Geräte Zugang Eduroam. Guido Bunsen Andreas Schreiber

Größe: px

Ab Seite anzeigen:

Download "Geräte Zugang Eduroam. Guido Bunsen Andreas Schreiber"

Dörte Weiß
vor 5 Jahren
Abrufe

1 Geräte Zugang Eduroam Guido Bunsen Andreas Schreiber

2 Anforderungen und unerfüllbare Wünsche Das schützenswerte Gut sind die Daten des Nutzers und die Prozesse der Hochschule Zugang zum Netz ist zu dokumentieren Berechtigungen (Störerhaftung) Schaden für höherwertige Dienste durch gestohlene Passworte ausschließen mehrfache Nutzung des gleichen Passwortes einschränken Akzeptieren, dass mit Eduroam-Passworten ungerechtfertigt Bandbreite genutzt wird Akzeptieren, dass berechtigte Nutzer die Eduroam-Passworte an Personen denen sie vertrauen weiter geben 2 von 8

3 Schutz für die Eduroam Passworte Für den Zugang zu Eduroam werden die Nutzerpassworte vom Endgerät über den Accesspoint und einen oder mehrere Zwischenstufen zum Radiusserver der Heimateinrichtung übertragen Der Schutz der Vertraulichkeit der Passworte hängt von der korrekten Authentifizierung des Radiusservers der Heimateinrichtung und der Verschlüsselung auf dem Transportweg ab. Die Passworte sind immer dann angreifbar, wenn das Zertifikat des Radiusservers durch das Endgerät nicht validiert wird. 3 von 8

4 Risiken Unzureichende Validierung der Identität des Radiusservers Unvollständige Implementierung im Endgerät Mangelndes Bewusstsein beim Nutzer Mangelnde Kenntnis beim Nutzer Untersuchungen in Uni Bochum und Uni Ulm haben gezeigt, dass 47% bzw. 52% der Geräte die Passworte nicht ausreichend schützen. Weitere Risiken für die Passworte; z.b. Keylogger Backup in der Cloud Mangelnde Awareness der Nutzer 4 von 8

5 Lösungsansatz an der RWTH Das Hauptrisiko durch Verwendung von gestohlenen Eduroam-Passworten liegt bei anderen Diensten wie Campusmanagement oder Eduroam: Schutz der Passworte schwer beeinflussbar Schlussfolgerung: Die Nutzung des Eduroam Passwortes für andere Dienste unterbinden Risiken bei Eduroam akzeptieren Idee: der berechtigte Angehörige der Uni kann sich im Self-Service Geräte bezogene Eduroam-Accounts mit Zufalls-Passworten selber generieren und diese wie üblich nutzen 5 von 8

6 Lösungsansatz an der RWTH / Implementierung Projekt Eduroam-Geräte-Passworte. Das Prinzip: Nutzer authentifiziert sich per Shibboleth an einer Webanwendung Eduroam-Geräte-Passworte Nutzer ist autorisiert, wenn er Angehöriger der RWTH (oder einer der teilnehmenden Hochschulen) ist. Nutzer registriert seine Mobilen Geräte mit einem selbstgewählten Gerätenamen und erhält hierfür Benutzerkennung und Passwort Nutzer kann jederzeit (weitere) Geräte registrieren (Obergrenze möglich) oder entfernen 6 von 8

7 Ausweitung auf weitere Hochschulen Überlegung: wie muss die Lösung angepasst werden, damit andere Hochschulen sie nutzen können: Nutzung durch Softwareweitergabe -> schwierig Nutzung durch attraktives Angebot -> spannend, wir können was lernen Wer kann Interesse haben: RZ-Leiter, Netzwerkkollegen, Sicherheitskollegen, Supportkollegen und Qualitätsmanagement in teilnehmenden Hochschulen und im DFN-Verein 7 von 8

8 Eignung als DFN Cloud Dienst? Idee: Radiusserver- und Eduroam-Geräte-Passworte als Service Service kann beinhalten: Abgestimmtes Sicherheitskonzept Funktionierende Supportprozesse Migrationsszenarien Gegebenenfalls gebrandete Verwaltungsoberfläche 8 von 8

9 Vielen Dank für Ihre Aufmerksamkeit Kontakt:

Ähnliche Dokumente

Alternative Logins für Eduroam - Rollout als föderierter Dienst. Gerätemanager. Axel Taraschewski IT Center der RWTH Aachen

Alternative Logins für Eduroam - Rollout als föderierter Dienst Gerätemanager Axel Taraschewski IT Center der RWTH Aachen 68. DFN-Betriebstagung Berlin-Zehlendorf Hintergründe: Warum? Gerätemanager eduroam-zugangsdaten