Eduroam változások- fejlesztések, fejlődésekMohácsi János NIIF Intézet
HBONE Workshop 2015

eduroam Nemzeti
modellInformációs Infrastruktúra
Fejlesztési Intézet

eduroam változások HBONE WS2015

Információs
Infrastruktúra
EduroamNemzeti
elterjedtség-2013
Fejlesztési Intézet

eduroam változások HBONE WS2015

Információs
Infrastruktúra
EduroamNemzeti
elterjedtség– csakEurópa-2015
Fejlesztési Intézet

Forrás: monitor.eduroam.org
eduroam változások HBONE WS2015

Információs
Infrastruktúra
EduroamNemzeti
elterjedtség– csakMagyarország-2015
Fejlesztési Intézet• Hamarosan több mint 300 eduroam SPhelyszín – kész csak nincsen az eduroamadatbázisba felvéve§ ~ 300 Sulinetes iskola
q NIIF által menedzselt eduroam SP (AP) és eduroam

IdP (Radius+felhasználói adatbázis)q Intézmény felelős a felhasználói adatbázis
frissentartásáért – felhasználó menedzsment a
dashboardba integrálva – tömeges felhasználó
kezeléssel -> eduID - (FeaaS)
q Felügyelt Wifi + eduID szolgáltatás• Hamarosan további ~ 1000 helyszín
eduroam változások HBONE WS2015

Információs
Infrastruktúra
EduroamNemzeti
elterjedtség– csakMagyarország-2015
Fejlesztési Intézet• Hamarosan több mint 300 eduroam SPhelyszín – kész csak nincsen az eduroam
adatbázisba felvéve§ ~ 300 Sulinetes iskola
q NIIF által menedzselt eduroam SP (AP) és eduroam

IdP (Radius+felhasználói adatbázis)q Intézmény felelős a felhasználói adatbázis
frissentartásáért – felhasználó menedzsment a
dashboardba integrálva – tömeges felhasználó
kezeléssel -> eduID - (FeaaS)
q Felügyelt Wifi + eduID szolgáltatás• Hamarosan további ~ 1000 helyszín
eduroam változások HBONE WS2015

Információs
Infrastruktúra
EduroamNemzeti
fejlesztések– eduroam
CATFejlesztési Intézet• Egyszer jól be kell állítani, utána működik§ Milyen CA? EAP? szervertanúsítvány?

• Megoldás: eduroam CAT§ Egyszerűsített automatikus kliens installáció§ Intézmény specifikus információk elérhetők(logó, AUP, stb.)§ Aláírt installer• http://cat.eduroam.org• Magyarítás kliens oldalon kész
• 13 intézmény a 34 eduroam tagból
eduroam változások HBONE WS2015

Információs
Infrastruktúra
EduroamNemzeti
fejlesztések– eduroam
CATFejlesztési Intézet• Egyszer jól be kell állítani, utána működik§ Milyen CA? EAP? szervertanúsítvány?

• Megoldás: eduroam CAT§ Egyszerűsített automatikus kliens installáció§ Intézmény specifikus információk elérhetők(logó, AUP, stb.)§ Aláírt installer• http://cat.eduroam.org• Magyarítás kliens oldalon kész

eduroam változások HBONE WS2015

Nemzeti
Infrastruktúra
eduroamCAT– Információs
Android támogatás
Fejlesztési Intézet

eduroam CAT: Configuration Assistance Tool
§ Felhasználó letölti az IdP-re jellemző speciális
konfiguráló eszközt• Probléma: Android Play Store alkalmazás modell§ Android alkalmazásokat csak valamilyen alkalmazás
boltból lehet egyszerűen telepíteni
§ Alkalmazás bolt (Play Store), de nem volna célszerűezernyi hasonló alkalmazás§ Egy eduroam CAT app amely testre szabható minden
IdP-reeduroam változások HBONE WS2015

EduroamNemzeti
CAT –Információs
AndroidInfrastruktúra
támogatás /2Fejlesztési Intézet• Megoldás: EAPConfig file
§ Szabványosított formátum EAP konfigurációs
információk terítésére
§ IETF Internet Draft, GEANT SENSE OpenCall§ XML formátum, amelyet az app detektál és feldolgoz• EAPConfig tartalmazza:
q IdP információk (tanúsítvány etc)
q EAP metódus információk
q Helpdesk / támogatási információk

• App – Andorid 4.3+
https://play.google.com/store/apps/details?id=uk.ac.swansea.eduroamcat• Android – csak akkor biztonságos, haprivát CA-t használ az IdP
eduroam változások HBONE WS2015

EduroamNemzeti
CAT –Információs
AndroidInfrastruktúra
támogatás /3
Fejlesztési Intézet

eduroam változások HBONE WS2015

Nemzeti
eduroamCAT– Információs
WindowsInfrastruktúra
támogatás
Fejlesztési Intézet• Windows XP – kikerült!
• Windows Vista és Windows 7 nemtámogatja az EAP/TTLS-t§ Korábban a CAT-ben SecureW2 – GPL változat
q Jogi problémák§ Arneslink – GPL
q Jelenleg sajnos tartalmaz SecureW2 kódot (<20%)
q Következő változat – mikor?

• Windows Phone 8.x – csak akkor
biztonságos, ha privát CA-t használ az IdP

eduroam változások HBONE WS2015

Információs Infrastruktúra
EllenörzőNemzeti
eszközök
Fejlesztési Intézet• EAPlab – https://eaplab.supplicants.net§ GEANT projekt SENSE OpenCalleredménye§ EAP teszt környezet eszközök,supplicant tesztelésére

• eduroam CAT (1.1) RADIUStesztek§ eduroam CAT adminisztrációs
interfészének része§ Alapvető radius szerver
konfigurációs hibákat képes jelezni

13

eduroam változások HBONE WS2015

EAPlabNemzeti Információs Infrastruktúra
Fejlesztési Intézet• one proxy server at the front• server routes packets to back-end servers• routing is realm-based and is directed by the UI and theEAPlab database
14

eduroam változások HBONE WS2015

Nemzeti
Információs
CAT RADIUS
tests – test
through the Infrastruktúra
eduroam infrastructureFejlesztési Intézet• connection tests arerun from theeduroam rootservers• fake user credentials
are used• server-provided
information, mainlycertificate
information is
studied andcompared against
the CAT profile
settings• many certificate
imperfections can be
spotted15

eduroam változások HBONE WS2015

Információs
Infrastruktúra
Eduroam,Nemzeti
TLS 1.2
és egyebek
Fejlesztési Intézet• Mi az a TLS 1.2?
§ RFC5246
q TLS 1.1 + MD5/SHA1 -> SHA256
q Jobb hash és aláírási algoritmus választás
q AES GCM és CCM mód titkosítás és javított CBC mód• Kliensek haladnak a korral – megkövetelik a TLS
1.2-őt§ wpa_supplicant2.4 - default beállítás - Linux§ Android 6.0 (Marshmallow)§ IOS 9 beta és OS X El Captain beta – a végleges márnem
§ Windows 10 phone?

• IOS 9 megköveteli a >1024 DH kulcsot
eduroam változások HBONE WS2015

Infrastruktúra
EduroamNemzeti
és TLSInformációs
1.2
Fejlesztési Intézet• Miért baj, ha erős a biztonság?
§ A radius IdP-nek is támogatnia kell a TLS 1.2-őt!
q FreeRADIUS2– <2.2.6 - nincsen TLS1.2 egyeztetés -> támogatás– 2.2.6 and 2.2.7 – van TLS1.2 egyeztetés de nincsentámogatás– 2.2.9 vagy 2.2.10 (openssl 1.0.2) – jól működő
q FreeRADIUS3– <3.0.6 - nincsen TLS1.2 egyeztetés -> támogatás– 3.0.6 – 3.0.9 – van TLS1.2 egyeztetés de nincsen támogatás– 3.0.10 vagy 3.0.10 (openssl 1.0.2) – jól működőq Microsoft NPS– https://technet.microsoft.com/en-us/library/security/2977292.aspx andhttps://support.microsoft.com/en-us/kb/2977292

eduroam változások HBONE WS2015

Köszönöm a figyelmet!
Kérdések? eduroam@niif.hu