Bi saio-hasierako kontrol ez dira bi faktore: VPN eta RADIUS

VPN ate batera bigarren autentifikazio-backend bat gehitzeak bigarren faktore bat gehitzea ematen du. Normalean bigarren kontrol bat gehitzen du, eta hori beste objektu bat da, huts egiteko modu desberdinekin. Biek arrakastatsuak izan behar duten, bakoitzak zer frogatzen duen eta bat eskuragarri ez dagoenean zer gertatzen den hiru erabaki bereizi dira. Gaizki eginda, atea zorrotzagoa geratzen da demostrazioan eta ahulagoa etenaldian.

Bigarren backend batek benetan frogatzen duena

Tokiko kontuaren bilaketak frogatzen du izen bat datu-basean badagoela eta pasahitz batek harekin bat egin zuela. RADIUS trukeak frogatzen du RADIUS zerbitzari batek jasotako atributuetarako Access-Accept itzuli zuela. Bi adierazpideetako batek ere ez du faktore-mota aipatzen, zeren biek ezagutza egiaztatzen dute. Eta NISTen identitate digitalerako gidak faktore-mota desberdinak eta haien autentifikatzaileak zenbatzen ditu, ez zerbitzariak edo oharrak.

Badago diseinu legitimo bat non bi sistemek parte hartzen duten. Zerbitzu zentral batek pertsona autentifika dezake, eta ateak independenteki egiaztatzen du kontu horrek tunel honetarako eskubidea duen. Hori autentifikazioaren ondoan doan baimena da, eta bi faktore deitzeak politika-egiaztapena eta jabetza-froga nahasten ditu.

RADIUSek benetako bigarren faktore bat eraman dezake bat egiaztatzen duen zerbaiten aurrean dagoenean, hala nola push onespena edo hardware tokena. Gutun-azalak ez du esaten erabiltzaileak zein autentifikatzaile erakutsi zituen, beraz irakurri backendaren politika, ez atearen etiketa.

AND, OR eta babeseko politika produktu desberdinak dira

Inplementazioak alderatu aurretik, erabaki zer esan nahi duen biek zure baldintzan. AND politikak izendatutako kontrolek iragatea eskatzen du, OR politikak lortzen duena onartzen du, eta babesekoak bigarrena probatzen du soilik adierazitako hutsegite-baldintzetan. Hirurek kontrako moduan jokatzen dute etenaldian, eta normalean horietako bat bera da berrikuspenak nahi zuena.

Konfigurazio-pantaila batean bi backend sarrera gehitzeak ez du agerian uzten produktuak zein politika aplikatzen duen. Ate batzuek pluginak ordenan kateatzen dituzte eta lehen ukazioan gelditzen dira, eta hori AND da plugin bakoitza derrigorrezkoa denean soilik. Beste batzuek tokiko kontua gainidazketa gisa tratatzen dute, eta horrek etenaldi zentrala saihesbide bihurtzen du. Erantzun fidagarria bide bakoitzerako dokumentatutako proba negatiboa da, zabaltzen duzun buildaren aurka egina.

Babesekoak susmorik handiena merezi du, zerbait hondatuta dagoenean lanean jarraitzeko existitzen delako. RADIUS eskuragarri ez dagoenean tokiko pasahitza onartzen duen babeseko batek politika zentrala bigarren ate ahulago bat bihurtu du.

OpenVPNen kontrol bikoitza kasu zehatza da

Komunitateko OpenVPN 2.6k bai bezero ziurtagiria bai konfiguratutako auth-user-pass-verify scripta eskatzen ditu, biak gaituta daudenean. Hori AND dokumentatu bat da ziurtagiriaren egiaztapenaren eta kredentzialen script baten artean, eta benetan bi kontrol dira. Oraindik ez da automatikoki bi faktore-mota, scriptak pasahitz bat soilik balidatu baitezake.

Konbinazioak loturaren galdera ere irekita uzten du. Ziurtagiri batek gailu bat identifikatzen du normalean, eta kredentzialek pertsona bat, eta fluxu lehenetsian ezerk ez du eskatzen biak subjektu berari erreferentzia egitea. Erabaki zein pare onartzen diren, eta gero inposatu mapa hori egiaztapen-scriptaren barruan edo geroagoko baimen-urrats batean.

Ziurtagiri-soileko modua kontrol bakar bat da, PIN batekin babestuta egon litekeen gako batek sostengatuta. PIN batek kredentzial bera ezagutza gehi jabetza bihurtzen du gakoa hura gabe erabil ezin bada soilik. Gakoa diskoan zifratu gabe uzteak bigarren zatia fitxategi-baimen batera murrizten du.

Gailuen fabrikatzaileek euren iturgintza propioak eraikitzen dituzte, askotan PAM modulu bat edo RADIUS plugin bat web kontsola baten atzean. Komunitatearen portaera kontrol bikoitzak nolakoak diren adierazteko erreferentzia da, ez gailu batek nola konbinatzen dituen deskribatzeko.

Egiaztatu konbinazioa zure atean

Irakurri konfigurazioa kontsolen laburpena fidatu aurretik. Politika erabakitzen duten lerroak ziurtagiri-modua, kredentzialen scripta eta pluginen ordena dira.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep-ek erakusten du ziurtagiri bat behar den eta zein script exekutatzen den haren ondoren, eta ordenak izenek iradokitzen dutena baino gehiago balio du. Ziurtagiriaren dump-ak ateak ikusiko duen identitatea ematen du, lotura-maparako behar dituzun CNa eta serie-zenbakia barne. RADIUS proba kasu negatiboa da: pasahitz okerrak Access-Reject eman behar du, eta zuzenak Access-Accept. Baztertutako kredentzial batek saio bat ematen badu oraindik, scripta ez dago autentifikazio-bidean batere.

Gero exekutatu etenaldiaren kasua laborategiko instantzia batean: gelditu behar den backenda eta konektatu baliozko kredentzialekin. Espero den emaitza ukazioa da, eta beste edozein gauza inork dokumentatu ez zuen babeseko politika da.

Idatzi baldintza kasu negatibo gisa

Baldintza erabilgarri batek frogak, horiek aurkezteko baimena duten kontuak eta egiaztatzaile bat falta denean emaitza izendatzen ditu. Gailuaren identitatearen eta pertsonaren identitatearen arteko parekatze baimendua ere adierazten du. Hori erosketa-agiriaren produktu-izenak baino zehatzagoa da, eta proba daiteke.

Onarpenean lau ukazio sartu beharko lirateke: tokiko kontu desegokia, falta den derrigorrezko froga, baliogabeko bigarren faktorea eta eskuragarri ez dagoen derrigorrezko backenda. Ukazio bakoitzak besteetatik bereizten duen log-lerro bat behar du, bestela hurrengo gertakaria susmoekin hasten da. Erregistratu zein osagaik hartu zuen erabaki bakoitza, atea, RADIUS zerbitzaria eta direktorioa elkarren aurka ibiliko baitira.

Exekutatu berriro lau ukazioak plugin edo firmware aldaketaren ondoren. Merkeak dira, eta babesten duten politika erasotzaileak lehenengo probatzen duen zatia da.