eduroam ja varmennekäytännöt

1. Johdanto

Varmenteita eli sertifikaatteja käytetään tietotekniikassa yleisesti varmentamaan käyttäjälle, että yhteydenpidon toisena osapuolena oleva palvelin on juuri se, joka se väittää olevansa. Pelkkä varmenne ei kuitenkaan vielä lisää tai toteuta tietoturvaa, vaan varmenne on vain tapa tallentaa tietoa yhteisesti sovitulla tavalla. Kuka tahansa voi luoda rajattomasti varmenteita, mutta vasta varmenteeseen tallennetut tiedot ja niiden varmistamisen mahdollisuus kokonaisuutena lisäävät tietoturvaa. Myös eduroamissa varmennetarkistus on osa autentikointia. Tähän dokumenttiin on koottu eduroamissa hyväksi todettuja varmennekäytäntöjä, jotta saavutettaisiin mahdollisimman hyvä yhteensopivuus ja tietoturvan tason erilaisten päätelaitteiden kanssa. Dokumentti on suunnattu eduroam-ylläpitäjille avuksi erityisesti palvelun käyttöönottovaiheessa.

2. Varmenteet eduroamissa

EAP-autentikoinnin (Extensible Authentication Protocol) yhteydessä varmenteen tehtävä on varmentaa käyttäjälle, että tämä on tekemisissä oikean RADIUS-palvelimen kanssa ennen käyttäjätunnuksen ja salasanan luovuttamista. Tätä varten palvelimelle on hankittava X.509-palvelinvarmenne, joka voi olla joko itseallekirjoitettu (oma CA, Certification Authority) tai hankittu tunnetulta luotetulta CA:lta.

Monien RADIUS-palvelinten mukana toimitetaan testikäyttöön tarkoitettu testivarmenne. Tällaista testivarmennetta ei luonnollisestikaan pidä käyttää tuotantoympäristössä.

2.1 Oma vai julkinen CA?

Oman CA:n pystyttäminen on ilmaista ja varmenteita voi luoda rajattomasti. Haittapuolena on kuitenkin se, ettei mikään päätelaite lähtökohtaisesti tunne tällaista CA:ta, joten varmenteen julkinen osa on asennettava jokaiseen päätelaitteeseen erikseen. Varmenne voidaan jaella esimerkiksi sähköpostitse tai intranetin kautta, mutta jakelumalli sekä ohjeistus on suunniteltava hyvin. Lisäksi on muistettava, että juurivarmenteen vaihtuminen aiheuttaa sen, että kaikkien sen varaan konfiguroitujen päätelaitteiden varmenne on uusittava. Omalle CA:lle kannattaa tämän vuoksi asettaa pitkä voimassaoloaika.

Käytettäessä tunnettua CA:ta varmenteen julkinen osa voi löytyä valmiina ainakin osasta päätelaitteita. Vaikka varmenne löytyisi päätelaitteesta valmiina, se pitää osata valita verkon asetuksia määritettäessä, mikä edellyttää jälleen käyttöjärjestelmäkohtaista ohjeistusta. Valittiinpa joko julkinen tai oma CA, käyttäjiä on joka tapauksessa ohjeistettava noutamaan ja asentamaan tai vähintäänkin valitsemaan päätelaitteesta oikea varmenne verkkoasetuksia määriteltäessä.

Tunnetun CA:n käyttämisessä on olemassa yksityistä CA:ta suurempi riski "Man in the Middle" -hyökkäyksille. Riski seuraa siitä, että kaikki päätelaitteet eivät tee varmennetarkistusta riittävän kattavasti. Jotkut päätelaitteet esimerkiksi tarkistavat vain, että palvelinvarmenteen myöntäjä on sama kuin juurivarmenteella, mutta jättävät tarkistamatta, että palvelinnimi (CN, Common Name) täsmää palvelimeen, johon ollaan yhdistämässä. Vihamielinen käyttäjä voi tällöin pystyttää RADIUS-palvelimen ja hankkia sinne saman tunnetun CA:n allekirjoittaman aidon varmenteen kalastellakseen käyttäjien tunnuksia ja salasanoja. Varmenteen puutteellinen tarkistus koskee erityisesti vanhempia Android-käyttöjärjestelmiä. IT-tuen tulisi mahdollisuuksien mukaan ohjeistaa ja varmistaa, että käytetty varmenne ja palvelimen nimi on määritetty käyttäjien konfiguraatioissa.

Automaattiprovisointityökaluja (esim. eduroam CAT) käytettäessä varmenteen asentaminen päätelaitteeseen ei enää muodostu kynnyskysymykseksi pohdittaessa valintaa tunnetun CA:n tai itseallekirjoitetun varmenteen välillä. Lisäksi itseallekirjoitetulla varmenteella on saavutettavissa tietoturvahyötyjä, minkä vuoksi sitä voi pitää kahdesta vaihtoehdosta suositeltavampana jos tarvittava CA-osaaminen löytyy.

Taulukko 1. Itseallekirjoitetun ja julkisen CA:n allekirjoittaman varmenteen käytön edut ja haitat.