- eduroam
-
eduroam (Education Roaming) ist eine Initiative, die Mitarbeitern und Studenten von partizipierenden Universitäten und Organisationen einen Internetzugang an den Standorten aller teilnehmenden Organisationen unter Verwendung ihres eigenen Benutzernamen und Passwortes oder eines persönlichen X.509-Nutzer-Zertifikates einer gültigen PKI über (Wireless) LAN ermöglicht.
Inhaltsverzeichnis
Ziel
Mitarbeiter und Studierende müssen bei Gastvorträgen, Auslandssemestern, Dienstreisen und ähnlichem an einer Fremduniversität nicht erst einen Gastzugang beantragen, sondern können sich direkt mit ihren bekannten Daten einloggen. Mittlerweile sind fast alle europäischen Länder bei eduroam vertreten und immer mehr Universitäten der jeweiligen Länder schließen sich ihren Forschungsnetzen an. Auch außerhalb Europas finden sich mittlerweile erste Unterstützer im asiatisch-pazifischen Raum sowie in Nordamerika (USA, Kanada).
Technische Umsetzung
Jede Organisation stellt dabei ihre eigene WLAN-Infrastruktur zur Verfügung. Die Authentifizierung erfolgt in der jeweiligen Heimatorganisation des Benutzers durch einen RADIUS-Verbund. Dabei stellt TERENA, Gründer und Besitzer der Marke eduroam, den Root-Server, die Forschungsnetze der teilnehmenden Länder den länderspezifischen Server und die teilnehmende Organisation den Server mit den eigentlichen Benutzerkennungen. Der Serververbund bildet auf diese Weise eine hierarchische Baumstruktur, ähnlich dem Domain Name System. Dadurch muss keine Organisation ihre Benutzerkennungen in fremde Hände legen, da alle Daten auf dem eigenen Server verbleiben. Die Unterscheidung der Benutzerkennungen geschieht durch die Angabe eines Realms: statt Benutzername verwendet man außerhalb seiner Organisation Benutzername@meineOrganisation.tld. Die Anfrage wird dann automatisch an den richtigen Server weitergeleitet.
Die lokale Zugangsauthentifizierungstechnologie ist immer IEEE 802.1X. Dadurch ist gewährleistet, dass Benutzerdaten und Passwörter auf dem gesamten Weg zur Heimatorganisation verschlüsselt werden. Durch Einsatz dieser Ende-zu-Ende-Verschlüsselung ist eduroam der sicherste und vertrauenswürdigste WLAN-Roaming-Verbund weltweit.
Sicherheitsbedenken
Zur Zeit des ersten eduroam-Prototyps wurde neben 802.1X auch der Login über ein Webportal betrieben. Auf diesem Kanal ist eine Ende-zu-Ende-Verschlüsselung der Benutzerdaten konzeptionell sehr schwierig; eine Verschlüsselung der Nutzerdaten auf dem WLAN-Medium ist nur über höhere Protokolle möglich, zum Beispiel IPSec/TLS-VPN etc.. Die Nutzung von Web-Login-Portalen wurde daher in den Betriebsbedingungen 2005 verboten.
Der Login mit IEEE 802.1X lässt sich soweit absichern, dass der Benutzer verifizieren kann, dass er tatsächlich mit der eigenen Heimatorganisation verbunden ist, bevor er persönliche Daten (Passwort) preisgibt. Diese Sicherheitsüberprüfung findet am Gerät des Benutzers selbst statt. Es liegt daher in seiner eigenen Verantwortung, seinen 802.1X-Supplikanten ordnungsgemäß zu konfigurieren. Bei einer nutzerseitigen Fehlkonfiguration (beispielsweise eine abgeschaltete Überprüfung des Serverzertifikats oder des Server-Namens) ist daher die Vertraulichkeit des Logins nicht gewährleistet.
Weblinks
- eduroam.org – Homepage der Initiative
- eduroam.lu – Homepage der luxemburgischen Initiative
- eduroam.de – Homepage der deutschen Initiative
- eduroam.nl – Homepage der niederländischen Initiative
- eduroam.ch – Homepage der schweizerischen Initiative
- eduroam.at – Homepage der österreichischen Initiative
Wikimedia Foundation.
