De blinde vlek van WPA2-Enterprise

Waarom eduroam en publicroam botsen met de AVG

Het idee achter netwerken als eduroam en publicroam is noemenswaardig: overal makkelijk, veilig en versleuteld online zijn via dezelfde inloggegevens. Maar onder de motorkap rammelt het. Wie dieper graaft, stuit op een pijnlijke realiteit: het systeem is gebouwd op verouderde technologische fundamenten die lijnrecht ingaan tegen de geest van de Algemene Verordening Gegevensbescherming (AVG).

WPA2-Enterprise wordt al jaren gepresenteerd als de gouden standaard voor wifi-beveiliging. Waar traditionele gastnetwerken werken met een gedeeld wachtwoord dat op elk prikbord hangt, dwingt Enterprise-authenticatie af dat elke gebruiker inloopt met unieke credentials (een gebruikersnaam en wachtwoord, vaak gekoppeld aan een RADIUS-achtergrondstructuur). Veilig voor het netwerk? Zeker. Veilig voor de gebruiker en diens privacy? Dat is een heel ander verhaal.

De achilleshiel: Identificeerbare vaste inlognamen
Het fundamentele probleem zit in de manier waarop de authenticatie is ingericht. Bij netwerken als eduroam (gebruikt binnen het onderwijs en onderzoek) en publicroam loggen gebruikers in met een vaste identiteit, vaak direct herleidbaar tot een persoon of uniek studenten- en medewerkersnummer (zoals s1234567@instelling.nl of een echte naam in een e-mailadres).

Hoewel de dataoverdracht via de WPA2-luchtversleuteling wordt beschermd, stuurt het apparaat van de gebruiker in de initiële verbindingsfase (de EAP-handshake) gegevens mee. Zelfs als er gebruik wordt gemaakt van een anonymous outer identity, verzuimen gebruikers of configuraties dit correct in te stellen, of lekt de werkelijke identiteit als gebruikers handmatig moeten inloggen.

Kwetsbaar voor de 'Evil Twin'
Dit brengt ons bij een actieve dreiging: de Evil Twin-aanval. Omdat WPA2-Enterprise sterk leunt op de medewerking van het client-apparaat om het juiste netwerk te herkennen, kan een kwaadwillende een malafide access point optuigen met exact dezelfde netwerknaam (SSID).

Als een gebruiker – al dan niet door automatisch verbinden – op zo'n vervalst netwerk belandt of nog erger een onjuiste certificaatwaarschuwing wegklikt (iets wat op mobiele apparaten schrikbarend vaak gebeurt), kan de aanvaller de inlogpoging onderscheppen. Omdat deze inlognaam statisch is en direct herleidbaar is tot een individu, vis je niet zomaar een willekeurige sessiecode op; je oogst direct de unieke sleutel tot iemands digitale identiteit binnen de instelling. Wat het Evil Twin netwerk dus sowieso binnenhaalt is het mac adres en inlognaam zonder enige actie van de gebruiker.

Waar is de privacy-by-design?
Hier wringt de schoen met de AVG. De privacywet verplicht organisaties tot privacy by design en data minimalisatie. Het uitzenden en opvangen van statische, herkenbare persoons identificatoren via de ether – waar iedereen met een laptop en een Wi-Fi-sniffer passief of actief naar kan luisteren – is vanuit privacy-oogpunt eigenlijk onverdedigbaar.

Waar we op het web al jaren overstappen op geanonimiseerde tokens, passkeys en tijdelijke sessie-identificaties (om tracking en sniffing tegen te gaan), lijken massale roaming-netwerken te leunen op technologische standaarden uit begin 2000. Het resultaat is een semi-permanente digitale vingerafdruk die door de lucht galmt zodra een gebruiker met zijn telefoon op zak langs loopt.

Tijd voor modernisering (WPA3 en Pseudonimisering)
Het argument dat "het netwerk versleuteld is" is niet langer voldoende om de AVG-risico's af te dekken. Als de infrastructuur zo is ingericht dat een kwaadwillende met een Evil Twin-setup een persoonlijke, herleidbare inlognaam kan ontfutselen, schiet de beheerder tekort in zijn zorgplicht.

Organisaties en beheerders van dit soort infrastructuren moeten door de zure appel heen bijten. Oplossingen liggen voor de hand, maar vergen ombouw:

• Verplichte geautomatiseerde onboarding: Het weren van handmatige invoer door tools zoals geteduroam of unieke, tijdelijke certificaten (EAP-TLS) te verplichten die géén plaintext of statische gebruikersnamen prijsgeven.
• Pseudonimisering van identiteiten: Het volledig uitfaseren van herkenbare string-namen in de RADIUS-architectuur ten gunste van roterende pseudoniemen.
• Strenge client-side validatie: Het onmogelijk maken dat apparaten klakkeloos verbinden met netwerken waarvan het servercertificaat niet klopt.

Zolang eduroam, publicroam en vergelijkbare Enterprise-oplossingen blijven leunen op statische, persoonsgebonden inlognamen die via de ether te onderscheppen zijn, blijven ze een privacy-tijdbom onder de AVG.
Veiligheid op papier is geen garantie voor bescherming in de praktijk.