Nastavenie viacfaktorového overovania¶
Viacfaktorové overovanie (MFA) žiada od používateľa okrem identifikátora a hesla aj druhý dôkaz. CyberElements Bastion ponúka niekoľko spôsobov, ako ho získať. Táto stránka sa zaoberá štyrmi z nich v poradí, v akom sa zvyčajne zvažujú, a potom podrobne opisuje ten, ktorý nemá vlastnú stránku integrácie: jednorazové heslo odoslané e-mailom.
Štyri faktory, nie celý obraz
Tieto štyri faktory prechádza táto stránka — nie sú to jediné druhé faktory, ktoré môže platforma vyžadovať. K dispozícii sú aj tieto možnosti, ktoré presahujú rámec tejto stránky:
- OTP odosielané prostredníctvom SMS cez jedného z mnohých operátorov, ktorých ponúka modul OTP Token Generators;
- konektor Radius k riešeniu MFA od iného výrobcu prostredníctvom typu OTP - Radius toho istého modulu;
- overovanie certifikátom x509, ktoré nie je token, ale metóda overovania samotnej domény — User certificate alebo User certificate and form, ak chcete zachovať aj heslo;
- MFA vynútené vopred poskytovateľom SAML alebo akýmkoľvek iným delegovaným overovaním. Druhý faktor sa vtedy vyžaduje skôr, ako sa zapojí platforma, ktorá ho nekonfiguruje ani nevidí.
MFA sa nastavuje v doméne overovania, nikdy pre používateľa
Nech zvolíte ktorýkoľvek faktor, povolí sa v doméne overovania a vzťahuje sa na každého používateľa, ktorý sa cez ňu prihlasuje. Neexistuje žiadne nastavenie pre jednotlivých používateľov: ak chcete MFA podrobiť iba časť používateľov, umiestnite týchto používateľov za vyhradenú doménu overovania.
Výber faktora¶
| Faktor | Čo robí používateľ | Čo vyžaduje | Postup |
|---|---|---|---|
| Neomia Pulse | Nič. Používateľ je rozpoznaný podľa spôsobu, akým píše na klávesnici. | Možnosť Neomia Pulse, nastavenia pripojenia k vašej službe Pulse, doména overovania typu local alebo LDAP a druhý faktor z tejto tabuľky v tej istej doméne. |
Integrácia Neomia Pulse |
| FIDO2 | Predloží svoj overovací nástroj — pripojí bezpečnostný kľúč alebo schváli na zariadení či v trezore, ktorý uchováva prístupový kľúč — a potom zadá PIN, ak si ho overovací nástroj vyžiada. | Overovací nástroj FIDO2 pre každého používateľa, relying party deklarovaná v konzole a osobný účet — anonymná doména overovania je vylúčená. | Integrácia Yubico |
| TOTP | Prečíta šesťmiestny kód v overovacej aplikácii. | Aplikácia v telefóne alebo na pracovnej stanici používateľa (Google Authenticator, FreeOTP, Microsoft Authenticator a podobne) a jedna registrácia na používateľa. | Integrácia Google Authenticator |
| OTP e-mailom | Skopíruje kód prijatý e-mailom. | Server SMTP dostupný pre platformu a e-mailová adresa uložená v atribúte používateľa. | Nastavenie OTP e-mailom |
Neomia Pulse sa konfiguruje ako doplnok iného faktora
Povolenie Neomia Pulse vyžaduje, aby bolo v tej istej doméne povolené iné MFA. Nastavenia Neomia Pulse potom určujú, na čo sa tento druhý faktor používa: môže sa preskočiť, keď Pulse používateľa potvrdí, a vyžadovať, keď ho nepotvrdí. Neomia Pulse je teda spôsob, ako druhý faktor ušetriť, nie ako ho nahradiť.
Kde sa jednotlivé faktory deklarujú a kde sa povoľujú¶
Konfigurácia má dve možné fázy — deklarovanie faktora v jeho vlastnom module a potom jeho povolenie v doméne overovania — ale dva zo štyroch faktorov jednu z nich vynechávajú:
| Faktor | Deklaruje sa v | Povoľuje sa v doméne overovania |
|---|---|---|
| Neomia Pulse | nič na deklarovanie | ✅ možnosť Enable neomia Pulse authentication, a k tomu nastavenia pripojenia k službe Pulse — pozrite si poznámku nižšie |
| FIDO2 | Relying parties | ❌ nič na povolenie — pozrite si poznámku nižšie |
| TOTP | OTP Token Generators | ✅ ako token overovania |
| OTP e-mailom | server SMTP, potom OTP Token Generators | ✅ ako token overovania |
FIDO2 nemá v doméne overovania žiadny prepínač
Bezpečnostné kľúče sa nepovoľujú doménu po doméne: platforma ponúka tento faktor hneď, ako je deklarovaná aspoň jedna relying party, v každej doméne overovania, ktorá nie je anonymná — kľúč musí byť pripojený k osobnému účtu. A je to používateľ, kto zaregistruje svoj overovací nástroj z portálu, nie správca, ktorý by mu ho priradil.
Pri Neomia Pulse nie je potrebné nič vopred deklarovať
Pulse nie je token, ktorý sa vytvára v module: možnosť sa povoľuje priamo v doméne overovania, kde sa tiež nastavuje jej správanie.
Pulse potrebuje svoje nastavenia pripojenia
Začiarknutím možnosti Enable neomia Pulse authentication sa zobrazia tri povinné polia, ktoré nasmerujú platformu na vašu službu Pulse:
| Pole | Čo zadať |
|---|---|
| API URL | URL rozhrania API služby Pulse. |
| Authentication API URL | URL rozhrania API na overovanie služby Pulse. |
| API key | Kľúč, ktorým sa platforma overuje voči tejto službe. |
Doménu overovania nie je možné uložiť, kým nie sú vyplnené všetky tri polia.
Zvyšok tejto stránky sa venuje OTP e-mailom od začiatku do konca. Ostatné tri faktory opisujú ich stránky integrácie, na ktoré odkazuje tabuľka vyššie.
Nastavenie OTP e-mailom¶
OTP e-mailom odošle používateľovi jednorazový kód e-mailom po prijatí jeho identifikátora a hesla. Používateľ tento kód zadá na portáli, čím dokončí prihlásenie.
Skôr ako začnete: čo OTP e-mailom skutočne chráni¶
OTP e-mailom nie vždy pridáva faktor
Prečítajte si toto skôr, ako zvolíte tento faktor namiesto ostatných troch.
Ak sa používateľ prihlasuje svojím účtom Active Directory a kód preberá z poštovej schránky prepojenej s tým istým účtom, druhý faktor neprináša takmer nič: útočník, ktorý získal poverenia, otvorí poštovú schránku práve týmito povereniami a prečíta si kód.
OTP e-mailom sa oplatí nasadiť vtedy, keď poštová schránka nie je dostupná pomocou kontrolovaných poverení, teda keď:
- sa používateľ prihlasuje lokálnym účtom alebo účtom odlišným od jeho poštovej schránky;
- sa kód odosiela na inú adresu, než je adresa prihlasovacieho účtu.
Krok 1 — Zabezpečenie dostupného servera SMTP¶
Kód odosiela platforma cez server SMTP deklarovaný v module SMTP servers. Ak ešte žiadny nie je k dispozícii, deklarujte ho skôr, ako budete pokračovať:
Nastavenie odosielania e-mailov
Potom pomocou bloku SMTP configuration test tohto modulu overte doručenie: zlyhanie diagnostikované v tejto fáze je zlyhanie, ktoré nebudete neskôr hľadať v procese prihlasovania.
Testovacia správa nepoužíva odosielateľa, ktorého nakonfigurujete
Test odosiela z adresy noreply@cleanroom.com, ktorá je pevne zapísaná v produkte: nedá sa nikde zmeniť a slúži aj ako adresa na odpoveď. Vaším vlastným odosielateľom je pole SMTP sender tokenu nastavené v kroku 2 — práve ten uvádzajú skutočné správy s OTP.
Dôsledok je dobré poznať skôr, ako vyvodíte závery: server SMTP, ktorý obmedzuje adresy odosielateľov, môže odmietnuť test a zároveň prepustiť skutočné správy, a naopak.
Pripojenie otvára platforma
Tok k serveru SMTP vychádza z platformy, nie z pracovnej stanice používateľa. Ak sa váš server SMTP nachádza vo vašej sieti LAN, tento tok musí byť povolený.
Krok 2 — Vytvorenie tokenu OTP¶
Otvorte modul OTP Token Generators a kliknite na +. V okne Add OTP token vyberte typ OTP - email a potom vyplňte polia.
| Pole | Čo zadať |
|---|---|
| OTP Type | OTP - email. Túto voľbu nemožno neskôr zmeniť — iný kanál znamená iný token. |
| Name | Názov tokenu. Zobrazuje sa používateľovi na portáli, preto by mal znieť ako názov faktora, nie ako interné označenie. |
| Description | Ľubovoľný text, viditeľný iba pre správcov. |
| OTP usable characters | Abeceda, z ktorej sa kód generuje. |
| OTP Length | Počet znakov kódu. |
| Validity period of a token (seconds) | Koľko času má používateľ na zadanie kódu, kým bude odmietnutý. |
| Message before the OTP | Veta, ktorá predchádza kódu v tele správy. |
| Mail subject | Predmet správy. |
| SMTP sender | Adresa odosielateľa správy. |
| SMTP server | Server deklarovaný v kroku 1. |
Úplný zoznam polí s ich predvolenými hodnotami a obmedzeniami nájdete na referenčnej stránke: Všeobecný blok a Doručovanie e-mailom.
Kliknite na Validate, aby sa token uložil.
Krok 3 — Povolenie tokenu v doméne overovania¶
Otvorte modul Authentication domain a upravte doménu, ktorá má vyžadovať OTP.
| Pole | Čo zadať |
|---|---|
| Authentication token | Token vytvorený v kroku 2. Možno vybrať viacero tokenov. |
| User attribute used to send the OTP | Názov atribútu používateľa, ktorý obsahuje adresu, na ktorú sa kód odosiela. |
| Token expiration duration | Ako dlho zostáva overené OTP akceptované, kým sa znova vyžiada. 0 vypne vypršanie platnosti, čo znamená, že OTP sa vyžaduje pri každom prihlásení. |
| Time unit | Hours alebo Days, použité pre predchádzajúce pole. |
| Expiration starts | Či sa odpočítavanie začína od posledného overenia OTP, alebo od posledného úspešného prihlásenia. |
Ktorý atribút obsahuje adresu
Atribút je atribút adresára, na ktorý doména overovania ukazuje, nie názov podľa nášho výberu: použite atribút, v ktorom vaši používatelia skutočne majú adresu. V prípade lokálneho adresára je cieľom adresa zadaná vo vlastnostiach používateľa; v prípade adresára LDAP je to vlastný atribút pošty adresára.
Kliknite na Validate. Používatelia tejto domény overovania budú pri ďalšom prihlásení požiadaní o kód.
Krok 4 — Najprv skontrolujte v testovacej doméne overovania¶
Povolenie MFA v doméne overovania ho uplatní na každého používateľa za ňou vrátane vás, ak sa cez ňu prihlasujete. Pred povolením tokenu v produkčnej doméne vytvorte testovaciu doménu overovania s jediným účtom a vykonajte cez ňu úplné prihlásenie: identifikátor, heslo, prijatie správy, zadanie kódu.
Používateľ bez adresy nikdy nedostane kód
Používateľovi, ktorého atribút je prázdny, nie je možné nič odoslať a jeho prihlásenie sa nemôže dokončiť. Skontrolujte, či je atribút vyplnený pre každý účet za doménou overovania, skôr než na nej povolíte token.