FortiGate VPN MFA: лакальны токен, RADIUS ці SAML?

Шлюз, бэкенд RADIUS або прайдайэр SAML могуць правяраць фактар, і кожны з іх адмаўляе па-рознаму. Узгадніце сэрвіс, кліент і шлях аднаўлення.

Кожны праект FortiGate VPN MFA спачатку адказвае на адно пытанне: хто правярае другі фактар? Сам шлюз можа зрабіць гэта лакальным токенам або кодам, дасланым па пошце, бэкенд RADIUS можа ўвесці яго і вярнуць выклік, а прайдайэр ідэнтычнасці SAML можа ўзяць на сябе ўсю цырымонію ў браўзеры. Кожны з іх дае розную паслядоўнасць уваходу, розны подпіс збою і розную працэдуру аднаўлення, а капіраванне блока каманд паміж імі стварае канфігурацыю, якая выглядае праўдападобна і не аўтэнтыфікуе нікога. Гэта артыкул пра механізм: што кожны праект рэальна робіць падчас уваходу і дзе ён ламаецца.

Цырымонія ўваходу вызначае, хто валодае фактарам

У першых двух праектах FortiGate — гэта бок, які давярае. Ён збірае ўліковыя даныя, вырашае, ці патрэбны другі фактар, і правярае яго лакальна або праз запыт выкліку. У трэцім праекце шлюз перастае быць правяральнікам і становіцца рэтранслятарам: ён перанакіроўвае кліента да прайдайэра ідэнтычнасці, атрымлівае сцвярджэнне і суадносіць пацверджаную ідэнтычнасць з карыстальнікам і групай. У праекце RADIUS ён паміж імі і вядзе абмен запыт-адказ з бэкендам, які трымае палітыку.

Гэтая розніца вызначае, якія доказы вы можаце сабраць. Калі шлюз правярае, яго ўласны вывад адладкі кажа вам, што адбылося. Калі правярае прайдайэр ідэнтычнасці, шлюз ведае толькі, што прыйшло сцвярджэнне, а адказ на пытанне «ці быў MFA сапраўды патрэбны» знаходзіцца ў журналах прайдайэра, а не ў журналах фар'еру. Чытанне не таго журнала — самы распаўсюджаны спосаб няправільна дыягнаставаць укараненне, якое працуе менавіта так, як задумана. Сам сэрвіс таксама абмяжоўвае цырымонію: FortiOS 7.6.3 выдаляе рэжым тунеля SSL VPN на карысць IPsec, а вэб-рэжым працягваецца як Agentless VPN на падтрыманых мадэлях, таму цырымонія, даказаная на адным сэрвісе, не з'яўляецца аўтаматычна даступнай на іншым.

Лакальная праверка: токены і коды, дасланыя па пошце

Фактары, якімі кіруе FortiGate, далучаюцца да аб'екта карыстальніка. FortiToken або дакументаваная інтэграцыя токена патрабуе рэгістрацыі, падтрыманай цырымоніі праверкі, ліцэнзавання там, дзе яно прымяняецца, і працэдуры замены. Код, дасланы па пошце, патрабуе працоўнага шляху SMTP і паштовай скрыні, да якой карыстальнік можа дабрацца да ўзнікнення тунеля; гэта залежнасць, якая не мае нічога агульнага з крыптаграфіяй і ўсё агульнае з тым, ці можа хто-небудзь увайсці.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Дастаўка пошты — частка даступнасці аўтэнтыфікацыі. Скрыня, дасяжная толькі праз VPN, стварае пятлю, якая ні для каго не развязваецца, а затрымка дастаўкі, тэрмін дзеяння кода і тайм-аўт аддаленай аўтэнтыфікацыі — гэта тры асобныя абмежаванні. Павышэнне аднаго не рамантуе недасяжную скрыню, і праект, які ніколі не правяраў пятлю, выявіць гэта падчас першага скіду пароля пасля свята.

Патрабаванні да гарантый таксама адносяцца сюды, да выбару прадукту. NIST SP 800-63B лічыць пошту непрымальнай для пазапаласной аўтэнтыфікацыі, таму разгортванне, якое заяўляе адпаведнасць, не можа выкарыстоўваць код, дасланы па пошце, як другі фактар, незалежна ад таго, наколькі гэта зручна. Наяўнасць функцыі на прыладзе не азначае, што функцыя адпавядае пэўнаму стандарту.

RADIUS: шлюз пытае, бэкенд вырашае

З RADIUS FortiGate адпраўляе ўліковыя даныя бэкенду, які валодае палітыкай фактараў. Абмен можа быць простым прыняццем або адхіленнем, а можа ўключаць выклік, на які кліент павінен адказаць, што азначае, што і VPN-сэрвіс, і кліент павінны падтрымліваць такую форму выкліку. Бэкенд, які патрабуе push-адабрэння, і кліент, які ўмее толькі дапісваць шасцізначны код да пароля, не сустрэнуцца пасярэдзіне.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Праверце бэкенд незалежна, перш чым вінаваціць тунель. Калі тэст authserver паспяховы, а ўваход праз VPN — не, розніца ў апрацоўцы выкліку, а не ва ўліковых даных, і адладка дэмана аўтэнтыфікацыі шлюза — гэта тое месца, дзе гэта бачна:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: браўзер пакідае шлюз

У праекце SAML кліент перанакіроўваецца да прайдайэра ідэнтычнасці, аўтэнтыфікуецца там і вяртаецца са сцвярджэннем, якое шлюз правярае супраць даверных адносін і адлюстравання груп. Шлюз ніколі не бачыць пароль або другі фактар, што адначасова і паляпшэнне бяспекі, і аперацыйнае ўскладненне: збой цяпер адбываецца ў сеансе браўзера, які фар'ер не можа праверыць.

Прыняцце сцвярджэння не даказвае, што прайдайэр патрабаваў MFA для гэтага ўваходу. Палітыка прайдайэра, якая прымяняе MFA да адных праграм і не прымяняе да іншых, дасць менавіта той уваход, які вы прасілі, і ні кроплі той гарантыі, якую вы меркавалі. Праверце палітыку прайдайэра для гэтай канкрэтнай праграмы і праверце, што сувязі груп, якія адлюстроўваюцца на групы FortiGate, па-ранейшаму супадаюць пасля любога перайменавання з любога боку.

Падтрымка кліента тут важная больш, чым дзе-небудзь яшчэ. Некаторыя VPN-кліенты апрацоўваюць перадачу браўзера натыўна, некаторыя адкрываюць сістэмны браўзер, а кліенты без графічнага інтэрфейсу або камандныя кліенты могуць зусім не завяршыць працэс. Тэстуйце з кліентам, які карыстальнікі рэальна запускаюць, на платформах, якія яны рэальна выкарыстоўваюць, перш чым публікаваць профіль.

Аднаўленне — частка механізму

Кожны праект вышэй мае залежнасць, якая можа адмовіць для аднаго карыстальніка за раз: недасяжная скрыня, страчаны токен, бэкенд, які адхіляе выклік, заблакаваны ўліковы запіс прайдайэра. Вырашыце зараз, хто можа аднавіць доступ, праз якую падтрыманую працэдуру і з якой праверкай чалавека, які просіць. Рэзервовы лакальны ўліковы запіс адміністратара, які трымаецца асобна ад шляху VPN, — гэта кантроль; а неабгрунтаваны абыход толькі з паролем — гэта інцыдэнт, які чакае выяўлення.

Затым праверце тры ўваходы перад разгортваннем: звычайны, адхілены або пратэрмінаваны фактар і зацверджанае аднаўленне страчанага аўтэнтыфікатара. Запішыце, у якім журнале з'яўляецца кожны. Менавіта гэты запіс ператварае «MFA уключаны» ў праект, якім можа кіраваць хтосьці іншы.

Падобныя артыкулы