Preskoči na sadržaj

Postavljanje dvofaktorske provjere autentičnosti s aplikacijom Google Authenticator

Stvaranje novog TOTP tokena u administracijskoj konzoli

Otvorite OTP Token Generator s administratorskog računa:

Dodajte novi TOTP token i odaberite TOTP (Google authenticator, FreeOTP, ...):

Zatim konfigurirajte svoj TOTP token:

  • Definirajte naziv. Imajte na umu da će se taj naziv prikazivati korisniku u aplikaciji Google Authenticator ako je odabrana metoda registracije putem QR koda.
  • Polja Expiration Time i Number of Digits ovise o TOTP generatoru. Za Google Authenticator te vrijednosti moraju biti postavljene na 30 sekundi odnosno 6 znamenki.
  • Polje Key size (bits) prema zadanim je postavkama postavljeno na 32, što je preporučena vrijednost, iako su moguće i postavke od 16 ili 64 bita.

Postoje dvije metode pohrane TOTP ključeva:

  1. (Preporučena metoda) Pohrana ključa u platformi CyberElements Bastion; mogu se koristiti 3 načina rada:

    1. Ako označite opciju Display a QR Code on the user portal, korisnik će pri prvoj provjeri autentičnosti dobiti QR kod koji treba skenirati aplikacijom Google Authenticator kako bi registrirao svoj TOTP. Zatim će morati potvrditi registrirani TOTP.
    2. U kombinaciji s prethodnom opcijom ili bez nje, TOTP ključ može se poslati e-poštom korisniku, koji će zatim morati izvršiti ručnu registraciju:
    3. Ako nijedna opcija nije aktivirana, administratori su odgovorni za ručni uvoz TOTP ključeva i njihovo dostavljanje korisnicima.

    Primjer

    Evo primjera konfiguracije TOTP tokena:

    U ovom će se primjeru tajni ključ pohraniti u platformi CyberElements Bastion i prikazati korisniku pri prvoj prijavi u obliku QR koda koji treba skenirati u aplikaciji Google Authenticator.

  2. Pohrana ključa u atributu korisnika: morat ćete navesti naziv atributa (razlikuju se velika i mala slova) koji će sadržavati TOTP ključ.

    Upozorenje!

    Ova je metoda kompatibilna samo za korisnike koji pripadaju LDAP domeni.

    Osim toga, budući da CyberElements Bastion poslužitelju LDAP pristupa samo za čitanje, administrator mora ispuniti sadržaj konfiguriranog atributa korisnikovim ključem TOTP.
    Stoga se ova metoda ne može konfigurirati s opcijama prikaza TOTP ključa putem QR koda ili slanja ključa e-poštom.

Omogućivanje TOTP-a u domeni za provjeru autentičnosti

U domenama za provjeru autentičnosti uredite domenu za koju želite omogućiti TOTP MFA:

Zatim omogućite TOTP MFA za tu domenu. Vrijeme isteka omogućuje vam da definirate hoće li korisnik morati unositi svoj TOTP pri svakoj provjeri autentičnosti (vrijednost 0) ili tek nakon određenog broja sati ili dana:

Ručni uvoz TOTP ključeva

TOTP ključ temelji se na standardu base 32 iz RFC3548.

Stoga:

  • podržani su znakovi iz RFC3548: slova od A do Z i brojke od 2 do 7
  • ključ smije sadržavati samo velika slova
  • ključ mora sadržavati 32 znaka (ako je tako konfigurirano u TOTP tokenu)

Primjer

AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P

Uvoz se temelji na CSV datoteci s dva stupca:

1
user,key

Prvi stupac mora sadržavati korisničko ime, a drugi stupac pridruženi TOTP ključ.

Savjet

Ako je naveden prazan ključ, ključ korisnika bit će poništen, a novi će se generirati pri njegovoj sljedećoj prijavi.

Primjer

Da biste dobili povezivanje korisnika sa sljedećim TOTP ključem (trećem se korisniku poništava TOTP ključ):

  • user1 / AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
  • user2 / PIHYCEG2374V76523EVXAMZOUT36F3FG
  • user3 /

CSV datoteka mora sadržavati: 

1
2
3
4
user,key
user1,AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
user2,PIHYCEG2374V76523EVXAMZOUT36F3FG
user3,

Nakon pripreme CSV datoteke potrebno ju je uvesti za određenu domenu i TOTP token: