eduroam e 802.1X: Autenticação WiFi Segura para o Ensino Superior

PODCAST SCRIPT: eduroam e 802.1X - Secure WiFi Authentication for Higher Education Tempo de duração: aproximadamente 10 minutos Voz: Inglês do Reino Unido, masculino, tom de consultor sénior - confiante, coloquial, autoritário --- [INTRO - 1 minuto] Bem-vindo de volta. Vou passar os próximos dez minutos a guiá-lo pelo eduroam e pelo 802.1X - o que são, como funcionam realmente nos bastidores e o que a sua equipa precisa de saber antes de implementar ou integrar com qualquer um deles. Se é um gestor de TI, arquiteto de rede ou CTO numa universidade, faculdade ou instituição de investigação - ou se é um operador de espaço que precisa de compreender o que os seus visitantes académicos esperam da sua infraestrutura sem fios - este é o briefing ideal para si. Vamos começar com uma visão geral. eduroam significa "education roaming". É um serviço global de roaming WiFi que permite a estudantes, investigadores e funcionários de instituições parceiras ligarem-se à Internet em qualquer local participante - de forma automática, segura e utilizando as credenciais da sua instituição de origem. Sem portais de convidados. Sem códigos de voucher. Sem pedir uma palavra-passe na receção. Funciona desde 2003, abrange atualmente mais de 10.000 instituições em mais de 100 países e é o padrão de facto para redes sem fios em campus de ensino superior em todo o mundo. Se a sua organização interage com universidades - quer seja um hotel perto de um campus, um centro de conferências que acolhe eventos académicos ou uma biblioteca pública numa cidade universitária - compreender o eduroam é diretamente relevante para a sua estratégia de rede. --- [TECHNICAL DEEP-DIVE - 5 minutos] Muito bem. Vamos entrar na parte técnica. O eduroam é construído com base no IEEE 802.1X - o padrão de controlo de acesso à rede baseado em portas. O 802.1X define uma estrutura para autenticar dispositivos antes de lhes ser concedido acesso a uma rede. Foi originalmente concebido para Ethernet com fios, mas adapta-se perfeitamente à tecnologia sem fios e é a base daquilo a que chamamos segurança WPA2-Enterprise ou WPA3-Enterprise. O modelo 802.1X tem três componentes. Primeiro, o Supplicant - que é o dispositivo que se tenta ligar. O portátil de um estudante, o telemóvel de um investigador. Segundo, o Authenticator - que é o seu ponto de acesso de rede ou switch gerido. Ele fica entre o supplicant e o resto da rede, atuando como um guardião. Terceiro, o Authentication Server - quase sempre um servidor RADIUS. RADIUS significa Remote Authentication Dial-In User Service. É o componente que valida efetivamente as credenciais. Eis como funciona a troca de chaves. O dispositivo do estudante associa-se ao ponto de acesso sem fios. O ponto de acesso ainda não concede acesso total à rede - abre o que se chama uma porta controlada, mas apenas para tráfego EAP. O EAP é o Extensible Authentication Protocol. O ponto de acesso faz o proxy da conversação EAP entre o dispositivo e o servidor RADIUS. O servidor RADIUS desafia o dispositivo, o dispositivo responde com credenciais - normalmente um nome de utilizador e palavra-passe, ou um certificado - e, se o servidor RADIUS estiver satisfeito, envia de volta uma mensagem Access-Accept. O ponto de acesso abre então a porta de rede total. Toda a troca demora menos de dois segundos numa implementação bem configurada. Agora, onde é que o eduroam se posiciona por cima disto? O eduroam utiliza uma infraestrutura de proxy RADIUS hierárquica. Cada instituição participante executa o seu próprio servidor RADIUS - chamado Provedor de Identidade, ou IdP. Quando um estudante, por exemplo, da University of Manchester visita o Imperial College London e se liga ao SSID eduroam, o seu dispositivo envia as credenciais no formato username@manchester.ac.uk. O servidor RADIUS do Imperial vê o domínio - que é a parte após o símbolo @ - e faz o proxy do pedido de autenticação para o servidor RADIUS nacional, que é operado no Reino Unido pela Jisc, a rede nacional de investigação e educação. A Jisc encaminha então o pedido para o servidor RADIUS da University of Manchester, que valida as credenciais e envia de volta um Accept ou Reject. Toda a cadeia resolve-se em milissegundos. Esta cadeia de proxy é o que faz o eduroam funcionar além das fronteiras institucionais sem quaisquer segredos partilhados previamente entre instituições. Cada salto na cadeia utiliza um segredo RADIUS partilhado apenas com o seu vizinho imediato. A palavra-passe real do estudante nunca sai do servidor RADIUS da instituição de origem - está protegida de ponta a ponta pelo túnel EAP. Falando de métodos EAP - é aqui que muitas implementações correm mal, por isso preste atenção. Os métodos EAP mais comuns no eduroam são o PEAP - Protected EAP - e o EAP-TLS. O PEAP envolve um método de autenticação interno, geralmente MSCHAPv2, dentro de um túnel TLS. Requer um certificado do lado do servidor no servidor RADIUS, mas o cliente apenas necessita de um nome de utilizador e palavra-passe. O EAP-TLS é a opção mais segura - utiliza autenticação mútua de certificados, o que significa que tanto o servidor como o cliente apresentam certificados. É mais difícil de implementar à escala porque necessita de uma PKI para emitir certificados de cliente, mas é essencialmente imune a phishing de credenciais. O requisito de segurança crítico que muitas instituições falham em implementar é a validação do certificado do lado do cliente. Quando um dispositivo se liga ao eduroam utilizando PEAP, o dispositivo deve verificar o certificado do servidor RADIUS antes de submeter as credenciais. Se o dispositivo estiver incorretamente configurado para aceitar qualquer certificado, um atacante pode criar um ponto de acesso falso que transmite o SSID eduroam, apresentar um certificado autoassinado e roubar as credenciais. Este é um vetor de ataque conhecido. A solução passa por configurar os perfis de suplicante - via MDM para dispositivos geridos, ou via eduroam Configuration Assistant Tool, conhecido como CAT, para dispositivos pessoais - para fixar a autoridade de certificação e o nome de servidor esperados. Do ponto de vista das normas, espera-se que as implementações eduroam estejam em conformidade com a eduroam Policy Service Definition, que exige TLS 1.2 ou superior para todas as ligações RADIUS sobre TLS, proíbe o uso de métodos EAP fracos como EAP-MD5 ou LEAP, e exige que todas as ligações proxy RADIUS utilizem RadSec - RADIUS sobre TLS - em vez de RADIUS UDP simples, sempre que possível. Isto alinha-se com as orientações do NCSC no Reino Unido e NIST SP 800-120 nos EUA. Mais um ponto técnico importante: atribuição de VLAN. Numa implementação eduroam bem estruturada, a resposta RADIUS Access-Accept inclui atributos de VLAN que indicam ao ponto de acesso qual a VLAN a atribuir ao dispositivo que se está a ligar. Isto permite-lhe segmentar o tráfego - colocando os estudantes visitantes numa VLAN restrita com acesso apenas à Internet, enquanto os seus colaboradores são encaminhados para a rede interna. Isto é essencial para a conformidade, particularmente se estiver sujeito a PCI-DSS ou se necessitar de manter a separação entre redes de dados de investigação e tráfego geral de Internet. - - - [RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ERROS COMUNS - 2 minutos] Deixe-me dar-lhe as orientações práticas. Se está a implementar o eduroam pela primeira vez, o seu primeiro contacto deve ser com a sua NREN nacional. Tratam da adesão à federação e atribuem-lhe um domínio RADIUS. Não pode participar no eduroam sem ser membro da sua federação nacional. A sua lista de verificação de infraestrutura: necessita de pontos de acesso compatíveis com 802.1X - qualquer equipamento de gama empresarial da Cisco, Aruba, Juniper, Ruckus ou Ubiquiti UniFi serve. Necessita de um servidor RADIUS - o FreeRADIUS é o padrão de código aberto, ou pode utilizar Microsoft NPS, Cisco ISE ou Aruba ClearPass. Necessita de um certificado TLS válido para o seu servidor RADIUS emitido por uma CA de confiança da comunidade eduroam - normalmente um certificado da PKI da sua instituição ou de uma CA comercial na lista de aprovados do eduroam. As três falhas de implementação mais comuns que vejo são: primeiro, a configuração incorreta de certificados - ou o certificado RADIUS expirou ou os perfis de suplicante do cliente não estão fixados corretamente. Segundo, tempos de limite de proxy RADIUS - se a sua ligação NREN a montante tiver problemas de latência, a autenticação expirará e os utilizadores verão falhas de ligação que parecem erros de credenciais. Terceiro, configuração incorreta de VLAN - os utilizadores visitantes acabam no segmento de rede errado, não obtendo acesso à Internet ou, pior, obtendo acesso a recursos internos que não deveriam ver. No lado do cliente, implemente perfis eduroam CAT para todos os dispositivos geridos através da sua plataforma MDM. Para dispositivos pessoais, publique o link do instalador CAT em destaque. Este único passo elimina a maioria dos pedidos de suporte. Para locais que não são instituições de ensino superior mas que pretendem oferecer acesso eduroam - centros de conferências, hotéis e semelhantes - o processo é denominado eduroam Visitor Access, ou eVA. Permite que organizações não membros alojem o SSID eduroam e façam o proxy da autenticação para a federação sem serem membros plenos. Vale a pena investigar se organiza regularmente conferências académicas ou eventos universitários. --- [PERGUNTAS E RESPOSTAS RÁPIDAS - 1 minuto] Perguntas rápidas que me fazem regularmente. "O eduroam pode substituir totalmente o nosso WiFi de convidados?" Não. O eduroam apenas funciona para utilizadores que possuam credenciais numa instituição membro. Continua a precisar de uma solução de WiFi de convidados separada para todos os outros - visitantes, prestadores de serviços, o público em geral. "O eduroam está em conformidade com o GDPR?" Sim, com ressalvas. A arquitetura da federação significa que a sua instituição processa dados de autenticação, mas precisa de garantir que os seus avisos de privacidade cobrem isto e que os seus registos RADIUS são tratados adequadamente. "Podemos utilizar WPA3 com o eduroam?" Sim. O WPA3-Enterprise é totalmente compatível com 802.1X e é o padrão recomendado para novas implementações. Adiciona encriptação em modo de 192 bits para ambientes de alta segurança. "Qual é a diferença entre o eduroam e o OpenRoaming?" O OpenRoaming é uma iniciativa industrial mais ampla da Wireless Broadband Alliance que utiliza a mesma arquitetura de proxy 802.1X e RADIUS, mas estende o roaming além da educação para locais comerciais. Algumas plataformas, incluindo a Purple, suportam OpenRoaming como parte da sua oferta de WiFi de convidados. --- [RESUMO E PRÓXIMOS PASSOS - 1 minuto] Para concluir. O eduroam é um serviço de roaming WiFi maduro, bem governado e implementado globalmente, construído sobre o 802.1X e uma infraestrutura de proxy RADIUS hierárquica. Oferece autenticação por utilizador, encriptação forte e roaming contínuo em mais de 10.000 instituições - sem palavras-passe partilhadas ou Captive Portals. Para as equipas de TI que implementam ou atualizam a rede sem fios do campus: priorizem o EAP-TLS em detrimento do PEAP onde a vossa PKI o possa suportar, forcem a validação de certificados em todos os perfis de cliente, utilizem RadSec para todas as ligações proxy RADIUS e segmentem os utilizadores visitantes numa VLAN dedicada. Para operadores de recintos: se acolhe regularmente visitantes académicos, investigue o eduroam Visitor Access. E independentemente de implementar o eduroam ou não, a sua infraestrutura de WiFi para convidados deve ser construída com base em princípios 802.1X de nível empresarial - e não em PSKs partilhadas. Se quiser aprofundar qualquer um destes temas - arquitetura RADIUS, design de PKI para EAP-TLS ou como plataformas como a Purple se integram com o eduroam e o OpenRoaming - o guia escrito completo está associado nas notas do programa. Obrigado por ouvir. Até à próxima. --- FIM DO SCRIPT