presentation.tex

   1 \documentclass[]{beamer}
   2
   3 \usepackage[utf8]{inputenc}
   4 \usepackage{ngerman}
   5 \usepackage{pgf}
   6 \usepackage{url}
   7 \usepackage{colortbl}
   8
   9 \mode<presentation>
  10 \useoutertheme[footline=authorinstituteframenumber,subsection=false]{tubs}
  11 \setbeamertemplate{table of contents}[ball]
  12 \setbeamertemplate{items}[ball]
  13 \setbeamertemplate{navigation symbols}{}
  14 %%\setbeamertemplate{blocks}[rounded][shadow=true]
  15
  16 \mode<all>
  17
  18 \title{Sicherheit in eduroam}
  19 \subtitle{Seminar Kommunikation und Multimedia, Sommersemester 2010}
  20 \author{Roland Hieber}
  21 \institute[IBR, TU Braunschweig]{Institut für Betriebssysteme und Rechnerverbund\\
  22   Technische Universität Braunschweig}
  23
  24 \date{\today}
  25
  26 % TODO BOXEN!!!!!
  27 \begin{document}
  28
  29 \frame{\titlepage}
  30
  31 \section*{Überblick}
  32
  33 \frame{
  34   \frametitle{Überblick}
  35   \tableofcontents
  36 }
  37
  38 \section{Einführung}
  39 \frame{
  40  \frametitle{Was ist eduroam?}
  41
  42  \begin{itemize}
  43    \item<1-> "`\emph{edu}cational \emph{roam}ing"'
  44    \item<2-> Verbund aus den Organisationen nationaler Forschungsnetze
  45    \begin{itemize}
  46      \item TERENA -- Trans-European Research and Education Networking Association
  47    \end{itemize}
  48    \item<3-> Ziel: netzübergreifende Benutzerauthentifizierung
  49    \item<4-> Aber auch: Zugriffskontrolle auf die angebotenen Ressourcen (Benutzerautorisierung)
  50  \end{itemize}
  51 }
  52
  53 \frame{
  54   \frametitle{Verbreitung}
  55   \begin{figure}[h]
  56     \centering
  57     \includegraphics[width=.8\textwidth]{eduroam-map.png}
  58     \caption{Karte der teilnehmenden Länder \cite{eduroam.org}}
  59   \end{figure}
  60 }
  61
  62 \section{Architektur}
  63
  64 \frame{
  65 \frametitle{IEEE 802.1X}
  66   \begin{figure}
  67     \centering
  68     \includegraphics[width=0.6\textwidth]{8021X-Overview.pdf}
  69     %\caption{Netzzugang durch IEEE 802.1X (\cite{commons8021X})}
  70     \label{fig:8021X}
  71   \end{figure}
  72   \begin{enumerate}
  73     \item<1> Rechner (Supplicants) müssen sich authentifizieren
  74     \item<2-> Authenticator fragt Backend (RADIUS-Server) nach Gültigkeit der Login-Daten
  75     \item<3-> Supplicant hat nach Freigabe Zugriff auf die kontrollierten Ressourcen
  76   \end{enumerate}
  77 }
  78
  79 \frame{
  80   \frametitle{IEEE 802.1X: Detail}
  81   \begin{figure}
  82     \centering
  83     \includegraphics[width=\textwidth]{8021X-ports.png}
  84     %\caption{Netzzugang durch IEEE 802.1X (\cite{commons8021X})}
  85     \label{fig:8021Xports}
  86   \end{figure}
  87   Nach erfolgreicher Authentifizierung werden beide kontrollierten Ports aktiviert.
  88 }
  89
  90 \frame{
  91   \frametitle{IEEE 802.1X: Extensible Authentication Protocol (EAP)}
  92   Hier soll ein Diagramm erscheinen, das den Nachrichtenverkehr bei der generellen EAP-Authentifizierung darstellt
  93   % TODO
  94 }
  95
  96 \frame{
  97   \frametitle{EAP-TLS}
  98   Hier soll ein Diagramm erscheinen, das den Nachrichtenverkehr bei EAP-TLS darstellt
  99   % TODO
 100 }
 101
 102 \frame{
 103   \frametitle{EAP-TTLS}
 104   Hier soll ein Diagramm erscheinen, das den Nachrichtenverkehr bei EAP-TTLS darstellt
 105   % TODO
 106 }
 107
 108 \frame{
 109   \frametitle{RADIUS}
 110   \begin{itemize}
 111     \item Remote Authentication Dial-In User Service
 112     \item<2-> Protokoll für Authentifizierung, Autorisierung und Accounting (AAA)
 113     \item<3-> RADIUS-Server kann Anfragen entweder selber beantworten oder an einen
 114       anderen Server weiterleiten
 115   \end{itemize}
 116   \only<4->{\begin{figure}
 117     \centering
 118     \includegraphics[width=0.4\textwidth]{eduroam-radius.png}
 119     %\caption{Netzzugang durch IEEE 802.1X (\cite{commons8021X})}
 120     \label{fig:eduroam-radius}
 121   \end{figure}}
 122 }
 123
 124 \frame{
 125   \frametitle{Autorisierung anhand weiterer Benutzerattribute}
 126 %   \begin{figure}[htb]
 127 %     \centering
 128 %     \includegraphics[width=0.4\textwidth]{tnc-arch.png}
 129 %     %\caption{TNC-Architektur~\cite{10.1109/NSS.2009.47}}
 130 %     \label{fig:tnc}
 131 %   \end{figure}
 132   \begin{itemize}
 133     \item \emph{Integrity Management Collector (IMC)}: sammelt Attributdaten auf dem Client-System (z.~B. ob ein Virenscanner installiert ist)
 134     \item \emph{Integrity Management Verifier (IMV)}: prüft, ob die übertragenen Attributdaten mit den vom Systemadministrator vergebenen Richtlinien übereinstimmen
 135     \item \emph{Network Access Requestor (NAR)}: auf der Client-Seite für den Aufbau einer Netzwerkverbindung zuständig. (meist IEEE~802.1X Supplicant).
 136     \item \emph{Network Access Authority (NAA)}: regelt auf der Server-Seite den Zugriff der anfragenden Clients $\Rightarrow$ im RADIUS-Server integriert
 137   \end{itemize}
 138 }
 139
 140 \section{eduGAIN}
 141 \frame{
 142   \frametitle{eduGAIN}
 143   \begin{figure}[htb]
 144     \centering
 145     \includegraphics[width=0.6\textwidth]{edugain-arch.png}
 146 %     \caption{eduGAIN-Architektur~\cite{Lopez2008418}}
 147     \label{fig:edugain}
 148   \end{figure}
 149   \begin{itemize}
 150     \item Regelung des Zugriffs über manuell zugewiesene Attribute
 151     \item<2-> Netzwerkübergreifende Kommunikation über \emph{Bridged Elements}
 152     \begin{itemize}
 153       \item Abstraktion der institutionsspezifischen Protokolle
 154     \end{itemize}
 155
 156   \end{itemize}
 157
 158 }
 159
 160 \section{Sicherheitsbetrachtungen}
 161 \frame{
 162   \frametitle{Sicherheitsbetrachtungen}
 163   \begin{itemize}
 164     \item Denial of Service durch gefälschte EAPOL-Pakete
 165     \item<2-> Gefälschte Zertifikate $\Rightarrow$ Benutzer muss wissen, was er tut
 166     \item<3-> RADIUS-Root-Server ist Single Point of Failure
 167     \item<4-> Kommunikation zwischen RADIUS-Server nicht gesichert
 168   \end{itemize}
 169 }
 170
 171 \section{Ausblick}
 172 \frame{
 173   \frametitle{Ausblick}
 174   \begin{itemize}
 175     \item eduroam-ng (\emph{eduroam next generation})
 176     \item<2-> Migration RADIUS $\rightarrow$ RadSec
 177     \begin{itemize}
 178       \item<3-> Gesicherte Kommunikation zwischen RADIUS-Servern
 179       \item<4-> Peer Discovery: automatisierte Feststellung des zuständigen RADIUS-Servers anhand von DNS-Einträgen (\url{_radiustls._tcp.idp.org}) $\Rightarrow$ kein SPoF mehr
 180     \end{itemize}
 181
 182   \end{itemize}
 183
 184 }
 185
 186 \frame{
 187   \centerline{\bf\LARGE Thank you!}
 188 }
 189
 190 \frame{
 191   \frametitle{Quellenangaben}
 192   \bibliographystyle{plain}
 193   \bibliography{lit}
 194 }
 195
 196 \end{document}