Page History

2.3 Varmenteen vaihtaminen

Palvelinvarmenteen vaihto tulee ajankohtaiseksi viimeistään kun sen voimassaolo on päättymässä. Julkisen CA:n allekirjoittamat varmenteet ovat tyypillisesti voimassa 1-3 vuotta. Niin kauan kuin CA pysyy samana, varmenteen vaihto on suoraviivainen toimenpide, koska päätelaitteisiin määriteltyä juurivarmennetta ei tarvitse vaihtaa ja muutoksia tarvitaan vain autentikointipalvelimen päässä.

Juurivarmenteiden voimassaoloajat ovat tyypillisesti huomattavasti pidemmät. Julkisen CA:n varmennetta hankittaessa on silti hyvä varmistaa, että kyseisellä juurivarmenteella on jäljellä runsaasti voimassaoloaikaa. Vastaavasti omaa CA:ta käytettäessä juurivarmenteen voimassaoloaika tulee asettaa pitkälle tulevaisuuteen. Uuden varmenteen käyttöönoton yhteydessä varmenne kannattaa laittaa automaattiseen valvontaan, joka seuraa sen voimassaoloaikaa. Myös varmennetoimittajat tyypillisesti muistuttavat etukäteen varmenteen voimassaoloajan päättymisestä.

Jos palvelinvarmenteen CA vaihtuu, täytyy myös päätelaitteiden konfiguraatiota muuttaa. Tämä on sitä raskaampi ja hitaampi toimenpide mitä enemmän päätelaitteita on konfiguroitu tämän IdP:n käyttäjäksi. CA:n valinta on siis tehtävä huolella heti alusta alkaen.

Varmenteen mitätöinnissä on hyvä huomioida, että eduroamissa autentikointi ja varmennetarkistus suoritetaan jo ennen varsinaisen verkkoyhteyden muodostumista. Tästä seuraa se, että mitätöityäkin varmennetta vasten pystytään autentikoitumaan. Vaikka supplikantti autentikoinnin jälkeen suorittaisikin sulkulistan tarkistamisen, käyttäjätunnus ja salasana on jo tässä vaiheessa ehditty luovuttaa, mahdollisesti vihamieliselle, autentikointipalvelimelle.

2.4 Varmenteen ominaisuudet

Seuraavassa on listattu muutamia varmenteiden ominaisuuksia sekä niihin liittyviä suosituksia. Ohjeilla pyritään mahdollisimman hyvään yhteensopivuuteen erilaisten päätelaitteiden ja käyttöjärjestelmien kanssa.

Palvelimen nimi

Palvelimen nimi tulee syöttää varmenteen Subject-kenttään nimitiedoksi (CN, Common Name) täydellisenä toimialuenimenä (FQDN, Fully Qualified Domain Name). Suositeltavaa on asettaa sama nimi myös subjectAltName-tietoihin. Niin sanottuja wildcard-nimiä ei pidä käyttää.

Allekirjoitusalgoritmi

Suositeltavin on SHA-2 (esim. SHA-256). SHA-1-algoritmin tuki on hiljalleen päättymässä, ja MD5-algoritmia ei pitäisi käyttää enää missään.

Avaimen pituus

Jotkut käyttöjärjestelmät eivät hyväksy alle 1024-bittisiä avaimia. Uusiin ympäristöihin kannattaa ottaa käyttöön 2048-bittiset avaimet.

CRL Extension

Windows 8 ja Windows Phone 8 vaativat tai ne on mahdollista konfiguroida vaatimaan CRL varmennesulkulistan URL (CRL, Certificate Revocation List), jolloin URL on oltava syntaksiltaan oikeanmuotoinen. Kumpikaan käyttöjärjestelmä ei kuitenkaan lataa varsinaista CRL-tiedostoa, vaikka URL olisi määritelty.

BasicConstraint Extension

Ainakin OS X Mountain Lionin kanssa on todettu ongelmia jos BasicConstraint-määritys puuttuu. Asetuksen on oltava “CA:FALSE (critical)”, eli palvelinvarmenne ei ole CA-varmenne.

X509v3 Extended Key Usage (EKU)

Windowsit edellyttävät, että määriteltynä on vähintään yksi ominaisuus. EAP-käytössä eduroamissa ominaisuutena on "Server authentication".

Lähteet: [4] [5] [6]

3. Käyttäjätuki

Kun eduroam on otettu kampuksella käyttöön, sen olemassaolosta tulee viestiä kattavasti. Lisäksi tarvitaan käyttöjärjestelmäkohtainen selkeä ohjeistus eduroamin tietoturvallisesta konfiguroinnista eri päätelaitteisiin. Omien laitteiden käytön tukemiseksi on suositeltavaa tuottaa loppukäyttäjäohjeistukset, koska eduroamissa tyypillisesti käytetään enemmän omia laitteita kuin organisaation omassa keskitetyssä ylläpidossa olevia. Korkeakouluissa eduroamin tietoturvallisesta käyttöönotosta kannattaa kertoa uusien opiskelijoiden ja henkilökunnan perehdytystilaisuuksissa.

Konfigurointiohjeistuksissa täytyy kiinnittää huomiota tapaan, jolla tietoturvatarkistukset konfiguroidaan. Ohjeissa on vaarallisen helppoa yksinkertaistaa ja neuvoa ohittamaan varmennetarkistukset, mutta tämä heikentää tietoturvaa ja ohjaa käyttäjiä vääränlaiseen toimintatapaan. Tietyt käyttöjärjestelmät on helppo konfiguroida väärin ja vieläpä niin, että verkko liittyminen verkkoon toimii kotiverkossa, mutta ei vierailtaessa muun organisaation ylläpitämässä eduroamissa. Selkeyden vuoksi kirjautuminen ilman realmia kotiverkossa tulisi estää. Ilman realmia tehty konfiguraatio saa muuten aikaan sen, että konfiguraatio on näennäisesti oikea kotiverkkoon, mutta roamauskelvoton vierailtaessa muualla.

Ohjeita ja suosituksia eduroam-tuen toteuttamiseen löytyy muun muassa terena.orgista [7].

Erinomainen työkalu loppukäyttäjien eduroam-käyttöönoton helpottamiseen on jo edellä mainittu eduroam CAT [8]. Työkalulla verkkoylläpitäjät voivat luoda omille käyttäjilleen helppokäyttöiset organisaatiokohtaiset eduroam-asennuspaketit. Oman eduroam-verkon tiedot kuten RADIUS-palvelimen nimi, tuetut EAP-tyypit sekä varmenneketju syötetään CAT-palveluun, joka generoi valmiit asennuspaketit. Kun määritykset ovat valmiit, käyttäjät voivat noutaa asennuspaketit CAT-sivustolta. Omaan intranetiin CAT-linkin voi luoda niin, että käyttäjä päätyy suoraan oman organisaation asennuspakettien lataussivulle. Asennusohjelmien käyttö ei edellytä käyttäjältä verkko-osaamista. CAT:n on todettu vähentävän IT-tuen tehtäviä eduroam-asioissa kun virheellisten konfigurointien määrä on vähentynyt. Palvelun käyttö on maksutonta, ja käyttöönotto aloitetaan ottamalla yhteyttä omaan paikalliseen NRENiin, Suomessa Funetiin.

4. Lähteet

[1] The eduroam architecture for network roaming, [https://tools.ietf.org/html/draft-wierenga-ietf-eduroam-05]

[2] Elenkov, Nikolay: Android Security Internals: An In-Depth Guide to Android's Security Architecture, 2015, s. 248-249

[3] Csc.fi: Funetin palvelut, Varmennepalvelu [https://www.csc.fi/-/varmennepalvelu]

[4] Freeradius.org: Certificate Compatibility [http://wiki.freeradius.org/guide/Certificate-Compatibility] 

[5] Terena.org: EAP Server Certificate considerations [https://wiki.terena.org/display/H2eduroam/EAP+Server+Certificate+considerations]

[6] Microsoft.com: Certificate requirements when you use EAP-TLS or PEAP with EAP-TLS [https://support.microsoft.com/en-us/kb/814394]

[7] Terena.org: How to offer helpdesk support to end users [https://wiki.terena.org/display/H2eduroam/How+to+offer+helpdesk+support+to+end+users]

[8] eduroam CAT [https://cat.eduroam.org/]