Többtényezős hitelesítés beállítása

A többtényezős hitelesítés (MFA) az azonosítón és a jelszón kívül egy második bizonyítékot is kér a felhasználótól. A CyberElements Bastion több módot is kínál ennek megszerzésére. Ez az oldal ezek közül négyet ismertet abban a sorrendben, ahogyan általában mérlegelni szokták őket, majd részletesen bemutatja azt, amelynek nincs saját integrációs oldala: az e-mailben küldött egyszer használatos jelszót.

Négy tényező, de nem a teljes kép

Ez az oldal ezt a négyet mutatja be — de nem csak ezeket a második tényezőket kérheti a platform. Szintén elérhetők, de nem tartoznak ennek az oldalnak a hatókörébe:

• SMS-ben küldött OTP, az OTP Token Generators modul által kínált számos szolgáltató egyikén keresztül;
• Radius-összekötő egy külső MFA-megoldás felé, ugyanennek a modulnak az OTP - Radius típusán keresztül;
• x509-tanúsítványos hitelesítés, amely nem token, hanem magának a tartománynak egy hitelesítési módszere — User certificate, vagy User certificate and form, ha a jelszót is meg szeretné tartani;
• egy SAML-szolgáltató által előzetesen kikényszerített MFA, vagy bármely más delegált hitelesítés által kikényszerített MFA. A második tényezőt ilyenkor még a platform bevonása előtt kérik, így a platform azt sem nem konfigurálja, sem nem látja.

Az MFA a hitelesítési tartományon van beállítva, soha nem egy felhasználón

Bármelyik tényezőt választja is, azt egy hitelesítési tartományon kell bekapcsolni, és minden olyan felhasználóra vonatkozik, aki azon keresztül jelentkezik be. Nincs felhasználónkénti beállítás: ha a felhasználóknak csak egy részére szeretné alkalmazni az MFA-t, helyezze ezeket a felhasználókat egy dedikált hitelesítési tartomány mögé.

Tényező kiválasztása

Tényező	Mit tesz a felhasználó	Mire van szükség	Eljárás
Neomia Pulse	Semmit. A felhasználót a billentyűzeten való gépelésének módja alapján ismeri fel a rendszer.	A Neomia Pulse lehetőség, a Pulse szolgáltatáshoz való kapcsolódás beállításai, egy local vagy LDAP típusú hitelesítési tartomány, valamint egy második tényező ebből a táblázatból ugyanazon a tartományon.	Neomia Pulse-integráció
FIDO2	Bemutatja a hitelesítőjét – csatlakoztat egy biztonsági kulcsot, vagy jóváhagyja a műveletet a hozzáférési kulcsot (passkey) tároló eszközön vagy széfben –, majd megad egy PIN-kódot, ha a hitelesítő kéri.	Felhasználónként egy FIDO2-hitelesítő, egy a konzolon deklarált függő entitás (relying party) és egy személyes fiók – névtelen hitelesítési tartomány nem használható.	Yubico-integráció
TOTP	Leolvas egy hatjegyű kódot egy hitelesítő alkalmazásban.	Egy alkalmazás a felhasználó telefonján vagy munkaállomásán (Google Authenticator, FreeOTP, Microsoft Authenticator stb.) és felhasználónként egy regisztráció.	Google Authenticator-integráció
E-mailes OTP	Bemásol egy e-mailben kapott kódot.	A platform által elérhető SMTP-kiszolgáló és egy felhasználói attribútumban tárolt e-mail-cím.	E-mailes OTP beállítása

A Neomia Pulse egy másik tényezőre épülve konfigurálható

A Neomia Pulse bekapcsolásához ugyanazon a tartományon egy másik MFA-nak is bekapcsolva kell lennie. A Neomia Pulse beállításai ezután meghatározzák, mire használja a rendszer ezt a másik tényezőt: kihagyható, ha a Pulse elfogadja a felhasználót, és kötelező, ha nem. A Neomia Pulse tehát inkább a második tényező megtakarítására szolgál, mint annak kiváltására.

Hol kell deklarálni és hol kell bekapcsolni az egyes tényezőket

A konfigurációnak két lehetséges lépése van – a tényező deklarálása a saját moduljában, majd bekapcsolása a hitelesítési tartományon –, de a négy közül kettő kihagyja valamelyiket:

Tényező	Deklarálás helye	Bekapcsolás a hitelesítési tartományon
Neomia Pulse	nincs mit deklarálni	✅ az Enable neomia Pulse authentication lehetőség, valamint a Pulse szolgáltatáshoz való kapcsolódás beállításai – lásd az alábbi megjegyzést
FIDO2	Relying parties	❌ nincs mit bekapcsolni — lásd az alábbi megjegyzést
TOTP	OTP Token Generators	✅ hitelesítési tokenként
E-mailes OTP	egy SMTP server, majd OTP Token Generators	✅ hitelesítési tokenként

A FIDO2 nem rendelkezik kapcsolóval a hitelesítési tartományon

A biztonsági kulcsokat nem tartományonként kell bekapcsolni: a platform azonnal felkínálja ezt a tényezőt, amint legalább egy függő entitás deklarálva van, minden olyan hitelesítési tartományon, amely nem névtelen – a kulcsot személyes fiókhoz kell kötni. És a felhasználó az, aki a portálról regisztrálja a hitelesítőjét, nem pedig a rendszergazda rendeli hozzá.

A Neomia Pulse esetében előzetesen nincs mit deklarálni

A Pulse nem egy modulban létrehozandó token: a lehetőséget közvetlenül a hitelesítési tartományon kell bekapcsolni, és ott állítható be a viselkedése is.

A Pulse működéséhez kapcsolódási beállítások szükségesek

Az Enable neomia Pulse authentication bejelölésekor három kötelező mező jelenik meg, amelyek a platformot a saját Pulse szolgáltatására irányítják:

Mező	Mit kell megadni
API URL	A Pulse API URL-címe.
Authentication API URL	A Pulse hitelesítési API URL-címe.
API key	Kulcs, amellyel a platform hitelesíti magát az adott szolgáltatásnál.

A hitelesítési tartomány csak akkor menthető, ha mindhárom mező ki van töltve.

Az oldal további része az e-mailes OTP-t mutatja be az elejétől a végéig. A másik három tényezőt a saját integrációs oldaluk ismerteti, amelyekre a fenti táblázat hivatkozik.

E-mailes OTP beállítása

Az e-mailes OTP egyszer használatos kódot küld e-mailben a felhasználónak, miután a rendszer elfogadta az azonosítóját és a jelszavát. A felhasználó a bejelentkezés befejezéséhez a portálon adja meg ezt a kódot.

Mielőtt elkezdené: mit véd valójában az e-mailes OTP

Az e-mailes OTP nem mindig jelent további tényezőt

Olvassa el ezt, mielőtt ezt a tényezőt választaná a másik három helyett.

Ha a felhasználó az Active Directory-fiókjával jelentkezik be, és a kódot egy ugyanehhez a fiókhoz tartozó postafiókból kapja meg, a második tényező szinte semmit sem tesz hozzá: a hitelesítő adatokat megszerző támadó ugyanezekkel a hitelesítő adatokkal megnyitja a postafiókot, és elolvassa a kódot.

Az e-mailes OTP bevezetése akkor éri meg, ha a postafiók nem érhető el az ellenőrzött hitelesítő adatokkal, vagyis ha:

• a felhasználó helyi fiókkal, vagy a postafiókjától eltérő fiókkal jelentkezik be;
• a kódot a rendszer nem a bejelentkezési fiókhoz tartozó címre küldi.

1. lépés — SMTP-kiszolgáló biztosítása

A platform a kódot az SMTP servers modulban deklarált SMTP-kiszolgálón keresztül küldi el. Ha még nincs ilyen, deklaráljon egyet, mielőtt továbblépne:

E-mail-küldés beállítása

Ezután az adott modul SMTP configuration test blokkjával ellenőrizze a kézbesítést: az ebben a fázisban diagnosztizált hibát később már nem kell a bejelentkezési folyamatban keresnie.

A tesztüzenet nem az Ön által konfigurálandó feladót használja

A teszt a noreply@cleanroom.com címről küld, amely a termékbe beégetett cím: sehol sem módosítható, és egyben válaszcímként is szolgál. Az Ön saját feladója a token SMTP sender értéke, amelyet a 2. lépésben állít be — a valódi OTP-üzenetek ezt viselik.

Mielőtt következtetést vonna le, érdemes ismerni a következményt: egy olyan SMTP-kiszolgáló, amely korlátozza a feladócímeket, elutasíthatja a tesztet, miközben a tényleges üzeneteket átengedi, és fordítva.

A kapcsolatot a platform nyitja meg

Az SMTP-kiszolgáló felé irányuló adatfolyam a platformról indul, nem a felhasználó munkaállomásáról. Ha az SMTP-kiszolgáló az Ön LAN-hálózatán található, ezt az adatfolyamot meg kell engedni.

2. lépés — Az OTP-token létrehozása

Nyissa meg az OTP Token Generators modult, és kattintson a + gombra. Az Add OTP token ablakban válassza ki az OTP - email típust, majd töltse ki a mezőket.

Mező	Mit kell megadni
OTP Type	OTP - email. Ez a választás később nem módosítható — más csatorna más tokent jelent.
Name	A token neve. A portálon megjelenik a felhasználónak, ezért tényezőnévként, ne belső hivatkozásként hangozzon.
Description	Szabad szöveg, csak a rendszergazdák látják.
OTP usable characters	Az a karakterkészlet, amelyből a kód összeáll.
OTP Length	A kód karaktereinek száma.
Validity period of a token (seconds)	Mennyi ideje van a felhasználónak a kód megadására, mielőtt a rendszer elutasítja.
Message before the OTP	Az üzenet törzsében a kódot megelőző mondat.
Mail subject	Az üzenet tárgya.
SMTP sender	Az üzenet feladójának címe.
SMTP server	Az 1. lépésben deklarált kiszolgáló.

A mezők teljes listája az alapértelmezett értékeikkel és korlátozásaikkal együtt a referenciaoldalon található: Általános blokk és Kézbesítés e-mailben.

A token mentéséhez kattintson a Validate gombra.

3. lépés – A token bekapcsolása egy hitelesítési tartományon

Nyissa meg az Authentication domain modult, és szerkessze azt a tartományt, amelynek az OTP-t kérnie kell.

Mező	Mit kell megadni
Authentication token	A 2. lépésben létrehozott token. Több token is kiválasztható.
User attribute used to send the OTP	Annak a felhasználói attribútumnak a neve, amely azt a címet tartalmazza, ahová a rendszer a kódot elküldi.
Token expiration duration	Mennyi ideig fogadja el a rendszer a jóváhagyott OTP-t, mielőtt újra kérné. A 0 érték kikapcsolja a lejáratot, vagyis a rendszer minden bejelentkezéskor kéri az OTP-t.
Time unit	Hours vagy Days, az előző mezőre alkalmazva.
Expiration starts	Az, hogy a visszaszámlálás az utolsó OTP-jóváhagyástól vagy az utolsó sikeres bejelentkezéstől indul.

Melyik attribútum tartalmazza a címet

Az attribútum annak a címtárnak az attribútuma, amelyre a hitelesítési tartomány mutat, nem pedig egy általunk választott név: azt az attribútumot használja, amelyben a felhasználók ténylegesen tárolják a címüket. Helyi címtár esetén a felhasználó tulajdonságainál megadott címet kell megcélozni; LDAP-címtár esetén a címtár saját e-mail-attribútumát.

Kattintson a Validate gombra. Az adott hitelesítési tartomány felhasználóitól a következő bejelentkezéskor kódot kér a rendszer.

4. lépés – Először ellenőrizze egy teszttartományon

Ha egy hitelesítési tartományon bekapcsolja az MFA-t, az a mögötte lévő összes felhasználóra vonatkozik, beleértve Önt is, ha azon keresztül jelentkezik be. Mielőtt bekapcsolná a tokent az éles tartományon, hozzon létre egy egyetlen fiókot tartalmazó, tesztelésre szolgáló hitelesítési tartományt, és végezzen el rajta keresztül egy teljes bejelentkezést: azonosító, jelszó, az üzenet fogadása, a kód megadása.

Cím nélküli felhasználó soha nem kap kódot

Annak a felhasználónak, akinek az attribútuma üres, semmit sem lehet küldeni, és a bejelentkezése sem fejeződhet be. A token bekapcsolása előtt ellenőrizze, hogy az attribútum ki van-e töltve a hitelesítési tartomány mögötti összes fióknál.