Eduroamと日本への導入
2006.10.5
東北大学 情報シナジーセンター
今井 哲郎
1

Eduroamとは• TERENA Taskforce on Mobilityが規定した
国際ローミング基盤• ヨーロッパ全域・豪州，台湾などに広く普及しているデファクトスタンダード• 基本はIEEE802.1X＋RADIUSプロキシツ
リー2Eduroamの普及

www.eduroam.orgより引用

3

Eduroam策定の経緯
TERENAではEduroamのための技術的候補として以下の3つの手法をピックアップした．
• Webベース＋RADIUS認証• VPNベースの認証• IEEE802.1Xベースの＋RADIUS認証
これらは以下の特徴を持つ．
• Web: scalable, not secure, already deployed• VPN: not scalable, secure, already deployed• IEEE802.1X: scalable, secure, new
以上のことから，TERENAではIEEE802.1Xベースの認証方式をとることになった．
4

Eduroamの仕組み• IEEE802.1X– LANスイッチや無線アクセスポイント(AP)でユーザを認証するための仕組み

端末(サプリカント)

LANスイッチ，AP(オーセンティケータ)RADIUSサーバ(認証サーバ)5

Eduroamの仕組み• IEEE802.1X– 認証の方式は5種類• EAP-MD5• LEAP• EAP-TLS• EAP-TTLS• PEAP– EduroamではEAP-TTLSが推奨

6

Eduroamの仕組み• EAP-TTLS– 端末側はID・パスワード認証– 認証サーバはサーバ証明書をインストール– 端末にサプリカントソフトウェアが必要④暗号化

端末(サプリカント)②ID,PWを投入③相互認証

LANスイッチ，AP(オーセンティケータ)RADIUSサーバ(認証サーバ)CA(認証局)①サーバ証明書をインストール 7

Eduroamの仕組み• RADIUSプロキシツリー
アジア大洋州 RADIUS
Proxy server

JP National RADIUS
Proxy server

東北大学
RADIUS server

北海道大学
RADIUS server

other countries…

other institutes…

ユーザIDにレルム情報を付与する．
各プロキシはそのレルム情報を見て当該のサーバに転送する．
8

Eduroamの仕組み• ユーザが自分のホームにいるとき
アジア大洋州 RADIUS
Proxy server

JP National RADIUS
Proxy server

東北大学
RADIUS server

北海道大学
RADIUS server

ID:imai@isc.tohoku.ac.jp
PW:*****

other countries…

other institutes…

9

Eduroamの仕組み• ユーザがほかの大学にいるとき
アジア大洋州 RADIUS
Proxy server

JP National RADIUS
Proxy server

東北大学
RADIUS server

北海道大学
RADIUS server

other countries…

other institutes…

ID:imai@isc.tohoku.ac.jp
PW:*****

10

Eduroamの仕組み• ユーザがほかの国にいるとき
アジア大洋州 RADIUS
Proxy server

JP National RADIUS
Proxy server

東北大学
RADIUS server北海道大学
RADIUS server

other countries…

other institutes…

ID:imai@isc.tohoku.ac.jp
PW:*****
11

Eduroam
Organization A
Clientsupplicant
S/W

Organization B
Authenticator(AP or SW)

RADIUS server
Organization A

User
DB

RADIUS server
Organization B

User
DB

Guest
imai@Organization_b.jp

Internetdata
signaling

National RADIUS
Proxy server※ユーザIDのレルム名にはDNSドメイン名と同じ文字列を使うことを推奨

12

Eduroamの日本への導入• 東北大情報シナジーセンターが先行導入• 北大を始め九大，京大，NIIの5機関に先行して展開予定• 参加に関しては，追って情報をeduroam.jpのWebsiteにUP13

http://www.eduroam.jp/

14FreeRadiusの設定上の注意(ループの回避)• 各機関以下のRADIUSサーバの設定によっては，JPサーバとの間にループが発生する可能性があります．
JP National RADIUS
Proxy server

東北大学
RADIUS server*.tohoku.ac.jpは全て東北大学
RADIUS serverへ*.tohoku.ac.jpに関する記述なし＋
デフォルトでJPサーバへ転送※各機関は必ずproxy.confに自分のドメインは自分で処理する旨の記述を加えてください15トレーサビリティに関する問題
visitor

ホーム
機関
ホスト機関のIPアドレスを利用することはその機関のメンバとして扱われることを意味する
自分のホームのリソー
スにアクセスできない

ホスト機関

ホストIPアドレス

TheInternet

不正アクセスもしホスト機関のIPアドレスをつけた訪問者が不正アクセスをしたら，責任はホスト機関に降りかかる

16トレーサビリティ：ケーススタディ1
A大学では電子ジャーナルXを購読していないが，隣のB大学は購読している．そこでA大学の学生はB大学に行き，無線LANローミングを使って電子ジャーナルXをダウンロードした．ところが少し多目にダウンロードしたので，出版社はライセンス違反と判断してB大学に苦情を送った．
B大学はローミングのログを解析し，A大学に連絡の上，共同で当事者を捜索．

膨大な人的コストを費やされる．
学内の部局間でさえこのようなユーザ追跡は困難．
ましてや大学間では無理．(外国ならなおさら)．
17トレーサビリティ：ケーススタディ2
大学には多くの内部向けウェブサイトなどのリソースがあり，これらは一般に外部から閲覧されないよ
うにアクセス制限がかけられている．A大学の職員がB大学でローミング機能を利用すると，B大学の内部情報を見ることができた．

ウェブサーバの管理者がログを見ても，学内のIPアドレスを利用しているので，部外者のアクセスにはなかなか気づかない．

ホームのIPアドレスを利用させるべき(ただし，ローカルのリソースへアクセスする方法として出先のIPアドレスを使う方式も検討中)
18

日本向けのEduroam運用(提案)Client Host
supplicant
Organization
S/W

ClientHome
supplicant
Organization S/W

After
authentication at
認証後にはホームのAP,a user access
VPNサーバにアクセス
VPN
server and go (各してVPNを確立する
outside.
(Useパケットとa home
FWではVPNIPaddress)
VPN
確立要求パケットのみ透過させる.)

AP
FW

FW
FW
Local
Resources

VPN

RADIUSTheInternet

AP
FW
FW
RADIUS

VPN

FW
Local
Resources
19

議論• Eduroamのコミュニティでは，VPNを利用した認証方式はスケーラブルでないとしている．
• 同様のことがVPN限定の方式にも言えるのではないか？

20

議論• VPN方式がスケーラブルでないとしたのは，FWで透過させる全てのIPアドレスを設定する必要があり，VPN方式ではこのリストが全ヨーロッパで数千にもおよぶからであるとされる．
FWにはポート番号(プロトコル番号)のみを記述することで，この問題をクリア※世界中のVPNサーバにパケットが送れてしまうが，セキュリティ的には問題なし

21

まとめ
• Eduroamの紹介• 日本への導入• トレーサビリティの問題などを指摘• 日本向けのEduroam運用の紹介

22