Archivo

Archivo del autor

Tutorial durante los GT2015: Uniéndose a SIR2

Martes, 12 de Mayo de 2015 Comentarios desactivados

El 11 de junio de 2015 se celebrará, en horario de 9:30 a 14:00, un tutorial –o manos en la masa, como nos gusta llamarlo–, que tiene como objetivo explicar las novedades de SIR2, así como la realización de distintos ejercicios prácticos donde se pondrá especial énfasis en la instalación del software usado como IdP de Referencia, SimpleSAMLphp.

El tutorial se dividirá en los siguientes módulos:

  1. Introducción a la federación de identidades
  2. El proveedor de identidad
  3. Proveedores de Servicio
  4. Atributos
  5. “Burocracia” para unirse a SIR2
  6. Interfederación: eduGAIN

El tutorial tendrá un número de plazas limitado, que se asignarán por orden de registro en los grupos de trabajo, limitando a un máximo de dos personas por organización. Con antelación a la fecha de cierre del registro se confirmará la obtención de plaza, o si por el contrario la persona está en lista de espera.

Para la parte práctica, será necesario llevar un ordenador portátil o similar, con un cliente SSH instalado que se utilizará para conectarse a una máquina donde se realizarán las prácticas.

Para aquellas personas que prefieran trabajar sobre su propia máquina, se proporcionará una máquina virtual en la que se podrán realizar las mismas prácticas.

 

Categories: Información general, SIR 2 Tags:

La importancia de la seguridad ofrecida por eduroam

Viernes, 22 de Marzo de 2013 Comentarios desactivados
Network unlocked by CyberHades @ flickr

Network unlocked by CyberHades

Habitualmente nos paramos poco a pensar en la seguridad a la hora de conectarnos y, cada vez más, asumimos que la red simplemente está ahí, como la luz, o el agua del grifo, y que estamos tan seguros al conectarnos en cualquier sitio como lo estamos bebiendo un vaso de agua del grifo.  Puede que accediendo mediante cable nos sintamos seguros, y que, con el advenimiento de las tecnologías que permiten el acceso móvil (no ya sólo Wi-Fi, aunque en este artículo nos centraremos en eduroam) hayamos asumido que el nivel de seguridad es equivalente al de usar cable. Pero esto no es así, o mejor dicho, no siempre debemos confiar que va a ser así. De hecho, incluso el acceso mediante una conexión cableada tiene sus implicaciones de seguridad: por ejemplo, si tenemos una roseta de red a la que nos conectamos habitualmente, es posible que alguien en nuestra ausencia pueda usarla si el acceso a esta no está protegido.

eduroam se ha definido siempre como una red segura, sin pararnos muchas veces a explicar qué significa esta afirmación. Este artículo pretende clarificar una serie de aspectos relativos a la seguridad en eduroam. No entraremos, aunque lo menciono aquí de paso, en el hecho de que eduroam no sólo puede ser usada para conexiones inalámbricas: también puede usarse en redes cableadas.

Seguridad en el cifrado de la red inalámbrica

El cifrado de la red inalámbrica sirve para que la comunicación entre nuestro dispositivo móvil y el punto de acceso al que nos conectamos no pueda ser interceptada por otro usuario malintencionado que pueda leer lo que transmitimos.

Habitualmente en las redes inalámbricas de nuestros hogares conviven el acceso usando WEP (una muy mala opción en la actualidad), y WPA (o WPA2) Personal, ambos basados en esquemas de clave compartida. El primero de estos se considera ya bastante inseguro y fácil de romper, mientras que WPA2 también tienen ataques conocidos cuando implementan el estándar WPS.

En eduroam se utiliza el modo Enterprise de WPA, la ventaja con respecto a los modos Personal es que no hay una clave única que pueda ser descifrada: las claves se generan después de que se ha verificado que el usuario se ha autenticado correctamente.

Por otro lado, el estándar mínimo de cifrado en eduroam hasta ahora era WPA/TKIP, si bien desde comienzos de este año, por obligación en la política europea de eduroam, es WPA2/AES… ¿el motivo?, aun siendo generadas las claves a partir de la autenticación (y por tanto únicas para un usuario y conexión), ya existen ataques a WPA/TKIP que podrían dar con la clave que se utiliza para cifrar la comunicación entre el usuario (su dispositivo inalámbrico), y el punto de acceso al que se conecta. Por otro lado, a partir de esta fecha desaparece también en el proceso de certificación de la Wireless Alliance el soporte obligatorio de WPA/TKIP por parte de los fabricantes (es decir, ya es posible certificar productos que no incluyan WPA/TKIP).

Seguridad en la entrega de las credenciales a nuestra institución

Quiero dejar claro primero de todo, que mientras el usuario no se ha autenticado -y para ello se usa el cifrado del que hablaremos a continuación-, no se obtendrán las claves de cifrado que nuestro cliente utilizará para cifrar la comunicación con el punto de acceso… ¿qué quiere decir esto? ¿significa que pueden interceptarse las credenciales del usuario en una fase previa a la asociación con el punto de acceso?

Precisamente no. Y precisamente en ello radica la importancia del uso de certificados en eduroam y la comprobación del emisor de los mismos.

La conexión entre el cliente y el servidor que autenticará a la red hace uso también de criptografía, generalmente utilizando algún método tunelado como EAP-TTLS o PEAP, y es muy importante que el cliente verifique que está hablando con el servidor de su organización y no con cualquier otro servidor que intentara suplantarlo. En concreto, no sólo es importante que el cliente conozca quién firma el certificado de su servidor, sino también que valide el asunto del certificado de su servidor (generalmente el nombre del servidor, p. ej.: radius.rediris.es), sobre todo si la autoridad de certificación es “conocida” (nos referimos a una autoridad que esté reconocida por la mayoría de clientes). De no hacerlo de esta manera podríamos estar creando un túnel entre el cliente y cualquier otro servidor cuyo certificado esté firmado por la misma raíz de confianza que el nuestro; es decir, estaríamos estableciendo un túnel seguro, sí, pero podríamos estar entregando las credenciales a cualquier otro servidor que no es el de nuestra institución.

Problemas asociados con la validación del certificado

Todo lo anteriormente dicho es muy bonito, pero no siempre podremos hacerlo… ¿el motivo? implementaciones deficientes por parte de los clientes. Para muestra dos botones:

  • Android. Incluso en versiones recientes no incluye la posibilidad de validar el asunto del servidor: sólo podremos validar la autoridad de certificación, es decir, nos protege a medias.
  • Linux/NetworkManager. Mismo caso que Android. Hasta versiones recientes de los interfaces gráficos que hacen uso de NetworkManager no se ha incorporado la validación del asunto.

En ambos casos resulta paradójico que en realidad lo que falla es cierta funcionalidad en la interfaz gráfica de usuario. Curiosamente en los dos casos mencionados las plataformas (ambas con kernel Linux) hacen uso de la herramienta wpa_supplicant, que sí soporta la validación del asunto del certificado de servidor.

¿es mejor un certificado autofirmado o uno firmado por una autoridad conocida?

Un certificado autofirmado (o firmado por una autoridad de certificación propia) presenta el problema de su distribución; habrá que distribuirlo a todos los clientes; como ventaja, si se controla la autoridad de certificación, podría llegar a prescindirse de la validación del asunto del certificado. Por el contrario, una autoridad de certificación conocida ofrece la ventaja de que ya está distribuida “de serie” en muchos clientes, mientras que como pega, nos obliga a realizar una validación del asunto del certificado del servidor.

En RedIRIS opinamos que es mejor la segunda opción, pues la tarea de instalar certificados suele ser más difícil para el usuario en algunas plataformas. Por otro lado, si la institución proporciona un kit de instalación, tanto la instalación del certificado como su verificación se pueden realizar perfectamente desde dicho kit de instalación. Muchas organizaciones que han optado por esta opción usan los certificados emitidos a través del servicio SCS de RedIRIS, que utiliza una raíz de certificación conocida como es Addtrust External CA Root.

¿merece la pena tanta seguridad?

Queremos pensar que sí. Hay partidarios de la facilidad de uso en contraposición a la seguridad, pero creemos que el nivel de seguridad aportado por eduroam es una cualidad que los usuarios apreciarán, pues protege sus comunicaciones. Por otro lado el administrador de la red también necesita de esa seguridad para saber que quien se conecta a la misma lo hace con legitimidad.

¿y que hay de los tipos de autenticación?

Los dos métodos más usados en eduroam, PEAP (generalmente utilizado en combinación con MSCHAPv2), y EAP-TTLS (usado habitualmente junto con PAP), protegen las credenciales, pues crean un túnel entre el cliente y el servidor, de la manera mencionada anteriormente. La principal ventaja de estos métodos es la privacidad que puede ofrecer al usuario, puesto que en la denominada identidad externa no es necesario consignar el nombre real del usuario, sólo la institución a la que pertenece.

EAP-TLS es usado también por algunas instituciones en eduroam. Tiene la ventaja de estar soportado en muchas plataformas, pero tiene el inconveniente de que hay que generar certificados para todos los clientes, y se pierde en privacidad, salvo si el certificado de cliente ya la incorpora. Por otro lado, EAP TLS es más susceptible de verse afectado por problemas de fragmentación de paquetes.

¿no se prevee en el horizonte algo más sencillo que esto para el usuario final?

Respuesta corta, sí. Respuesta larga:

  • En lo que respecta al cifrado en la red, la desaparición gradual de cualquier tipo de cifrado anterior a WPA2/AES, tanto en equipamiento de red como en hardware cliente, supondrá también la eliminación del problema que teníamos hasta ahora con la convivencia de WPA/TKIP y WPA2/AES (¡y de las minoritarias combinaciones WPA/AES y WPA2/TKIP!).
  • Algunos estándares como EAP-PWD parecen bastante prometedores. Se utiliza criptografía fuerte para proteger las comunicaciones entre cliente y servidor, pero en ningún momento las credenciales viajan entre el equipo que se autentica y el de su institución.
  • Por otro lado, cada vez podemos ver más esfuerzos de los fabricantes de software/hardware por soportar más esquemas de autenticación. Como ejemplo citamos a Microsoft, que en Windows 8 ha introducido el soporte de EAP-TTLS.
¿la complejidad viene por dar soporte a estas características de seguridad?

No es lo único que influye. Determinados sistemas operativos ofrecen una API de provisioning, permitiendo que la institución pueda ofrecer una instalación sencilla para el usuario, donde éste sólo tendrá que introducir su usuario y contraseña. Otras plataformas sin embargo no lo hacen, y es necesario crear instaladores o proporcionar instrucciones de configuración que, lo sabemos, pueden llegar a ser difíciles de seguir .

Desde eduroam en Europa se ha estado desarrollando en los últimos años eduroam CAT, herramienta de la que hablaremos en nuestro próximo artículo, y que permite a los administradores de eduroam generar facilmente perfiles de configuración e instaladores de eduroam que facilitan la labor de configuración a los usuarios.

Categories: Información general, Seguridad Tags:

eduroam cumple 10 años

Miércoles, 30 de Mayo de 2012 Comentarios desactivados

Tal día como hoy, hace diez años, Klaas Wierenga envió el siguiente mensaje a la lista mobility, en la que se coordinaba la, por aquel entonces, TF-mobility, (hoy TF-MnM) de Terena:

Subject: proposal for inter NREN roaming
From: Klaas Wierenga
Date: Thu, 30 May 2002 12:46:43 +0200

Dear all,

As promised at the mobility workshop a proposal for an inter-NREN wireless LAN
roaming test. Based on some investigation we have done in the Netherlands we
propose to experiment with the 802.1x standard as that seems the most likely
candidate for inter-NREN roaming since it gets a lot of industry attention and
scales relatively easy.

I'm looking forward to hear your comments or better ideas.

Cheers,

Klaas

 

Esta fecha ha sido elegida como la del nacimiento de eduroam, y hoy, 10 años más tarde, hacemos balance de lo que ha sido, e intentamos imaginar lo que será eduroam en los próximos años.

Breve historia de eduroam en España

Para comenzar, la iniciativa en España se presentó en las Jornadas Técnicas de RedIRIS de 2003,

Mapa de eduroam en 2006

Organizaciones participantes en la iniciativa en el año 2006

celebradas en Palma de Mallorca. Los primeros mensajes en la lista de coordinación, MovIRIS, se mandan en la primavera de 2004. Entre las primeras organizaciones participantes al comienzo podemos encontrar a  CESCA, CSIC, UAB, UC3M, UCLM, UDC, UGR, UM, UNIZAR, y UPM. Poco después la iniciativa pasaría a llamarse oficialmente eduroam. El dominio eduroam.es data de comienzos de 2005.

En los años posteriores eduroam se irá consolidando y se van uniendo más organizaciones a la iniciativa. Desde CICA, CESGA y CESCA se establecen proxies regionales que aglutinan el roaming dentro de las organizaciones en sus respectivas regiones. Asimismo, de la mano del CSIC se adhieren numerosos centros. La iniciativa  consigue sin embargo su mayor impulso gracias al programa Campus en Red, lanzado desde red.es en 2005. Las universidades que se unen a esta iniciativa gracias a este programa hacen que el número crezca hasta casi 100 miembros adheridos en España.

A la fecha de escribir este artículo, son un total de 119 las organizaciones unidas a eduroam en España, y el número de usuarios ha crecido hasta situarse en cifras de varios millones de autenticaciones válidas de usuarios en roaming contadas desde los proxies de eduroam en RedIRIS.

En la actualidad RedIRIS sigue participando en los foros desde los que se opera eduroam y se decide sobre su futuro.

El día de mañana de la movilidad académica

No nos andaremos con rodeos: el crecimiento exponencial que ha tenido la iniciativa a lo largo de estos años no está exento de dificultades. Por un lado la estructura jerárquica ha provocado que surgieran incidencias puntuales de escalabilidad. Por otro lado, la popularización del servicio ha venido unida a una explosión de las redes inalámbricas y de todo tipo de dispositivos móviles, que en algunos casos hacen que las redes  no den abasto con la demanda por parte de los usuarios. Unida a esta contrariedad, está la complejidad de tener que dar soporte a las distintas plataformas y estándares que han surgido.

Mapa de localizaciones eduroam en todo el mundo

Mapa mundial de localizaciones eduroam

Pero no queremos con el anterior párrafo dejar un mal sabor de boca al lector de este artículo. Al contrario, estos problemas son reconocidos y han sido solucionados o paliados, o están en vías de hacerlo:

  • El modelo jerárquico actual va a evolucionar en los próximos años a un modelo distribuido, gracias a nuevos estándares que se han desarrollado en los últimos años, y que comienzan a funcionar en el núcleo actual de eduroam.
  • Por otro lado, en el plano de la usabilidad, se está trabajando en la creación de instaladores para los usuarios, y de distintas herramientas que faciliten la labor de los administradores.
  • La saturación de las redes inalámbricas es quizá el asunto más preocupante en el momento en el que vivimos. Desgraciadamente la solución a este problema pasa en muchos casos por la renovación de infraestructuras, si bien la optimización de los recursos existentes puede ayudar a aliviar esta saturación.

Mirando aún más lejos en el futuro, eduroam puede y debe seguir jugando un papel esencial en la movilidad académica. La convergencia con redes de 4ª generación, o la aparición de nuevos estándares que facilitarán el roaming con otros operadores prometen que eduroam, aunque siga evolucionando, siga siendo el estándar de facto en la movilidad académica.

Desde RedIRIS queremos agradecer a todas las organizaciones que habéis participado en la iniciativa, y habéis compartido vuestros problemas y conocimiento con el resto de la comunidad. eduroam no sería posible sin el trabajo de muchos técnicos que estáis detrás en las organizaciones, que facilitáis día a día que un usuario os visite, abra el portátil y ¡esté conectado!.

 

 

Abierto el registro del III Foro de Movilidad y II Foro de Identidad de RedIRIS

Viernes, 16 de Septiembre de 2011 Comentarios desactivados

Los días 5 y 6 de octubre de 2011, con la colaboración de la Universidad de Castilla-La Mancha (UCLM), se celebrará en Cuenca y de manera conjunta la tercera edición del Foro de Movilidad y la segunda del Foro de Identidad de RedIRIS. Los encuentros se llevarán a cabo en la Sala de Grados del edificio Gil de Albornoz, sede de la Facultad de Ciencias Sociales de la UCLM.

En la primera jornada se celebrará el III Foro de Movilidad, que se centrará en temáticas de monitorización de red y servicios, análisis y correlación de logs, gestión de invitados e identidad multinivel; y el día 6 de octubre, se llevará a cabo el II Foro de Identidad, que tendrá como temas principales: Esquema Nacional de Interoperabilidad, sistemas de autenticación centrados en el usuario, constitución de federaciones ad-hoc, uso del DNI-e y otras fuentes de identidad, así como un repaso a las buenas costumbres en sistemas de identidad digital. Se pueden consultar las sesiones de los Foros en el programa.

Las personas interesadas en asistir a uno o a ambos Foros, tienen de plazo hasta el 27 de septiembre para inscribirse por medio del PER de su institución. En el caso de que al intentar cursar la petición surja algún problema con las contraseñas, está a vuestra disposición el buzón conferencias@rediris.es para ayudaros a solucionarlo.

Acceso al registro

Más información sobre los Foros

Categories: Información general Tags:

Foro de movilidad 2010

Martes, 26 de Octubre de 2010 Comentarios desactivados

La semana pasada RedIRIS organizó, en colaboración con el Consejo Superior de Investigaciones Científicas, el Foro de movilidad 2010, un encuentro que reunió a expertos y técnicos para tratar distintos temas relacionados con la movilidad. Este foro es continuación del anterior foro de WiFi celebrado en 2008 en la Universitat Pompeu Fabra, queriendo en esta edición cubrir nuevos temas no relacionados estrictamente con las redes inalámbricas, pero de interés en la comunidad académica.

En el foro hemos podido contar con ponencias que abarcaban temas como el uso de tecnologías inalámbricas en la salud (Victoria Ramos, ISCIII) o en medio el campo en una reserva natural (Ramón Soriguer, Estación Biológica de Doñana). También supimos de desarrollos actuales para llevar la conectividad eduroam a las redes inalámbricas en varias ciudades (José Antonio Valero, UNIZAR y Josu Aramberri, I2BASQUE), o para implantar voz sobre IP sobre una red inalámbrica (Pedro Pemau, CBMSO). También vimos algunos consejos para desplegar redes inalámbricas para alta densidad de usuarios (Carlos Vázquez, Aruba Networks), o de cara a realizar un despliegue de una red inalámbrica con garantías de seguridad para sus usuarios (Toni Pérez, UIB). Nos quedó tiempo en una última sesión para conocer cómo se había dado conectividad en un gran congreso y como se había llevado eduroam incluso a autobuses (Vicente Giles y Victoriano Giralt, UMA). Tuvimos la suerte de poder conocer de primera mano los nuevos estándares que darán soporte a eduroam en un futuro próximo (Stefan Winter, RESTENA Foundation y lider de la tarea JRA3-T1 en GEANT3), y nos fascinamos con las aplicaciones sociales que pueden tener las redes inalámbricas sin comprometer para nada la privacidad de los usuarios de las mismas.

Os dejamos con algunas fotografías gentileza de Victor Castelo, y con las presentaciones del foro (nos faltan aún un par de ellas que estamos pendientes de colgar) por si no pudiste pasarte.

Atualización: Fabien Girardin, de lifLab, y coautor de los trabajos presentados por Josep Blat, ha creado una entrada en su blog enlazando a la presentación y haciendo referencia al foro.