FortiGate VPN MFA: token cục bộ, RADIUS hay SAML?

Mỗi thiết kế MFA cho VPN FortiGate trước hết trả lời một câu hỏi: ai xác minh yếu tố thứ hai? Bản thân cổng có thể làm việc đó bằng token cục bộ hoặc mã gửi qua email, một phần phụ trợ RADIUS có thể áp đặt nó và trả lại một thử thách, hoặc một nhà cung cấp danh tính SAML có thể đảm nhận toàn bộ nghi thức trong trình duyệt. Mỗi cách tạo ra một trình tự đăng nhập khác, một dấu hiệu lỗi khác và một quy trình khôi phục khác, và việc sao chép một khối lệnh giữa chúng tạo ra cấu hình trông hợp lý mà không xác thực được ai. Đây là bài về cơ chế: mỗi thiết kế thực sự làm gì trong lúc đăng nhập, và nó hỏng ở đâu.

Nghi thức đăng nhập quyết định ai sở hữu yếu tố

Trong hai thiết kế đầu, FortiGate là bên dựa cậy. Nó thu thập thông tin xác thực, quyết định có cần yếu tố thứ hai hay không, và xác minh cục bộ hoặc bằng cách nhắc qua một thử thách. Trong thiết kế thứ ba, cổng không còn là bên xác minh mà thành bên chuyển tiếp: nó chuyển hướng máy khách tới nhà cung cấp danh tính, nhận một khẳng định, và ánh xạ danh tính được khẳng định tới người dùng và nhóm. Trong thiết kế RADIUS, nó ở giữa, điều khiển một trao đổi yêu cầu-phản hồi với phần phụ trợ nắm chính sách.

Chính sự khác biệt đó quyết định bạn thu được bằng chứng gì. Khi cổng xác minh, đầu ra gỡ lỗi của chính nó cho biết chuyện gì đã xảy ra. Khi nhà cung cấp danh tính xác minh, cổng chỉ biết rằng một khẳng định đã đến, và câu trả lời cho “MFA có thực sự được yêu cầu không” nằm trong nhật ký của nhà cung cấp, không phải của tường lửa. Đọc sai nhật ký là cách phổ biến nhất để chẩn đoán sai một đợt triển khai đang chạy đúng như thiết kế. Bản thân dịch vụ cũng giới hạn nghi thức: FortiOS 7.6.3 loại bỏ chế độ đường hầm SSL VPN để chuyển sang IPsec, trong khi chế độ web tiếp tục dưới dạng Agentless VPN trên các mẫu được hỗ trợ, nên một nghi thức đã được chứng minh trên một dịch vụ không tự động có trên dịch vụ khác.

Xác minh cục bộ: token và mã qua email

Các yếu tố do FortiGate quản lý gắn với đối tượng người dùng. FortiToken hoặc một tích hợp token được ghi nhận cần đăng ký, nghi thức xác minh được hỗ trợ, giấy phép nếu có áp dụng, và quy trình thay thế. Mã gửi qua email cần một đường SMTP hoạt động và một hộp thư mà người dùng chạm tới được trước khi đường hầm tồn tại, một phụ thuộc chẳng liên quan gì đến mật mã mà liên quan đến việc ai đó có đăng nhập được hay không.

config user local
    edit "jdoe"
        set type password
        set two-factor fortitoken
        set fortitoken FTKMOB1234567890
    next
end

Việc gửi email là một phần của tính sẵn sàng của xác thực. Một hộp thư chỉ chạm tới được qua VPN tạo ra vòng lặp không ai tự giải được, và độ trễ gửi, thời hạn mã cùng thời gian chờ xác thực từ xa là ba ràng buộc riêng biệt. Nâng một cái không sửa được hộp thư không tới được, và một thiết kế chưa từng thử vòng lặp đó sẽ phát hiện nó trong lần đặt lại mật khẩu đầu tiên sau kỳ nghỉ.

Các yêu cầu bảo đảm cũng thuộc về đây, trước khi chọn sản phẩm. NIST SP 800-63B coi email là không chấp nhận được cho xác thực ngoài băng tần, nên một triển khai tự nhận tuân thủ không thể dùng mã qua email làm yếu tố thứ hai, dù nó tiện đến đâu. Một tính năng có trên thiết bị không phải là tuyên bố rằng tính năng đó đáp ứng một tiêu chuẩn nhất định.

RADIUS: cổng hỏi, phần phụ trợ quyết định

Với RADIUS, FortiGate gửi thông tin xác thực tới một phần phụ trợ nắm chính sách yếu tố. Trao đổi có thể là chấp nhận hoặc từ chối đơn giản, hoặc có thể gồm một thử thách mà máy khách phải trả lời, nghĩa là dịch vụ VPN và máy khách đều phải hỗ trợ dạng thử thách đó. Một phần phụ trợ áp đặt phê duyệt đẩy và một máy khách chỉ biết nối thêm mã sáu chữ số vào mật khẩu sẽ không gặp nhau ở giữa.

config user radius
    edit "corp-radius"
        set server "10.10.20.15"
        set secret ENCXXXXXXXX
        set secondary-server "10.10.20.16"
    next
end
diagnose test authserver radius corp-radius pap jdoe <password>

Hãy kiểm tra phần phụ trợ một cách độc lập trước khi đổ lỗi cho đường hầm. Nếu bài kiểm tra authserver thành công mà đăng nhập VPN thì không, khác biệt nằm ở cách xử lý thử thách chứ không phải ở thông tin xác thực, và phần gỡ lỗi của tiến trình xác thực trên cổng sẽ cho thấy điều đó:

diagnose debug application fnbamd -1
diagnose debug enable

SAML: trình duyệt rời khỏi cổng

Trong thiết kế SAML, máy khách được chuyển hướng tới nhà cung cấp danh tính, xác thực ở đó, và quay về với một khẳng định mà cổng kiểm tra dựa trên quan hệ tin cậy và ánh xạ nhóm. Cổng không bao giờ thấy mật khẩu hay yếu tố thứ hai, đó vừa là cải thiện bảo mật vừa là phức tạp vận hành: lỗi giờ xảy ra trong một phiên trình duyệt mà tường lửa không thể soi.

Chấp nhận một khẳng định không chứng minh nhà cung cấp đã yêu cầu MFA cho lần đăng nhập đó. Một chính sách nhà cung cấp áp dụng MFA cho vài ứng dụng và không cho vài ứng dụng khác sẽ tạo ra đúng lần đăng nhập bạn yêu cầu và không chút bảo đảm nào bạn giả định. Hãy kiểm tra chính sách của nhà cung cấp cho đúng ứng dụng này, và kiểm tra rằng các khẳng định nhóm ánh xạ tới nhóm FortiGate vẫn khớp sau bất kỳ lần đổi tên nào ở một trong hai phía.

Hỗ trợ máy khách ở đây quan trọng hơn bất cứ đâu. Một số máy khách VPN xử lý việc chuyển giao trình duyệt một cách tự nhiên, một số mở trình duyệt hệ thống, và máy khách không giao diện hoặc dòng lệnh có thể không hoàn tất được luồng này. Hãy thử với đúng máy khách người dùng chạy và trên đúng nền tảng họ dùng, trước khi phát hành hồ sơ.

Khôi phục là một phần của cơ chế

Mỗi thiết kế ở trên đều có một phụ thuộc có thể hỏng với một người dùng tại một thời điểm: hộp thư không tới được, token bị mất, phần phụ trợ từ chối thử thách, tài khoản nhà cung cấp danh tính bị khóa. Hãy quyết định ngay ai có thể khôi phục truy cập, qua quy trình được hỗ trợ nào, và với việc xác minh người yêu cầu ra sao. Một tài khoản quản trị cục bộ khẩn cấp được giữ tách khỏi đường VPN là một biện pháp kiểm soát; còn một đường vòng chỉ dùng mật khẩu không giải thích được là sự cố đang chờ bị phát hiện.

Sau đó thử ba lần đăng nhập trước khi triển khai: lần bình thường, một yếu tố bị từ chối hoặc hết hạn, và quy trình khôi phục thiết bị xác thực bị mất đã được phê duyệt. Ghi lại mỗi lần xuất hiện trong nhật ký nào. Bản ghi đó biến “MFA đã bật” thành một thiết kế mà người khác có thể vận hành.