EAP-SIM and EAP-AKA
siglaredesProvedores e telecomsegurança
Significa: EAP methods for GSM SIM (RFC 4186, Type 18) and UMTS Authentication and Key Agreement (RFC 4187, Type 23)
Os métodos EAP que deixam o SIM de uma operadora móvel autenticar um dispositivo numa rede: o EAP-SIM (RFC 4186, Type 18) com credenciais GSM e o EAP-AKA (RFC 4187, Type 23) com o Authentication and Key Agreement do USIM do UMTS.
A RFC 4187 (Arkko, da Ericsson, e Haverinen, da Nokia, janeiro de 2006, Informational) especifica o EAP-AKA, EAP Type 23. A autenticação roda a mesma troca AKA que a rede móvel usa: o centro de autenticação da operadora produz um desafio aleatório (RAND) e um token de autenticação (AUTN), o USIM no dispositivo confere o token e devolve um resultado (RES), e os dois lados derivam chaves; a rede é autenticada perante o SIM tanto quanto o SIM perante a rede. A RFC o posiciona diante do EAP-SIM da RFC 4186, EAP Type 18, que usa os algoritmos GSM, com chaves substancialmente mais longas e autenticação mútua como as diferenças. Ambos oferecem privacidade de identidade opcional por pseudônimos, para que a identidade permanente não vá em toda conexão, e reautenticação rápida, para que um dispositivo recém-autenticado reconecte sem uma ida à operadora de origem. São os métodos sob o offload e o roaming de Wi-Fi das operadoras: a credencial é o SIM que o assinante já tem, o servidor de autenticação é o da operadora e a rede visitada é um autenticador pass-through como em qualquer implantação 802.1X.
Um celular carrega uma credencial projetada desde o início para autenticação remota, o SIM, e estes dois métodos EAP deixam uma rede Wi-Fi usá-la. A RFC 4187, publicada em janeiro de 2006 por Arkko, da Ericsson, e Haverinen, da Nokia, como documento Informational, especifica o EAP-AKA no EAP Type 23, o método EAP para o Authentication and Key Agreement do UMTS; sua companheira RFC 4186 especifica o EAP-SIM no Type 18 para as credenciais GSM mais antigas. Ambos embrulham uma troca que a rede móvel já executa: o centro de autenticação da operadora gera um desafio aleatório, RAND, e, no caso AKA, um token de autenticação, AUTN; o (U)SIM no dispositivo calcula uma resposta, RES, e chaves de sessão; e o servidor compara. No AKA o token deixa o SIM verificar que o desafio veio da própria operadora, de modo que a autenticação é mútua.
A RFC 4187 enuncia as diferenças em relação ao EAP-SIM como chaves substancialmente mais longas e autenticação mútua, que é um jeito educado de dizer que os algoritmos GSM tinham as fraquezas que o GSM tinha, e que o EAP-AKA é o método para o qual as operadoras migraram conforme os USIMs se tornaram universais. Os dois métodos acrescentam dois recursos sobre a troca celular. A privacidade de identidade deixa o servidor emitir pseudônimos para que a identidade permanente do assinante não seja transmitida em toda conexão, o que importa num meio de rádio em que o primeiro pacote de Identity do EAP vai em claro. A reautenticação rápida deixa um dispositivo autenticado há pouco reconectar usando chaves derivadas da execução anterior, sem outra ida ao centro de autenticação da operadora de origem, que é o que torna tolerável a troca entre pontos de acesso.
A arquitetura é 802.1X puro. O ponto de acesso ou a controladora é um autenticador pass-through; a conversa RADIUS viaja, muitas vezes por proxies e cruzando fronteiras entre operadoras, até um servidor capaz de alcançar o centro de autenticação de origem do assinante; a rede visitada só fica sabendo que a resposta foi sim e quais atributos de autorização a rede de origem resolveu enviar. Tudo o que faz o roaming funcionar na camada celular, as operadoras de origem e visitada e os acordos entre elas, reaparece aqui na camada Wi-Fi, e os proxies AAA no meio são onde mora a engenharia.
Para quem projeta redes corporativas os métodos são sobretudo algo a reconhecer, não a implantar: aparecem quando um serviço de offload ou roaming de operadora é hospedado numa rede de empresa ou de um local de eventos, quando o suplicante de um dispositivo os oferece na lista de métodos e nos logs de qualquer proxy RADIUS que participe de um serviço assim. Onde são implantados, as perguntas operacionais são as que a própria RFC 4187 levanta: se pseudônimos são emitidos para que identidades não vazem, como a reautenticação rápida é limitada e como o caminho até a operadora de origem é protegido, que é onde entram o RadSec e as federações de roaming.
Também conhecido como: eap-sim, eap-aka, sim authentication, usim