa de pontos de acesso compatíveis com 802.1X - qualquer equipamento de nível corporativo da Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi serve. Você precisa de um servidor RADIUS - o FreeRADIUS é o padrão de código aberto, ou você pode usar o Microsoft NPS, Cisco ISE ou Aruba ClearPass. Você precisa de um certificado TLS válido para o seu servidor RADIUS emitido por uma CA confiável pela comunidade eduroam - normalmente um certificado da PKI da sua própria instituição ou de uma CA comercial na lista aprovada do eduroam. Os três erros de implantação mais comuns que vejo são: primeiro, a configuração incorreta de certificados - ou o certificado RADIUS expirou, ou os perfis do suplicante do cliente não estão vinculados corretamente. Segundo, tempos limite (timeouts) do proxy RADIUS - se a sua conexão NREN upstream tiver problemas de latência, a autenticação expirará e os usuários verão falhas de conexão que parecem erros de credenciais. Terceiro, configuração incorreta de VLAN - os usuários visitantes acabam no segmento de rede errado, não obtendo acesso à internet ou, pior, obtendo acesso a recursos internos que não deveriam ver. No lado do cliente, implante perfis eduroam CAT em todos os dispositivos gerenciados por meio de sua plataforma MDM. Para dispositivos pessoais, publique o link do instalador CAT em destaque. Esta única etapa elimina a maioria dos chamados de suporte. Para locais que não são instituições de ensino superior, mas desejam oferecer acesso eduroam - centros de conferências, hotéis e afins - o processo é chamado de eduroam Visitor Access, ou eVA. Ele permite que organizações não membras hospedem o SSID eduroam e façam o proxy de autenticação para a federação sem serem membros plenos. Vale a pena investigar se você hospeda regularmente conferências acadêmicas ou eventos universitários. - [PERGUNTAS E RESPOSTAS RÁPIDAS - 1 minuto] Perguntas rápidas que recebo regularmente. "O eduroam pode substituir totalmente o nosso WiFi de convidados?" Não. O eduroam funciona apenas para usuários que possuem credenciais em uma instituição membro. Você ainda precisa de uma solução de WiFi de convidados separada para todos os outros - visitantes, prestadores de serviços, o público em geral. "O eduroam está em conformidade com a GDPR?" Sim, com ressalvas. A arquitetura da federação significa que sua instituição processa os dados de autenticação, mas você precisa garantir que seus avisos de privacidade cubram isso e que seus logs RADIUS sejam tratados adequadamente. "Podemos usar WPA3 com eduroam?" Sim. O WPA3-Enterprise é totalmente compatível com 802.1X e é o padrão recomendado para novas implantações. Ele adiciona criptografia em modo de 192 bits para ambientes de alta segurança. "Qual é a diferença entre eduroam e OpenRoaming?" O OpenRoaming é uma iniciativa mais ampla do setor, da Wireless Broadband Alliance, que usa a mesma arquitetura de proxy 802.1X e RADIUS, mas estende o roaming além da educação para locais comerciais. Algumas plataformas, incluindo o Purple, oferecem suporte ao OpenRoaming como parte de sua oferta de WiFi de convidados. - [RESUMO E PRÓXIMOS PASSOS - 1 minuto] Para resumir. O eduroam é um serviço de roaming WiFi maduro, bem governado e implantado globalmente, construído sobre o 802.1X e uma infraestrutura de proxy RADIUS hierárquica. Ele oferece autenticação por usuário, criptografia forte e roaming contínuo em mais de 10.000 instituições - sem senhas compartilhadas ou Captive Portals. Para equipes de TI que implantam ou atualizam a rede sem fio do campus: priorize EAP-TLS em relação ao PEAP onde sua PKI puder suportar, aplique a validação de certificado em todos os perfis de clientes, use RadSec para todas as conexões de proxy RADIUS e segmente os usuários visitantes em uma VLAN dedicada. Para operadores de locais: se você costuma receber visitantes acadêmicos, investigue o eduroam Visitor Access. E independentemente de você implantar o eduroam ou não, sua infraestrutura de WiFi para visitantes deve ser construída com base nos princípios do 802.1X de nível empresarial - e não em chaves compartilhadas (PSKs). Se você quiser se aprofundar em qualquer um desses tópicos - arquitetura RADIUS, design de PKI para EAP-TLS ou como plataformas como o Purple se integram ao eduroam e OpenRoaming - o guia escrito completo está com o link disponível nas notas do episódio. Obrigado por ouvir. Até a próxima. --- FIM DO ROTEIRO