FortiGate VPN MFA: token lokala, RADIUS edo SAML?

Pasabideak, RADIUS backend batek edo SAML hornitzaile batek faktorea egiaztatu dezakete, eta bakoitzak modu ezberdinean huts egiten du. Egokitu zerbitzua, bezeroa eta berreskuratze-bidea.

FortiGate VPN MFA diseinu bakoitzak galdera bati erantzuten dio lehenik: nork egiaztatzen du bigarren faktorea? Pasabideak berak token lokal batekin edo postaz bidalitako kode batekin egin dezake, RADIUS backend batek inposatu eta erronka bat itzul dezake, edo SAML identitate-hornitzaile batek zeremonia osoa nabigatzailean har dezake. Horietako bakoitzak saio-hasiera sekuentzia ezberdina, hutsegite sinadura ezberdina eta berreskuratze prozedura ezberdina sortzen ditu, eta haien artean komando-bloke bat kopiatzeak sinesgarria dirudien eta inor autentifikatzen ez duen konfigurazioa sortzen du. Hau mekanismo-artikulu bat da: zer egiten duen diseinu bakoitzak saio-hasieran eta non hausten den.

Saio-hasierako zeremoniak erabakitzen du nor den faktorearen jabe

Lehen bi diseinuetan FortiGate da konfiantzazko aldea. Kredentziala biltzen du, bigarren faktorea behar den erabakitzen du eta lokalki edo erronka baten bidez egiaztatzen du. Hirugarren diseinuan pasabidea egiaztatzailea izateari uzten dio eta errele bihurtzen da: bezeroa identitate-hornitzailera birbideratzen du, asertzio bat jasotzen du eta baieztatutako identitatea erabiltzaile eta talde batekin mapatzen du. RADIUS diseinuan erdian dago eta politikaren jabe den backend batekin eskaera-erantzun trukea bultzatzen du.

Diferentzia horrek erabakitzen du zer froga bil ditzakezun. Pasabideak egiaztatzen duenean, bere arazketa-irteerak esaten dizu zer gertatu zen. Identitate-hornitzaileak egiaztatzen duenean, pasabideak soilik daki asertzio bat iritsi dela, eta «MFA benetan behar zen» galderaren erantzuna hornitzailearen erregistroetan dago, ez suebakiarenetan. Erregistro okerra irakurtzea diseinatu bezala portatzen den hedapen bat gaizki diagnostikatzeko modurik ohikoena da. Zerbitzuak berak ere mugatzen du zeremonia: FortiOS 7.6.3-k SSL VPN tunel modua kentzen du IPsec-en alde, eta web moduak Agentless VPN gisa jarraitzen du modelo onartuetan, beraz zerbitzu batean frogatutako zeremonia ez dago automatikoki bestean erabilgarri.

Egiaztatze lokala: tokenak eta postaz bidalitako kodeak

FortiGate-k kudeatutako faktoreak erabiltzaile-objektuari lotzen zaizkio. FortiToken batek edo dokumentatutako token integrazio batek erregistroa, onartutako egiaztatze-zeremonia, lizentzia dagokionean eta ordezkatze-prozedura behar ditu. Postaz bidalitako kode batek SMTP bide eraginkorra eta erabiltzaileak tunela existitu aurretik iris dezakeen postontzia behar ditu, kriptografiarekin zerikusirik ez duen eta inork saioa hasi dezakeenarekin zerikusi osoa duen mendekotasuna.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Posta banaketa autentifikazioaren erabilgarritasunaren parte da. VPNaren bidez soilik iristeko modukoa den postontziak inorentzat bere kabuz konpontzen ez den begizta bat sortzen du, eta banaketa-atzerapena, kodearen baliozkotasuna eta urruneko autentifikazioaren denbora-muga hiru murrizketa bereiziak dira. Bat igotzeak ez du postontzi iristezin bat konpontzen, eta begizta inoiz probatu ez duen diseinu batek oporren ondorengo lehen pasahitz berrezarpenean aurkituko du.

Bermatze-baldintzak ere hemen sartzen dira, produktua aukeratu aurretik. NIST SP 800-63B-k posta onartezina dela uste du banda kanpoko autentifikaziorako, beraz bat-etortzea dioen inplementazio batek ezin du postaz bidalitako koderik bigarren faktore gisa erabili, oso erosoa izan arren. Gailuan funtzio bat egoteak ez du esan nahi funtzioak estandar jakin bat betetzen duenik.

RADIUS: pasabideak galdetzen du, backendak erabakitzen du

RADIUSekin, FortiGate-k kredentziala faktore-politikaren jabe den backend batera bidaltzen du. Trukea onarpen edo ukapen soil bat izan daiteke, edo bezeroak erantzun behar dion erronka bat izan dezake, eta horrek esan nahi du VPN zerbitzuak eta bezeroak erronka-forma hori onartu behar dutela. Push onespena inposatzen duen backend bat eta pasahitzari sei digituko kode bat eranstear besterik ez dakien bezero bat ez dira erdian elkartuko.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Probatu backenda modu independentean tunela errudun egin aurretik. authserver probak arrakasta badu eta VPN saio-hasierak ez, aldea erronkaren kudeaketan dago, ez kredentzialean, eta pasabideko autentifikazio-daemonaren arazketa da hori agertzen den tokia:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: nabigatzaileak pasabidea uzten du

SAML diseinuan bezeroa identitate-hornitzailera birbideratzen da, han autentifikatzen da eta pasabideak konfiantza-harreman baten eta talde-mapa baten aurka baliozkotzen duen asertzio batekin itzultzen da. Pasabideak ez du inoiz pasahitza edo bigarren faktorea ikusten, eta hori aldi berean segurtasun-hobekuntza eta konplikazio operatiboa da: hutsegitea suebakiak ikusi ezin duen nabigatzaile-saio batean gertatzen da orain.

Asertzio bat onartzeak ez du frogatzen hornitzaileak MFA eskatu zuenik saio-hasiera horretarako. MFA aplikazio batzuei aplikatzen dien eta besteei ez dien hornitzaile-politika batek eskatu duzun saio-hasiera zehatza emango du eta suposatu duzun bermearen ezer ez. Egiaztatu hornitzailearen politika aplikazio zehatz honetarako, eta egiaztatu talde-aserzioen mapaketa FortiGate taldeetara oraindik bat datorrela edozein aldetako izen-aldaketaren ondoren.

Bezeroaren laguntza hemen garrantzitsuagoa da edozein lekutan baino. VPN bezero batzuek nabigatzailearen eskualdatzea natiboki kudeatzen dute, beste batzuek sistemako nabigatzailea irekitzen dute, eta interfazerik gabeko edo komando-lerroko bezeroek agian ez dute fluxua osatuko. Probatu erabiltzaileek benetan exekutatzen duten bezeroarekin, benetan erabiltzen dituzten plataformetan, profila argitaratu aurretik.

Berreskuratzea mekanismoaren parte da

Goiko diseinu bakoitzak aldi berean erabiltzaile bakar batentzat huts egin dezakeen mendekotasun bat du: postontzi iristezina, galdutako tokena, erronka ukatzen duen backenda, blokeatutako identitate-hornitzailearen kontua. Erabaki orain nork berreskura dezakeen sarbidea, zein prozedura onarturen bidez eta eskatzen duen pertsonaren zein egiaztapenekin. VPN bideetatik bereizita mantentzen den larrialdiko administradore lokalaren kontua kontrol bat da; eta azalpenik gabeko pasahitz-soileko saihesbidea aurkitu zain dagoen gertaera bat da.

Ondoren probatu hiru saio-hasiera hedapenaren aurretik: arrunta, erronka ukatu edo iraungitako faktorea, eta onartutako autentifikatzaile galduaren berreskuratzea. Idatzi bakoitza zein erregistrotan agertzen den. Erregistro horrek bihurtzen du «MFA gaitua dago» beste norbaitek erabil dezakeen diseinu.

Erlazionatutako artikuluak