FortiGate VPN MFA: lokalni token, RADIUS ili SAML?

Svaki FortiGate VPN MFA dizajn najprije odgovara na jedno pitanje: tko provjerava drugi faktor? Sam pristupnik to može učiniti lokalnim tokenom ili kodom poslanim e-poštom, RADIUS pozadina to može nametnuti i vratiti izazov, ili SAML pružatelj identiteta može preuzeti cijelu ceremoniju u pregledniku. Svaki od njih daje drugačiji slijed prijave, drugačiji potpis kvara i drugačiji postupak oporavka, a kopiranje bloka naredbi između njih stvara konfiguraciju koja izgleda uvjerljivo i ne autentificira nikoga. Ovo je članak o mehanizmu: što svaki dizajn zapravo radi tijekom prijave i gdje se lomi.

Ceremonija prijave odlučuje tko posjeduje faktor

U prva dva dizajna FortiGate je strana koja se pouzdaje. Prikuplja vjerodajnicu, odlučuje je li potreban drugi faktor i provjerava ga lokalno ili putem izazova. U trećem dizajnu pristupnik prestaje biti provjeravatelj i postaje posrednik: preusmjerava klijenta na pružatelja identiteta, prima tvrdnju i preslikava potvrđeni identitet na korisnika i grupu. U RADIUS dizajnu nalazi se između njih i vodi razmjenu zahtjeva i odgovora s pozadinom koja drži pravila.

Ta razlika odlučuje koje dokaze možete prikupiti. Kad pristupnik provjerava, njegov vlastiti ispis za otklanjanje pogrešaka kaže vam što se dogodilo. Kad provjerava pružatelj identiteta, pristupnik zna samo da je tvrdnja stigla, a odgovor na pitanje „je li MFA doista bio potreban“ nalazi se u zapisima pružatelja, ne u zapisima vatrozida. Čitanje pogrešnog zapisa najčešći je način da pogrešno dijagnosticirate uvođenje koje radi točno kako je projektirano. I sama usluga ograničava ceremoniju: FortiOS 7.6.3 uklanja način tunela SSL VPN u korist IPsec-a, dok se web način nastavlja kao Agentless VPN na podržanim modelima, pa ceremonija dokazana na jednoj usluzi nije automatski dostupna na drugoj.

Lokalna provjera: tokeni i kodovi e-poštom

Faktori kojima upravlja FortiGate vežu se na objekt korisnika. FortiToken ili dokumentirana integracija tokena zahtijeva registraciju, podržanu ceremoniju provjere, licenciranje gdje se primjenjuje i postupak zamjene. Kod poslan e-poštom zahtijeva radni SMTP put i poštanski sandučić do kojeg korisnik može doći prije nego što tunel postoji, što je ovisnost koja nema nikakve veze s kriptografijom i ima sve veze s tim može li se itko prijaviti.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Dostava e-pošte dio je dostupnosti autentifikacije. Sandučić dostupan samo kroz VPN stvara petlju koja se nikome ne rješava sama, a kašnjenje dostave, valjanost koda i vremensko ograničenje udaljene autentifikacije tri su odvojena ograničenja. Podizanje jednoga ne popravlja nedostupan sandučić, a dizajn koji nikada nije isprobao petlju otkrit će je tijekom prvog poništavanja zaporke nakon blagdana.

Zahtjevi za jamstvom također pripadaju ovamo, prije odabira proizvoda. NIST SP 800-63B smatra e-poštu neprihvatljivom za autentifikaciju izvan pojasa, pa implementacija koja tvrdi sukladnost ne može koristiti kod e-poštom kao drugi faktor, koliko god to bilo prikladno. Postojanje značajke na uređaju nije izjava da značajka zadovoljava zadani standard.

RADIUS: pristupnik pita, pozadina odlučuje

S RADIUS-om FortiGate šalje vjerodajnicu pozadini koja posjeduje pravila faktora. Razmjena može biti obično prihvaćanje ili odbijanje, ili može uključivati izazov na koji klijent mora odgovoriti, što znači da i VPN usluga i klijent moraju podržavati takav oblik izazova. Pozadina koja nameće push odobrenje i klijent koji zna samo dodati šesteroznamenkasti kod zaporki neće se naći na sredini.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Testirajte pozadinu neovisno prije nego što okrivite tunel. Ako test authserver uspije, a VPN prijava ne, razlika je u rukovanju izazovom, a ne u vjerodajnici, a ispis za otklanjanje pogrešaka autentifikacijskog demona pristupnika mjesto je na kojem se to vidi:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: preglednik napušta pristupnik

U SAML dizajnu klijent se preusmjerava na pružatelja identiteta, tamo se autentificira i vraća se s tvrdnjom koju pristupnik provjerava prema odnosu povjerenja i preslikavanju grupa. Pristupnik nikada ne vidi zaporku ni drugi faktor, što je istodobno sigurnosno poboljšanje i operativna komplikacija: kvar se sada događa u sesiji preglednika koju vatrozid ne može pregledati.

Prihvaćanje tvrdnje ne dokazuje da je pružatelj zahtijevao MFA za tu prijavu. Pravila pružatelja koja primjenjuju MFA na neke aplikacije, a na druge ne, dat će točno onu prijavu koju ste tražili i ništa od jamstva koje ste pretpostavili. Provjerite pravila pružatelja za ovu konkretnu aplikaciju i provjerite da se preslikavanje grupnih tvrdnji na FortiGate grupe još uvijek podudara nakon bilo kojeg preimenovanja na bilo kojoj strani.

Podrška klijenta ovdje je važnija nego bilo gdje drugdje. Neki VPN klijenti sami obrađuju prijelaz na preglednik, neki otvaraju sistemski preglednik, a bezglavi ili klijenti naredbenog retka možda uopće neće dovršiti tijek. Testirajte s klijentom koji korisnici doista pokreću, na platformama koje doista koriste, prije nego što objavite profil.

Oporavak je dio mehanizma

Svaki gornji dizajn ima ovisnost koja može zatajiti za jednog korisnika odjednom: nedostupan sandučić, izgubljeni token, pozadina koja odbija izazov, zaključan račun pružatelja identiteta. Odlučite sada tko može vratiti pristup, kojim podržanim postupkom i uz kakvu provjeru osobe koja traži. Hitni lokalni administratorski račun koji se drži odvojeno od VPN puta jest kontrola; a neobjašnjen zaobilazak samo sa zaporkom incident je koji čeka da bude otkriven.

Zatim testirajte tri prijave prije uvođenja: normalnu, odbijeni ili istekli faktor i odobreni oporavak izgubljenog autentifikatora. Zabilježite u kojem se zapisu svaka pojavljuje. Taj zapis pretvara „MFA je omogućen“ u dizajn kojim netko drugi može upravljati.