802.1x op het SURFnet kantoor Mediaplaza, 15 april 2003 Paul Dekkers Stagair Innovatie Management

Inhoud Huidige netwerk Probleemstelling Oplossingen Ervaringen Huidige status Conclusie

Probleemstellingen WLAN Wireless LAN is onveilig Slechte authenticatie voor toegang Transport is onveilig Er is geen scheiding tussen gasten en medewerkers Verkeer Authenticatie (sterk/zwak)

Opties voor veilig data-transport Oplossingen voor problemen met WEP Veilig pad (VPN/PPPoE) WEPplus WPA (pre standard 802.11i, TKIP) 802.11i: 802.1x + eerst TKIP, later AES 802.1x

802.1x Beveiligde toegang – Manieren TLS TTLS (PAP) PEAP (MD5)

Beveiligde toegang Productie-netwerk Test-netwerk Sterke authenticatie, TLS via SURFnet PKI Test-netwerk TTLS Gast-netwerk (FlexNet) Toegang tot het SURFnet EAP via RADIUS

Gasten zonder supplicant Default Wireless VLAN AP zonder 1x Apart SSID Met daarop: Instructies voor supplicant Web toegang Toegang met WEP

VLAN scheiding

Wired 802.1x – “zelf patchen”

Spelen! … met hardware Access-Points (authenticator) Switches AP 350, AP 1200 Switches 3com 4400 Cisco 6500 (vlan-tag is naam) Wireless adapters Cisco Aironet 350, Orinoco/Lucent (Silver en Gold), Prism2 (Edimax), ATMEL (Edimax)

Spelen! … met software (1) Supplicants Windows 2000 of XP (MD5, TLS, PEAP) Open1x onder Linux / FreeBSD (TLS, TTLS) Aegis/Meetinghouse met Win 9X (TLS, TTLS) Odyssey met Win 9X (TLS, TTLS) En natuurlijk SecureW2 (TTLS)

Spelen! … met software (2) Authentication servers Radiator (TTLS, TLS, PEAP, MD5) FreeRadius (MD5, TLS) ACS IAS PKI voor servers en gebruikers In de vingers krijgen (met goede extensions) Openssl Microsoft Backends (LDAP)

Uitdagingen… VLAN’s Supplicants Adapters Encryptie IPv6 Native VLAN Supplicants Open1x Linux FreeBSD Adapters Encryptie Gastgebruik 64-bits WEP IPv6 Broadcasts “Default VLAN”

Huidige status Nu Binnenkort Een proef-802.1x-infrastructuur met bijna 20 kantoorgebruikers via TLS 802.1x-gastgebruik Oude netwerk (WEP) parallel voor gasten Werkend wired voorbeeld Binnenkort Productienetwerk op Wireless LAN Wired ook 802.1x

Conclusie 802.1x doet wat we er van verwachten Kinderziekte’s moeten nog opgelost worden maar belemmeren uitrol niet Toekomstige ontwikkelingen bouwen voort op 802.1x – het is goede keuze