802.1X in SURFnet Intern seminar over 802.1X 24 Mei 2004 Utrecht

2 Inhoud Achtergrond Eisen 802.1X EduRoam Conclusie

3 Bedreigingen Mac-address and SSID discovery –TCPdump –Ethereal –Kismet WEP cracking –Airsnort Man-in-the-middle attacks

4 Voorbeeld: Kismet+Airsnort tcpdump -n -i eth1 19:52: > : icmp: echo request 19:52: > : icmp: echo reply 19:52: > : icmp: echo request 19:52: > : icmp: echo reply 19:52: > : icmp: echo request 19:52: > : icmp: echo reply ^C

5 Kansen Access Provider POTS Institution A WLAN Institution B WLAN Access Provider ADSL International connectivity Access Provider WLAN Access Provider GPRS SURFnet backbone

6 Eisen Veilig Unieke identificatie gebruikers aan rand netwerk Ondersteuning gastgebruik Schaalbaar Eenvoudige installatie en gebruik Open

7 IEEE 802.1X Porrtgebaseerde authenticatie (laag 2) tussen client en AP/switch Verschillende authenticatie mechanismes (EAP-MD5, MS-CHAPv2, EAP-SIM, EAP-TLS, EAP-TTLS, PEAP) Standaard Encrypt data gebruik makend van dynamische keys Kan RADIUS back end gebruiken: –Schaalbaar –Hergebruik bestaande trust relaties Eenvoudige integratie met dynamische VLAN toewijzing (802.1Q) Client software nodig (ingebouwd of 3d party) Wireless en wired

8 Hoe werkt 802.1X (in combinatie met 802.1Q)? data signalling EAPOL EAP over RADIUS f.i. LDAP RADIUS server Institution A Internet Authenticator (AP or switch) User DB Student VLAN Guest VLAN Employee VLAN Supplicant

9 Door de protocol stack EAP Ethernet EAPOL RADIUS (TCP/IP) 802.1X Auth. Server (RADIUS server) Authenticator (AccessPoint, Switch) Supplicant (laptop, desktop) Ethernet

10 EduRoam RADIUS server Institution B RADIUS server Institution A Internet Central RADIUS Proxy server Authenticator (AP or switch) User DB Supplicant Guest Student VLAN Guest VLAN Employee VLAN data signalling Simpel, schaalbaar en robuust mechanisme voor het doorsturen van de gebruikers AAA naar de thuisinstelling

11 Projecten Freeband Testbed –Hotspots (presentatie Erik) –WiFi in de trein met ProRail –UMTS-WLAN roaming met TU/e en Vodafone –UMTS-WLAN raoming met TU Delft en T- Mobile –802.1X bij TERENA, TI, TUDelft, WTCW, TNO Telecom en SURFnet (presentatie Paul) TERENA TF-Mobility en Géant2 JRA5

12 FCCN RADIUS Proxy servers connecting to a European level RADIUS proxy server University of Southampton SURFnet FUNET DFN CARnet Radius proxy hierarchie CEZnet RedIRIS UNI-C

13 Niet alles is goud wat er blinkt (Nog) geen 802.1X support voor FreeBSD Geen 802.1X support in Windows 98, ME etc. Geen TTLS support standaard in W2K en XP Geen harde koppeling tussen IP-adres en gebruiker Niet alle bezoekers hebben al 802.1X geinstalleerd =>webgateway met: –Uitleg –SecureW2 download –Webgebaseerde toegang (met door SURFnetters uitgegeven username/password)

14 Meer informatie SURFnet en 802.1X – The unofficial IEEE security page –