İki giriş kontrolü iki faktör değildir: VPN ve RADIUS

Bir VPN geçidine ikinci bir kimlik doğrulama arka ucu eklemek, ikinci bir faktör eklemek gibi hissettirir. Genellikle ikinci bir kontrol ekler; bu, farklı hata modlarına sahip farklı bir nesnedir. İkisinin de başarılı olması gerekip gerekmediği, her birinin neyi kanıtladığı ve biri kullanılamadığında ne olduğu üç ayrı karardır. Yanlış yaparsanız geçit gösterimde daha katı, kesinti sırasında daha zayıf olur.

İkinci bir arka ucun gerçekte neyi kanıtladığı

Yerel hesap araması, bir adın veritabanında var olduğunu ve bir parolanın ona uyduğunu kanıtlar. Bir RADIUS alışverişi, bir RADIUS sunucusunun aldığı öznitelikler için Access-Accept döndürdüğünü kanıtlar. İki ifadenin hiçbiri bir faktör türünden söz etmez, çünkü ikisi de bilgiyi doğrular. Ve NIST dijital kimlik rehberi farklı faktör türlerini ve bunların kimlik doğrulayıcılarını sayar, sunucuları veya istemleri değil.

Her iki sistemin katıldığı meşru bir tasarım vardır. Merkezi bir hizmet kişiyi doğrulayabilirken geçit, o hesabın bu tünele hakkı olup olmadığını bağımsız olarak kontrol eder. Bu, kimlik doğrulamanın yanında yetkilendirmedir ve buna iki faktör demek, bir politika kontrolünü sahiplik kanıtıyla karıştırır.

RADIUS, birini doğrulayan bir şeyin önünde durduğunda gerçek ikinci faktörü taşıyabilir; örneğin bir push onayı veya donanım belirteci. Zarf, kullanıcının hangi doğrulayıcıları sunduğunu söylemez, bu yüzden geçidin etiketini değil arka uç politikasını okuyun.

AND, OR ve yedek farklı ürünlerdir

Uygulamaları karşılaştırmadan önce gereksiniminizde her ikisinin ne anlama geldiğine karar verin. AND politikası adlandırılmış her kontrolün geçmesini gerektirir, OR politikası başarılı olanı kabul eder ve yedek, ikinciyi yalnızca belirtilen hata koşullarında dener. Bu üçü kesinti sırasında ters davranır ve genellikle yalnızca biri incelemenin amaçladığıdır.

Bir yapılandırma ekranına iki arka uç girdisi eklemek, ürünün hangi politikayı uyguladığını ortaya çıkarmaz. Bazı geçitler eklentileri sırayla zincirler ve ilk reddetmede durur; bu yalnızca her eklenti zorunlu olduğunda AND'dir. Diğerleri yerel hesabı bir geçersiz kılma olarak görür, bu da merkezi bir kesintiyi atlatmaya dönüştürür. Güvenilir yanıt, dağıttığınız derlemeye karşı çalıştırılan, her yol için belgelenmiş olumsuz bir testtir.

Yedek en çok şüpheyi hak eder, çünkü bir şey bozulduğunda çalışmaya devam etmek için vardır. RADIUS erişilemediğinde yerel parolayı kabul eden bir yedek, merkezi bir politikayı ikinci, daha zayıf bir kapıya dönüştürmüştür.

OpenVPN'in çift kontrolü somut bir durumdur

Topluluk OpenVPN 2.6, ikisi de etkinleştirildiğinde hem istemci sertifikası hem de yapılandırılmış auth-user-pass-verify betiğini gerektirir. Bu, sertifika doğrulaması ile kimlik bilgisi betiği arasında belgelenmiş bir AND'dir ve gerçekten iki kontroldür. Yine de otomatik olarak iki faktör türü değildir, çünkü betik yalnızca parolayı doğrulayabilir.

Kombinasyon, ilişkilendirme sorusunu da açık bırakır. Bir sertifika genellikle bir cihazı tanımlarken kimlik bilgileri bir kişiyi tanımlar ve varsayılan akışta ikisinin de aynı asıl kişiye atıfta bulunmasını gerektiren hiçbir şey yoktur. Hangi çiftlerin izinli olduğuna karar verin, sonra bu eşlemeyi doğrulama betiğinin içinde veya daha sonraki bir yetkilendirme adımında uygulayın.

Yalnızca sertifika modu tek bir kontroldür ve PIN ile korunup korunmadığı bilinmeyen bir anahtara dayanır. PIN, aynı kimlik bilgisini ancak anahtar onsuz kullanılamıyorsa bilgi artı sahipliğe dönüştürür. Anahtarı diskte şifrelenmemiş bırakmak ikinci kısmı bir dosya iznine indirger.

Cihaz üreticileri kendi tesisatlarını kurar, genellikle bir web konsolunun arkasında bir PAM modülü veya RADIUS eklentisi. Topluluk davranışı çift kontrollerin nasıl göründüğüne dair bir referanstır, bir cihazın bunları nasıl birleştirdiğinin açıklaması değil.

Kombinasyonu kendi geçidinizde kontrol edin

Konsol özetine güvenmeden önce yapılandırmayı okuyun. Politikayı belirleyen satırlar sertifika modu, kimlik bilgisi betiği ve eklenti sırasıdır.

grep -E 'verify-client-cert|auth-user-pass-verify|plugin' /etc/openvpn/server.conf
openssl x509 -in /etc/openvpn/pki/issued/client01.crt -noout -subject -serial
radtest alice 'wrong-password' 127.0.0.1 0 testing123

grep, sertifikanın gerekip gerekmediğini ve ondan sonra hangi betiğin çalıştığını gösterir ve sıra adların ima ettiğinden daha önemlidir. Sertifika dökümü, geçidin göreceği kimliği verir; ilişkilendirme haritası için gereken CN ve seri numarası dahil. RADIUS testi olumsuz durumdur: yanlış parola Access-Reject, doğru parola Access-Accept vermelidir. Reddedilen kimlik bilgisi yine de oturum veriyorsa, betik kimlik doğrulama yolunda hiç değildir.

Ardından kesinti durumunu bir laboratuvar örneğinde çalıştırın: gerekli arka ucu durdurun ve geçerli kimlik bilgileriyle bağlanın. Beklenen sonuç bir rettir ve bunun dışındaki her şey kimsenin belgelemediği yedek politikadır.

Gereksinimi olumsuz durumlar olarak yazın

Kullanılabilir bir gereksinim kanıtları, bunları sunmaya yetkili hesapları ve doğrulayıcı eksik olduğunda sonucu adlandırır. Cihaz kimliği ile kişi kimliği arasındaki izinli eşleşmeyi de belirtir. Bu, satın alma siparişindeki ürün adlarından daha kesindir ve test edilebilir.

Kabul dört ret içermelidir: uygun olmayan yerel hesap, eksik zorunlu kanıt, geçersiz ikinci faktör ve erişilemeyen zorunlu arka uç. Her ret, onu diğerlerinden ayıran bir günlük satırı gerektirir, aksi halde sonraki olay tahminle başlar. Hangi bileşenin hangi kararı verdiğini kaydedin, çünkü geçit, RADIUS sunucusu ve dizin birbirini suçlayacaktır.

Her eklenti veya bellenim değişikliğinden sonra dört reddi yeniden çalıştırın. Ucuzdurlar ve korudukları politika, bir saldırganın ilk incelediği kısımdır.