Rapporto Tecnico, N. 34, giugno 2010

2.2

Autenticazione federata

Nel caso invece di voler procedere con l'autenticazione federata occorre basare il
sistema di autenticazione ed autorizzazione su una struttura diversa dalla tipologia
radius.
Innanzitutto il sistema di accesso deve prevedere un servizio (SP) inserito all'interno di
una federazione di autenticazione ed autorizzazione, nel caso specifico, la federazione
in questione è IDEM del Garr, alla quale il CNR ed il Ceris in particolare, ha partecipato
attivamente fin dalla sua fase iniziale risalente ad alcuni anni fa.
In una struttura di questo tipo esistono due elementi fondamentali: gli Identity Provider
(IdP) ed i Service Provider (SP). I primi incaricati della gestione digitale delle identità
ed i secondi fornitori di servizi ai quali accedere previa autenticazione presso la propria
istituzione, cioè presso il proprio IdP. Quest'ultimo fornirà al SP una serie di attributi
relativi all'utente autenticato, in base ai quali il SP deciderà se autorizzare o meno
l'accesso al servizio che l'utente sta richiedendo.
Nello specifico la Federazione IDEM del Garr è basata sullo standard Oasis Security
Assertion Markup Language (SAML) v2.0, su cui si basa il software open source
Shibboleth di Internet2, che permette implementare IdP e SP su piattaforme linux per
realizzare servizi di web single sign-on all'interno di federazioni e aderenti allo
standard.
In questo scenario, il server radius verrà sostituito da un SP inserito in federazione e
l'autenticazione dell'utente che sta accedendo alla rete wireless avverrà presso l'IdP della
propria istituzione, aumentando così il livello di sicurezza e privacy a livelli
paragonabili a quelli del protocollo 802.1x.
Questo amplia ovviamente anche il bacino dell'utenza che può accedere al servizio
wireless, senza necessità di cross-autenticazioni, essendo queste implicite nella
federazione, ma comunque filtrabili a livello di SP, potendo autorizzare o meno i singoli
utenti in base alla loro appartenenza istituzionale.

3. AUTENTICAZIONE FEDERATA IDEM (SAML2)

La soluzione prescelta è stata individuata tenendo conto di alcuni fattori quali mantenere
parallelamente l'autenticazione radius, rispettare alcuni vincoli dettati dal NSA-5500 e
non modificabili, ridurre al minimo l'intervento sugli script esistenti ma nello stesso
tempo introdurre una piattaforma distinta da quella .NET per poter implementare il SP
su piattaforma linux open source.
Volendo sfruttare la disponibilità di SP tra i pacchetti linux (distribuzione Ubuntu), si è
pensato attivare un server linux Apache con Shibboleth come SP, mettere la pagina

8