eduroam ja varmennekäytännöt

EAP-autentikoinnin (Extensible Authentication Protocol) yhteydessä varmenteen tehtävä on varmentaa käyttäjälle, että tämä on tekemisissä oikean RADIUS-palvelimen kanssa ennen käyttäjätunnuksen ja salasanan luovuttamista. Tätä varten palvelimelle on hankittava X.509-palvelinvarmenne, joka voi olla joko itseallekirjoitettu (oma CA, Certification Authority) tai hankittu tunnetulta luotetulta CA:lta.

Oma vai julkinen CA?

Oman CA:n pystyttäminen on ilmaista ja varmenteita voi luoda rajattomasti. Haittapuolena on kuitenkin se, ettei mikään päätelaite lähtökohtaisesti tunne tällaista CA:ta, joten varmenteen julkinen osa on asennettava jokaiseen päätelaitteeseen erikseen. Varmenne voidaan jaella esimerkiksi sähköpostitse tai intranetin kautta, mutta jakelumalli sekä ohjeistus on suunniteltava hyvin. Lisäksi on muistettava, että juurivarmenteen vaihtuminen aiheuttaa sen, että kaikkien sen varaan konfiguroitujen päätelaitteiden varmenne on uusittava. Omalle CA:lle kannattaa tämän vuoksi asettaa pitkä voimassaoloaika.

Käytettäessä tunnettua CA:ta varmenteen julkinen osa voi löytyä valmiina ainakin osasta päätelaitteita. Vaikka varmenne löytyisi päätelaitteesta valmiina, se pitää osata valita verkon asetuksia määritettäessä, mikä edellyttää jälleen käyttöjärjestelmäkohtaista ohjeistusta.

Valittiinpa joko julkinen tai oma CA, käyttäjiä on joka tapauksessa ohjeistettava noutamaan ja asentamaan tai vähintäänkin valitsemaan päätelaitteesta oikea varmenne verkkoasetuksia määriteltäessä.

Tunnetun CA:n käytössä on olemassa pieni tietoturvariski, koska kaikki käyttöjärjestelmät eivät tee varmennetarkistusta riittävän perusteellisesti. Jotkin käyttöjärjestelmät tyytyvät varmistamaan vain varmenteen aitouden, mutta jättävät tarkistamatta, että myös varmenteessa oleva palvelinnimi on sama kuin palvelimella, johon laite on yhdistämässä. Koska tunnettujen CA:iden varmenteet ovat helposti saatavilla, vihamielinen käyttäjä voi pystyttää RADIUS-palvelimen ja esiintyä uhrille luotettuna verkkopalveluna kalastellakseen käyttäjien tunnuksia ja salasanoja “Man in the Middle” -tyyppisesti. Varmenteen puutteellinen tarkistus koskee erityisesti vanhempia Android-käyttöjärjestelmiä.

Automaattiprovisointityökaluja (esim. eduroam CAT) käytettäessä varmenteen asentaminen päätelaitteeseen ei enää muodostu kynnyskysymykseksi pohdittaessa valintaa tunnetun CA:n tai itseallekirjoitetun varmenteen välillä. Itseallekirjoitetulla varmenteella on saavutettavissa tietoturvahyötyjä. 

Taulukkoon 1 on listattu itseallekirjoitetun sekä julkisen CA:n allekirjoittaman varmenteen hyvät ja huonot puolet.