eduroam radionica
TRANSCRIPT
eduroam radionica
Miroslav Milinović, Dubravko Penezić, Dario Šafar
Sveučilišni računski centar Sveučilišta u Zagrebu
Osijek, Rijeka, Split, Zagreb, 8.-11. travanj 2013.
2/47
Sadržaj
stanje eduroam usluge u Republici Hrvatskoj i svijetu
uspostava i održavanje eduroam pristupne točke
eduroam nadzorna sonda
eduroam installer i sigurnost usluge
3/47
Što je eduroam?
(opis i stanje usluge u Hrvatskoj i svijetu)
4/47
Mobilnost korisnika roaming usluga
zahtjevi:
mogućnost jednoznačne identifikacije korisnika na krajevima mreže
pristup gostima
skalabilnost
administracija i autentikacija korisnika
lagana uspostava i korištenje
minimalni zahtjevi na korisnika i podešavanje njegovog računala
otvorenost
sigurnost i zaštita privatnosti
5/47
Što je eduroam?
eduroam™: skraćenica od EDUcation ROAMing
moto: “Open your laptop and be online”
globalna (akademska) roaming usluga
siguran i jednostavan pristup mreži za krajnje korisnike
neovisan o mjestu i vremenu pristupa
konzistentan i uniforman
čuva privatnost
povijest: koncept i prototip nastali u okviru TERENA TF-Mobility (2002.)
produkcijska usluga je uspostavljena u okviru EU FP6 projekta GÉANT2 (2008.),
razvoj i održavanje nastavljeni u okviru EU FP7 projekta GÉANT3
6/47
eduroam™
SSID = eduroam
korisničke oznake oblika uid@realm ([email protected])
autentikaciju obavlja matična ustanova (IdP; davatelj
identiteta), a autorizaciju davatelj usluge (SP, točka
pristupa, posjećena ustanova)
odabrani tehnički standard: 802.1x + EAP
roaming temelji na hijerarhiji RADIUS poslužitelja
dostupan na (gotovo) svim platformama/uređajima
7/47
Tehnologija eduroam
rabi 802.1X protokol(e) layer-2 port-based standard za (kontrolirani) pristup mreži
detektira korisnika na “kraju mreže”
port na (aktivnom) pristupnom mrežnom uređaju (NAS)
može biti AP ili preklopnik (switch)
dok se ne potvrdi identitet korisnika moguć je samo promet
EAP paketa, ostalo (npr: HTTP ili DHCP) je blokirano na data
link razini
sigurnost: enkripcija podataka korištenjem dinamičkih ključeva
(802.11i; WPA/TKIP WPA2/AES, ...)
dodjela VLAN-a pri autorizaciji (802.1q)
8/47
Tehnologija eduroam (2)
autentikacija temeljena na uporabi EAP-a EAP (Extensible Authentication Protocol)
omogućuje različite autentikacijske metode
EAP/TTLS, EAP/TLS, PEAP, ...
RADIUS proxy kao temelj za roaming RADIUS je transportni protokol za autentikacijske podatke
user names format: user@realm (npr. [email protected])
hijerarhija RADIUS poslužitelja (rabe se shared secrets) uz
realm-based proxying
povjerenje u sustav (trust fabric) temelji na hijerarhiji RADIUS poslužitelja
Pravilniku o ustroju eduroam usluge (The eduroam policy)
9/47
eduroam™
10/47
Prenošenje podataka o korisniku
RADIUS infrastrukturom
.HR .AT
inst-1 inst-2 inst-3 inst-4
poslužitelji konfederacijske
razine
poslužitelji nacionalne
(federacijske) razine
poslužitelji razine
ustanove
11/47
EAP tunel
`
802.1X klijent RADIUS Server
TLS tunnel
Autentikacija
korisnika zaštićena
tunelom
12/47
EAP – slojevi protokola
14/47
eduroam usluga
globalna usluga globalna koordinacija – GeGC
60+ zemalja na 6 kontinenata
europska eduroam usluga u okviru GEANT3/GEANT3+ projekta
43 zemlje; Srce koordinator
distribuirana organizacija po federalnom modelu
uslugu čine: tehnološka infrastruktura
RADIUS infrastruktura, aktivni mrežni elementi
pravila za sve učesnike (Policy)
aktualna verzija 2.0
https://www.eduroam.org/index.php?p=docs
servisi za podršku korisnicima
informacije o radu sustava i pomoć pri uporabi
nadzor, dijagnostika i mjerenje
15/47
Top-level RADIUS Server(s)
Home Federation Visited Federation
Federation (National)
top level RADIUS
proxy Server(s)
HI IdP
Federation (National)
top level RADIUS
proxy Server(s)
VI SP
networkUser U access
RADIUS RADIUS
AuthN S
RADIUS RADIUS
HIRADIUS Server
VIRADIUS Server
RADIUS
Eduroam confederation infrastructure
Međunarodna eduroam infrastruktura
16/47
Kategorije korisnika
krajnji korisnici
ovlaštene osobe ustanova (davatelji usluge, matične ustanove)
nacionalni koordinator
globalna koordinacija
17/47
Podrška korisnicima (međunarodni model)
visited federation
fed.-level admin.
local institution
admin.
user
home federation
fed.-level
admin.
local
institution
admin.
OT
1,2
3
6
4a
5
4b
4
18/47
Gdje se može koristiti eduroam?
http://monitor.eduroam.org/user_map/
podaci za 47 zemalja
8175 pristupnih točaka
(travanj 2013.)
19/47
0
500000
1000000
1500000
2000000
2500000
3000000
3500000
4000000
4500000
5000000
5500000
6000000
6500000
dece
mbe
r 200
8
janu
ary 200
9
febr
uary 200
9
mar
ch 2
009
april 2009
may
2009
june
200
9
july 2009
augu
st 2
009
sept
embe
r 2009
octo
ber 2
009
nove
mbe
r 200
9
dece
mbe
r 200
9
janu
ary2
010
febr
uary 201
0
mar
ch 2
010
april 2010
may
2010
jun
2010
july 2010
augu
st 2
010
sept
embe
r 2010
octo
ber 2
010
nove
mbe
r 201
0
dece
mbe
r 201
0
janu
ary 201
1
febr
uary 201
1
mar
ch 2
011
april 2011
may
2011
june
201
1
july 2011
augu
st 2
011
sept
embe
r 2011
octo
ber 2
011
nove
mbe
r 201
1
dece
mbe
r 201
1
janu
ary 201
2*
febr
uary 201
2
mar
ch 2
012
april 2012
may
2012
june
210
2
july 2012
augu
st 2
012
sept
embe
r 2012
octo
ber 2
012
nove
mbe
r 201
2
dece
mbe
r 201
2
janu
ary 201
3
0
50000
100000
150000
200000
250000
300000
350000
400000
450000
500000
550000
600000
650000
700000
750000
800000
AuthNcount CSI
AuthnCount 6.286.460
CSI 837.891
(listopad 2012.)
Koliko se eduroam koristi?
(međunarodni promet)
20/47
eduroam.hr
http://www.eduroam.hr
elektronički identitet u sustavu AAI@EduHr ≡ mogućnost uporabe eduroam usluge
usluga dostupna (travanj 2013.)
u 20 mjesta/gradova na 96 lokacija i u žičanoj inačici (StuDOM)
Srce (AAI@EduHr) je uključeno u aktivnosti vezane uz eduroam od samog začetka (2003. godine)
21/47
eduroam.hr – međunarodni promet
http://monitor.eduroam.org/f-ticks/
(europski) alat za praćenje prometa
utemeljen na syslogu
unapređenja i interna primjena u
AAI@EduHr / eduroam.hr tijekom
2013. godine
22/47
Kako početi koristiti eduroam?
potrebno je:
posjedovati elektronički identitet u sustavu AAI@EduHr
iskonfigurirati uređaj (računalo, pametni telefon, ...) na
odgovarajući način
usluga je za krajnjeg korisnika besplatna bez obzira na
točku pristupa (bilo gdje u Hrvatskoj, Europi i svijetu)
mogući izazov:
konfiguriranje uređaja
23/47
eduroam installer
http://installer.eduroam.hr/
omogućuje krajnjim korisnicima jednostavno i pouzdano
konfiguriranje (većine) uređaja
posebno prilagođen svakoj od matičnih ustanova
podatke za aktivaciju treba putem weba
dostaviti administrator/sistemac matične ustanove:
kratki naziv
logo
URL adresu web-sjedišta
ime RADIUS servera (CN polje u certifikatu)
(Root) certfikat poslužitelja (u DER formatu)
provjerite popis: http://www.eduroam.hr/installer_status.php
CAT - globalni alat: https://cat.eduroam.org
24/47
Uspostava i održavanje eduroam
pristupne točke
(eduroam za davatelje usluge)
25/47
Pretpostavke pri uspostavi
eduroam pristupne točke
funkcionalna bežična mreža
pristupni uređaji podržavaju 802.1x
korisnici posjeduju odgovarajuće korisničke podatke za
autentikaciju
dostupan je RADIUS server za potrebe autentikacije i
pohrane logova
26/47
RADIUS poslužitelj
konfiguracija ovisi o tipu pristupne točke:
davatelj pristupa
matična ustanova i davatelj pristupa istodobno
potrebna je ispravna proxy-eduroam.conf datoteka
zatražite e-mailom na [email protected]
programskim paketima podržan je FreeRADIUS, no
mogu se koristiti i druge inačice RADIUS programske
podrške
27/47
RADIUS konfiguracija – davatelji pristupa
svi zahtjevi se prosljeđuju (proxying)
svaki davatelj pristupa ima svoju oznaku
bilježe se logovi (RADIUS accounting)
pristupni uređaji imaju svoj zapis u clients.conf datoteci
28/47
RADIUS konfiguracija – matična ustanova
i davatelj pristupa istodobno
“lokalni” identiteti se autenticiraju lokalno, a ostali zahtjevi
se prosljeđuju (standardna AAI@EduHr konfiguracija)
svaki davatelj pristupa ima svoju oznaku
bilježe se logovi (RADIUS accounting) i podaci o
autentikaciji
pristupni uređaji imaju svoj zapis u clients.conf datoteci
29/47
Pristupni uređaji
različite vrste, različite opcije pri konfiguriranju
osnovni elementi konfiguracije:
SSID – eduroam (javno vidljiv)
kripto-zaštita bežične mreže – WPA2 (uobičajno se krije pod
nazivom WPA2 enterprise)
kripto-zaštita bežične komunikacije – AES
IP adresa lokalnog RADIUS poslužitelja
'secret' iz clients.conf datoteke za pristupni uređaj
ako uređaj podržava podesiti vanjsko logiranje
moguće je imati više od jednog SSID-a na istom uređaju
30/47
Primjer konfiguracije
Linksys WRT54GS
FreeRADIUS
31/47
WLAN (eduroam) nadzorna sonda
(kako nadzirati rad eduroam usluge)
32/47
Nadzor eduroam usluge
Nije dovoljno znati da poslužitelji rade!
nadzirati se može/treba: poslužitelje/aktivne elemente u sustavu
infrastrukturu (put i interakciju između poslužitelja)
AA proces (korisničko iskustvo)
krajnji cilj je potpuni funkcionalni test
33/47
Nadzor eduroam usluge
http://monitor.eduroam.org
nadziru se poslužitelji u Europi
3 scenarija:
nadzor poslužitelja
nadzor infrastukture
provjera na zahtjev (testing on demand)
nedostaje:
“last mile” – provjera stanja WLAN-a na koji su korisnik spaja
34/47
Koncept nadzornog sustava
Monitoring
Client
RADIUS
Proxy
Server
IdP
RADIUS Server
(loopback server)
35/47
Nadzor rada poslužitelja
baza podataka
nadzorna
sonda
ETLRs
FTLRs
36/47
Nadzor rada infrastrukture
baza podataka
nadzorna
sonda
TLRS(s)
FTLRs(s)
ETLRs(s)
FTLRs(s)
37/47
Nadzor WLAN-a
zadatak je napraviti sondu koja će provjeravati stanje
WLAN-a / eduroam pristupne točke
sonda:
nadzire dostupne SSID-eve
nadzire jačinu/kvalitetu signala
nadzire korištene metode autentikacije i kriptiranja
testira spajanje na eduroam (autentikacija + provedba akcije)
prikuplja podatke koje šalje središnjoj točki radi pohrane i analize
...
38/47
Pilot projekt u tijeku
odabrana platforma Raspberry Pi HW
Raspbian Linux
Python 2.7.
trenutni rezultati skeniranje bežičnih signala / SSID-eva
rezultati se šalju (korištenjem syslog-a) u bazu podataka za nadzor
primjeri mogućih ispisa prikupljenih podataka:
http://www.eduroam.hr/sensornet/index.php
http://www.eduroam.hr/sensornet/index1.php
http://www.eduroam.hr/sensornet/index2.php
39/47
eduroam.hr sonda
Tražimo dobrovoljce koji bi dozvolili instalaciju sonde u svojoj (WLAN) mreži!
40/47
O sigurnosti eduroam usluge
(Zašto je važno koristiti installer?)
41/47
eduroam™
42/47
EAP tunel
`
802.1X klijent RADIUS Server
TLS tunnel
Autentikacija
korisnika zaštićena
tunelom
43/47
obrada
zahtjeva zahtjev za autentikacijom
dozvola pristupa
dozvoljen
pristup uz
ispravne
vjerodajnice
sa certifikatom
nadležnog
RADIUS-a
AP – dio standardne
eduroam infrastrukture
nadležni RADIUS
poslužitelj
MitM AP modificirani RADIUS
poslužitelj
zahtjev za autentikacijom
dozvola pristupa
Autentikacija uz korištenje certifikata
(putem nadležnog poslužitelja)
provjerava
autentičnost
RADIUS
poslužitelja
44/47
sa certifikatom
nadležnog
RADIUS-a
AP – dio standardne
eduroam infrastrukture Nadležni RADIUS
poslužitelj
MitM AP modificirani
RADIUS poslužitelj
nemoguća
obrada
zahtjeva zahtjev za autentikacijom
odbijen pristup
provjerava
autentičnost
RADIUS
poslužitelja
Autentikacija uz korištenje certifikata
(putem MitM poslužitelja)
45/47
obrađuje zahtjev
bez certifikata
nadležnog
RADIUS-a
AP – dio standardne
eduroam infrastrukture
Nadležni RADIUS
poslužitelj
MitM AP modificirani
RADIUS
poslužitelj
zahtjev za autentikacijom zahtjev za autentikacijom
dozvola pristupa dozvola pristupa
Autentikacija bez korištenje certifikata
(putem MitM poslužitelja)
pristupa mreži,
dajući vjerodajnice
nepoznatom
poslužitelju
raspolaže
vjerodajnicama
46/47
Zašto je važno korisititi installer?
installer omogućuje ispravno konfiguriranje klijenata uz
postavljanje provjere certifikata
svakako tražite od svojih korisnika da obavezno koriste
installer i ne mijenjaju postavku koja se odnosi na
provjeru certifikata matične ustanove
u suprotnom se korisnik izlaže MitM napadu ...
... live demo
