Zwee Login-Kontrollen sinn net zwee Faktoren: VPN a RADIUS

En zweeten Authentifizéierungs-Backend op engem VPN-Gateway derbäisetzen fillt sech un wéi en zweete Faktor. Meeschtens setzt et eng zweet Kontroll derbäi, wat en anert Objet mat aneren Ausfallmodes ass. Ob béid mussen erfolgreich sinn, wat jiddereen beweist a wat geschitt wann een net verfügbar ass, sinn dräi getrennte Entscheedungen. Maacht et falsch an de Gateway ass méi strikt an der Demonstratioun a méi schwaach bei engem Ausfall.

Wat en zweeten Backend tatsächlech beweist

Eng lokal Kontosich beweist datt en Numm an enger Datebank existéiert an datt e Passwuert dozou gepasst huet. En RADIUS-Austausch beweist datt en RADIUS-Server Access-Accept fir déi empfaang Attributer zréckginn huet. Keng vun den Aussagen ernimmt eng Faktorentzort, well béid Wëssen iwwerpréifen. An de NIST-Leitfued fir digital Identitéit zielt verschidde Faktorentzorten an hir Authentifizéierer, net Server oder Ufuerderungen.

Et gëtt en legitimen Design wou béid Systemer deelhuelen. En zentrale Service kann d'Persoun authentifizéieren während de Gateway onofhängeg préift ob dee Kont op dësen Tunnel berechtegt ass. Dat ass Autorisatioun niewent der Authentifizéierung, an et Zweefaktor ze nennen verwiesselt eng Politikskontroll mat engem Beweis vu Besëtz.

RADIUS kann e richtege zweete Faktor droen wann et virun eppes steet wat een iwwerpréift, wéi eng Push-Genehmegung oder en Hardware-Token. Den Ëmschlag seet net wéi eng Authentifizéierer de Benotzer presentéiert huet, also liest d'Backend-Politik an net d'Etikett vum Gateway.

AND, OR a Fallback sinn verschidde Produkter

Ier Dir Implementéierunge vergläicht, entscheet wat béid an Ärer Ufuerderung bedeit. Eng AND-Politik verlaangt datt all genannt Kontroll besteet, eng OR-Politik akzeptéiert déi déi geléngt, an e Fallback probéiert déi zweet nëmmen ënner uginn Ausfallbedingungen. Déi dräi behuelen sech géigesätzlech bei engem Ausfall, an normalerweis ass just eng dovun dat wat d'Revue gemengt huet.

Zwee Backend-Entréeë op engem Konfiguratiounseire ze setzen verroden net wéi eng Politik d'Produkt ëmsetzt. E puer Gateways ketten Plugins a Reiefolleg a stoppen um éischte Refus, wat just AND ass wann all Plugin obligatoresch ass. Anerer behandelen e lokale Kont als Iwwerschreiwung, wat en zentralen Ausfall zu enger Ëmgeeung mécht. Déi zouverlässeg Äntwert ass en dokumentéierten negative Test fir all Wee, ausgefouert géint de Build deen Dir ausrollt.

De Fallback verdéngt déi meescht Verdacht, well en existéiert fir weiderzeschaffen wann eppes futti ass. E Fallback deen e lokalt Passwuert akzeptéiert wann ëmmer RADIUS net erreechbar ass, huet eng zentral Politik an eng zweet, méi schwaach Dier ëmgewandelt.

OpenVPN seng Duebelkontroll ass e konkrete Fall

Communautéits-OpenVPN 2.6 verlaangt souwuel en Clientzertifikat wéi och de konfiguréierte Skript auth-user-pass-verify wann béid aktivéiert sinn. Dat ass en dokumentéierten AND tëscht Zertifikatsverifikatioun an engem Umeldungsdatenskript, an et sinn tatsächlech zwou Kontrollen. Et ass awer net automatesch zwou Faktorentzorten, well de Skript vläicht nëmmen e Passwuert validéiert.

D'Kombinatioun léisst och d'Assoziatiounsfro op. En Zertifikat identifizéiert meeschtens en Apparat während d'Umeldungsdaten eng Persoun identifizéieren, an näischt am Standardflux verlaangt datt béid op dee selwechte Principale verweisen. Entscheet wéi eng Puer erlaabt sinn, da setzt déi Kaart am Verifikatiounsskript oder an engem spéideren Autorisatiounsschrëtt duerch.

De Modus nëmmen Zertifikat ass eng eenzeg Kontroll, ënnerstëtzt vun engem Schlëssel dee vläicht oder vläicht net duerch eng PIN geschützt ass. Eng PIN mécht déi selwecht Umeldungsdaten zu Wëssen plus Besëtz just wann de Schlëssel ouni se net ka benotzt ginn. De Schlëssel onverschlësselt op der Plack ze loossen reduzéiert den zweeten Deel op eng Dateiberechtegung.

Apparat-Hiersteller bauen hir eegen Installatioun, dacks e PAM-Modul oder en RADIUS-Plugin hannert enger Webkonsole. D'Verhalen vun der Communautéit ass eng Referenz wéi Duebelkontrollen ausgesinn, net eng Beschreiwung wéi en Apparat se kombinéiert.

Préift d'Kombinatioun op Ärem Gateway

Liest d'Konfiguratioun ier Dir der Konsolzusammenfassung vertraut. D'Linnen déi d'Politik entscheeden sinn de Zertifikatsmodus, den Umeldungsdatenskript an d'Reiefolleg vun de Plugins.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep weist ob en Zertifikat verlaangt gëtt a wéi ee Skript duerno leeft, an d'Reiefolleg ass méi wichteg wéi d'Nimm vermuten. Den Zertifikatsdump gëtt d'Identitéit déi de Gateway wäert gesinn, dorënner den CN an d'Seriennummer déi Dir fir d'Assoziatiounskaart braucht. Den RADIUS-Test ass de negative Fall: e falscht Passwuert muss Access-Reject erginn, an e richtegt Access-Accept. Wann eng verworf Umeldungsdaten nach ëmmer eng Sessioun ergëtt, ass de Skript guer net um Authentifizéierungswee.

Führt dann den Ausfallsfall op enger Laboinstanz aus: stoppt de verlaangte Backend a verbënnt Iech mat gültegen Umeldungsdaten. D'Erwaardung ass e Refus, an alles anescht ass déi Fallback-Politik déi kee dokumentéiert huet.

Schreift d'Ufuerderung als negativ Fäll

Eng brauchbar Ufuerderung nennt d'Beweiser, d'Konten déi se presentéiere kënnen an d'Resultat wann e Verifizéierer feelt. Si nennt och d'erlaabt Puerung tëscht Apparatidentitéit a Persounenidentitéit. Dat ass méi präzis wéi d'Produktnimm op der Bestellung, a ka getest ginn.

D'Akzeptanz soll véier Refuse enthalen: en net gëeegnete lokale Kont, e fehlende verlaangte Beweis, en ongültege zweete Faktor an en net erreechbare verlaangte Backend. All Refus brauch eng Loglinn déi en vun den aneren ënnerscheet, soss fänkt de nächsten Incident mat Rotschléi un. Hält fest wéi eng Komponent all Entscheedung getraff huet, well de Gateway, den RADIUS-Server an de Verzeechnis sech géigesäitig beschëllege wäerten.

Führt déi véier Refuse no all Plugin- oder Firmwareännerung erëm aus. Si sinn bëlleg, an d'Politik déi se schützen ass den Deel deen en Ugräifer als éischten préift.