Ρύθμιση ελέγχου ταυτότητας πολλών παραγόντων

Ο έλεγχος ταυτότητας πολλών παραγόντων (MFA) ζητά από τον χρήστη μια δεύτερη απόδειξη επιπλέον του αναγνωριστικού και του κωδικού πρόσβασής του. Το CyberElements Bastion προσφέρει διάφορους τρόπους για την απόκτησή της. Η σελίδα αυτή καλύπτει τέσσερις από αυτούς, με τη σειρά με την οποία εξετάζονται συνήθως, και στη συνέχεια περιγράφει λεπτομερώς αυτόν που δεν έχει δική του σελίδα ενοποίησης: τον κωδικό πρόσβασης μίας χρήσης που αποστέλλεται μέσω email.

Τέσσερις παράγοντες, όχι η πλήρης εικόνα

Αυτοί οι τέσσερις είναι εκείνοι που εξετάζει η σελίδα — δεν είναι οι μόνοι δεύτεροι παράγοντες που μπορεί να ζητήσει η πλατφόρμα. Διατίθενται επίσης, εκτός του αντικειμένου αυτής της σελίδας:

• ένα OTP που αποστέλλεται μέσω SMS, μέσω ενός από τους πολλούς παρόχους που προσφέρει η λειτουργική μονάδα OTP Token Generators·
• ένας συνδετήρας Radius προς μια λύση MFA τρίτου κατασκευαστή, μέσω του τύπου OTP - Radius της ίδιας λειτουργικής μονάδας·
• ο έλεγχος ταυτότητας με πιστοποιητικό x509, ο οποίος δεν είναι διακριτικό αλλά μέθοδος ελέγχου ταυτότητας του ίδιου του τομέα — User certificate ή User certificate and form για να διατηρηθεί και ο κωδικός πρόσβασης·
• ένας έλεγχος MFA που επιβάλλεται σε προηγούμενο στάδιο από πάροχο SAML, ή από οποιονδήποτε άλλον ανατεθειμένο έλεγχο ταυτότητας. Ο δεύτερος παράγοντας ζητείται τότε πριν εμπλακεί η πλατφόρμα, η οποία ούτε τον διαμορφώνει ούτε τον βλέπει.

Ο έλεγχος MFA ορίζεται στον τομέα ελέγχου ταυτότητας, ποτέ σε έναν χρήστη

Όποιον παράγοντα κι αν επιλέξετε, ενεργοποιείται σε έναν τομέα ελέγχου ταυτότητας και ισχύει για κάθε χρήστη που εισέρχεται μέσω αυτού. Δεν υπάρχει ρύθμιση ανά χρήστη: για να υποβάλετε μόνο ένα μέρος των χρηστών σας σε έλεγχο MFA, τοποθετήστε αυτούς τους χρήστες πίσω από έναν αποκλειστικό τομέα ελέγχου ταυτότητας.

Επιλογή παράγοντα

Παράγοντας	Τι κάνει ο χρήστης	Τι απαιτεί	Διαδικασία
Neomia Pulse	Τίποτα. Ο χρήστης αναγνωρίζεται από τον τρόπο με τον οποίο πληκτρολογεί.	Η επιλογή Neomia Pulse, οι ρυθμίσεις σύνδεσης με την υπηρεσία Pulse σας, ένας τομέας ελέγχου ταυτότητας τύπου local ή LDAP και ένας δεύτερος παράγοντας από αυτόν τον πίνακα στον ίδιο τομέα.	Ενοποίηση του Neomia Pulse
FIDO2	Παρουσιάζει το μέσο ελέγχου ταυτότητας — συνδέοντας ένα κλειδί ασφαλείας ή εγκρίνοντας στη συσκευή ή στο θησαυροφυλάκιο που περιέχει το κλειδί πρόσβασης (passkey) — και, στη συνέχεια, πληκτρολογεί ένα PIN εάν το ζητήσει το μέσο ελέγχου ταυτότητας.	Ένα μέσο ελέγχου ταυτότητας FIDO2 ανά χρήστη, ένα εξαρτώμενο μέρος (relying party) δηλωμένο στην κονσόλα και ένας προσωπικός λογαριασμός — αποκλείεται ο ανώνυμος τομέας ελέγχου ταυτότητας.	Ενοποίηση του Yubico
TOTP	Διαβάζει έναν εξαψήφιο κωδικό σε μια εφαρμογή ελέγχου ταυτότητας.	Μια εφαρμογή στο τηλέφωνο ή στον σταθμό εργασίας του χρήστη (Google Authenticator, FreeOTP, Microsoft Authenticator κ.λπ.) και μία καταχώρηση ανά χρήστη.	Ενοποίηση της εφαρμογής Google Authenticator
OTP μέσω email	Αντιγράφει έναν κωδικό που λαμβάνει μέσω email.	Ένας διακομιστής SMTP προσβάσιμος από την πλατφόρμα και μια διεύθυνση email αποθηκευμένη σε ένα χαρακτηριστικό χρήστη.	Ρύθμιση OTP μέσω email

Η λύση Neomia Pulse διαμορφώνεται επιπλέον ενός άλλου παράγοντα

Η ενεργοποίηση της λύσης Neomia Pulse απαιτεί να είναι ενεργοποιημένος ένας άλλος έλεγχος MFA στον ίδιο τομέα. Οι ρυθμίσεις της καθορίζουν στη συνέχεια για ποιο σκοπό χρησιμοποιείται αυτός ο άλλος παράγοντας: μπορεί να παραλείπεται όταν η λύση Pulse επικυρώνει τον χρήστη και να απαιτείται όταν δεν τον επικυρώνει. Επομένως, η λύση Neomia Pulse είναι ένας τρόπος να γλιτώσετε τον δεύτερο παράγοντα και όχι να τον αντικαταστήσετε.

Πού δηλώνεται και πού ενεργοποιείται κάθε παράγοντας

Η διαμόρφωση έχει δύο πιθανά στάδια — τη δήλωση του παράγοντα στη δική του λειτουργική μονάδα και, στη συνέχεια, την ενεργοποίησή του στον τομέα ελέγχου ταυτότητας — αλλά δύο από τους τέσσερις παραλείπουν ένα από αυτά:

Παράγοντας	Δηλώνεται στο	Ενεργοποιείται στον τομέα ελέγχου ταυτότητας
Neomia Pulse	τίποτα προς δήλωση	✅ η επιλογή Enable neomia Pulse authentication, καθώς και οι ρυθμίσεις σύνδεσης με την υπηρεσία Pulse — ανατρέξτε στη σημείωση παρακάτω
FIDO2	Relying parties	❌ τίποτα για ενεργοποίηση — δείτε τη σημείωση παρακάτω
TOTP	OTP Token Generators	✅ ως διακριτικό ελέγχου ταυτότητας
OTP μέσω email	SMTP server, στη συνέχεια OTP Token Generators	✅ ως διακριτικό ελέγχου ταυτότητας

Το FIDO2 δεν έχει διακόπτη στον τομέα ελέγχου ταυτότητας

Τα κλειδιά ασφαλείας δεν ενεργοποιούνται ανά τομέα: η πλατφόρμα προσφέρει τον παράγοντα μόλις δηλωθεί τουλάχιστον ένα εξαρτώμενο μέρος, σε κάθε τομέα ελέγχου ταυτότητας που δεν είναι ανώνυμος — ένα κλειδί πρέπει να συνδέεται με έναν προσωπικό λογαριασμό. Και είναι ο χρήστης που καταχωρεί το μέσο ελέγχου ταυτότητάς του από την πύλη, όχι ο διαχειριστής που το αναθέτει.

Για τη λύση Neomia Pulse δεν απαιτείται καμία προηγούμενη δήλωση

Το Pulse δεν είναι διακριτικό που δημιουργείται σε μια λειτουργική μονάδα: η επιλογή ενεργοποιείται απευθείας στον τομέα ελέγχου ταυτότητας, όπου ορίζεται επίσης η συμπεριφορά του.

Το Pulse χρειάζεται τις ρυθμίσεις σύνδεσής του

Η επιλογή του πλαισίου ελέγχου Enable neomia Pulse authentication εμφανίζει τρία υποχρεωτικά πεδία που κατευθύνουν την πλατφόρμα στην υπηρεσία Pulse σας:

Πεδίο	Τι πρέπει να καταχωρήσετε
API URL	Διεύθυνση URL του API του Pulse.
Authentication API URL	Διεύθυνση URL του API ελέγχου ταυτότητας του Pulse.
API key	Κλειδί με το οποίο η πλατφόρμα πραγματοποιεί έλεγχο ταυτότητας σε αυτή την υπηρεσία.

Ο τομέας ελέγχου ταυτότητας δεν αποθηκεύεται μέχρι να συμπληρωθούν και τα τρία.

Το υπόλοιπο αυτής της σελίδας καλύπτει το OTP μέσω email από την αρχή έως το τέλος. Οι τρεις άλλοι παράγοντες καλύπτονται στη σελίδα ενοποίησής τους, με σύνδεσμο στον παραπάνω πίνακα.

Ρύθμιση OTP μέσω email

Το OTP μέσω email στέλνει στον χρήστη έναν κωδικό μίας χρήσης μέσω email μόλις γίνουν αποδεκτά το αναγνωριστικό και ο κωδικός πρόσβασής του. Ο χρήστης πληκτρολογεί αυτόν τον κωδικό στην πύλη για να ολοκληρώσει τη σύνδεση.

Πριν ξεκινήσετε: τι πραγματικά προστατεύει ένα OTP μέσω email

Ένα OTP μέσω email δεν προσθέτει πάντα έναν παράγοντα

Διαβάστε αυτό πριν επιλέξετε αυτόν τον παράγοντα αντί των τριών άλλων.

Εάν ο χρήστης συνδέεται με τον λογαριασμό του Active Directory και λαμβάνει τον κωδικό από ένα γραμματοκιβώτιο συνδεδεμένο με τον ίδιο λογαριασμό, ο δεύτερος παράγοντας δεν προσθέτει σχεδόν τίποτα: ένας εισβολέας που έχει αποκτήσει τα διαπιστευτήρια ανοίγει το γραμματοκιβώτιο με τα ίδια αυτά διαπιστευτήρια και διαβάζει τον κωδικό.

Ένα OTP μέσω email αξίζει να αναπτυχθεί όταν το γραμματοκιβώτιο δεν είναι προσβάσιμο με τα διαπιστευτήρια που ελέγχονται, δηλαδή όταν:

• ο χρήστης συνδέεται με τοπικό λογαριασμό ή με λογαριασμό διαφορετικό από το γραμματοκιβώτιό του·
• ο κωδικός αποστέλλεται σε διεύθυνση διαφορετική από αυτή που ανήκει στον λογαριασμό σύνδεσης.

Βήμα 1 — Διάθεση διακομιστή SMTP

Ο κωδικός αποστέλλεται από την πλατφόρμα μέσω ενός διακομιστή SMTP δηλωμένου στη λειτουργική μονάδα SMTP servers. Εάν δεν υπάρχει ακόμη διαθέσιμος, δηλώστε έναν πριν προχωρήσετε:

Ρύθμιση της αποστολής email

Στη συνέχεια, χρησιμοποιήστε το πλαίσιο SMTP configuration test αυτής της λειτουργικής μονάδας για να επιβεβαιώσετε την παράδοση: μια αποτυχία που διαγιγνώσκεται σε αυτό το στάδιο είναι μια αποτυχία που δεν θα αναζητάτε αργότερα στη ροή σύνδεσης.

Το δοκιμαστικό μήνυμα δεν χρησιμοποιεί τον αποστολέα που θα διαμορφώσετε

Η δοκιμή στέλνει από τη διεύθυνση noreply@cleanroom.com, μια διεύθυνση καθορισμένη στο ίδιο το προϊόν: δεν μπορεί να αλλάξει πουθενά και χρησιμεύει επίσης ως διεύθυνση απάντησης. Ο δικός σας αποστολέας είναι το πεδίο SMTP sender του διακριτικού, που ορίζεται στο βήμα 2 — αυτόν φέρουν τα πραγματικά μηνύματα OTP.

Η συνέπεια αξίζει να είναι γνωστή πριν βγάλετε συμπεράσματα: ένας διακομιστής SMTP που περιορίζει τις διευθύνσεις αποστολής μπορεί να απορρίψει τη δοκιμή ενώ αφήνει να περάσουν τα πραγματικά μηνύματα, και το αντίστροφο.

Η σύνδεση ανοίγεται από την πλατφόρμα

Η ροή προς τον διακομιστή SMTP ξεκινά από την πλατφόρμα, όχι από τον σταθμό εργασίας του χρήστη. Εάν ο διακομιστής SMTP βρίσκεται στο LAN σας, αυτή η ροή πρέπει να επιτρέπεται.

Βήμα 2 — Δημιουργία του διακριτικού OTP

Ανοίξτε τη λειτουργική μονάδα OTP Token Generators και κάντε κλικ στο +. Στο παράθυρο Add OTP token, επιλέξτε τον τύπο OTP - email και, στη συνέχεια, συμπληρώστε τα πεδία.

Πεδίο	Τι πρέπει να καταχωρήσετε
OTP Type	OTP - email. Αυτή η επιλογή δεν μπορεί να αλλάξει αργότερα — διαφορετικό κανάλι σημαίνει διαφορετικό διακριτικό.
Name	Το όνομα του διακριτικού. Εμφανίζεται στον χρήστη στην πύλη, επομένως θα πρέπει να διαβάζεται ως όνομα παράγοντα και όχι ως εσωτερικό αναγνωριστικό.
Description	Ελεύθερο κείμενο, ορατό μόνο στους διαχειριστές.
OTP usable characters	Το αλφάβητο από το οποίο σχηματίζεται ο κωδικός.
OTP Length	Ο αριθμός των χαρακτήρων του κωδικού.
Validity period of a token (seconds)	Πόσο χρόνο έχει ο χρήστης για να πληκτρολογήσει τον κωδικό πριν απορριφθεί.
Message before the OTP	Η πρόταση που προηγείται του κωδικού στο σώμα του μηνύματος.
Mail subject	Το θέμα του μηνύματος.
SMTP sender	Η διεύθυνση αποστολέα του μηνύματος.
SMTP server	Ο διακομιστής που δηλώθηκε στο βήμα 1.

Η πλήρης λίστα των πεδίων, με τις προεπιλεγμένες τιμές και τους περιορισμούς τους, βρίσκεται στη σελίδα αναφοράς: Γενική ενότητα και Παράδοση μέσω email.

Κάντε κλικ στο κουμπί Validate για να αποθηκεύσετε το διακριτικό.

Βήμα 3 — Ενεργοποίηση του διακριτικού σε έναν τομέα ελέγχου ταυτότητας

Ανοίξτε τη λειτουργική μονάδα Authentication domain και επεξεργαστείτε τον τομέα που θα πρέπει να ζητά τον κωδικό OTP.

Πεδίο	Τι πρέπει να καταχωρήσετε
Authentication token	Το διακριτικό που δημιουργήθηκε στο βήμα 2. Μπορούν να επιλεγούν πολλά διακριτικά.
User attribute used to send the OTP	Το όνομα του χαρακτηριστικού χρήστη που περιέχει τη διεύθυνση στην οποία αποστέλλεται ο κωδικός.
Token expiration duration	Πόσο χρόνο παραμένει αποδεκτό ένα επικυρωμένο OTP πριν ζητηθεί ξανά. Η τιμή 0 απενεργοποιεί τη λήξη, που σημαίνει ότι το OTP ζητείται σε κάθε σύνδεση.
Time unit	Hours ή Days, εφαρμόζεται στο προηγούμενο πεδίο.
Expiration starts	Αν η αντίστροφη μέτρηση ξεκινά από την τελευταία επικύρωση OTP ή από την τελευταία επιτυχή σύνδεση.

Ποιο χαρακτηριστικό περιέχει τη διεύθυνση

Το χαρακτηριστικό είναι εκείνο του καταλόγου στον οποίο παραπέμπει ο τομέας ελέγχου ταυτότητας, όχι ένα όνομα της επιλογής μας: χρησιμοποιήστε το χαρακτηριστικό στο οποίο οι χρήστες σας έχουν πράγματι μια διεύθυνση. Για έναν τοπικό κατάλογο, η διεύθυνση που καταχωρίζεται στις ιδιότητες του χρήστη είναι αυτή που πρέπει να στοχεύσετε· για έναν κατάλογο LDAP, είναι το χαρακτηριστικό αλληλογραφίας του ίδιου του καταλόγου.

Κάντε κλικ στο Validate. Στους χρήστες αυτού του τομέα ελέγχου ταυτότητας ζητείται ένας κωδικός κατά την επόμενη είσοδό τους.

Βήμα 4 — Έλεγχος πρώτα σε έναν δοκιμαστικό τομέα ελέγχου ταυτότητας

Η ενεργοποίηση του ελέγχου MFA σε έναν τομέα ελέγχου ταυτότητας τον εφαρμόζει σε κάθε χρήστη πίσω από αυτόν, συμπεριλαμβανομένου και του εαυτού σας, εάν εισέρχεστε μέσω αυτού. Πριν ενεργοποιήσετε το διακριτικό στον τομέα παραγωγής σας, δημιουργήστε έναν δοκιμαστικό τομέα ελέγχου ταυτότητας με έναν μόνο λογαριασμό και εκτελέστε μέσω αυτού μια πλήρη είσοδο: αναγνωριστικό, κωδικός πρόσβασης, λήψη του μηνύματος, καταχώριση του κωδικού.

Ένας χρήστης χωρίς διεύθυνση δεν λαμβάνει ποτέ κωδικό

Σε έναν χρήστη του οποίου το χαρακτηριστικό είναι κενό δεν μπορεί να σταλεί τίποτα και η είσοδός του δεν μπορεί να ολοκληρωθεί. Ελέγξτε ότι το χαρακτηριστικό είναι συμπληρωμένο για κάθε λογαριασμό πίσω από τον τομέα ελέγχου ταυτότητας πριν ενεργοποιήσετε το διακριτικό σε αυτόν.