Eduroam - swobodny dostęp do Internetu

Transkrypt

1 Eduroam - swobodny dostęp do Internetu Mariusz Krawczyk Pion Głównego Informatyka PK Mariusz.Krawczyk@pk.edu.pl Seminarium eduroam PK, Tomasz Wolniewicz UCI UMK

2 Uczestnicy - świat Seminarium eduroam PK, Mariusz Krawczyk GI 2/23

3 Uczestnicy - Holandia Seminarium eduroam PK, Mariusz Krawczyk GI 3/23

4 Uczestnicy - Luksemburg Seminarium eduroam PK, Mariusz Krawczyk GI 4/23

5 Uczestnicy - Hiszpania Seminarium eduroam PK, Mariusz Krawczyk GI 5/23

6 Uczestnicy - Słowenia Seminarium eduroam PK, Mariusz Krawczyk GI 6/23

7 Uczestnicy - Australia Seminarium eduroam PK, Mariusz Krawczyk GI 7/23

8 Uczestnicy Polska Seminarium eduroam PK, Mariusz Krawczyk GI 8/23

9 Uczestnicy Polska obecnie Seminarium eduroam PK, Mariusz Krawczyk GI 9/23

10 Założenia Pracownik i student instytucji biorącej udział w eduroam uzyska dostęp do sieci na terenie dowolnej innej takiej instytucji Zasada pełnej wzajemności Pełna poufność danych Bezpieczeństwo użytkowników pewna sieć szyfrowana transmisja Bezpieczeństwo instytucji udostępniających sieć uwierzytelnieni użytkownicy odpowiedzialność użytkownika za jego działania Seminarium eduroam PK, Mariusz Krawczyk GI 10/23

11 Klasyczne zabezpieczenia sieci bezprzewodowych Blokady MAC praktycznie żadna ochrona MAC jest wysyłany otwartym tekstem Statyczny klucz WEP klucz jest tajny, a musi być znany wszystkim klientom sprzeczność między powszechnością i tajemnicą klucz może być złamany po podsłuchaniu zaszyfrowanej transmisji Seminarium eduroam PK, Mariusz Krawczyk GI 11/23

12 Uwierzytelnianie przez WWW Każdy może uruchomić AP i przypisać mu dowolny SSID W klasycznym podejściu nie ma żadnej metody na zweryfikowanie, że AP działa w legalnej sieci Problemy z potwierdzeniem wiarygodności portalu jeżeli portal nie posiada powszechnego certyfikatu, to tylko użytkownik, który wcześniej zaimportował certyfikat może go zweryfikować nie można oczekiwać, by użytkownicy weryfikowali poprawność certyfikatu serwera, jeżeli widzą zamkniętą kłódkę sprawdzenie, że oficjalny certyfikat rzeczywiście odpowiada sieci, z którą się chcemy łączyć może być trudne Portal WWW jako metoda dostępu do sieci bezprzewodowej jest nie do przyjęcia w sytuacji kiedy użytkownik korzysta z danych otwierających dostęp również do wielu innych usług Seminarium eduroam PK, Mariusz Krawczyk GI 12/23

13 Uwierzytelnianie 802.1x Protokół IEEE Port Based Network Access Control protokół zdefiniowany z myślą o implementacji w przełącznikach obecnie główne zastosowanie, to dostęp do sieci bezprzewodowych Dobre wsparcie w najnowszych systemach operacyjnych MS Windows XP/2003 MAC OS 10 Linux Dobra dostępność kart sieciowych Coraz większa powszechność w sieciach bezprzewodowych na uniwersytetach amerykańskich istnieją takie sieci wyposażone w ogromne liczby urządzeń ponad 1000 Seminarium eduroam PK, Mariusz Krawczyk GI 13/23

14 802.1x - podstawy Elementy supplicant (oprogramowanie uwierzytelniające działające w imieniu użytkownika) authenticator (urządzenie realizujące dostęp do sieci na podstawie uwierzytelnienia) authentication server (serwer uwierzytelniający) Funkcje uwierzytelnienie użytkownika udostępnienie sieci przydział VLAN-u przekazanie kluczy ochrony transmisji Seminarium eduroam PK, Mariusz Krawczyk GI 14/23

15 802.1x w działaniu Klient (supplicant) wymienia dane z serwerem uwierzytelniającym za pośrednictwem urządzenia dostępowego (korzystając z protokołu EAP), W ramach protokołu radius przesyłane są różnego rodzaju atrybuty, w tym atrybuty zawierające dane uwierzytelniające użytkownika Po zakończeniu procesu uwierzytelnienia serwer uwierzytelniający przekazuje do urządzenia dostępowego zgodę lub zakaz udostępnienia sieci Serwer uwierzytelniający może przekazać dodatkowe atrybuty, np. określające nr VLAN-u, przekazujące dane inicjujące szyfrowanie transmisji itp. Seminarium eduroam PK, Mariusz Krawczyk GI 15/23

16 Korzyści płynące ze stosowania standardu 802.1x Sieć zna użytkownika Użytkownik zna sieć Klucz szyfrujący jest wymieniany co kilka minut lub z każdym pakietem Użytkownik może być przypisany do różnych grup (np. użytkownik lokalny, gość) Możliwość odcięcia użytkownika, który działa niezgodnie z regulaminem Koordynacja na poziomie krajowym i międzynarodowym pozwala na gościnny dostęp do Internetu w wielu miejscach Seminarium eduroam PK, Mariusz Krawczyk GI 16/23

17 Działanie systemu uwierzytelniającego (użytkownik lokalny) Suplikant Internet Pracownicy jednostki serwer uwierzytelniający PK Pracownicy PK Studenci Goście pomysł zaczerpnięty z surfnet.nl Seminarium eduroam PK, Mariusz Krawczyk GI 17/23

18 Działanie systemu uwierzytelniającego (gość) Suplikant Pracownicy jednostki serwer uwierzytelniający PK serwer uwierzytelniający uni.ac.uk Pracownicy PK Studenci Goście serwer pośredniczący Internet pomysł zaczerpnięty z surfnet.nl Seminarium eduroam PK, Mariusz Krawczyk GI 18/23

19 Organizacja serwerów Radius w eduroam Każda instytucja posiada dostępowy serwer Radius kierujący nieznane zapytania do jednego z dwóch serwerów krajowych Serwery krajowe dysponują pełną listą instytucji w domenie.[kraj] włączonych do eduroam i kierują do nich otrzymane pakiety Radius pakiety adresowane do domen nie kończących się na.[kraj] są kierowane do serwerów europejskich Serwery europejskie kierują pakiety do odpowiednich serwerów krajowych Jednym z problemów jest obsługa domen globalnych np..edu Seminarium eduroam PK, Mariusz Krawczyk GI 19/23

20 Bezpieczeństwo danych użytkownika w eduroam Przesłanie danych uwierzytelniających jest poprzedzone zweryfikowaniem certyfikatu serwera instytucji macierzystej dla użytkownika Jeżeli do uwierzytelniania używane są hasła to ich transmisja jest zaszyfrowana w kanale między urządzeniem użytkownika a serwerem Radius w instytucji macierzystej Seminarium eduroam PK, Mariusz Krawczyk GI 20/23

21 Poziom krajowy Serwery radius1.eduroam.pl serwer główny na UMK w Toruniu radius2.eduroam.pl polski serwer zapasowy w PCSS w Poznaniu pełni rolę pierwszego serwera proxy dla Poznania serwery pracują na oprogramowaniu FreeRadius Seminarium eduroam PK, Mariusz Krawczyk GI 21/23

22 eduroam na PK Access-pointy Cisco ( 9 sztuk) Sieć dostępna w budynkach oznaczonych logo eduroam Szyfrowanie WPA-TKIP Serwer FreeRadius Serwer zapasowy współpracujący z repliką LDAP Uwierzytelnianie EAP-TLS Seminarium eduroam PK, Mariusz Krawczyk GI 22/23

23 Korzyści z eduroam Każdy pracownik i student z naszej Uczelni ma dostęp do sieci na wielu europejskich uczelniach Każdy student czy pracownik współpracującej z nami uczelni ma dostęp do naszej sieci Centralnie zarządzana baza użytkowników Powszechny oraz bezpieczny dostęp do sieci dla studentów Seminarium eduroam PK, Mariusz Krawczyk GI 23/23