Divi pieteikšanās pārbaudes nav divi faktori: VPN un RADIUS

Otra autentifikācijas aizmugures servisa pievienošana VPN vārtejai šķiet kā otra faktora pievienošana. Parasti tas pievieno otru pārbaudi, kas ir cits objekts ar citiem kļūmes režīmiem. Vai abiem jābūt veiksmīgiem, ko katrs pierāda un kas notiek, kad viens nav pieejams, ir trīs atsevišķi lēmumi. Kļūdīsities, un vārteja demonstrācijā būs stingrāka, bet pārtraukuma laikā vājāka.

Ko otrs aizmugures serviss patiešām pierāda

Vietējā konta meklēšana pierāda, ka vārds pastāv datu bāzē un ka parole tam atbilda. RADIUS apmaiņa pierāda, ka RADIUS serveris atgrieza Access-Accept par saņemtajiem atribūtiem. Neviens no apgalvojumiem nemin faktora veidu, jo abas pārbauda zināšanas. Un NIST digitālās identitātes vadlīnijas uzskaita dažādus faktoru veidus un to autentifikatorus, nevis serverus vai uzvednes.

Pastāv likumīgs dizains, kurā piedalās abas sistēmas. Centrālais serviss var autentificēt personu, kamēr vārteja neatkarīgi pārbauda, vai šim kontam ir tiesības uz šo tuneli. Tā ir autorizācija līdzās autentifikācijai, un to saukt par divfaktoru nozīmē sajaukt politikas pārbaudi ar valdījuma pierādījumu.

RADIUS var nest īstu otru faktoru, ja tas stāv priekšā kaut kam, kas pārbauda vienu, piemēram, push apstiprinājumam vai aparatūras marķierim. Aploksne nepasaka, kādus autentifikatorus lietotājs uzrādīja, tāpēc lasiet aizmugures servisa politiku, nevis vārtejas etiķeti.

AND, OR un rezerves politika ir dažādi produkti

Pirms ieviešanas salīdzināšanas izlemiet, ko abi nozīmē jūsu prasībā. AND politika prasa, lai izietu katra nosauktā pārbaude, OR politika pieņem to, kas izdodas, un rezerves politika otro izmēģina tikai norādītos kļūmes apstākļos. Šie trīs pārtraukuma laikā uzvedas pretēji, un parasti tikai viens no tiem ir tas, ko pārskats bija domājis.

Divu aizmugures servisa ierakstu pievienošana konfigurācijas ekrānam neatklāj, kādu politiku produkts īsteno. Dažas vārtejas pēc kārtas ķēdē spraudņus un apstājas pie pirmā noraidījuma, kas ir AND tikai tad, kad katrs spraudnis ir obligāts. Citas vietējo kontu uzskata par pārrakstīšanu, kas centrālu pārtraukumu pārvērš apietā. Uzticamā atbilde ir dokumentēts negatīvs tests katram ceļam, kas veikts pret jūsu izvietoto build.

Rezerves politika pelnījusi vislielākās aizdomas, jo tā pastāv, lai turpinātu darboties, kad kaut kas ir salūzis. Rezerves politika, kas pieņem vietējo paroli vienmēr, kad RADIUS nav sasniedzams, ir pārvērtusi centrālu politiku otrās, vājākās durvīs.

OpenVPN dubultā pārbaude ir konkrēts gadījums

Kopienas OpenVPN 2.6 pieprasa gan klienta sertifikātu, gan konfigurēto auth-user-pass-verify skriptu, kad abi ir iespējoti. Tas ir dokumentēts AND starp sertifikāta pārbaudi un akreditācijas datu skriptu, un tiešām ir divas pārbaudes. Tas joprojām nav automātiski divi faktoru veidi, jo skripts var pārbaudīt tikai paroli.

Kombinācija arī atstāj atvērtu saistīšanas jautājumu. Sertifikāts parasti identificē ierīci, bet akreditācijas dati identificē personu, un nekas noklusējuma plūsmā neprasa, lai abi attiektos uz vienu un to pašu subjektu. Izlemiet, kuri pāri ir atļauti, pēc tam šo karti īstenojiet pārbaudes skriptā vai vēlākā autorizācijas solī.

Tikai sertifikāta režīms ir viena pārbaude, kuru atbalsta atslēga, kas var būt vai nebūt aizsargāta ar PIN. PIN pārvērš tos pašus akreditācijas datus zināšanās plus valdījumā tikai tad, ja atslēgu bez tā nevar izmantot. Atslēgas atstāšana diskā nešifrētā veidā samazina otro daļu līdz faila atļaujai.

Ierīču ražotāji būvē savu santehniku, bieži PAM moduli vai RADIUS spraudni aiz tīmekļa konsoles. Kopienas uzvedība ir atsauce uz to, kā izskatās dubultās pārbaudes, nevis apraksts, kā ierīce tās kombinē.

Pārbaudiet kombināciju savā vārtejā

Izlasiet konfigurāciju, pirms uzticaties konsoles kopsavilkumam. Politiku noteicošās rindas ir sertifikāta režīms, akreditācijas datu skripts un spraudņu secība.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep parāda, vai sertifikāts ir nepieciešams un kurš skripts pēc tā darbojas, un secība ir svarīgāka, nekā liecina nosaukumi. Sertifikāta izdruka dod identitāti, ko vārteja redzēs, tostarp CN un sērijas numuru, kas nepieciešams saistīšanas kartei. RADIUS tests ir negatīvais gadījums: nepareizai parolei jādod Access-Reject, bet pareizai Access-Accept. Ja noraidīti akreditācijas dati tomēr dod sesiju, skripts vispār nav autentifikācijas ceļā.

Pēc tam izpildiet pārtraukuma gadījumu laboratorijas instancē: apturiet nepieciešamo aizmugures servisu un pieslēdzieties ar derīgiem akreditācijas datiem. Gaidāmais rezultāts ir noraidījums, un viss cits ir rezerves politika, ko neviens nav dokumentējis.

Uzrakstiet prasību kā negatīvus gadījumus

Lietojama prasība nosauc pierādījumus, kontus, kuriem atļauts tos uzrādīt, un rezultātu, kad trūkst pārbaudītāja. Tā arī norāda atļauto savienošanu starp ierīces identitāti un personas identitāti. Tas ir precīzāk nekā produktu nosaukumi pasūtījumā, un to var pārbaudīt.

Pieņemšanai jāietver četri noraidījumi: nepiemērots vietējais konts, trūkstošs obligātais pierādījums, nederīgs otrais faktors un nesasniedzams obligātais aizmugures serviss. Katram noraidījumam vajadzīga žurnāla rinda, kas to atšķir no pārējiem, citādi nākamais incidents sākas ar minējumiem. Pierakstiet, kura komponente pieņēma katru lēmumu, jo vārteja, RADIUS serveris un katalogs vainos pārējos divus.

Pēc jebkuras spraudņa vai programmaparatūras izmaiņas atkārtojiet četrus noraidījumus. Tie ir lēti, un politika, ko tie aizsargā, ir daļa, ko uzbrucējs pārbauda vispirms.