Twa oanmeldkontrôles binne net twa faktoaren: VPN en RADIUS

In twadde autentikaasje-backend tafoegje oan in VPN-poarte fielt as it tafoegjen fan in twadde faktor. Meastentiids foeget it in twadde kontrôle ta, dat is in oar objekt mei oare falmodi. Oft beide slagje moatte, wat elk bewiist en wat der bart as ien net beskikber is, binne trije aparte besluten. Dochst it ferkeard, dan einiget de poarte stranger yn de demonstraasje en swakker by in steuring.

Wat in twadde backend eins bewiist

In lokale akkountsyksjocht bewiist dat in namme yn in databank bestiet en dat in wachtwurd dêrmei oerienkaam. In RADIUS-útwikseling bewiist dat in RADIUS-tsjinner Access-Accept weromjoech foar de attributen dy’t er krige. Gjin fan beide bewearings neamt in faktoartype, om’t beide kennis ferifisearje. En de NIST-rjochtline foar digitale identiteit telt ferskate faktoartypen en har autentisearringsmiddels, net tsjinners of prompts.

Der is in legitime ûntwerp wêrby’t beide systemen meidogge. In sintrale tsjinst kin de persoan autentisearje, wylst de poarte ûnôfhinklik kontrolearret oft dat akkount rjocht hat op dizze tunnel. Dat is autorisaasje njonken autentikaasje, en it twa faktoaren neamen ferwikselet in beliedskontrôle mei in bewiis fan besit.

RADIUS kin in echte twadde faktor drage as it foar iets stiet dat ien ferifisearret, lykas in push-goedkarring of in hardwaretoken. De envelop fertelt net hokker autentisearringsmiddels de brûker sjen litten hat, dus lês it backendbelied ynstee fan it label fan de poarte.

AND, OR en fallback binne ferskate produkten

Foardatst ymplemintaasjes fergelykje, beslút wat beide yn jo eask betsjut. In AND-belied easket dat elke neamde kontrôle slagget, in OR-belied akseptearret dy’t slagget, en in fallback probearret de twadde allinnich ûnder oantsjutte falbetingsten. Dy trije gedrage har tsjinoersteld by in steuring, en meastentiids is mar ien fan har wat de beoardieling bedoelde.

Twa backend-ynfieringen tafoegje oan in konfiguraasjeskerm iepenbiere net hokker belied it produkt tapast. Guon poarten keatse plug-ins yn folchoarder en stopje by de earste wegering, wat allinnich AND is as elke plug-in ferplicht is. Oaren behannelje in lokaal akkount as oerskriuwing, wat in sintrale steuring yn in omgong feroaret. It betroubere antwurd is in dokumintearre negative test foar elk paad, útfierd tsjin de build dy’tst útrôlje.

Fallback fertsjinnet it measte wantrouwen, om’t it bestiet om troch te wurkjen as der wat stikken is. In fallback dy’t in lokaal wachtwurd akseptearret as RADIUS net berikber is, hat in sintraal belied yn in twadde, swakkere doar feroare.

De dûbele kontrôle fan OpenVPN is in konkreet gefal

Mienskip-OpenVPN 2.6 easket sawol in kliïntsertifikaat as it konfigurearre auth-user-pass-verify-skript as beide ynskeakele binne. Dat is in dokumintearre AND tusken sertifikaatferifikaasje en in legitimasjeskript, en it binne echt twa kontrôles. It is noch altyd net automatysk twa faktoartypen, om’t it skript miskien allinnich in wachtwurd falidearret.

De kombinaasje lit ek de ferbiningfree fraach iepen. In sertifikaat identifisearret faak in apparaat, wylst de legitimasaasjes in persoan identifisearje, en neat yn ’e standertstream easket dat beide nei deselde prinsipaal ferwize. Beslút hokker pearen tastien binne, en twing dat kaartsje dan ôf yn it ferifikaasjeskript of yn in lettere autorisaasjestap.

De modus allinnich-sertifikaat is ien kontrôle, stipe troch in kaai dy’t wol of net troch in PIN beskerme wurde kin. In PIN makket deselde legitimasaasje ta kennis plus besit allinnich as de kaai sûnder dy net brûkt wurde kin. De kaai ûnfersifere op skiif litte ferminderet it twadde part ta in triemrjocht.

Fabrikanten fan apparaten bouwe har eigen lieding, faak in PAM-module of in RADIUS-plug-in efter in webconsole. It gedrach fan ’e mienskip is in referinsje foar hoe’t dûbele kontrôles derút sjogge, net in beskriuwing fan hoe’t in apparaat se kombinearret.

Kontrolearje de kombinaasje op jo poarte

Lês de konfiguraasje foardatst it konsolesamfetting fertrouwe. De rigels dy’t it belied beslisse binne de sertifikaatmodus, it legitimasjeskript en de plug-infolchoarder.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep lit sjen oft in sertifikaat ferplicht is en hokker skript dêrnei rint, en de folchoarder is wichtiger as de nammen suggerearje. De sertifikaatdump jout de identiteit dy’t de poarte sil sjen, ynklusyf de CN en it searjenûmer datst nedich hast foar de ferbiningkaart. De RADIUS-test is it negative gefal: in ferkeard wachtwurd moat Access-Reject jaan, en in goed Access-Accept. As in wegere legitimasaasje noch in sesje jout, is it skript hielendal net op it autentikaasjepaad.

Fier dan it steuringsgefal út op in laboratoariumynstânsje: stop de ferplichte backend en ferbynje mei jildige legitimasaasjes. It ferwachte resultaat is in wegering, en al it oare is it fallbackbelied dat nimmen dokumintearre.

Skriuw de eask as negative gefallen

In brûkbere eask neamt de bewiizen, de akkounts dy’t se presintearje meie en it resultaat as in ferifisearrer ûntbrekt. It neamt ek de tastiene peareing tusken apparaatidentiteit en persoansidentiteit. Dat is krekter as de produktnammen op ’e oarder, en it is te testen.

Akseptaasje moat fjouwer wegerings omfetsje: in ûngeskikt lokaal akkount, in ûntbrekkend ferplicht bewiis, in ûnjildich twadde faktor en in net berikbere ferplichte backend. Eltse wegering hat in logrigel nedich dy’t it fan ’e oaren ûnderskiedt, oars begjint it folgjende ynsidint mei giswurk. Skriuw op hokker komponint elk beslút naam, om’t de poarte, de RADIUS-tsjinner en de gids elk de oare twa de skuld jouwe.

Fier de fjouwer wegerings opnij út nei elke plug-in- of firmwarewiziging. Se binne goedkeap, en it belied dat se beskermje is it part dat in oanfaller earst ûndersiket.