Internetzugang am Studienplatz "sicher" machen

[chillmensch]

Hi Leute,

ich betätige mich in einer studentischen IT-Sicherheitsinitiative und wir arbeiten derzeit an einem Projekt zur Verschlüsselung des WLAN-Traffics an unserem "Thoerie-Standort" (aus sicherheitsgründen mal unerwähnt ).

Das Problem: Ein externer Dienstleister stellt den WLAN-Zugang zur Verfügung, die WLAN-Verbindungen sind >>ALLE<< unverschlüsselt. Somit ist es ein leichtes für technisch versierte Nutzer in einer Vorlesung eine Menge Login-Daten von anderen mitzuscheiden, aber auch außen stehende könnten sich ins Haus setzen und alles mitschneiden.

Der Dienstleister wird das WLAN nicht verschlüsseln, deshalb haben wir uns die Lösung über einen OpenVPN-Server überlegt, auf den sich die Leute einloggen müssen, um ins Internet zu gelangen. Die Kommunikation wird dann über TLS verschlüsselt. Problem ist, dass viele Studenten mit Firmen-Notebook unterwegs sind und keine administrativen Rechte zur Installation des OpenVPN-Clients haben.

Kennt ihr vielleicht eine komplett andere Lösung für das Problem, oder wisst ihr wie man eine Verbindung über den OpenVPN-Server aufbauen kann ohne administrative Rechte?

Danke schonmal
/chillmensch

Update: Wie sieht es eigtl. mit einem Proxy aus... Mit Putty ist es ja z.B. möglich, SSH-Tunnel aufzubauen, dafür braucht man keine Adminrechte...

[Takato]

Das Problem mit diesen Verschlüsseln ist, dass dann wahrscheinlich jeder den gleichen Schlüssel hat.
Desshalb bringt es garnix, euer WLAN mit WPA2 zu verschlüsseln und dann in der DVZ oder wie das bei euch heißt, das passwort auszuhängen.
Die einzig brauchbare Lösung ist ein VPN oder nur https verbindungen zu nutzen.
so seh ich das jedenfalls

[chillmensch]

Also eine weitere Möglichkeit wäre, das WLAN mindestens per WEP zu verschlüsseln und die Authentifizierung läuft derzeit über eine "Login-Seite". Auch wäre ein RADUIS-Server möglich, nur der externe Dienstleister wird daran nichts ändern, weil dafür kein Geld ausgegeben wird... :-/

[schmidtsmikey]

Bei der Uni Kassel gibt es eine VPN-Lösung, da es absolut sinnvoll ist. Somit können nur Berechtigte, also Studenten, Professoren, etc, die Internet-Verbindung nutzen. Schließlich sollen die Studenten mit einer ordentlichen Performance auf's Netzwerk zugreifen. Wenn die ganze Stadt über's Uni-Netz surft, ist das nicht mehr gegeben!

[chillmensch]

Also ne Authentifizierung ist gegeben über eine Login-Seite, die beim ersten Zugriff auf das Internet geladen wird. Allerdings kann man die Login-Daten ja auch mitsniffen^^

Und was machen bei euch Studenten, die keinen VPN-Client installieren können, weil ihnen die Adminrechte fehlen?

[schmidtsmikey]

Die Hardware, die von Deiner Uni bereitgestellt wird, sollte doch von Admins eingerichtet werden. Die anderen Studenten, die mit eigener Hardware ankommen, sollten doch administrative Rechte haben. Ich fahre doch auch nicht zur Werkstatt und sagen denen: "Tja, fahren darf ich das Auto, aber die Motorhaube öffnen darf ich nicht. Da habe ich keine Rechte für"

[chillmensch]

Nein nein du hast das falsch verstanden. Ich mache ja ein duales Studium (Ausbildung + Studium gleichzeitig) und dort gibt es nur duale Studiengänge. Von der Einrichtung wird keine Hardware gestellt, viele Studenten bringen Laptops aus den Betrieben mit und auf denen haben sie keine Admin-Rechte.

Habe mal mit einem unserer Sysadmins gesprochen, um wenigstens das "surfen" zu verschlüsseln kann man zumindest einen https-proxy einrichten.

[schmidtsmikey]

Dann müssen die Studenten zu den Admins der jeweiligen Firma gehen, damit die das einrichten. Es ist beispielsweise auch mein Job dafür zu sorgen, dass die Anwender die Anwendungen nutzen können, die benötigt werden.

[chillmensch]

Das ist in der Regel möglich, aber es gibt z.B. auch in meiner Studiengruppe schon drei Ausnahmefälle: diese Leute arbeiten bei Dataport und die bekommen dort aus sicherheitsgründen keinerlei Ausnahmeregelungen, wenn nicht ein sehr triftiger Grund vorliegt. Und jeder Grund kann dadurch widerlegt werden, dass ein Laptop nicht zwingend nötig ist für das Studium...

[Zuujin]

Und jeder Grund kann dadurch widerlegt werden, dass ein Laptop nicht zwingend nötig ist für das Studium...

Moin, dann würd ich genau da ansetzen. Irgendwo muss man halt nen Schlussstrich ziehen. WLAN wird per VPN abgesichert, wer keinen Client einrichten (lassen) kann, hat Pech gehabt und muss sich halt nen eigenen Laptop kaufen oder ganz drauf verzichten. Denn eine technische Lösung die weder am WLAN selbst noch ohne Clientmodifikation (oder nur ohne Admin-Rechte) funktioniert, fällt auch mir nicht ein. MAC-Filter beispielsweise lassen sich zu einfach aushebeln.

Grüße,
Zuujin

[Takato]

Man kanns der Firme doch auch sagen: Gut, dann keine verschlüsselungssoftware, dafür übernehme ich aber keine Haftung, wenn die Daten im WLAN der Hochschule gesnifft werden.
Das is halt das Prob. jeder muss da seine eigene lösung finden, da nicht jeder windoof drauf hat oder dies oder das nicht funktioniert...

[Joyrider]

Ich würds auch über VPN und/oder SSH-Tunnel machen.