FortiGate VPN MFA: lokalni žeton, RADIUS ali SAML?

Vsak načrt FortiGate VPN MFA najprej odgovori na eno vprašanje: kdo preverja drugi dejavnik? Prehod sam lahko to stori z lokalnim žetonom ali kodo, poslano po e-pošti, zaledni sistem RADIUS ga lahko vsili in vrne izziv, ali ponudnik identitete SAML lahko prevzame celotno slovesnost v brskalniku. Vsak od njih ustvari drugačno zaporedje prijave, drugačen podpis napake in drugačen postopek obnovitve, kopiranje ukaznega bloka med njimi pa ustvari konfiguracijo, ki je videti verodostojna in nikogar ne preveri. To je članek o mehanizmu: kaj vsak načrt med prijavo v resnici počne in kje se zlomi.

Slovesnost prijave odloči, kdo ima dejavnik

V prvih dveh načrtih je FortiGate stran, ki zaupa. Zbere poverilnice, odloči, ali je potreben drugi dejavnik, in ga preveri lokalno ali z zahtevo po izzivu. V tretjem načrtu prehod preneha biti preverjatelj in postane posrednik: odjemalca preusmeri k ponudniku identitete, prejme trditev in potrjeno identiteto preslika na uporabnika in skupino. V načrtu RADIUS je vmes in vodi izmenjavo zahteve in odgovora z zalednim sistemom, ki ima politiko.

Ta razlika odloči, katere dokaze lahko zberete. Ko prehod preverja, vam njegov lastni izpis za odpravljanje napak pove, kaj se je zgodilo. Ko preverja ponudnik identitete, prehod ve le, da je prispela trditev, odgovor na vprašanje „ali je bil MFA res potreben“ pa je v dnevnikih ponudnika, ne v dnevnikih požarnega zidu. Branje napačnega dnevnika je najpogostejši način napačne diagnoze uvedbe, ki se obnaša točno tako, kot je bila zasnovana. Tudi storitev omejuje slovesnost: FortiOS 7.6.3 odstrani način tunela SSL VPN v korist IPsec, medtem ko se spletni način nadaljuje kot Agentless VPN na podprtih modelih, zato slovesnost, dokazana na eni storitvi, ni samodejno na voljo na drugi.

Lokalno preverjanje: žetoni in kode po e-pošti

Dejavniki, ki jih upravlja FortiGate, so pritrjeni na uporabniški objekt. FortiToken ali dokumentirana integracija žetona zahteva registracijo, podprto slovesnost preverjanja, licenciranje, kjer velja, in postopek zamenjave. Koda, poslana po e-pošti, zahteva delujočo pot SMTP in predal, do katerega lahko uporabnik pride, preden tunel obstaja; to je odvisnost, ki nima nič skupnega s kriptografijo in vse z vprašanjem, ali se lahko kdo prijavi.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Dostava e-pošte je del razpoložljivosti preverjanja pristnosti. Predal, dosegljiv le prek VPN, ustvari zanko, ki se za nikogar ne razreši sama, zamuda pri dostavi, veljavnost kode in časovna omejitev oddaljenega preverjanja pa so tri ločene omejitve. Povečanje ene ne popravi nedosegljivega predala, načrt, ki zanke ni nikoli preizkusil, pa jo bo odkril pri prvem ponastavitvi gesla po počitnicah.

Tudi zahteve glede zagotovila spadajo sem, pred izbiro izdelka. NIST SP 800-63B meni, da je e-pošta nesprejemljiva za preverjanje zunaj pasu, zato uvedba, ki zatrjuje skladnost, ne more uporabiti kode po e-pošti kot drugega dejavnika, ne glede na to, kako priročna je. Obstoj funkcije na napravi ni izjava, da funkcija ustreza določenemu standardu.

RADIUS: prehod vpraša, zaledje odloči

Z RADIUS FortiGate pošlje poverilnice zalednemu sistemu, ki ima politiko dejavnikov. Izmenjava je lahko preprosta sprejem ali zavrnitev, lahko pa vključuje izziv, na katerega mora odjemalec odgovoriti, kar pomeni, da morata tako storitev VPN kot odjemalec podpirati takšno obliko izziva. Zaledje, ki vsili odobritev push, in odjemalec, ki zna le dodati šestmestno kodo geslu, se ne bosta srečala na sredini.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Preizkusite zaledje neodvisno, preden obtožite tunel. Če preizkus authserver uspe in prijava VPN ne, je razlika v obravnavi izziva in ne v poverilnicah, odprava napak pri demonu za preverjanje pristnosti prehoda pa je kraj, kjer se to pokaže:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: brskalnik zapusti prehod

V načrtu SAML je odjemalec preusmerjen k ponudniku identitete, tam se preveri in se vrne s trditvijo, ki jo prehod potrdi glede na razmerje zaupanja in preslikavo skupin. Prehod nikoli ne vidi gesla ali drugega dejavnika, kar je hkrati varnostna izboljšava in operativna zapletenost: napaka se zdaj zgodi v seji brskalnika, ki je požarni zid ne more pregledati.

Sprejem trditve ne dokazuje, da je ponudnik za to prijavo zahteval MFA. Politika ponudnika, ki uporablja MFA za nekatere aplikacije in ne za druge, bo dala točno tisto prijavo, ki ste jo zahtevali, in nič od zagotovila, ki ste ga predpostavili. Preverite politiko ponudnika za to konkretno aplikacijo in preverite, da se preslikava skupinskih trditev na skupine FortiGate še vedno ujema po kakršnem koli preimenovanju na kateri koli strani.

Podpora odjemalca je tu pomembnejša kot kjer koli drugje. Nekateri odjemalci VPN predajo brskalniku izvorno, drugi odprejo sistemski brskalnik, in odjemalci brez vmesnika ali ukazne vrstice morda toka sploh ne dokončajo. Preizkusite z odjemalcem, ki ga uporabniki resnično izvajajo, na platformah, ki jih resnično uporabljajo, preden objavite profil.

Obnovitev je del mehanizma

Vsak zgornji načrt ima odvisnost, ki lahko odpove za enega uporabnika naenkrat: nedosegljiv predal, izgubljen žeton, zaledje, ki zavrača izziv, zaklenjen račun pri ponudniku identitete. Odločite se zdaj, kdo lahko obnovi dostop, po katerem podprtem postopku in s kakšnim preverjanjem osebe, ki to zahteva. Nujni lokalni skrbniški račun, ki se hrani ločeno od poti VPN, je kontrolni ukrep; in nerazložena obhodna pot samo z geslom je incident, ki čaka na odkritje.

Nato pred uvedbo preizkusite tri prijave: običajno, zavrnjen ali potekel dejavnik in odobreno obnovitev izgubljenega overjevalnika. Zabeležite, v katerem dnevniku se vsaka pojavi. Prav ta zapis spremeni „MFA je omogočen“ v načrt, ki ga lahko upravlja nekdo drug.