Żewġ kontrolli tad-dħul mhumiex żewġ fatturi: VPN u RADIUS

Iż-żieda ta’ tieni backend ta’ awtentikazzjoni ma’ gateway VPN tħoss tajjeb bħal żieda ta’ tieni fattur. Normalment iżżid tieni kontroll, li huwa oġġett differenti b’modi ta’ falliment differenti. Jekk it-tnejn iridu jirnexxu, x’juri kull wieħed u x’jiġri meta wieħed mhux disponibbli huma tliet deċiżjonijiet separati. Jekk tiżbalja, il-gateway jispiċċa aktar strett fid-dimostrazzjoni u aktar dgħajjef waqt qtugħ.

X’juri tassew tieni backend

Tfittxija f’kont lokali turi li isem jeżisti f’bażi ta’ data u li password qablu miegħu. Skambju RADIUS juri li server RADIUS reġa’ lura Access-Accept għall-attributi li rċieva. L-ebda waħda miż-żewġ dikjarazzjonijiet ma ssemmi tip ta’ fattur, għax it-tnejn jivverifikaw l-għarfien. Ukoll, il-gwida tal-NIST dwar l-identità diġitali tgħodd tipi ta’ fattur distinti u l-awtentikaturi tagħhom, mhux servers jew talbiet.

Hemm disinn leġittimu fejn iż-żewġ sistemi jipparteċipaw. Servizz ċentrali jista’ jawtentika l-persuna filwaqt li l-gateway jiċċekkja b’mod indipendenti jekk dak il-kont huwiex intitolat għal dan it-tunnel. Dik hija awtorizzazzjoni ħdejn l-awtentikazzjoni, u li ssejħilha żewġ fatturi jħallat verifika ta’ politika ma’ prova ta’ pussess.

RADIUS jista’ jġorr tieni fattur reali meta jkun quddiem xi ħaġa li tivverifika wieħed, bħal approvazzjoni push jew token tal-ħardwer. L-envelop ma jgħidx liema awtentikaturi wera l-utent, għalhekk aqra l-politika tal-backend, mhux it-tikketta tal-gateway.

AND, OR u rikors huma prodotti differenti

Qabel ma tqabbel implimentazzjonijiet, iddeċiedi xi jfisser it-tnejn fir-rekwiżit tiegħek. Politika AND teħtieġ li jgħaddi kull kontroll imsemmi, politika OR taċċetta dak li jirnexxi, u rikors jipprova t-tieni biss taħt kundizzjonijiet ta’ falliment iddikjarati. Dawn it-tlieta jġibu ruħhom b’mod oppost waqt qtugħ, u normalment wieħed biss minnhom huwa dak li kienet qed tfisser ir-reviżjoni.

Iż-żieda ta’ żewġ entrati tal-backend ma’ skrin tal-konfigurazzjoni ma tiżvelax liema politika timplimenta l-prodott. Xi gateways jiktlu plugins fl-ordni u jieqfu fl-ewwel rifjut, li huwa AND biss meta kull plugin ikun meħtieġ. Oħrajn jittrattaw kont lokali bħala override, li jbiddel qtugħ ċentrali fi bypass. It-tweġiba affidabbli hija test negattiv iddokumentat għal kull triq, imħaddem kontra l-build li tuża.

Ir-rikors jistħoqqlu l-aktar suspett, għax jeżisti biex jibqa’ jaħdem meta xi ħaġa tkun miksura. Rikors li jaċċetta password lokali kull meta RADIUS ma jkunx jista’ jintlaħaq bidel politika ċentrali fi tieni bieb aktar dgħajjef.

Il-kontroll doppju tal-OpenVPN huwa każ konkret

OpenVPN komunitarju 2.6 jeħtieġ kemm ċertifikat tal-klijent kif ukoll l-iscript auth-user-pass-verify konfigurata meta t-tnejn ikunu attivati. Dak huwa AND iddokumentat bejn verifika taċ-ċertifikat u script tal-kredenzjali, u huma tassew żewġ kontrolli. Għad mhuwiex awtomatikament żewġ tipi ta’ fattur, għax l-iscript tista’ tivvalida biss password.

Il-kombinazzjoni tħalli wkoll mistoqsija tal-assoċjazzjoni miftuħa. Ċertifikat normalment jidentifika apparat filwaqt li l-kredenzjali jidentifikaw persuna, u xejn fil-fluss awtomatiku ma jeħtieġ li t-tnejn jirreferu għall-istess prinċipal. Iddeċiedi liema pari huma permessi, imbagħad infurza dik il-mappa fl-iscript tal-verifika jew fi stadju ta’ awtorizzazzjoni aktar tard.

Il-modalità taċ-ċertifikat biss hija kontroll wieħed, sostnut minn ċavetta li tista’ tkun jew ma tkunx protetta b’PIN. PIN ibiddel l-istess kredenzjali f’għarfien flimkien ma’ pussess biss jekk iċ-ċavetta ma tistax tintuża mingħajru. Li tħalli dik iċ-ċavetta mhux encrypted fuq id-diska jnaqqas it-tieni parti għal permess tal-fajl.

Il-manifatturi tal-apparati jibnu l-plaming tagħhom stess, spiss modulu PAM jew plugin RADIUS wara console tal-web. L-imġiba tal-komunità hija referenza għal kif jidhru l-kontrolli doppji, mhux deskrizzjoni ta’ kif apparat jgħaqqadhom.

Iċċekkja l-kombinazzjoni fuq il-gateway tiegħek

Aqra l-konfigurazzjoni qabel ma tafda fis-sommarju tal-console. Il-linji li jiddeċiedu l-politika huma l-modalità taċ-ċertifikat, l-iscript tal-kredenzjali u l-ordni tal-plugins.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep juri jekk ċertifikat huwiex meħtieġ u liema script taħdem warajh, u l-ordni timporta aktar milli jissuġġerixxu l-ismijiet. Id-dump taċ-ċertifikat jagħti l-identità li l-gateway se jara, inklużi s-CN u n-numru tas-serje li għandek bżonn għall-mappa tal-assoċjazzjoni. It-test RADIUS huwa l-każ negattiv: password żbaljata trid tagħti Access-Reject, u waħda korretta Access-Accept. Jekk kredenzjali miċħuda xorta tagħti sessjoni, l-iscript mhijiex fuq it-triq tal-awtentikazzjoni xejn.

Imbagħad ħaddem il-każ ta’ qtugħ fuq istanza tal-laboratorju: waqqaf il-backend meħtieġ u qabbad b’kredenzjali validi. Ir-riżultat mistenni huwa rifjut, u kull ħaġa oħra hija l-politika ta’ rikors li ħadd ma ddokumenta.

Ikteb ir-rekwiżit bħala każijiet negattivi

Rekwiżit użabbli jsemmi l-provi, il-kontijiet permessi jippreżentawhom u r-riżultat meta jkun nieqes verifikatur. Jiddikjara wkoll it-tqabbil permess bejn l-identità tal-apparat u l-identità tal-persuna. Dan huwa aktar preċiż mill-ismijiet tal-prodotti fuq l-ordni tax-xiri, u jista’ jiġi ttestjat.

L-aċċettazzjoni għandha tinkludi erba’ rifjuti: kont lokali mhux eliġibbli, prova meħtieġa nieqsa, tieni fattur invalidu u backend meħtieġ li ma jistax jintlaħaq. Kull rifjut jeħtieġ linja tal-log li tiddistingwih mill-oħrajn, inkella l-inċident li jmiss jibda bil-ħsieb. Irreġistra liema komponent ħa kull deċiżjoni, għax il-gateway, is-server RADIUS u d-direttorju kull wieħed se jakkuża t-tnejn l-oħra.

Erġa’ ħaddem l-erba’ rifjuti wara kull bidla ta’ plugin jew firmware. Huma rħas, u l-politika li jipproteġu hija l-parti li attakkant jipprova l-ewwel.