SURFnet en IEEE 802.1X

SURFnet en IEEE 802.1X Klaas.Wierenga@SURFnet.nl Amsterdam, 8&9 Mei 2003

Inhoud • Achtergrond • De problemen • Uitgangspunten • Mogelijke oplossingen • Dé oplossing • De toekomst • Conclusie

Internationale connectiviteit Instelling A WLAN Access Provider WLAN Instelling B SURFnet backbone Access Provider GPRS WLAN FttD Access Provider ADSL Achtergrond

Problemen/uitdagingen • Mobiliteit • Gastgebruik • Verschillende types netwerken • Verkeersscheiding • Beveiliging • Authenticatie & Autorisatie • Conclusie: Op zoek naar een generieke (lees: middleware) oplossing voor het authenticatie en autorisatie probleem

Uitgangspunten • Unieke identificatie van gebruiker aan de rand van het netwerk • Eenvoud • Beheerbaar • Laagdrempelig voor gebruiker • Schaalbaar • Gebruik bestaande infrastructuur • Centrale administratie van gebruikers per instelling • Gastgebruik moet eenvoudig mogelijk zijn • Lokale authenticatie bij thuisinstelling • Mogelijkheid voor verschillende authenticatie-mechanismen • Daarna moet de gebruiker open connectiviteit krijgen (publiek IP adres, geen NAT, geen firewall), waarbij de data op de draadloze link versleuteld kan worden

Mogelijke oplossingen • Open netwerk • Open netwerk + MAC-authenticatie • WEP (draadloos) • Open netwerk + VPN-gateway • Open netwerk + web gateway • IEEE 802.1X Niet beschouwd: LEAP (Cisco proprietary), PPPoE (niet breed gedeployed)

1. Open netwerk • Geeft open ethernet connectiviteit, IP-address via DHCP • Geen client software nodig (DHCP is alom aanwezig) • Access control is moeilijk • Network is open (sniffing eenvoudig, elke client en server op het LAN is bereikbaar)

2. Open netwerk + MAC authenticatie • Zelfde als 1, maar het MAC-address van de netwerkkaart wordt geverifieerd • Administratie MAC addressen nodig • MAC addressen kunnen relatief eenvoudig gespoofed worden • Gast gebruik erg lastig

3. WEP (wireless) • Laag 2 encryptie tussen Client en Access Point • Client moet (statische) WEP-key weten • Operationele nachtmerrie bij wijzigen keys • Sommige WEP-keys zijn erg makkelijk te kraken (sommige iets minder) • Niet veilig

4. Open netwerk + VPN Gateway • Open (onveilig) besloten netwerk, client moet authenticeren op een IP VPN-concentrator om buiten het besloten netwerk te komen • Client software nodig • Leveranciers-specifiek • Schaalt slecht • VPN-concentrators zijn duur • Gastgebruik erg lastig • Bij gastgebruik toch nog een extra VPN nodig

5. Open netwerk + web gateway • Open (besloten) netwerk, een gateway tussen (W)LAN en de rest van het netwerk onderschept alle verkeer (session intercept) • Gast toegang eenvoudig • Browser noodzakelijk • Lastig veilig te maken

6. IEEE 802.1X • Echte toegangsoplossing (Laag 2) tussen client en AP/switch • Verschillende authenticatie-mechanismes mogelijk (EAP-MD5, EAP-TLS, EAP-TTLS, PEAP) • Uitbreidbaar • Gestandaardiseerd • Encrypt alle data • RADIUS back end: • Schaalbaar • Hergebruik bestaande trust-relaties • Client software nodig (3d party of ingebouwd)

Evaluatie 802.1X • Unieke identificatie van gebruiker aan de rand van het netwerk • Eenvoud • Beheerbaar • Laagdrempelig voor gebruiker => SecureW2 • Schaalbaar • Gebruik bestaande infrastructuur • Centrale administratie van gebruikers per instelling • Gastgebruik moet eenvoudig mogelijk zijn • Lokale authenticatie bij thuisinstelling • Mogelijkheid voor verschillende authenticatie-mechanismen • Daarna moet de gebruiker open connectiviteit krijgen (publiek IP adres, geen NAT, geen firewall), waarbij de data op de draadloze link versleuteld kan worden

Maar welk EAP-type? • MD5, MS-CHAPv2: zwak • TLS : sterk maar vereist client en server certificaat, en dus PKI • TTLS: sterk: tunnel, daarbinnen authenticatie • PEAP: sterk: tunnel, daarbinnen authenticatie, problemen Cisco <-> MS • SIM : semi-sterk maar nog niet wijdverbreid

Huidige status • UT, HvA 1X in productie • UvA, UvT, TUD, RUG in testfase • Meeste anderen in evaluatiefase • Op basis van EAP-TTLS met SecureW2 of TLS • Contract met publieke WLAN operator getekend (publieke hotspots in aantal steden op basis van 1X voor de hele SURFnet doelgroep) i.h.k.v. Freeband • In Europees verband moet de knoop nog worden doorgehakt i.h.k.v TERENA TF-Mobility

De toekomst • 802.11x • Nieuwe EAP typen • WPA (pre standard 802.11i, TKIP) • 802.11i: 802.1x + eerst TKIP, later AES • Applicatie Integratie met A-Select

A-Select • Apache • IIS • Blackboard • Citrix • Mobac • Niegebach • 802.1X???? (geen web!)

Conclusie • 802.1X is beschikbaar • 802.1X werkt • 802.1X is schaalbaar • 802.1X is veilig • 802.1X is uitbreidbaar • 802.1X maakt gastgebruik mogelijk • 802.1X is de toekomst • Dus SURFnet kiest voor…..

Meer informatie • http://www.surfnet.nl/innovatie/wlan • http://aselect.surfnet.nl

SURFnet en IEEE 802.1X