150 Piazze Wi-Fi. Unidata S.p.A. Una iniziativa Unidata e Wired

Transcript

1 Allegato 4 all Accordo di adesione alla fase sperimentale del progetto "150 Piazze Wi-Fi" relativo alla fornitura a titolo di comodato gratuito di apparecchiature hardware e correlato software di gestione degli accessi ad Internet Una iniziativa Unidata e Wired 150 Piazze Wi-Fi Unidata S.p.A.

2 Sommario Piazze Wi-Fi L Azienda UNIDATA Descrizione tecnica del progetto Tunnel Layer 2 cifrato Copertura radio Wi-Fi Kit Access Point Centro Servizi Ciclo di autenticazione... 8 Pagina 2 di 10

3 1 150 Piazze Wi-Fi L iniziativa 150 piazze Wi-Fi è promossa da Unidata e Wired. Prevede, in fase sperimentale per tutto il , la fornitura a 150 Comuni Italiani di quanto necessario per realizzare una copertura Wi-Fi di accesso internet gratuito, ad esempio: in una piazza a scelta del Comune. L iniziativa è stata lanciata per commemorare il 150imo dell unità d Italia e per mettere in evidenza che il nostro paese ha bisogno di una forte spinta di tutti per l inclusione digitale, sia di tipo infrastrutturale (larga banda e ultra-larga banda) e sia di tipo culturale, ovvero una maggiore diffusione della conoscenza e della consuetudine d uso delle tecnologie digitali per tutte le età e i ceti sociali. Il Comune dovrà soltanto avere a diposizione un accesso a Internet, ad esempio una ADSL, in prossimità del luogo di copertura. Non ha importanza chi è l operatore utilizzato per la linea Internet, ne vi sono problemi di sicurezza informatica introdotti dal servizio Wi-Fi, i dettagli sono riportati di seguito. Il servizio sarà gratuito per i cittadini, con una limitazione di 2 ore al giorno. Vogliamo chiarire che il servizio fornito non è in concorrenza con gli operatori di telecomunicazione che forniscono servizi ADSL o altro, ma è una valorizzazione del territorio e un contributo della amministrazione locale alla diffusione della innovazione e di Internet. La promozione è riservata ai primi 150 Comuni che ne faranno richiesta. Al termine della promozione, qualora il Comune fosse interessato a mantenere il servizio, potrà concordare il mantenimento dello stesso. 2 L Azienda UNIDATA UNIDATA è un Communications & Technology Provider, fra i primi Internet Service Operator in Italia ed ha una lunga esperienza nel settore, in particolare una specializzazione nei servizi Wireless e Wi-Fi per la copertura di aree digital-divided. L azienda è una operatore autorizzato di servizi di comunicazione elettronica, di servizi al pubblico Wi-Fi e operatore di telefonia vocale. UNIDATA garantisce professionalità e flessibilità, ed è in grado di offrire anche progetti complessi in ambito delle telecomunicazioni, ha realizzato dei progetti di copertura Wi-Fi pubblica molto importanti come Romawireless, Provincia di Roma, Surfinsardinia (Regione Sardegna), Wimove (Comune di Roma). L esperienza maturata è una garanzia per questa iniziativa e per le possibili evoluzioni. 1 fatte salve adesioni pervenute successivamente al 31 giugno 2011 per le quali verranno comunque assicurati 6 (sei) mesi di erogazione del servizio a partire dalla data di spedizione del Kit Wi-Fi Pagina 3 di 10

4 Un particolare caratteristica di Unidata è di aver proprie infrastrutture, sia come Internet Data Center, sia di disporre di reti fisiche in fibra ottica e wireless; tutto questo consente la gestione dei servizi con la massima flessibilità ed efficienza. 3 Descrizione tecnica del progetto L area pubblica Wi-Fi per accesso internet, si realizza attraverso l installazione di un dispositivo Access Point, che controllato a distanza da un centro servizi, è in grado di dare accesso alla rete internet ad utenze nomadiche equipaggiate di dispositivi portatili con Wi-Fi (notebook, smart phone, tablet, ecc.) previa registrazione ed autenticazione necessari per legge. Con gli Access Point si realizza la copertura radio Wi-Fi, ovvero un area da circa 100 metri di raggio all esterno. La rete Wi-Fi è identificata da un cosiddetto SSID (Service Set IDentifier) che è riconosciuto dai dispositivi mobili degli utenti, l SSID con cui è identificato il servizio è W150.nome, dove nome è il nome del Comune. Il ruolo del centro servizi è quello di effettuare il controllo delle funzionalità dell Access Point e di identificare le utenze che vi si associano gestendone l intero processo di registrazione e autenticazione oltre che di essere anche il punto di connessione alla Public Internet. Il collegamento logico tra Access Point e il centro servizi è previsto attraverso l implementazione di opportuni collegamenti detti Tunnel Layer 2 cifrati facendo uso di connessioni internet già esistenti. Pertanto il dispositivo Access Point dovrà essere installato su linee di tipo xdsl o reti locali LAN avente libera navigazione ad internet. All interno del tunnel è veicolato tutto il traffico IP originato dall Access Point. Di seguito si riporta lo schema logico descritto: Access Point Area Wi-Fi Centro servizi Unidata Centro Servizi Utente wireless INTERNET Collegamento internet dedicato all Access Point Tunnel INTERNET Ente Territoriale Nazionale Uscita verso internet utente wireless autenticato Pagina 4 di 10

5 3.1 Tunnel Layer 2 cifrato Il Tunnel Layer 2 cifrato è realizzato con OpenVPN tra l Access Point e il Wireless gateway installato presso il centro servizi. OpenVPN è un programma, con licenza open source, usato per creare tunnel crittografati punto-punto sia di livello 2 che di livello 3 dello stack OSI fra due host, usa in modo massiccio le librerie di cifratura OpenSSL e protocollo SSLv3/TLSv1 per la cifratura sia del canale dati che del canale di controllo. Il Tunnel con OpenVPN è stato progettato appositamente per connettere due reti IP distinte all interno di un'unica rete IP facilitando il compito di configurazioni per attraversamento di firewall. Nella nostra proposizione, il tunnel è utilizzato come collegamento WAN virtuale tra la sede fisica del centro servizi e gli Access Point. Di seguito Vi proponiamo lo scenario logico proposto: Tunnel con OpenVPN Centro Servizi Centro Servizi INTERNET INTERNET Wireless ateway INTERNET Tunnel RADIUS Server Quando i Tunnel vengono instaurati essi sfruttano anche le proprietà di OpenSSL garantendo il trasporto del pacchetto IP layer 2 incapsulato per: integrità, autenticità e non ripudio. Il centro servizi, prima di registrare un Access Point e di accettarne il traffico da questo inviato richiede che lo stesso sia autenticato attraverso una fase di handshaking nella quale sono scambiati dei certificati volti alla dimostrazione di autenticità dei due sistemi. Il sistema, inoltre, fa uso di una crittografia a doppia chiave, o asimmetrica, in cui una delle due chiavi viene resa pubblica all'interno del certificato (chiave pubblica), mentre la seconda, univocamente correlata con la prima, rimane segreta e associata al titolare (chiave privata). Se l Access Point si autentica con il centro servizi, tutto il traffico IP eventualmente inviato e criptato viene processato; in caso contrario è bloccato. Pagina 5 di 10

6 L instaurazione del tunnel avviene senza problemi dietro NAT e nel caso sia presente un firewall devono essere permesse le seguenti regole: consentire il traffico verso l IP pubblico del Server VPN; consentire il traffico UDP porta 123 verso internet (protocollo NTP per la sincronizzazione dell orario dell AP); consentire il traffico TCP porta 80 verso internet (vengono contattati alcuni siti web per la sincronizzazione dell orario dell AP); 3.2 Copertura radio Wi-Fi La copertura radio prodotta dall Access Point è una copertura di tipo Wi-Fi in b/g che consente una velocità massima di trasmissione dati (bit rate) pari a 11Mbps con lo standard b e 54 Mb/s con lo standard g. La trasmissione e ricezione wireless (Tx / RX) opera sui 2.4 GHz, con potenze di trasmissione pari a 100 mw. L E.I.R.P massimo consentito delle norme ETSI è di 100 mw (20 dbm). Il raggio di copertura di un singolo Hot Spot varia da 50mt per uso interno a 250mt per uso esterno. Il protocollo IEEE consente inoltre: di poter variare la velocità di trasmissione dati per adattarsi al canale; la possibilità di scelta del canale; la possibilità di scelta automatica dell'access Point in funzione della potenza del segnale e del traffico di rete; La tabella seguente illustra il campo di frequenze utilizzato con la relativa canalizzazione: Tale campo opera su frequenze libere (non è richiesta licenza). Pagina 6 di 10

7 Dal punto di vista della modulazione dei segnali radio, viene utilizzato il sistema DSSS (Direct Sequence Spread Spectrum), uno standard internazionale e recepito dalle normative di legge in vigore. Il sistema DSS consente di irradiare segnali radio Wi-Fi senza interferire con altri sistemi radio quali: reti telefoniche cellulari (GSM, UMTS, ecc.), reti radiofoniche e televisive, altre reti Wi-Fi, ecc. Il riconoscimento dell area Wi-Fi su cui collegarsi è affidato all SSID. 3.3 Kit Access Point Viene spedito un kit che contiene: Wi-Fi Access Point ed alimentatore; Cavo da esterno da 20 metri per collegamento alimentatore-acces Point; Cavo da interno per collegamento router-alimentatore; Adesivi per la segnalazione del servizio; Manuale di istruzione; L Access Point in dotazione è di tipo interno o esterno, di seguito l immagine dell Access Point e schema di collegamento: E a disposizione un help-desk di supporto alla installazione e manutenzione al numero Centro Servizi Il centro servizi è costituito da una piattaforma di ultima generazione capace di gestire servizi al Pubblico in Wi-Fi a norma di legge. Pagina 7 di 10

8 La fornitura di servizi di comunicazione elettronica su rete pubblica Wi-Fi impone di affrontare e risolvere due ordini di problemi: Giuridici. o Disposizioni normative che regolamentano le condizioni di rilascio della autorizzazione per la fornitura al pubblico dell accesso RADIO-LAN alle reti e servizi di telecomunicazioni (Decr. Min. Comunicazioni del 28 maggio 2003 e succ. modif., D.lgs n.259/03). o Disposizioni normative che regolamentano condizioni per la tracciabilità e l identificazione degli utenti che accedono a reti di telecomunicazione (decreto PISANU D.l n. 144/05 conv. in L. n. 155/05, in questo momento l art. 7 è abrogato ma rimane la necessità di identificazione nel caso di servizi di telecomunicazione al pubblico). Tecnici. o Progettare reti di accesso Wi-Fi e sistemi di autenticazione conformi alle disposizioni di legge. A tal proposito, Unidata è operatore di telecomunicazioni con relativa licenza e il centro servizi proposto, rappresenta la piattaforma tecnologica chiave per l erogazione del servizio di accesso ad internet pubblico in Wi-Fi. Tale piattaforma, proprietaria, è in grado di gestire la procedura di accesso ed autenticazione delle utenze wireless come richiesto dalle normative di legge e contestualmente erogare il servizio di connettività internet e di gestione del data base utenze in ottemperanza alle normative sulla privacy. Attraverso il centro servizi, gli elementi chiave sono trattati dal sistema di gestione: Access Point, utenti, anagrafiche degli utenti nomadi, traffico internet. 3.5 Ciclo di autenticazione L utente che per la prima volta intende utilizzare il servizio di accesso ad internet pubblico in modalità Wi-Fi è obbligato dal sistema a seguire un ciclo di registrazione di nuova utenza e ottenere le credenziali di accesso. Il sistema infatti provvede all erogazione del servizio di accesso ad internet solo ed esclusivamente a soggetti con credenziali di accesso certificate e valide per un uso temporale non superiore a 12 mesi rispetto alla data di rilascio. Pagina 8 di 10

9 Gli utenti che hanno già provveduto alla registrazione, accedono al servizio inserendo il proprio account (UserID e Password) in uno qualsiasi degli Hot Spot del network. Qualora le credenziali di accesso siano scadute (le credenziali hanno una validità pari a 12 mesi), è necessaria una nuova registrazione. Nello specifico, il ciclo di autenticazione e di accesso al servizio è così strutturato: 1. L utente si associa ad uno degli hot spot di accesso alla rete Wi-Fi, ottiene un indirizzo IP pubblico del network di Unidata, ma tutto il traffico diretto verso la rete internet è bloccato dal Wireless Gateway. 2. Il sistema intercetta richieste di accesso a siti WEB (es. aprendo una qualsiasi pagina in Internet Explorer e/o Firefox) e all utente è presentata automaticamente una Start Page che lo invita alla registrazione richiedendo di inserire la propria anagrafica (Nome, Cognome, data di nascita, indirizzo, ) e numero di telefono cellulare associato alla SIM Card di sua proprietà; 3. Viene richiesto all utente di fare una telefonata dal telefono mobile, utilizzato per la registrazione, ad un numero di rete fissa con identificatore di chiamata attivo (CLI); 4. Il sistema fa cadere la chiamata dopo pochi squilli (nessun costo per l utente) ed estrae l identificatore di chiamata (CLI); 5. Se il CLI coincide con quello dichiarato dall utente nella registrazione, il sistema assume lo UserID (numero telefonico della SIM) e fornisce la Password, altrimenti non avviene la registrazione. Di seguito riportiamo una raffigurazione grafica della Start Page : Pagina 9 di 10

10 Di seguito riportiamo una raffigurazione grafica della pagina di registrazione nuova utenza: I dati di identificazione e di accesso agli Access Point Wi-Fi sono mantenuti da Unidata come richiesto dalla normativa vigente sulla privacy. Il sistema di autenticazione è gestito attraverso un server RADIUS e il ciclo di accesso e di registrazione nuova utenza, funziona con ogni Client che ha disposizione un Web Browser che supporti HTTPS. Il servizio di accesso a internet è sempre disponibile e gratuito per un massimo di 120 minuti al giorno, il valore massimo è comunque personalizzabile. Scaduto il tempo a disposizione, il sistema ne blocca l accesso e abbatte il collegamento eventualmente attivo. Pagina 10 di 10