İki giriş yoxlaması iki faktor deyil: VPN və RADIUS

VPN şlüzünə ikinci autentifikasiya arxa planı əlavə etmək ikinci faktor əlavə etmək kimi hiss olunur. Amma adətən ikinci yoxlama əlavə edir, bu isə fərqli uğursuzluq rejimləri olan fərqli obyektdir. Hər ikisinin uğurlu olmalı olub-olmaması, hər birinin nəyi sübut etməsi və biri əlçatmaz olduqda nə baş verməsi üç ayrı qərardır. Bunları səhv etsəniz, şlüz nümayişdə daha sərt, kəsinti zamanı isə daha zəif olur.

İkinci arxa planın həqiqətən sübut etdiyi

Yerli hesab axtarışı bir adın verilənlər bazasında mövcud olduğunu və parolun ona uyğun gəldiyini sübut edir. RADIUS mübadiləsi isə onu sübut edir ki, RADIUS serveri aldığı atributlar üçün Access-Accept qaytarıb. Heç bir ifadə faktor növündən bəhs etmir, çünki hər ikisi biliyi yoxlayır. Və NIST rəqəmsal kimlik təlimatı fərqli faktor növlərini və onların autentifikatorlarını sayır, serverləri və ya sorğuları deyil.

Hər iki sistemin iştirak etdiyi qanuni bir dizayn var. Mərkəzi xidmət şəxsi autentifikasiya edə bilər, şlüz isə həmin hesabın bu tunelə hüququ olub-olmadığını müstəqil yoxlayır. Bu, autentifikasiyanın yanında gedən avtorizasiyadır və buna iki faktor demək siyasət yoxlamasını sahiblik sübutu ilə qarışdırır.

RADIUS əsl ikinci faktoru daşıya bilər, o, birini yoxlayan bir şeyin önündə dayandıqda, məsələn push təsdiqi və ya aparat tokeni. Zərf istifadəçinin hansı autentifikatorları göstərdiyini demir, ona görə şlüzün etiketini deyil, arxa plan siyasətini oxuyun.

AND, OR və ehtiyat fərqli məhsullardır

Tətbiqləri müqayisə etməzdən əvvəl tələbinizdə hər ikisinin nə demək olduğunu müəyyənləşdirin. AND siyasəti hər adlı yoxlamanın keçməsini tələb edir, OR siyasəti uğurlu olanı qəbul edir, ehtiyat isə ikincini yalnız göstərilən uğursuzluq şəraitində sınayır. Bu üçü kəsinti zamanı əks cür davranır və adətən yalnız biri rəyin nəzərdə tutduğu şeydir.

Konfiqurasiya ekranına iki arxa plan girişi əlavə etmək məhsulun hansı siyasəti tətbiq etdiyini göstərmir. Bəzi şlüzlər plaginləri sıra ilə zəncirləyir və ilk rəddə dayanır, bu isə yalnız hər plagin tələb olunduqda AND-dır. Digərləri yerli hesabı üstünlük kimi qəbul edir, bu da mərkəzi kəsintini yan keçməyə çevirir. Etibarlı cavab hər yol üçün sənədləşdirilmiş mənfi sınaqdır və yerləşdirdiyiniz build üzərində aparılmalıdır.

Ehtiyat ən çox şübhəyə layiqdir, çünki bir şey pozulduqda işləməyə davam etmək üçün mövcuddur. RADIUS əlçatmaz olduqda yerli parolu qəbul edən ehtiyat mərkəzi siyasəti ikinci, daha zəif qapıya çevirmişdir.

OpenVPN-in ikiqat yoxlaması konkret bir haldır

İcma OpenVPN 2.6 hər ikisi aktiv olduqda həm müştəri sertifikatı, həm də konfiqurasiya edilmiş auth-user-pass-verify skriptini tələb edir. Bu, sertifikat yoxlaması ilə etimad məlumatları skripti arasında sənədləşdirilmiş AND-dır və həqiqətən iki yoxlamadır. Yenə də avtomatik olaraq iki faktor növü deyil, çünki skript yalnız parolu yoxlaya bilər.

Birləşmə əlaqələndirmə sualını da açıq qoyur. Sertifikat adətən cihazı, etimad məlumatları isə şəxsi müəyyən edir və standart axında heç nə hər ikisinin eyni subyektə aid olmasını tələb etmir. Hansı cütlərə icazə verildiyini qərar verin, sonra bu xəritəni yoxlama skriptinin içində və ya sonrakı avtorizasiya addımında tətbiq edin.

Yalnız sertifikat rejimi tək yoxlamadır və PIN ilə qorunub-qorunmadığı bilinməyən açarla dəstəklənir. PIN eyni etimad məlumatını bilik üstəgəl sahibliyə çevirir, yalnız o halda ki, açar onsuz istifadə edilə bilməz. Açarı diskdə şifrəsiz qoymaq ikinci hissəni fayl icazəsinə endirir.

Cihaz satıcıları öz santexnikalarını qurur, çox vaxt veb konsolun arxasında PAM modulu və ya RADIUS plagini. İcma davranışı ikiqat yoxlamaların necə göründüyünə dair bir arayışdır, cihazın onları necə birləşdirdiyinin təsviri deyil.

Birləşməni öz şlüzünüzdə yoxlayın

Konsol xülasəsinə güvənməzdən əvvəl konfiqurasiyanı oxuyun. Siyasəti müəyyən edən sətirlər sertifikat rejimi, etimad məlumatları skripti və plagin sırasıdır.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep sertifikatın tələb olunub-olunmadığını və ondan sonra hansı skriptin işlədiyini göstərir və sıra adların təklif etdiyindən daha vacibdir. Sertifikat dump-u şlüzün görəcəyi kimliyi verir, o cümlədən əlaqələndirmə xəritəsi üçün lazım olan CN və seriyanı. RADIUS sınağı mənfi haldır: səhv parol Access-Reject, düzgün parol isə Access-Accept verməlidir. Əgər rədd edilmiş etimad məlumatı hələ də sessiya yaradırsa, skript ümumiyyətlə autentifikasiya yolunda deyil.

Sonra kəsinti halını laboratoriya nüsxəsində sınayın: tələb olunan arxa planı dayandırın və etibarlı etimad məlumatları ilə qoşulun. Gözlənilən nəticə rədddir, başqa hər şey isə heç kimin sənədləşdirmədiyi ehtiyat siyasətidir.

Tələbi mənfi hallar kimi yazın

İstifadəyə yararlı tələb sübutları, onları təqdim etməyə icazə verilən hesabları və yoxlayıcı olmadıqda nəticəni adlandırır. O, həmçinin cihaz kimliyi ilə şəxs kimliyi arasındakı icazəli cütləşməni göstərir. Bu, satınalma sifarişindəki məhsul adlarından daha dəqiqdir və sınaqdan keçirilə bilər.

Qəbul dörd rəddi əhatə etməlidir: uyğun olmayan yerli hesab, çatışmayan tələb olunan sübut, etibarsız ikinci faktor və əlçatmaz tələb olunan arxa plan. Hər rədd onu digərlərindən fərqləndirən bir log sətri tələb edir, əks halda növbəti insident təxminlə başlayır. Hansı komponentin hər qərarı verdiyini qeyd edin, çünki şlüz, RADIUS serveri və kataloq hər biri digər ikisini günahlandıracaq.

Hər hansı plagin və ya proqram təminatı dəyişikliyindən sonra dörd rəddi yenidən işə salın. Onlar ucuzdur və qoruduqları siyasət hücumçunun ilk yoxladığı hissədir.