Turvallinen etäkäyttö Aaltoyliopistossa Diplomityöseminaari Ville Pursiainen Aalto-yliopiston tietotekniikkapalvelut Valvoja: Prof Patric Östergård, Ohjaajat: DI Jari Kotomäki, DI Tommi Saranpää 7.10.2016
Esityksen rakenne Työn tausta Metodiikka Teknologiat Active Directory ja attribuutit Todennus, TLS ja TLS-pohjainen VPN Toteutus Päätelaitteet ja toimialueen työasemien konfigurointi VPN-laitteen konfigurointi Arviointi Tietoturva, toimintavarmuus, käytettävyys Johtopäätökset 2
Työn tausta Ikääntyvät VPN-järjestelmät PPTP (Point-to-Point Protocol) Henkilökohtaisille laitteille Useita tietoturvahaasteita L2TP/IPsec (Layer 2 Tunneling Protocol / IP security) Aallon työasemille 3
Työn tausta Lähtötilanne: Verkko jaettu virtuaalisiin lähiverkkoihin (VLAN) Eri palveluita auki eri VLANeista Molempien VPN:ien kautta pääsy erillisiin VPN-verkkoihin PPTP-VLAN ja L2TP/IPsec-VLAN Tavoite: Korvata vanhat VPN:t yhdellä uudella ratkaisulla VPN:n kautta pääsy olemassa oleviin VLANeihin Aallon koneilla Henkilökohtaiset laitteet eritellään omiin verkkoihin: BYOD-opiskelijat (Bring Your Own Device) BYOD-henkilökunta 4
Metodiikka Kirjallisuustutkimus Toteutuksen arviointi Tietoturva Toimintavarmuus Käytettävyys 5
Active Directory ja attribuutit Active Directory (AD) toimialue Käyttäjäobjektien attribuutit edupersonaffiliation Opiskelija vai henkilökuntaa Koneobjektien attribuutit MemberOf VLAN-ryhmäjäsenyydet 6
Todennus AD-toimialueen työasemat Toimialueen CA:n (Certificate Authority) myöntämä ITU-T:n standardin X.509 mukainen varmenne Toimialueen ulkopuoliset laitteet AD-käyttäjätunnus ja salasana VPN-palvelu Julkisen CA:n (Terena) myöntämä varmenne 7
TLS ja TLS-pohjainen VPN TLS (Transport Layer Security) on protokolla, jonka tarkoituksena on mahdollistaa viestinnän yksityisyys ja eheys osapuolten välillä Käyttää varmenteita osapuolten tunnistamiseen HTTPS-liikenne (Hypertext Transfer Protocol over TLS) suojattu TLS:n avulla TLS-VPN käyttää HTTPS-protokollaa tunnelin muodostamiseen TCP 443 Tunnelin liikenne salataan TLS:n avulla TLS-VPN vaatii tyypillisesti erillisen asiakasohjelmiston asentamisen 8
Päätelaitteet Aallon AD-toimialueessa noin 8500 työasemaa 7000 Windows työasemaa 750 Ubuntu Linux työasemia 750 Mac konetta Työasemista suunnilleen puolet on kannettavia Toimialueen ulkopuoliset laitteet Puhelimet, tabletit, työasemat Android, ios, Windows, Linux, Mac 9
Toimialueen työasemien konfigurointi Asiakasohjelmiston konfigurointi Yhteysosoitteen määritys Varmenteen automaattinen valinta Asiakasohjelmiston asentaminen ja konfiguraation jakaminen Keskitetty ohjelmistojakelu 10
VPN-laitteen konfigurointi VLANien levitys VPN-laitteelle Työasema- ja BYOD-verkot VLANien määrittely VPN-laitteessa Jokaiselle VLANille omat verkkoasetukset AD-attribuuttien hakeminen Palvelutunnus Attribuuttikartoitukset MemberOf -> VLAN-ryhmän mukainen verkko edupersonaffiliation -> roolin mukainen BYOD-verkko 11
Tietoturva TLS-pohjainen ratkaisu on laajasti käytetty ja yleisesti todettu turvalliseksi Suurin riski: laiton pääsy Aallon verkkoon ja palveluihin Käyttäjätunnuksen päätyminen vääriin käsiin Phishing Yhdistäminen murretulla laitteella Rajoittaminen: BYOD-verkoista ei pääsyä yliopiston toiminnan kannalta kriittisiin järjestelmiin. 12
Toimintavarmuus VPN-laite Ei korkean saatavuuden ratkaisua Backupit Active Directory Viisi DC:tä (Domain Controller) VPN-laitteen varmenne Työasemien varmenteet 13
Käytettävyys Asiakasohjelmiston asennus ja konfigurointi päätelaitteeseen Vaatii ohjelmistoasennuksen Asiakasohjelmiston käyttäminen Löytyy eri paikasta, kun käyttöjärjestelmään integroidut ratkaisut VPN-palvelun saavutettavuus erilaisista verkoista Yhtäaikaiset käyttäjät Vanhat järjestelmät n. 60 Uusi VPN n. 130 14
Johtopäätökset ja jatkokehitys Työssä esitetty toteutus on jo otettu tuotantokäyttöön, eikä suurempia ongelmia ole esiintynyt. Toimialueen ulkopuoliset laitetteet voitaisiin jatkossa todentaa varmenteiden avulla, jos niiden jakeluun olisi hyvä kanava. 15