FortiGate VPN MFA: token lokali, RADIUS jew SAML?

Il-gateway, backend RADIUS jew fornitur SAML jistgħu jivverifikaw il-fattur, u kull wieħed ifalli b'mod differenti. Qabbil is-servizz, il-klijent u t-triq tal-irkupru.

Kull disinn ta' FortiGate VPN MFA l-ewwel iwieġeb mistoqsija waħda: min jivverifika t-tieni fattur? Il-gateway stess jista' jagħmel dan b'token lokali jew b'kodiċi mibgħut bl-email, backend RADIUS jista' jinfurzah u jirritorna sfida, jew fornitur ta' identità SAML jista' jieħu f'idejh iċ-ċerimonja kollha fil-browser. Kull wieħed minnhom jipproduċi sekwenza ta' dħul differenti, firma ta' falliment differenti u proċedura ta' rkupru differenti, u l-kopja ta' blokka ta' kmandi bejniethom tipproduċi konfigurazzjoni li tidher plaużibbli u ma tawtentika lil ħadd. Dan huwa artiklu dwar il-mekkaniżmu: x'jagħmel kull disinn fil-fatt waqt id-dħul, u fejn jinqasam.

Iċ-ċerimonja tad-dħul tiddeċiedi min għandu l-fattur

Fl-ewwel żewġ disinni, il-FortiGate huwa l-parti li tafda. Jiġbor il-kredenzjali, jiddeċiedi jekk huwiex meħtieġ it-tieni fattur, u jivverifikah lokalment jew billi jitlob sfida. Fit-tielet disinn il-gateway jieqaf ikun il-verifikatur u jsir relay: jidderieġi l-klijent lejn il-fornitur tal-identità, jirċievi asserzjoni u jimmappa l-identità affermata għal utent u grupp. Fid-disinn RADIUS jinsab bejniethom u jmexxi skambju ta' talba u tweġiba ma' backend li jkollu l-politika.

Din id-differenza tiddeċiedi liema evidenza tista' tiġbor. Meta l-gateway jivverifika, l-output tad-debug tiegħu stess jgħidlek x'ġara. Meta jivverifika fornitur tal-identità, il-gateway jaf biss li waslet asserzjoni, u t-tweġiba għal «kienet l-MFA meħtieġa tassew» tinsab fil-logs tal-fornitur, mhux fil-logs tal-firewall. Li taqra l-log ħażin huwa l-aktar mod komuni kif tiddijanjostika ħażin installazzjoni li taġixxi eżatt kif iddisinjata. Is-servizz innifsu wkoll jillimita ċ-ċerimonja: FortiOS 7.6.3 ineħħi l-modalità tunnel tal-SSL VPN favur IPsec, filwaqt li l-modalità web tkompli bħala Agentless VPN fuq mudelli appoġġjati, għalhekk ċerimonja ppruvata fuq servizz wieħed mhijiex awtomatikament disponibbli fuq ieħor.

Verifika lokali: tokens u kodiċijiet bl-email

Il-fatturi amministrati mill-FortiGate huma marbuta mal-oġġett tal-utent. FortiToken jew integrazzjoni ta' token iddokumentata teħtieġ reġistrazzjoni, iċ-ċerimonja ta' verifika appoġġjata, liċenzjar fejn japplika, u proċedura ta' sostituzzjoni. Kodiċi mibgħut bl-email jeħtieġ triq SMTP li taħdem u kaxxa tal-posta li l-utent jista' jasal għaliha qabel ma jeżisti t-tunnel, dipendenza li m'għandha x'taqsam xejn mal-kriptografija u kollox ma' jekk xi ħadd jistax jidħol.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Il-kunsinna tal-email hija parti mid-disponibbiltà tal-awtentikazzjoni. Kaxxa tal-posta li tintlaħaq biss permezz tal-VPN toħloq linja li ma ssolvix ruħha għal ħadd, u d-dewmien fil-kunsinna, il-validità tal-kodiċi u l-iskadenza tal-awtentikazzjoni remota huma tliet restrizzjonijiet separati. Li tgħolli waħda ma ssewwix kaxxa tal-posta li ma tintlaħaqx, u disinn li qatt ma pprova l-linja se jiskopriha fl-ewwel reset tal-password wara btala.

Anki r-rekwiżiti ta' assigurazzjoni jappartjenu hawn, qabel l-għażla tal-prodott. NIST SP 800-63B iqis l-email bħala inaċċettabbli għall-awtentikazzjoni barra l-medda, għalhekk implimentazzjoni li tgħid li hija konformi ma tistax tuża kodiċi bl-email bħala t-tieni fattur, kemm jekk huwa konvenjenti. L-eżistenza ta' funzjoni fuq l-apparat mhijiex dikjarazzjoni li l-funzjoni tissodisfa standard partikolari.

RADIUS: il-gateway jistaqsi, il-backend jiddeċiedi

B'RADIUS, il-FortiGate jibgħat il-kredenzjali lil backend li għandu l-politika tal-fatturi. L-iskambju jista' jkun aċċettazzjoni jew rifjut sempliċi, jew jista' jinvolvi sfida li l-klijent irid iwieġeb għaliha, li jfisser li kemm is-servizz VPN kif ukoll il-klijent iridu jappoġġjaw dik il-forma ta' sfida. Backend li jinfurza approvazzjoni push u klijent li jaf biss iżid kodiċi ta' sitt ċifri ma' password mhux se jiltaqgħu fin-nofs.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Ipprova l-backend b'mod indipendenti qabel ma tagħti tort lit-tunnel. Jekk it-test authserver jirnexxi u d-dħul fil-VPN le, id-differenza hija fit-trattament tas-sfida u mhux fil-kredenzjali, u d-debug tad-daemon tal-awtentikazzjoni tal-gateway huwa fejn dan jidher:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: il-browser iħalli l-gateway

F'disinn SAML il-klijent jiġi ridirett lejn il-fornitur tal-identità, jawtentika hemmhekk, u jerġa' lura b'asserzjoni li l-gateway jivvalida kontra relazzjoni ta' fiduċja u mappa tal-gruppi. Il-gateway qatt ma jara l-password jew it-tieni fattur, li huwa fl-istess ħin titjib fis-sigurtà u kumplikazzjoni operattiva: il-falliment issa jiġri f'sessjoni tal-browser li l-firewall ma jistax jispezzjona.

Li taċċetta asserzjoni ma tipprovax li l-fornitur talab MFA għal dak id-dħul. Politika tal-fornitur li tapplika MFA għal xi applikazzjonijiet u mhux għal oħrajn se tipproduċi eżatt id-dħul li tlabt u xejn mill-assigurazzjoni li assumjt. Iċċekkja l-politika tal-fornitur għal din l-applikazzjoni speċifika, u ċċekkja li l-mappa tat-talbiet tal-grupp għall-gruppi FortiGate għadha taqbel wara kwalunkwe bidla fl-isem fuq kwalunkwe naħa.

L-appoġġ tal-klijent huwa aktar importanti hawn milli f'kull post ieħor. Xi klijenti VPN jimmaniġġjaw il-konsenja lill-browser b'mod nattiv, oħrajn jiftħu l-browser tas-sistema, u klijenti mingħajr interface jew tal-linja tal-kmand jistgħu ma jlestux il-fluss xejn. Ipprova bil-klijent li l-utenti fil-fatt iħaddmu, fuq il-pjattaformi li fil-fatt jużaw, qabel ma tippubblika l-profil.

L-irkupru huwa parti mill-mekkaniżmu

Kull disinn hawn fuq għandu dipendenza li tista' tfalli għal utent wieħed fid-darba: kaxxa tal-posta li ma tintlaħaqx, token mitluf, backend li jirrifjuta sfida, kont tal-fornitur tal-identità msakkra. Iddeċiedi issa min jista' jerġa' jdaħħal l-aċċess, b'liema proċedura appoġġjata u b'liema verifika tal-persuna li titlob. Kont amministratur lokali ta' emerġenza miżmum separat mit-triq tal-VPN huwa kontroll; u bypass mhux spjegat b'password biss huwa inċident li jistenna li jiġi skopert.

Imbagħad ipprova tliet dħuliet qabel l-installazzjoni: dak normali, fattur miċħud jew skadut, u l-irkupru approvat ta' awtentikatur mitluf. Innota f'liema log jidher kull wieħed. Dak ir-rekord huwa dak li jibdel «l-MFA huwa attivat» f'disinn li xi ħadd ieħor jista' jmexxi.

Artikli relatati