Kaks sisselogimiskontrolli ei ole kaks faktorit: VPN ja RADIUS

Teise autentimistagataustikku lisamine VPN-lüüsile tundub teise faktori lisamisena. Tavaliselt lisab see teise kontrolli, mis on erinev objekt erinevate tõrkerežiimidega. Kas mõlemad peavad õnnestuma, mida kumbki tõestab ja mis juhtub, kui üks pole saadaval, on kolm eraldi otsust. Kui need valesti teete, jääb lüüs demonstratsioonis rangemaks ja katkestuse ajal nõrgemaks.

Mida teine tagataustik tegelikult tõestab

Kohaliku konto otsing tõestab, et nimi on andmebaasis olemas ja et parool sellega sobis. RADIUS-vahetus tõestab, et RADIUS-server tagastas saadud atribuutidele Access-Accept. Kumbki väide ei maini faktoritüüpi, sest mõlemad kontrollivad teadmisi. Ja NISTi digitaalse identiteedi juhend loeb erinevaid faktoritüüpe ja nende autentijaid, mitte servereid või vihjeid.

On olemas seaduslik disain, kus osalevad mõlemad süsteemid. Keskne teenus saab inimest autentida, samal ajal kui lüüs kontrollib sõltumatult, kas sellel kontol on õigus sellele tunnelile. See on autoriseerimine autentimise kõrval, ja selle kahefaktoriliseks nimetamine ajab poliitikakontrolli segamini omamise tõestusega.

RADIUS võib kanda tõelist teist faktorit, kui see seisab millegi ees, mis ühte kontrollib, näiteks push-kinnitus või riistvaraline token. Ümbrik ei ütle, milliseid autentijaid kasutaja esitas, seega lugege tagataustiku poliitikat, mitte lüüsi silti.

AND, OR ja varupoliitika on erinevad tooted

Enne realiseeringute võrdlemist otsustage, mida tähendab mõlemad teie nõudes. AND-poliitika nõuab, et iga nimetatud kontroll läbiks, OR-poliitika võtab vastu selle, mis õnnestub, ja varupoliitika proovib teist ainult kindlaksmääratud tõrketingimustes. Need kolm käituvad katkestuse ajal vastupidiselt ja tavaliselt on ainult üks neist see, mida ülevaatus silmas pidas.

Kahe tagataustiku kirje lisamine konfiguratsiooniekraanile ei paljasta, millist poliitikat toode rakendab. Mõned lüüsid aheldavad pistikprogrammid järjest ja peatuvad esimesel keeldumisel, mis on AND ainult siis, kui iga pistikprogramm on kohustuslik. Teised käsitlevad kohalikku kontot ülekirjutusena, mis muudab keskse katkestuse möödasõiduks. Usaldusväärne vastus on dokumenteeritud negatiivne test iga tee jaoks, mis on tehtud teie juurutatava buildi vastu.

Varupoliitika väärib kõige rohkem kahtlust, sest see on olemas selleks, et jätkata tööd, kui miski on katki. Varupoliitika, mis võtab kohaliku parooli vastu alati, kui RADIUS pole kättesaadav, on muutnud keskse poliitika teiseks, nõrgemaks ukseks.

OpenVPNi topeltkontroll on konkreetne juhtum

Kogukonna OpenVPN 2.6 nõuab nii kliendisertifikaati kui ka konfigureeritud skripti auth-user-pass-verify, kui mõlemad on lubatud. See on dokumenteeritud AND sertifikaadi kontrolli ja volituste skripti vahel ning see on tõesti kaks kontrolli. See ei ole siiski automaatselt kaks faktoritüüpi, kuna skript võib kontrollida ainult parooli.

Kombinatsioon jätab lahtiseks ka seostamise küsimuse. Sertifikaat identifitseerib tavaliselt seadme, samal ajal kui volitused identifitseerivad isiku, ja miski vaikevoolus ei nõua, et mõlemad viitaksid samale subjektile. Otsustage, millised paarid on lubatud, ja seejärel rakendage see kaart kontrolliskripti sees või hilisemas autoriseerimisetapis.

Ainult sertifikaadi režiim on üks kontroll, mida toetab võti, mis võib olla PIN-koodiga kaitstud või mitte. PIN-kood muudab sama volituse teadmiseks pluss omamiseks ainult siis, kui võtit ei saa ilma selleta kasutada. Võtme krüpteerimata kettale jätmine taandab teise osa failiõiguseks.

Seadmetootjad ehitavad oma torustiku, sageli PAM-mooduli või RADIUS-pistikprogrammi veebikonsooli taga. Kogukonna käitumine on viide sellele, millised topeltkontrollid välja näevad, mitte kirjeldus, kuidas seade neid kombineerib.

Kontrollige kombinatsiooni oma lüüsis

Lugege konfiguratsiooni enne, kui usaldate konsooli kokkuvõtet. Poliitika määravad read on sertifikaadi režiim, volituste skript ja pistikprogrammide järjekord.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep näitab, kas sertifikaat on nõutav ja milline skript pärast seda töötab, ning järjekord on tähtsam, kui nimed vihjavad. Sertifikaadi dump annab identiteedi, mida lüüs näeb, sealhulgas CN ja seerianumbri, mida vajate seostamiskaardi jaoks. RADIUS-test on negatiivne juhtum: vale parool peab andma Access-Reject ja õige Access-Accept. Kui tagasilükatud volitus annab ikkagi sessiooni, ei ole skript üldse autentimise teel.

Seejärel käivitage katkestuse juhtum laboriinstantsil: peatage nõutav tagataustik ja ühenduge kehtivate volitustega. Oodatav tulemus on keeldumine, ja kõik muu on varupoliitika, mida keegi ei dokumenteerinud.

Kirjutage nõue negatiivsete juhtumitena

Kasutatav nõue nimetab tõendid, kontod, millel on lubatud neid esitada, ja tulemuse, kui kontrollija puudub. See sätestab ka lubatud sidumise seadme identiteedi ja isiku identiteedi vahel. See on täpsem kui ostutellimuse tootenimed ja seda saab testida.

Vastuvõtt peaks hõlmama nelja keeldumist: sobimatu kohalik konto, puuduv nõutav tõend, kehtetu teine faktor ja kättesaamatu nõutav tagataustik. Iga keeldumine vajab logirida, mis eristab seda teistest, muidu algab järgmine juhtum oletustega. Märkige, milline komponent iga otsuse tegi, sest lüüs, RADIUS-server ja kataloog süüdistavad igaüks kahte teist.

Käivitage neli keeldumist uuesti pärast mis tahes pistikprogrammi või püsivara muudatust. Need on odavad, ja poliitika, mida need kaitsevad, on osa, mida ründaja kõigepealt uurib.