Hoogwaardig internet voor hoger onderwijs en onderzoek eduroam BELNET, Brussel, 29 September 2005

Hoogwaardig internet voor hoger onderwijs en onderzoek Inhoud Aanleiding voor eduroam Implementatie –Eisen –Techniek –Policy Status eduroam De toekomst

Hoogwaardig internet voor hoger onderwijs en onderzoek Wireless LAN is onveilig tcpdump -n -i eth1 19:52: > : icmp: echo request 19:52: > : icmp: echo reply 19:52: > : icmp: echo request 19:52: > : icmp: echo reply 19:52: > : icmp: echo request 19:52: > : icmp: echo reply ^C

Hoogwaardig internet voor hoger onderwijs en onderzoek Gebruikers zijn mobiel Access Provider Kabel Instelling A WLAN Instelling B WLAN Access Provider ADSL Internationale connectiviteit Access Provider WLAN Access Provider GPRS/ UMTS SURFnet backbone

Hoogwaardig internet voor hoger onderwijs en onderzoek Eisen Identificeer gebruikers uniek aan de rand van het netwerk –Geen sessie diefstal Maak gastgebruik mogelijk Schaalbaar –Lokale gebruikersadministratie en –authenticatie –Geen exponentiële beheerslast bij deelname Eenvoudig te installeren en gebruiken –Hooguit eenmalige installatie door gebruiker Open –Ondersteuning voor alle gebruikelijke OSsen –Leverancier onafhankelijk Veilig

Hoogwaardig internet voor hoger onderwijs en onderzoek Eduroam architectuur Security op basis van de 802.1X –Verschillende authenticatiemechanismen mogelijk –Persoonsgebonden toegang –Wederzijdse authenticatie mogelijk –Bescherming van credentials –Integratie met VLAN toewijzing –Basis nieuwe beveiligingstandaarden WPA en i Roaming op basis van RADIUS proxying –Remote Authentication Dial In User Service –Transport-protocol voor authenticatie informatie Vertrouwensinfrastructuur op basis van: –Technisch: RADIUS hiërarchie –Beleidsmatig: Policy documenten die verantwoordelijkheden van gebruiker, instelling en NREN vastleggen

Hoogwaardig internet voor hoger onderwijs en onderzoek Een veilige toegang tot het instellingsnetwerk met 802.1X data signalering RADIUS server Instelling A Internet Authenticator (AP of switch) User DB Studenten VLAN Gasten VLAN Medewerkers VLAN Supplicant 802.1X (VLAN toewijzing)

Hoogwaardig internet voor hoger onderwijs en onderzoek Eduroam RADIUS server Instelling B RADIUS server Instellinng A SURFnet Centrale RADIUS Proxy server Authenticator (AP of switch) User DB Supplicant Gast Studenten VLAN Klanten VLAN Medewerkers VLAN data signalerling Vertrouwen gebaseerd op RADIUS ondersteund door policy documenten 802.1X (VLAN toewijzing)

Hoogwaardig internet voor hoger onderwijs en onderzoek Getunnelde authenticatie Gebruikt TLS/SSL tunnel om data af te schermen –De TLS tunnel wordt opgezet gebruik makend van het server certificaat, hierdoor wordt automatisch de server geauthenticeerd en worden man-in-the-middle attacks voorkomen –De user stuur zijn credentials door de veilige tunnel naar de server Kan dynamische sessie sleutels gebruiken voor ‘in de lucht’ encryptie © Alfa&Ariss

Hoogwaardig internet voor hoger onderwijs en onderzoek Status van eduroam Meer dan 400 instellingen in Europa en Australië Meer dan 25 instellingen in Nederland

Hoogwaardig internet voor hoger onderwijs en onderzoek Toekomst: Usertracking

Hoogwaardig internet voor hoger onderwijs en onderzoek Toekomst: Toegang tot andere diensten?.nl Elsevier.nl Rug.nl…rug.nl gebruikers database Mag Elsevier tijdschrift x online In het algemeen: Hoe kunnen attributen getransporteerd worden binnen eduroam? Onderdeel van het Géant2 project (JRA5: Authorisation and Roaming)

Hoogwaardig internet voor hoger onderwijs en onderzoek Conclusies De combinatie van 802.1X met RADIUS geeft een veilige en schaalbare toegang tot het eigen instellingsnetwerk Beveiligen van een netwerk op basis van 802.1X+RADIUS is een toekomstvaste investering Deelname aan eduroam is een kleine stap voor de beheerder maar een grote sprong voor de gebruikers, dus…..

Hoogwaardig internet voor hoger onderwijs en onderzoek Tijd voor…...be

Hoogwaardig internet voor hoger onderwijs en onderzoek Meer informatie Eduroam in SURFnet – Eduroam in Europa – TERENA TF-Mobility – The unofficial IEEE security page –