Kelių veiksnių autentifikavimo nustatymas¶
Kelių veiksnių autentifikavimas (MFA) prašo vartotojo antrojo įrodymo be identifikatoriaus ir slaptažodžio. CyberElements Bastion siūlo kelis būdus jam gauti. Šiame puslapyje aptariami keturi iš jų tokia tvarka, kokia jie paprastai svarstomi, tada išsamiai aprašomas tas, kuris neturi savo integracijos puslapio: el. paštu siunčiamas vienkartinis slaptažodis.
Keturi veiksniai – ne visas vaizdas
Šie keturi – tai tie, kuriuos aptaria šis puslapis; tai ne vieninteliai antrieji veiksniai, kurių gali reikalauti platforma. Taip pat galimi, tačiau nepatenka į šio puslapio aprėptį:
- SMS žinute siunčiamas OTP, per vieną iš daugelio operatorių, kuriuos siūlo modulis OTP Token Generators;
- Radius jungtis su trečiosios šalies MFA sprendimu, naudojant to paties modulio tipą OTP - Radius;
- autentifikavimas x509 sertifikatu, kuris yra ne tokenas, o paties domeno autentifikavimo metodas – User certificate arba User certificate and form, jei norite išsaugoti ir slaptažodį;
- MFA, kurį įeinančioje grandyje priverstinai taiko SAML teikėjas, arba bet kuris kitas deleguotas autentifikavimas. Tada antrojo veiksnio reikalaujama dar prieš įsitraukiant platformai, kuri jo nei konfigūruoja, nei mato.
MFA nustatomas autentifikavimo domene, niekada – vartotojui
Kad ir kokį veiksnį pasirinktumėte, jis įjungiamas autentifikavimo domene ir taikomas kiekvienam per jį prisijungiančiam vartotojui. Parametro kiekvienam vartotojui atskirai nėra: norėdami MFA taikyti tik daliai savo vartotojų, priskirkite tuos vartotojus atskiram autentifikavimo domenui.
Veiksnio pasirinkimas¶
| Veiksnys | Ką daro vartotojas | Ko reikia | Procedūra |
|---|---|---|---|
| Neomia Pulse | Nieko. Vartotojas atpažįstamas pagal tai, kaip rašo klaviatūra. | Parinktis Neomia Pulse, ryšio su jūsų Pulse paslauga parametrai, local arba LDAP tipo autentifikavimo domenas ir antrasis veiksnys iš šios lentelės tame pačiame domene. |
Neomia Pulse integracija |
| FIDO2 | Pateikia savo autentifikatorių – prijungia saugos raktą arba patvirtina įrenginyje ar seife, kuriame saugomas prieigos raktas, – tada įveda PIN kodą, jei autentifikatorius jo paprašo. | Po vieną FIDO2 autentifikatorių kiekvienam vartotojui, konsolėje deklaruota pasikliaujančioji šalis ir asmeninė paskyra – anoniminis autentifikavimo domenas netinka. | Yubico integracija |
| TOTP | Perskaito šešių skaitmenų kodą autentifikatoriaus taikomojoje programoje. | Taikomoji programa vartotojo telefone arba darbo stotyje (Google Authenticator, FreeOTP, Microsoft Authenticator ir pan.) ir po vieną registraciją kiekvienam vartotojui. | Google Authenticator integravimas |
| OTP el. paštu | Nukopijuoja el. paštu gautą kodą. | Platformai pasiekiamas SMTP serveris ir el. pašto adresas, saugomas vartotojo atribute. | OTP el. paštu nustatymas |
Neomia Pulse konfigūruojamas papildomai prie kito veiksnio
Norint įjungti Neomia Pulse, tame pačiame domene turi būti įjungtas kitas MFA. Tada jo parametrai lemia, kam naudojamas tas kitas veiksnys: jį galima praleisti, kai Pulse patvirtina vartotoją, ir reikalauti, kai Pulse jo nepatvirtina. Taigi Neomia Pulse yra būdas sutaupyti antrąjį veiksnį, o ne jį pakeisti.
Kur kiekvienas veiksnys deklaruojamas ir kur įjungiamas¶
Konfigūravimą sudaro du galimi etapai – veiksnio deklaravimas jo paties modulyje, tada jo įjungimas autentifikavimo domene, – tačiau du iš keturių vieną iš jų praleidžia:
| Veiksnys | Kur deklaruojamas | Įjungiamas autentifikavimo domene |
|---|---|---|
| Neomia Pulse | nieko deklaruoti nereikia | ✅ parinktis Enable neomia Pulse authentication, taip pat ryšio su Pulse paslauga parametrai – žr. toliau pateiktą pastabą |
| FIDO2 | Relying parties | ❌ nieko įjungti nereikia – žr. pastabą toliau |
| TOTP | OTP Token Generators | ✅ kaip autentifikavimo tokenas |
| OTP el. paštu | SMTP server, tada OTP Token Generators | ✅ kaip autentifikavimo tokenas |
FIDO2 neturi jungiklio autentifikavimo domene
Saugos raktai neįjungiami kiekviename domene atskirai: platforma siūlo šį veiksnį, kai tik deklaruojama bent viena pasikliaujančioji šalis, kiekviename autentifikavimo domene, kuris nėra anoniminis – raktas turi būti susietas su asmenine paskyra. Be to, savo autentifikatorių portale užregistruoja vartotojas, o ne administratorius jį priskiria.
Neomia Pulse nereikia nieko iš anksto deklaruoti
Pulse nėra tokenas, kurį reikia sukurti modulyje: parinktis įjungiama tiesiogiai autentifikavimo domene, kuriame taip pat nustatoma jo elgsena.
Pulse reikia ryšio parametrų
Pažymėjus Enable neomia Pulse authentication, atsiranda trys privalomi laukai, kurie nukreipia platformą į jūsų Pulse paslaugą:
| Laukas | Ką įvesti |
|---|---|
| API URL | Pulse API URL adresas. |
| Authentication API URL | Pulse autentifikavimo API URL adresas. |
| API key | Raktas, kuriuo platforma autentifikuojasi šioje paslaugoje. |
Autentifikavimo domeno negalima įrašyti, kol neužpildyti visi trys laukai.
Likusioje šio puslapio dalyje nuo pradžios iki galo aprašomas OTP el. paštu. Kiti trys veiksniai aprašyti jų integravimo puslapiuose, į kuriuos nuorodos pateiktos aukščiau esančioje lentelėje.
OTP el. paštu nustatymas¶
OTP el. paštu – tai būdas, kai, priėmus vartotojo identifikatorių ir slaptažodį, jam el. paštu išsiunčiamas vienkartinis kodas. Vartotojas įveda šį kodą portale, kad užbaigtų prisijungimą.
Prieš pradėdami: ką iš tikrųjų apsaugo OTP el. paštu¶
OTP el. paštu ne visada prideda veiksnį
Perskaitykite tai prieš pasirinkdami šį veiksnį vietoj kitų trijų.
Jei vartotojas prisijungia savo Active Directory paskyra ir kodą pasiima iš pašto dėžutės, susietos su ta pačia paskyra, antrasis veiksnys beveik nieko neprideda: užpuolikas, gavęs kredencialus, tais pačiais kredencialais atidaro pašto dėžutę ir perskaito kodą.
OTP el. paštu verta diegti, kai pašto dėžutės negalima pasiekti tikrinamais kredencialais, t. y. kai:
- vartotojas prisijungia vietine paskyra arba paskyra, kuri skiriasi nuo jo pašto dėžutės;
- kodas siunčiamas kitu adresu nei tas, kuris priklauso prisijungimo paskyrai.
1 veiksmas – SMTP serverio parengimas¶
Kodą platforma siunčia per SMTP serverį, deklaruotą modulyje SMTP servers. Jei tokio serverio dar nėra, prieš tęsdami jį deklaruokite:
Tada naudodami šio modulio rėmelį SMTP configuration test patvirtinkite pristatymą: šiame etape nustatytos nesėkmės vėliau nereikės ieškoti prisijungimo eigoje.
Bandomasis laiškas nenaudoja siuntėjo, kurį sukonfigūruosite
Bandymas siunčiamas iš adreso noreply@cleanroom.com, kuris yra įrašytas į produktą: jo niekur negalima pakeisti, be to, jis naudojamas ir kaip atsakymo adresas. Jūsų pačių siuntėjas yra tokeno SMTP sender, nustatomas 2 veiksme, – būtent jį naudoja tikri OTP laiškai.
Prieš darant išvadas verta žinoti pasekmę: SMTP serveris, ribojantis siuntimo adresus, gali atmesti bandymą, bet praleisti tikrus laiškus, ir atvirkščiai.
Ryšį atidaro platforma
Srautas į SMTP serverį išeina iš platformos, o ne iš vartotojo darbo stoties. Jei jūsų SMTP serveris yra jūsų LAN tinkle, šis srautas turi būti leidžiamas.
2 veiksmas – OTP tokeno kūrimas¶
Atidarykite modulį OTP Token Generators ir spustelėkite +. Lange Add OTP token pasirinkite tipą OTP - email, tada užpildykite laukus.
| Laukas | Ką įvesti |
|---|---|
| OTP Type | OTP - email. Šio pasirinkimo vėliau pakeisti negalima – kitas kanalas reiškia kitą tokeną. |
| Name | Tokeno pavadinimas. Jis rodomas vartotojui portale, todėl turėtų skambėti kaip veiksnio pavadinimas, o ne kaip vidinė nuoroda. |
| Description | Laisvas tekstas, matomas tik administratoriams. |
| OTP usable characters | Abėcėlė, iš kurios sudaromas kodas. |
| OTP Length | Kodo simbolių skaičius. |
| Validity period of a token (seconds) | Kiek laiko vartotojas turi kodui įvesti, kol jis bus atmestas. |
| Message before the OTP | Sakinys, esantis prieš kodą laiško tekste. |
| Mail subject | Laiško tema. |
| SMTP sender | Laiško siuntėjo adresas. |
| SMTP server | 1 veiksme deklaruotas serveris. |
Visas laukų sąrašas su numatytosiomis reikšmėmis ir apribojimais pateiktas žinyno puslapyje: Bendrasis blokas ir Pristatymas el. paštu.
Spustelėkite Validate, kad įrašytumėte tokeną.
3 veiksmas – tokeno įjungimas autentifikavimo domene¶
Atidarykite modulį Authentication domain ir redaguokite domeną, kuriame turi būti prašoma OTP.
| Laukas | Ką įvesti |
|---|---|
| Authentication token | 2 veiksme sukurtas tokenas. Galima pasirinkti kelis tokenus. |
| User attribute used to send the OTP | Vartotojo atributo, kuriame saugomas adresas, kuriuo siunčiamas kodas, pavadinimas. |
| Token expiration duration | Kiek laiko patvirtintas OTP lieka priimamas, kol jo vėl paprašoma. 0 išjungia galiojimo pabaigą, t. y. OTP prašoma kiekvieno prisijungimo metu. |
| Time unit | Hours arba Days, taikoma ankstesniam laukui. |
| Expiration starts | Ar atgalinis skaičiavimas pradedamas nuo paskutinio OTP patvirtinimo, ar nuo paskutinio sėkmingo prisijungimo. |
Kuriame atribute saugomas adresas
Atributas yra to katalogo, į kurį nukreipia autentifikavimo domenas, atributas, o ne mūsų pasirinktas pavadinimas: naudokite atributą, kuriame jūsų vartotojai iš tikrųjų turi adresą. Vietiniame kataloge reikia nurodyti vartotojo ypatybėse įvestą adresą; LDAP kataloge – paties katalogo pašto atributą.
Spustelėkite Validate. Kito prisijungimo metu šio autentifikavimo domeno vartotojų bus paprašyta įvesti kodą.
4 veiksmas – pirmiausia patikrinimas bandomajame autentifikavimo domene¶
Įjungus MFA autentifikavimo domene, jis taikomas kiekvienam už jo esančiam vartotojui, įskaitant jus pačius, jei prisijungiate per jį. Prieš įjungdami tokeną gamybiniame domene, sukurkite bandomąjį autentifikavimo domeną su viena paskyra ir per jį atlikite visą prisijungimą: identifikatorius, slaptažodis, laiško gavimas, kodo įvedimas.
Vartotojas be adreso niekada negauna kodo
Vartotojui, kurio atributas tuščias, nieko negalima išsiųsti, todėl jo prisijungimas negali būti užbaigtas. Prieš įjungdami tokeną autentifikavimo domene, patikrinkite, ar atributas užpildytas kiekvienai už jo esančiai paskyrai.