Nid yw dau wiriant mewngofnodi yn ddau ffactor: VPN a RADIUS

Mae ychwanegu ail isadeiledd dilysu at borth VPN yn teimlo fel ychwanegu ail ffactor. Mae fel arfer yn ychwanegu ail wiriad, sy’n wrthrych gwahanol â dulliau methu gwahanol. A oes rhaid i’r ddau lwyddo, beth mae pob un yn ei brofi, a beth sy’n digwydd pan nad yw un ar gael yw tair penderfyniad ar wahân. Cewch hwy’n anghywir a bydd y porth yn dynnach yn yr arddangosiad ac yn wannach yn ystod diffyg.

Beth mae ail isadeiledd yn ei brofi mewn gwirionedd

Mae chwiliad cyfrif lleol yn profi bod enw’n bodoli mewn cronfa ddata a bod cyfrinair wedi cyfateb iddo. Mae cyfnewid RADIUS yn profi bod gweinydd RADIUS wedi dychwelyd Access-Accept ar gyfer yr priodoleddau a gafodd. Nid yw’r naill ddatganiad na’r llall yn sôn am fath o ffactor, oherwydd mae’r ddau yn gwirio gwybodaeth. Ac mae’r canllaw hunaniaeth ddigidol NIST yn cyfrif mathau gwahanol o ffactorau a’u dilysyddion, nid gweinyddion neu ysgogiadau.

Mae cynllun dilys lle mae’r ddau system yn cymryd rhan. Gall gwasanaeth canolog ddilysu’r person tra bo’r porth yn gwirio’n annibynnol a yw’r cyfrif hwnnw’n gymwys i’r twnnel hwn. Awdurdodiad yw hwnnw wrth ochr dilysu, ac mae galw hynny’n ddau ffactor yn cymysgu gwiriad polisi â phrawf meddiant.

Gall RADIUS gario gwir ail ffactor pan fydd yn sefyll o flaen rhywbeth sy’n gwirio un, fel cymeradwyaeth gwthio neu docyn caledwedd. Nid yw’r amlen yn dweud pa ddilysyddion a ddangosodd y defnyddiwr, felly darllenwch bolisi’r isadeiledd yn hytrach na label y porth.

Mae AND, OR ac wrth gefn yn gynhyrchion gwahanol

Cyn cymharu gweithrediadau, penderfynwch beth mae’r ddau yn ei olygu yn eich gofyniad. Mae polisi AND yn gofyn i bob gwiriad a enwir lwyddo, mae polisi OR yn derbyn pa un bynnag a lwydda, ac mae wrth gefn yn rhoi cynnig ar yr ail dim ond o dan amodau methu a nodir. Mae’r tri yn ymddwyn yn wrthwyneb yn ystod diffyg, a dim ond un ohonynt fel arfer yw’r hyn y bwriadodd yr adolygiad.

Nid yw ychwanegu dau gofnod isadeiledd at sgrin ffurfweddu yn datgelu pa bolisi y mae’r cynnyrch yn ei weithredu. Mae rhai pyrth yn cadwyno ategion yn ôl trefn ac yn stopio ar y gwrthodiad cyntaf, sef AND dim ond pan fo pob ategyn yn ofynnol. Mae eraill yn trin cyfrif lleol fel gorgyffwrdd, sy’n troi diffyg canolog yn ffordd osgoi. Yr ateb dibynadwy yw prawf negyddol dogfennedig ar gyfer pob llwybr, wedi’i redeg yn erbyn y build rydych yn ei ddefnyddio.

Mae wrth gefn yn haeddu’r amheuaeth fwyaf, oherwydd ei fodolaeth yw parhau i weithio pan fo rhywbeth wedi torri. Mae wrth gefn sy’n derbyn cyfrinair lleol pryd bynnag nad yw RADIUS yn cyrraeddadwy wedi troi polisi canolog yn ail ddrws gwanach.

Mae gwiriad dwbl OpenVPN yn achos pendant

Mae OpenVPN cymunedol 2.6 yn gofyn am dystysgrif cleient a’r sgript auth-user-pass-verify wedi’i ffurfweddu pan fo’r ddau wedi’u galluogi. Mae hwnnw’n AND dogfennedig rhwng gwiriad tystysgrif a sgript gymwysterau, ac mae’n wir yn ddau wiriad. Nid yw eto’n awtomatig yn ddau fath o ffactor, gan y gall y sgript wirio cyfrinair yn unig.

Mae’r cyfuniad hefyd yn gadael y cwestiwn cysylltu’n agored. Mae tystysgrif fel arfer yn adnabod dyfais tra bo’r cymwysterau’n adnabod person, ac nid oes dim yn y llif diofyn yn gofyn i’r ddau gyfeirio at yr un prif berson. Penderfynwch pa barau sy’n cael eu caniatáu, yna gorfodwch y map hwnnw y tu mewn i’r sgript wirio neu mewn cam awdurdodi diweddarach.

Mae modd tystysgrif yn unig yn un gwiriad, wedi’i gefnogi gan allwedd a allai fod wedi’i diogelu gan PIN neu beidio. Mae PIN yn troi’r un cymhwyster yn wybodaeth ynghyd â meddiant dim ond os na ellir defnyddio’r allwedd hebddo. Mae gadael yr allwedd honno heb ei hamgryptio ar y disg yn lleihau’r ail ran i ganiatâd ffeil.

Mae gwerthwyr offer yn adeiladu eu plymwaith eu hunain, yn aml modiwl PAM neu ategyn RADIUS y tu ôl i gonsol we. Mae ymddygiad cymunedol yn gyfeiriad at sut mae gwiriadau dwbl yn edrych, nid yn ddisgrifiad o sut mae offer yn eu cyfuno.

Gwiriwch y cyfuniad ar eich porth

Darllenwch y ffurfweddiad cyn ymddiried yn y crynodeb consol. Y llinellau sy’n penderfynu’r polisi yw’r modd tystysgrif, y sgript gymwysterau a threfn yr ategion.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

Mae grep yn dangos a oes angen tystysgrif a pha sgript sy’n rhedeg ar ei hôl, ac mae’r drefn yn bwysicach nag y mae’r enwau’n ei awgrymu. Mae’r dump tystysgrif yn rhoi’r hunaniaeth a wêl y porth, gan gynnwys y CN a’r rhif cyfresol sydd eu hangen ar gyfer y map cysylltu. Y prawf RADIUS yw’r achos negyddol: rhaid i gyfrinair anghywir roi Access-Reject, ac un cywir Access-Accept. Os yw cymhwyster wedi’i wrthod yn dal i roi sesiwn, nid yw’r sgript ar lwybr dilysu o gwbl.

Yna rhedegwch yr achos diffyg ar enghraifft labordy: stopiwch yr isadeiledd gofynnol a chysylltwch â chymwysterau dilys. Y canlyniad disgwyliedig yw gwrthodiad, ac unrhyw beth arall yw’r polisi wrth gefn na chofnododd neb.

Ysgrifennwch y gofyniad fel achosion negyddol

Mae gofyniad defnyddiadwy yn enwi’r profion, y cyfrifon a ganiateir i’w cyflwyno, a’r canlyniad pan fo gwirydd ar goll. Mae hefyd yn nodi’r paru a ganiateir rhwng hunaniaeth dyfais a hunaniaeth person. Mae hynny’n fwy manwl na’r enwau cynnyrch ar y gorchymyn prynu, ac mae modd ei brofi.

Dylai derbyn gynnwys pedwar gwrthodiad: cyfrif lleol anghymwys, prawf gofynnol ar goll, ail ffactor annilys, ac isadeiledd gofynnol anghyrraeddadwy. Mae ar bob gwrthodiad angen llinell log sy’n ei wahaniaethu oddi wrth y lleill, neu mae’r digwyddiad nesaf yn dechrau â dyfalu. Cofnodwch pa gydran a wnaeth bob penderfyniad, gan y bydd y porth, y gweinydd RADIUS a’r cyfeiriadur yn beio’r ddau arall.

Ail-redegwch y pedwar gwrthodiad ar ôl unrhyw newid ategyn neu firmware. Maent yn rhad, a’r polisi y maent yn ei amddiffyn yw’r rhan y mae ymosodwr yn ei holi gyntaf.