Registrácia používateľa VPN: najprv nájdite vlastníka identity

Niekto požiada o prístup k VPN a prvým inštinktom je spustiť adduser na serveri. Tento inštinkt je správny len v úzkom súbore nasadení. Skôr než čokoľvek vytvoríte, otvorte konfiguráciu servera a zistite, ktorý produkt tam beží a kde overuje prihlasovacie údaje, pretože účet môže žiť v databáze produktu, u poskytovateľa identity alebo vo vlastnom autentifikačnom zásobníku hostiteľa. Vytvorenie nesprávneho typu účtu nechá človeka s fungujúcim prihlásením a bez tunela.

Klientsky profil, ktorý uvádza OpenVPN, opisuje protokol, nie systém identity za ním.

Začnite serverom, nie adduserom

Najprv identifikujte produkt. Community OpenVPN je démon plus akákoľvek autentifikácia, ktorú ste k nemu pripojili, zatiaľ čo Access Server je produkt s vlastnou používateľskou vrstvou. Vyžiadajte si konfiguráciu, názov jednotky a zoznam balíkov a skontrolujte, či existuje webové rozhranie na správu používateľov. Potom sa pozrite, ako nasadený profil očakáva, že klienti preukážu, kým sú: certifikátom, používateľským menom a heslom alebo oboma. Táto odpoveď pomenúva systém, ktorému účet patrí.

Až potom má fráza vytvorenie používateľa význam. V nasadení len s certifikátmi to znamená vydať identitu zariadenia schváleným procesom, a prihlásenie Unix nič nemení. V nasadení s heslom to znamená backend, ktorý heslo skutočne overuje.

Štyri backendy, štyri miesta na vytvorenie účtu

Lokálna autentifikácia Access Servera drží účty vo vlastnej databáze, takže rozhranie na ich vytváranie patrí produktu, nie hostiteľovi. PAM deleguje overenie na zásobník operačného systému, a preto môže byť lokálny účet Unix súčasťou registrácie, keď si služba vybrala práve tento zásobník. LDAP, RADIUS a SAML presúvajú overenie do externej služby, kde žije provisioning, politika hesiel a MFA. Access Server môže vo všetkých štyroch prípadoch stále držať certifikáty a oprávnenia pre jednotlivých používateľov, a to je to, čo robí rozdelenie mätúcim.

Skontrolujte efektívnu metódu pre tohto konkrétneho používateľa, nie globálnu predvolenú hodnotu. Access Server 2.10 a novšie môžu uplatňovať rôzne metódy autentifikácie pre skupinu alebo používateľa, takže lokálna predvolená hodnota nedokazuje, že účet pred vami sa overuje lokálne.

Oprávnenie je samostatné rozhodnutie

Autentifikácia odpovedá, kto je osoba; oprávnenie odpovedá, kam sa môže dostať. Držte ich ako dva kroky, pretože úspešné prihlásenie nie je udelenie. Zámerne prideľte zamýšľané trasy, oprávnenia k prostriedkom a administratívne práva a potvrďte, že nesúvisiaci prístup zostáva zamietnutý. Kde nasadenie podporuje individuálne identity, vydávajte jednu na osobu namiesto preposielania cudzieho profilu, pretože zdieľaný profil nemožno odobrať jednej osobe.

Klientsky materiál tiež zohráva úlohu. Profil s automatickým prihlásením a interaktívne používateľské prihlásenie predstavujú rôzne autentifikačné vzťahy a výmena jedného za druhé mení, čo server skutočne overuje.

Odobratie prístupu je súčasťou registrácie

Zapíšte troch vlastníkov, kým sa používateľ vytvára: kto overuje účet, kto autorizuje prístup k VPN a ktoré zariadenie alebo profil predstavuje pripojenie. Môžu to byť tri rôzne systémy a plán odobratia, ktorý menuje len jeden z nich, necháva cestu otvorenú. Keď osoba odíde, odoberte oprávnenie od jeho vlastníka a odvolajte každý vydaný preukaz u jeho vlastníka. Vymazanie stiahnutého súboru nie je odvolanie a nie je ním ani vymazanie lokálneho záznamu, ak sa externá identita stále autentizuje.

Potom registráciu otestujte tak, ako by to urobil útočník: pripojte sa raz s novou identitou, potvrďte prístup k zamýšľanému prostriedku a potvrďte, že nesúvisiaci prostriedok stále odmieta. Prvé fungujúce pripojenie plus negatívny test je dokončená registrácia.

Záznam uchovávajte spolu s profilom, ktorému patrí. Ďalší audítor sa opýta, kto sa mohol počas daného mesiaca pripojiť, a odpoveď žije u tých troch vlastníkov.