Resumo

  • Klaas Wierenga iniciou o eduroam na SURFnet em 2002 com uma divisão clara: a instituição de origem autentica seu integrante, e a instituição visitada autoriza o uso de sua própria rede.
  • IEEE 802.1X, EAP e uma hierarquia de proxies RADIUS encaminham a troca de autenticação até a origem. Essa malha não precisa virar um repositório mundial de senhas.
  • A federação cresceu porque cada participante preservou poderes essenciais. Em contrapartida, precisa manter realms, certificados, proxies, diagnóstico, resposta a abuso e um equilíbrio explícito entre privacidade e responsabilização.

A rede anfitriã não precisa conhecer o hóspede

SURF descreve um estudante de Delft chegando à Cidade do Cabo. A universidade sul-africana enxerga um dispositivo que pede acesso, mas não possui o cadastro acadêmico daquele estudante. Delft possui a relação de identidade, porém não é dona da infraestrutura local. Criar uma conta temporária em cada destino multiplicaria cadastros. Entregar todas as contas a um serviço mundial resolveria o atrito pela concentração.

O eduroam segue outro caminho. O pedido de autenticação sai da rede visitada e chega à instituição de origem. A origem verifica a credencial e devolve uma resposta. A rede visitada usa o resultado para aplicar sua própria autorização, com limites, firewall e regras locais. Um lado atesta a identidade que administra; o outro governa o recurso que possui.

Essa separação entre autenticação e autorização é conhecida na engenharia de segurança. A contribuição de Wierenga foi transformá-la em acordo operacional entre instituições independentes. O serviço não exige que uma universidade finja conhecer alunos de todas as outras nem que abra mão de decidir o que acontece em seu campus.

Uma proposta que precisava de aliados

A história oficial começa na Task Force Mobility da TERENA. Em 30 de maio de 2002, Wierenga enviou da SURFnet uma proposta de roaming entre redes nacionais de pesquisa e educação. A mobilidade acadêmica já crescia, enquanto o acesso continuava dependente de procedimentos locais e contas improvisadas.

Segundo a SURF, Wierenga pediu ao estagiário Paul Dekkers que testasse uma abordagem de identidade federada. O piloto nos Países Baixos teve êxito. Uma experiência transfronteiriça reuniu SURFnet, University of Southampton, FCCN de Portugal e Srce de Zagreb, seguida por outras redes. A GÉANT adotou o projeto em 2003 e os programas europeus acrescentaram especificações, políticas e ferramentas de operação.

O Internet Hall of Fame reconhece Wierenga como inventor do eduroam. A palavra não deve apagar a construção coletiva. A própria GÉANT ressalta o trabalho posterior de centenas e milhares de pessoas. A autoria relevante está na formulação inicial de uma arquitetura que outros podiam operar sem perder a autonomia institucional.

O problema de confiança do portal cativo

O RFC 7593 registra testes com três famílias. A VPN era segura, mas não oferecia administração escalável. O portal cativo podia se disseminar, porém não protegia a credencial como a federação exigia. A combinação escolhida—IEEE 802.1X, EAP e RADIUS—atendeu melhor aos objetivos de segurança, escala, implantação e independência de fornecedor.

Em uma federação, cada portal local pediria que o visitante reconhecesse uma página desconhecida e inserisse a senha da instituição de origem. Uma falsificação poderia parecer idêntica. Mesmo um portal legítimo receberia um segredo desnecessário para decidir a autorização local.

Métodos EAP em túnel ou EAP-TLS mantêm uma conversa de autenticação protegida entre o dispositivo e o servidor de origem. O equipamento do campus visitado e os servidores RADIUS intermediários retransmitem as mensagens e recebem o resultado. A senha privada não precisa ficar disponível a cada escala. Um aceite tampouco elimina o poder do anfitrião: a política de acesso continua local.

A hierarquia encontra a origem sem possuí-la

O realm na identidade externa indica o domínio para onde a solicitação deve seguir. Proxies RADIUS podem levá-la do nível institucional ao nacional e internacional, e depois à instituição de origem. O RFC 7593 mostra uma rota da University of Tennessee por níveis .edu, raiz, .nl e SURFnet antes de alcançar o autenticador responsável.

A semelhança com DNS está na redução de relações bilaterais. Uma universidade não precisa configurar uma ligação diferente com todas as demais. Mas os níveis superiores não se tornam autoridades universais de identidade. Eles conhecem rotas e relações de confiança; a origem conhece a conta. A resposta volta pelo caminho, e o destino ainda decide o acesso.

Por isso, dizer que a credencial ficou em casa é uma afirmação sobre custódia. Mensagens atravessam fronteiras, proxies tratam informações de roteamento e a rede visitada observa a sessão local. O que não precisa circular como propriedade comum é a capacidade de verificar a senha privada e administrar o ciclo de vida da conta.

A descentralização redistribuiu trabalho

A primeira hierarquia usava rotas estáticas, RADIUS sobre UDP, segredos compartilhados entre vizinhos e sincronização manual. Pontos agregadores viravam gargalos. Um realm obsoleto ou uma configuração incorreta podia interromper o percurso, mesmo com usuário e senha válidos.

Foi necessário criar documentação, validação, monitoramento, diagnóstico, medição e procedimentos para incidentes. Mais tarde, RADIUS sobre TLS e a descoberta dinâmica do RFC 7585 permitiram aperfeiçoar conexões gradualmente. Cada elo podia migrar sem uma troca simultânea em toda a federação.

O arranjo cresceu porque limitou o que precisava ser centralizado. Cada instituição aderiu a interfaces e deveres comuns, mas manteve o diretório de seus membros. Essa liberdade cobra manutenção: a resposta da origem só tem valor para terceiros se certificados, proxies e políticas forem operados com rigor.

Privacidade não elimina responsabilidade

A especificação de 2006 parte da hipótese de que a infraestrutura de roaming pode ser insegura e protege dados sensíveis entre o usuário e a origem. Identidades externas anônimas também podem reduzir a associação direta entre um nome e múltiplas sessões observadas no destino ou no caminho.

O RFC 7593 reconhece a tensão com a apuração de abuso. A rede visitada continua vendo a atividade que transporta e aplicando a legislação local. A origem sabe qual conta autenticou. O realm pode revelar uma afiliação mesmo quando oculta o nome. A proteção real é evitar que a senha seja entregue a cada destino, não prometer invisibilidade total.

O que Wierenga tornou replicável

802.1X, EAP, RADIUS, diretórios acadêmicos e redes sem fio já eram componentes disponíveis. Wierenga os reuniu em torno de uma regra institucional: quem conhece a pessoa conserva a autoridade de identidade; quem controla a rede conserva a autoridade sobre o recurso; a federação torna as duas respostas compatíveis.

Um novo campus podia entrar sem copiar senhas para um centro mundial e sem negociar configuração com cada membro anterior. Precisava ligar sua borda à hierarquia, cumprir as regras e sustentar a reciprocidade. A identidade não se tornou global. Tornou-se possível usar a validação local a distância.

Fontes

  1. eduroam, “From an idea to a global service”
  2. Perguntas frequentes do eduroam
  3. eduroam, “How does eduroam work?”
  4. GÉANT, Inter-NREN Roaming Technical Specification
  5. GÉANT, eduroam Policy Service Definition
  6. Internet Hall of Fame, Klaas Wierenga
  7. RFC 7585, Dynamic Peer Discovery for RADIUS/TLS
  8. RFC 7593, The eduroam Architecture for Network Roaming
  9. GÉANT, “Klaas Wierenga inducted into the Internet Hall of Fame”
  10. SURF, “eduroam: the killer app for the 21st-century internet”