FortiGate VPN MFA: lokālais marķieris, RADIUS vai SAML?

Katrs FortiGate VPN MFA risinājums vispirms atbild uz vienu jautājumu: kas pārbauda otro faktoru? Pati vārteja to var izdarīt ar lokālu marķieri vai e-pastā nosūtītu kodu, RADIUS aizmugure to var uzspiest un atgriezt izaicinājumu, vai SAML identitātes nodrošinātājs var pārņemt visu ceremoniju pārlūkā. Katrs no tiem rada citu pieteikšanās secību, citu kļūmes pazīmi un citu atjaunošanas procedūru, un komandu bloka kopēšana starp tiem rada konfigurāciju, kas izskatās ticami un neautentificē nevienu. Šis ir raksts par mehānismu: ko katrs risinājums patiešām dara pieteikšanās laikā un kur tas lūst.

Pieteikšanās ceremonija nosaka, kam pieder faktors

Pirmajos divos risinājumos FortiGate ir uzticīgā puse. Tas savāc akreditācijas datus, izlemj, vai nepieciešams otrais faktors, un pārbauda to lokāli vai ar izaicinājuma pieprasījumu. Trešajā risinājumā vārteja pārstāj būt pārbaudītājs un kļūst par starpnieku: tā novirza klientu uz identitātes nodrošinātāju, saņem apgalvojumu un kartē apstiprināto identitāti ar lietotāju un grupu. RADIUS risinājumā tā atrodas starp abiem un vada pieprasījuma-atbildes apmaiņu ar aizmuguri, kurai ir politika.

Šī atšķirība nosaka, kādus pierādījumus varat savākt. Kad vārteja pārbauda, tās pašas atkļūdošanas izvade stāsta, kas notika. Kad pārbauda identitātes nodrošinātājs, vārteja zina tikai to, ka ir saņemts apgalvojums, un atbilde uz «vai MFA patiešām bija nepieciešams» ir nodrošinātāja žurnālos, nevis firewall žurnālos. Nepareiza žurnāla lasīšana ir visizplatītākais veids, kā nepareizi diagnosticēt ieviešanu, kas darbojas tieši tā, kā projektēta. Arī pakalpojums ierobežo ceremoniju: FortiOS 7.6.3 noņem SSL VPN tuneļa režīmu par labu IPsec, savukārt tīmekļa režīms turpinās kā Agentless VPN atbalstītajos modeļos, tāpēc vienā pakalpojumā pierādīta ceremonija nav automātiski pieejama citā.

Lokālā pārbaude: marķieri un e-pasta kodi

FortiGate pārvaldītie faktori tiek piesaistīti lietotāja objektam. FortiToken vai dokumentēta marķiera integrācija prasa reģistrāciju, atbalstīto pārbaudes ceremoniju, licencēšanu, kur tā attiecas, un aizstāšanas procedūru. E-pastā nosūtīts kods prasa strādājošu SMTP ceļu un pastkasti, kurai lietotājs var piekļūt pirms tuneļa pastāvēšanas; tā ir atkarība, kurai nav nekāda sakara ar kriptogrāfiju un viss sakars ar to, vai kāds var pieteikties.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

E-pasta piegāde ir autentifikācijas pieejamības daļa. Pastkaste, kas pieejama tikai caur VPN, rada cilpu, kas nevienam neizšķiras pati no sevis, un piegādes aizkave, koda derīgums un attālinātās autentifikācijas taimauts ir trīs atsevišķi ierobežojumi. Viena palielināšana nesalabo nepieejamu pastkasti, un risinājums, kas nekad nav pārbaudījis cilpu, to atklās pirmajā paroles atiestatīšanā pēc atvaļinājuma.

Arī nodrošinājuma prasības pieder šeit, pirms produkta izvēles. NIST SP 800-63B uzskata e-pastu par nepieņemamu ārpusjoslas autentifikācijai, tāpēc ieviešana, kas apgalvo atbilstību, nevar izmantot e-pasta kodu kā otro faktoru, lai cik ērti tas būtu. Funkcijas esamība ierīcē nav apgalvojums, ka funkcija atbilst noteiktam standartam.

RADIUS: vārteja jautā, aizmugure izlemj

Ar RADIUS FortiGate nosūta akreditācijas datus aizmugurei, kurai pieder faktoru politika. Apmaiņa var būt vienkārša pieņemšana vai noraidīšana, vai arī tā var ietvert izaicinājumu, uz kuru klientam jāatbild, kas nozīmē, ka gan VPN pakalpojumam, gan klientam jāatbalsta šī izaicinājuma forma. Aizmugure, kas uzspiež push apstiprinājumu, un klients, kas prot tikai pievienot sešciparu kodu parolei, satiksies nevis pa vidu.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Pārbaudiet aizmuguri atsevišķi, pirms vainojat tuneli. Ja authserver tests izdodas, bet VPN pieteikšanās ne, atšķirība ir izaicinājuma apstrādē, nevis akreditācijas datos, un vārtejas autentifikācijas dēmona atkļūdošana ir vieta, kur tas redzams:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: pārlūks atstāj vārteju

SAML risinājumā klients tiek novirzīts uz identitātes nodrošinātāju, tur autentificējas un atgriežas ar apgalvojumu, ko vārteja validē pret uzticības attiecībām un grupu kartējumu. Vārteja nekad neredz paroli vai otro faktoru, kas vienlaikus ir drošības uzlabojums un operatīva sarežģītība: kļūme tagad notiek pārlūka sesijā, kuru firewall nevar pārbaudīt.

Apgalvojuma pieņemšana nepierāda, ka nodrošinātājs pieprasīja MFA šai pieteikšanās reizei. Nodrošinātāja politika, kas piemēro MFA dažām lietotnēm un ne citām, dos tieši to pieteikšanos, kuru pieprasījāt, un neko no tā nodrošinājuma, ko pieņēmāt. Pārbaudiet nodrošinātāja politiku šai konkrētajai lietotnei un pārbaudiet, vai grupu apgalvojumu kartējums uz FortiGate grupām joprojām atbilst pēc jebkādas pārdēvēšanas jebkurā pusē.

Klienta atbalsts šeit ir svarīgāks nekā jebkur citur. Daži VPN klienti pārlūka nodošanu apstrādā dabiski, citi atver sistēmas pārlūku, un bezgalvas vai komandrindas klienti var plūsmu vispār nepabeigt. Pārbaudiet ar klientu, ko lietotāji patiešām palaiž, un platformās, ko viņi patiešām izmanto, pirms publicējat profilu.

Atjaunošana ir mehānisma daļa

Katram iepriekšminētajam risinājumam ir atkarība, kas var neizdoties vienam lietotājam vienlaikus: nepieejama pastkaste, pazaudēts marķieris, izaicinājumu noraidoša aizmugure, bloķēts identitātes nodrošinātāja konts. Izlemiet tagad, kas var atjaunot piekļuvi, ar kādu atbalstītu procedūru un ar kādu pieprasītājas personas pārbaudi. Ārkārtas lokālais administratora konts, kas turēts atsevišķi no VPN ceļa, ir kontrole; un neizskaidrota apiešana tikai ar paroli ir incidents, kas gaida atklāšanu.

Pēc tam pirms ieviešanas pārbaudiet trīs pieteikšanās: parasto, noraidīto vai beigušos faktoru un apstiprināto pazaudētā autentifikatora atjaunošanu. Pierakstiet, kurā žurnālā katrs parādās. Tieši šis ieraksts pārvērš «MFA ir iespējots» risinājumā, ko var pārvaldīt kāds cits.