Er is een enorme technology push van apparaten die netwerkconnectiviteit nodig hebben om de beloofde 'smart' toepassingen te leveren, zowel in de zakelijke markt, non-profit als in de consumentenmarkt. Denk maar eens aan slimme deurbellen, slimme verlichting, de magnetron, koffiemachine en de wasmachine die je via een app kunt bedienen of de status kunt bekijken, omvormers van zonnepanelen, etc.. In de zakelijke markt hebben we het over producten zoals koffiemachines, PIN-automaten, beveiligingscamera's, sensoren voor gebouw- of ruimtebeheer.
In onze doelgroep gaat het daarnaast over medische apparatuur, slimme sensoren, fitnessapparatuur, smart watches, VR-brillen, robots, digi- of smartboards en 3D-printers. Deze apparaten hebben allemaal (internet)connectiviteit nodig om te kunnen werken. Daarom worden ze ook wel Internet of Things (IoT)-apparaten genoemd. Deze trend past in de verwachte ontwikkelingen op basis waarvan SURF haar Smart Campusvisie heeft ontwikkeld.
In de media wordt al jaren bericht dat het met de beveiliging van IoT-apparaten vaak slecht gesteld is. Dit heeft deels te maken met het gedrag van de gebruiker (admin-wachtwoord niet aanpassen), maar ook aan de technische mogelijkheden in het apparaat zelf. Dit brengt serieuze veiligheidsrisico's met zich mee. Enerzijds kunnen kwaadwillenden grote hoeveelheden IoT-apparaten gebruiken om DDoS-aanvallen te genereren. Anderzijds kan het een mogelijke ingang bieden tot de infrastructuur van een organisatie met alle gevolgen van dien. Alhoewel de Europese commissie van plan is om in 2024 eisen te stellen aan fabrikanten van smart devices, zullen er voorlopig kwetsbare systemen in omloop blijven gaan en zijn er geen garanties te geven over nieuwe apparaten.
Voor onze doelgroep is het dus van groot belang dat er een oplossing is die ervoor zorgt dat IoT-apparaten op een veilige, herleidbare, maar ook voor de gebruiker makkelijke manier, kunnen worden aangesloten op het netwerk.
Het gebruik van IoT-apparaten binnen instellingen groeit fors. Al deze apparaten hebben veilige connectiviteit nodig, zonder ingewikkelde handelingen te hoeven uitvoeren. Daarvoor zijn als basis verschillende technologieën beschikbaar, zoals LoRaWAN, 5G, WiFi en Bluetooth Low Energy. De SURF-dienst iotroam richt zich in eerste instantie op connectiviteit via WiFi. Voor (IoT) apparaten die 802.1X-authenticatie ondersteunen, is het duidelijk hoe ze op een veilige manier kunnen aansluiten op het netwerk. Door gebruik te maken van een “device-bound credential” kunnen clients/apparaten zich veilig authentiseren met behulp van een sterke gebruikers- en/of apparaatidentiteit. SURF biedt hiervoor eduroam.
Veel IoT-apparaten zijn niet in staat om netwerkbeveiligingsfunctionaliteit zoals 802.1X te ondersteunen, of wil men geen (gedeelde) user accounts hiervoor aanmaken uit beveiligingsoverweging, technisch dan wel beleidsmatig. Echter, als IoT-apparaten zonder authenticatie en onbeheerd worden aangesloten op het netwerk, levert dit beveiligingsrisico’s op: ongewenste apparaten of apparaten van ongewenste personen of organisaties kunnen toegang krijgen tot het netwerk. Anderzijds moet het voor de gebruiker van IoT-apparaten eenvoudig zijn om de apparatuur te gaan gebruiken, zodat ze zodat ze de aandacht aan het apparaat en de toepassing kunnen schenken. iotroam is een oplossing om IoT-apparatuur veilig en makkelijk online te krijgen.
iotroam biedt instellingen voordelen van gemakkelijk gebruiken van IoT-apparatuur in facilitair, onderwijs en onderzoek zonder tussenkomst van de ICT-afdeling.
Daarnaast biedt iotroam de ICT-organisatie van de instellingen de volgorde voordelen:
De dienst kan worden gezien als een verlengde van eduroam en eduroam Visitor Access. Door iotroam af te nemen kunnen instellingen zich vooral focussen op de use-cases die ze met de IoT-apparatuur willen ondersteunen, dan het zelf managen van een toegangsplatform voor IoT-apparaten.
iotroam valt binnen de Smart Campusvisie van SURF. iotroam maakt het veilig gebruik van smart- of IoT-apparatuur binnen de campus WiFi-infrastructuur mogelijk. Daarmee vormt het een basis om de Smart Campus verder te ontwikkelen.
iotroam is opgezet om ook ‘roaming’-use cases en –functionaliteit te kunnen bieden in de toekomst, waarbij op IoT-vlak makkelijker samengewerkt kan worden tussen instellingen. Ook zijn er ideeën om iotroam breder in te zetten dan alleen voor WiFi. Daarbij kan gedacht worden aan connectivity provisioning voor sensoren op LoRaWAN, BLE, NB-IoT of andere 5G-technologieën. Verder kan het geïntegreerd worden met SURFwireless en in de toekomst SURFwired, als onderdeel van SURF CNaaS.
Met iotroam biedt SURF deelnemende instellingen de mogelijkheid om IoT-apparaten die geen gebruik kunnen maken van eduroam om toch te verbinden met het WiFi-netwerk van de instelling. Bij eduroam is altijd een gebruikersnaam/wachtwoord of certificaat op het apparaat nodig om online te komen. iotroam voorziet in de behoefte om apparaten te kunnen verbinden die deze mogelijkheid niet hebben en alleen WPA2-personal met PSK (Pre Shared Key) kunnen gebruiken.
Het voordeel van iotroam ten opzichte van een commerciële oplossing is dat iotroam is opgezet met de toepassing in onderwijs en onderzoek en daardoor schaalbaar is opgezet en gemaakt voor alle instellingen. Er is geen lock-in met een productleverancier en flexibiliteit in verdere ontwikkeling van functionaliteiten. Zo werkt iotroam vanaf het begin al met groepen voor diverse toepassingen (facilitair, onderwijs, onderzoek, lab, etc.). Per groep is het dan mogelijk policies toe te passen, waardoor de ICT-afdeling in control komt waar in het netwerk deze apparaten verbinden en wie er verantwoordelijk is voor het apparaat. Dit verhoogt de beveiliging bij het gebruik van IoT-apparatuur.
We onderscheiden op dit moment 2 verschillende rollen binnen iotroam. De ene is gericht op ICT-beheerders en de andere op gebruikers van IoT-apparatuur. Deze worden hieronder verder uitgewerkt.
De ICT-beheerders van een instelling die gebruik maakt van iotroam zijn verantwoordelijk voor de technische inrichting van de dienst binnen de instelling. Zij hebben in SURFconext de rol AAIVerantwoordelijke of iotroam-beheerder. Bij het aansluiten van de dienst dient de beheerder een aantal acties uit te voeren en moeten er ontwerpkeuzes gemaakt worden over groepen en VLAN’s, in combinatie met IP-adressen. De beheerder heeft binnen iotroam o.a. de mogelijkheid om:
Er is een beheerdershandleiding beschikbaar.
Een gebruiker met IoT-apparatuur, voorbeeld een docent, student of onderzoeker, heeft de mogelijkheid om via het self serviceportaal:
Onderstaande afbeelding geeft globaal weer hoe iotroam werkt voor een gebruiker.
Vanuit gebruikersperspectief vinden er 5 stappen plaats, die ook in de afbeelding zijn aangegeven:
Er is een gebruikershandleiding in het Nederlands en Engels beschikbaar.