Dues comprovacions d’accés no són dos factors: VPN i RADIUS

Afegir un segon rerefons d’autenticació a una passarel·la VPN sembla afegir un segon factor. Normalment afegeix una segona comprovació, que és un objecte diferent amb maneres de fallar diferents. Si totes dues han de tenir èxit, què demostra cadascuna i què passa quan una no està disponible són tres decisions separades. Equivoqueu-vos i la passarel·la acaba més estricta a la demostració i més feble durant una caiguda.

Què demostra realment un segon rerefons

Una consulta de compte local demostra que un nom existeix en una base de dades i que una contrasenya hi coincidia. Un intercanvi RADIUS demostra que un servidor RADIUS ha retornat Access-Accept per als atributs que ha rebut. Cap de les dues afirmacions no esmenta un tipus de factor, perquè totes dues verifiquen coneixement. I la guia d’identitat digital del NIST compta tipus de factor diferents i els seus autenticadors, no servidors ni indicacions.

Hi ha un disseny legítim en què participen els dos sistemes. Un servei central pot autenticar la persona mentre la passarel·la comprova de manera independent si aquell compte té dret a aquest túnel. Això és autorització al costat de l’autenticació, i anomenar-ho dos factors confon una comprovació de política amb la prova de possessió.

RADIUS pot portar un segon factor real quan té al davant alguna cosa que en verifica un, com ara una aprovació push o un testimoni de maquinari. El sobre no diu quins autenticadors ha demostrat l’usuari, així que llegiu la política del rerefons, no l’etiqueta de la passarel·la.

AND, OR i la reserva són productes diferents

Abans de comparar implementacions, decidiu què vol dir tots dos al vostre requisit. Una política AND exigeix que passi cada comprovació nomenada, una política OR accepta la que tingui èxit, i una reserva prova la segona només sota condicions de fallada declarades. Aquestes tres es comporten de manera oposada durant una caiguda, i normalment només una és el que la revisió pretenia.

Afegir dues entrades de rerefons a una pantalla de configuració no revela quina política implementa el producte. Algunes passarel·les encadenen connectors en ordre i s’aturen al primer rebuig, cosa que és AND només quan cada connector és obligatori. Altres tracten el compte local com una anul·lació, cosa que converteix una caiguda central en un bypass. La resposta fiable és una prova negativa documentada per a cada camí, executada contra la compilació que desplegueu.

La reserva mereix la màxima sospita, perquè existeix per continuar funcionant quan alguna cosa està trencada. Una reserva que accepta una contrasenya local sempre que RADIUS no és accessible ha convertit una política central en una segona porta més feble.

La doble comprovació d’OpenVPN és un cas concret

L’OpenVPN comunitari 2.6 requereix tant un certificat de client com l’script auth-user-pass-verify configurat quan tots dos estan activats. Això és un AND documentat entre la verificació del certificat i un script de credencials, i són realment dues comprovacions. Encara no són automàticament dos tipus de factor, ja que l’script pot validar només una contrasenya.

La combinació també deixa oberta la qüestió de l’associació. Un certificat normalment identifica un dispositiu mentre les credencials identifiquen una persona, i res del flux per defecte no exigeix que tots dos es refereixin al mateix principal. Decidiu quins parells són permesos i després imposeu aquest mapa dins l’script de verificació o en un pas d’autorització posterior.

El mode només de certificat és una sola comprovació, recolzada per una clau que pot tenir un PIN o no tenir-lo. Un PIN converteix la mateixa credencial en coneixement més possessió només si la clau no es pot utilitzar sense ell. Deixar aquella clau sense xifrar al disc redueix la segona part a un permís de fitxer.

Els fabricants d’aparells construeixen la seva pròpia fontaneria, sovint un mòdul PAM o un connector RADIUS darrere d’una consola web. El comportament de la comunitat és una referència de com són les dobles comprovacions, no una descripció de com un aparell les combina.

Comproveu la combinació a la vostra passarel·la

Llegiu la configuració abans de confiar en el resum de la consola. Les línies que decideixen la política són el mode de certificat, l’script de credencials i l’ordre dels connectors.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

El grep mostra si cal un certificat i quin script s’executa després, i l’ordre importa més del que suggereixen els noms. L’abocament del certificat dóna la identitat que veurà la passarel·la, incloent-hi el CN i el número de sèrie que necessiteu per al mapa d’associació. La prova RADIUS és el cas negatiu: una contrasenya incorrecta ha de produir Access-Reject, i una de correcta Access-Accept. Si una credencial rebutjada encara dóna una sessió, l’script no és en absolut al camí d’autenticació.

Després executeu el cas de caiguda en una instància de laboratori: atureu el rerefons obligatori i connecteu-vos amb credencials vàlides. El resultat esperat és un rebuig, i qualsevol altra cosa és la política de reserva que ningú no va documentar.

Escriviu el requisit com a casos negatius

Un requisit utilitzable nomena les proves, els comptes autoritzats a presentar-les i el resultat quan falta un verificador. També indica l’emparellament permès entre la identitat del dispositiu i la de la persona. Això és més precís que els noms de producte de la comanda, i es pot provar.

L’acceptació hauria d’incloure quatre rebuigs: un compte local no apte, una prova obligatòria absent, un segon factor invàlid i un rerefons obligatori inaccessible. Cada rebuig necessita una línia de registre que el distingeixi dels altres, o el pròxim incident comença amb conjectures. Registreu quin component va prendre cada decisió, ja que la passarel·la, el servidor RADIUS i el directori es culparan mútuament.

Torneu a executar els quatre rebuigs després de qualsevol canvi de connector o de firmware. Són barats, i la política que protegeixen és la part que un atacant sondeja primer.