Ρύθμιση ελέγχου ταυτότητας πολλών παραγόντων

Ο έλεγχος ταυτότητας πολλών παραγόντων (MFA) ζητά από τον χρήστη μια δεύτερη απόδειξη επιπλέον του αναγνωριστικού και του κωδικού πρόσβασής του. Η πλατφόρμα CyberElements προσφέρει διάφορους τρόπους για να αποκτηθεί αυτή η απόδειξη. Η σελίδα αυτή καλύπτει τέσσερις από αυτούς, με τη σειρά με την οποία εξετάζονται συνήθως, και στη συνέχεια περιγράφει λεπτομερώς εκείνον που δεν διαθέτει δική του σελίδα ενοποίησης: τον κωδικό πρόσβασης μίας χρήσης που αποστέλλεται μέσω email.

Τέσσερις παράγοντες, όχι η πλήρης εικόνα

Αυτοί οι τέσσερις είναι εκείνοι που εξετάζει η σελίδα — δεν είναι οι μόνοι δεύτεροι παράγοντες που μπορεί να ζητήσει η πλατφόρμα. Διατίθενται επίσης, εκτός του αντικειμένου αυτής της σελίδας:

• ένα OTP που αποστέλλεται μέσω SMS, μέσω ενός από τους πολλούς παρόχους που προσφέρει η λειτουργική μονάδα OTP Token Generators·
• ένας συνδετήρας Radius προς μια λύση MFA τρίτου κατασκευαστή, μέσω του τύπου OTP - Radius της ίδιας λειτουργικής μονάδας·
• ο έλεγχος ταυτότητας με πιστοποιητικό x509, ο οποίος δεν είναι διακριτικό αλλά μέθοδος ελέγχου ταυτότητας του ίδιου του τομέα — User certificate ή User certificate and form για να διατηρηθεί και ο κωδικός πρόσβασης·
• ένας έλεγχος MFA που επιβάλλεται σε προηγούμενο στάδιο από πάροχο SAML, ή από οποιονδήποτε άλλον ανατεθειμένο έλεγχο ταυτότητας. Ο δεύτερος παράγοντας ζητείται τότε πριν εμπλακεί η πλατφόρμα, η οποία ούτε τον διαμορφώνει ούτε τον βλέπει.

Ο έλεγχος MFA ορίζεται στον πάροχο ταυτότητας, ποτέ σε χρήστη

Όποιον παράγοντα κι αν επιλέξετε, ενεργοποιείται σε έναν πάροχο ταυτότητας και ισχύει για κάθε χρήστη που συνδέεται μέσω αυτού. Δεν υπάρχει ρύθμιση ανά χρήστη: για να υποβάλετε στον έλεγχο MFA μόνο ένα μέρος των χρηστών σας, τοποθετήστε αυτούς τους χρήστες πίσω από έναν αποκλειστικό πάροχο ταυτότητας.

Επιλογή παράγοντα

Παράγοντας	Τι κάνει ο χρήστης	Τι απαιτεί	Διαδικασία
Neomia Pulse	Τίποτα. Ο χρήστης αναγνωρίζεται από τον τρόπο με τον οποίο πληκτρολογεί στο πληκτρολόγιο.	Η επιλογή Neomia Pulse, ένας πάροχος ταυτότητας τύπου local ή LDAP και ένας δεύτερος παράγοντας από αυτόν τον πίνακα στον ίδιο πάροχο.	Ενοποίηση της λύσης Neomia Pulse
FIDO2	Παρουσιάζει το μέσο ελέγχου ταυτότητας — συνδέοντας ένα κλειδί ασφαλείας ή εγκρίνοντας στη συσκευή ή στο θησαυροφυλάκιο που περιέχει το κλειδί πρόσβασης — και, στη συνέχεια, πληκτρολογεί ένα PIN, εάν το ζητήσει το μέσο ελέγχου ταυτότητας.	Ένα μέσο ελέγχου ταυτότητας FIDO2 ανά χρήστη, ένα εξαρτώμενο μέρος δηλωμένο στην κονσόλα και ένας προσωπικός λογαριασμός — ένας ανώνυμος πάροχος ταυτότητας αποκλείεται.	Ενοποίηση της λύσης Yubico
TOTP	Διαβάζει έναν εξαψήφιο κωδικό σε μια εφαρμογή ελέγχου ταυτότητας.	Μια εφαρμογή στο τηλέφωνο ή στον σταθμό εργασίας του χρήστη (Google Authenticator, FreeOTP, Microsoft Authenticator κ.λπ.) και μία καταχώρηση ανά χρήστη.	Ενοποίηση της εφαρμογής Google Authenticator
OTP μέσω email	Αντιγράφει έναν κωδικό που λαμβάνει μέσω email.	Ένας διακομιστής SMTP προσβάσιμος από την πλατφόρμα και μια διεύθυνση email αποθηκευμένη σε ένα χαρακτηριστικό χρήστη.	Ρύθμιση OTP μέσω email

Η λύση Neomia Pulse διαμορφώνεται επιπλέον ενός άλλου παράγοντα

Η ενεργοποίηση της λύσης Neomia Pulse απαιτεί να είναι ενεργοποιημένος ένας άλλος έλεγχος MFA στον ίδιο τομέα. Οι ρυθμίσεις της καθορίζουν στη συνέχεια για ποιο σκοπό χρησιμοποιείται αυτός ο άλλος παράγοντας: μπορεί να παραλείπεται όταν η λύση Pulse επικυρώνει τον χρήστη και να απαιτείται όταν δεν τον επικυρώνει. Επομένως, η λύση Neomia Pulse είναι ένας τρόπος να γλιτώσετε τον δεύτερο παράγοντα και όχι να τον αντικαταστήσετε.

Πού δηλώνεται και πού ενεργοποιείται κάθε παράγοντας

Η διαμόρφωση έχει δύο πιθανά στάδια — δήλωση του παράγοντα στη δική του λειτουργική μονάδα και, στη συνέχεια, ενεργοποίησή του στον πάροχο ταυτότητας — αλλά δύο από τους τέσσερις παραλείπουν ένα από αυτά:

Παράγοντας	Δηλώνεται σε	Ενεργοποιείται στον πάροχο ταυτότητας
Neomia Pulse	τίποτα για δήλωση	✅ η επιλογή Enable neomia Pulse authentication
FIDO2	Relying parties	❌ τίποτα για ενεργοποίηση — δείτε τη σημείωση παρακάτω
TOTP	OTP Token Generators	✅ ως διακριτικό ελέγχου ταυτότητας
OTP μέσω email	SMTP server, στη συνέχεια OTP Token Generators	✅ ως διακριτικό ελέγχου ταυτότητας

Ο παράγοντας FIDO2 δεν διαθέτει διακόπτη στον πάροχο ταυτότητας

Τα κλειδιά ασφαλείας δεν ενεργοποιούνται ανά τομέα: η πλατφόρμα προσφέρει τον παράγοντα μόλις δηλωθεί τουλάχιστον ένα εξαρτώμενο μέρος, σε κάθε πάροχο ταυτότητας που δεν είναι ανώνυμος — ένα κλειδί πρέπει να είναι συνδεδεμένο με προσωπικό λογαριασμό. Και είναι ο χρήστης που καταχωρεί το μέσο ελέγχου ταυτότητας από την πύλη, όχι ο διαχειριστής που το αντιστοιχίζει.

Για τη λύση Neomia Pulse δεν απαιτείται καμία προηγούμενη δήλωση

Η λύση Pulse δεν είναι διακριτικό που δημιουργείται σε μια λειτουργική μονάδα: η επιλογή ενεργοποιείται απευθείας στον πάροχο ταυτότητας, όπου ορίζεται επίσης η συμπεριφορά της.

Το υπόλοιπο αυτής της σελίδας καλύπτει το OTP μέσω email από την αρχή έως το τέλος. Οι τρεις άλλοι παράγοντες καλύπτονται στη σελίδα ενοποίησής τους, με σύνδεσμο στον παραπάνω πίνακα.

Ρύθμιση OTP μέσω email

Το OTP μέσω email στέλνει στον χρήστη έναν κωδικό μίας χρήσης μέσω email μόλις γίνουν αποδεκτά το αναγνωριστικό και ο κωδικός πρόσβασής του. Ο χρήστης πληκτρολογεί αυτόν τον κωδικό στην πύλη για να ολοκληρώσει τη σύνδεση.

Πριν ξεκινήσετε: τι πραγματικά προστατεύει ένα OTP μέσω email

Ένα OTP μέσω email δεν προσθέτει πάντα έναν παράγοντα

Διαβάστε αυτό πριν επιλέξετε αυτόν τον παράγοντα αντί των τριών άλλων.

Εάν ο χρήστης συνδέεται με τον λογαριασμό του Active Directory και λαμβάνει τον κωδικό από ένα γραμματοκιβώτιο συνδεδεμένο με τον ίδιο λογαριασμό, ο δεύτερος παράγοντας δεν προσθέτει σχεδόν τίποτα: ένας εισβολέας που έχει αποκτήσει τα διαπιστευτήρια ανοίγει το γραμματοκιβώτιο με τα ίδια αυτά διαπιστευτήρια και διαβάζει τον κωδικό.

Ένα OTP μέσω email αξίζει να αναπτυχθεί όταν το γραμματοκιβώτιο δεν είναι προσβάσιμο με τα διαπιστευτήρια που ελέγχονται, δηλαδή όταν:

• ο χρήστης συνδέεται με τοπικό λογαριασμό ή με λογαριασμό διαφορετικό από το γραμματοκιβώτιό του·
• ο κωδικός αποστέλλεται σε διεύθυνση διαφορετική από αυτή που ανήκει στον λογαριασμό σύνδεσης.

Βήμα 1 — Διάθεση διακομιστή SMTP

Ο κωδικός αποστέλλεται από την πλατφόρμα μέσω ενός διακομιστή SMTP δηλωμένου στη λειτουργική μονάδα SMTP servers. Εάν δεν υπάρχει ακόμη διαθέσιμος, δηλώστε έναν πριν προχωρήσετε:

Ρύθμιση της αποστολής email

Στη συνέχεια, χρησιμοποιήστε το πλαίσιο SMTP configuration test αυτής της λειτουργικής μονάδας για να επιβεβαιώσετε την παράδοση: μια αποτυχία που διαγιγνώσκεται σε αυτό το στάδιο είναι μια αποτυχία που δεν θα αναζητάτε αργότερα στη ροή σύνδεσης.

Το δοκιμαστικό μήνυμα δεν χρησιμοποιεί τον αποστολέα που θα διαμορφώσετε

Η δοκιμή στέλνει από τη διεύθυνση noreply@cleanroom.com, μια διεύθυνση καθορισμένη στο ίδιο το προϊόν: δεν μπορεί να αλλάξει πουθενά και χρησιμεύει επίσης ως διεύθυνση απάντησης. Ο δικός σας αποστολέας είναι το πεδίο SMTP sender του διακριτικού, που ορίζεται στο βήμα 2 — αυτόν φέρουν τα πραγματικά μηνύματα OTP.

Η συνέπεια αξίζει να είναι γνωστή πριν βγάλετε συμπεράσματα: ένας διακομιστής SMTP που περιορίζει τις διευθύνσεις αποστολής μπορεί να απορρίψει τη δοκιμή ενώ αφήνει να περάσουν τα πραγματικά μηνύματα, και το αντίστροφο.

Η σύνδεση ανοίγεται από την πλατφόρμα

Η ροή προς τον διακομιστή SMTP ξεκινά από την πλατφόρμα, όχι από τον σταθμό εργασίας του χρήστη. Εάν ο διακομιστής SMTP βρίσκεται στο LAN σας, αυτή η ροή πρέπει να επιτρέπεται.

Βήμα 2 — Δημιουργία του διακριτικού OTP

Ανοίξτε τη λειτουργική μονάδα OTP Token Generators και κάντε κλικ στο +. Στο παράθυρο Add OTP token, επιλέξτε τον τύπο OTP - email και, στη συνέχεια, συμπληρώστε τα πεδία.

Πεδίο	Τι πρέπει να καταχωρήσετε
OTP Type	OTP - email. Αυτή η επιλογή δεν μπορεί να αλλάξει αργότερα — διαφορετικό κανάλι σημαίνει διαφορετικό διακριτικό.
Name	Το όνομα του διακριτικού. Εμφανίζεται στον χρήστη στην πύλη, επομένως θα πρέπει να διαβάζεται ως όνομα παράγοντα και όχι ως εσωτερικό αναγνωριστικό.
Description	Ελεύθερο κείμενο, ορατό μόνο στους διαχειριστές.
OTP usable characters	Το αλφάβητο από το οποίο σχηματίζεται ο κωδικός.
OTP Length	Ο αριθμός των χαρακτήρων του κωδικού.
Validity period of a token (seconds)	Πόσο χρόνο έχει ο χρήστης για να πληκτρολογήσει τον κωδικό πριν απορριφθεί.
Message before the OTP	Η πρόταση που προηγείται του κωδικού στο σώμα του μηνύματος.
Mail subject	Το θέμα του μηνύματος.
SMTP sender	Η διεύθυνση αποστολέα του μηνύματος.
SMTP server	Ο διακομιστής που δηλώθηκε στο βήμα 1.

Η πλήρης λίστα των πεδίων, με τις προεπιλεγμένες τιμές και τους περιορισμούς τους, βρίσκεται στη σελίδα αναφοράς: Γενική ενότητα και Παράδοση μέσω email.

Κάντε κλικ στο κουμπί Validate για να αποθηκεύσετε το διακριτικό.

Βήμα 3 — Ενεργοποίηση του διακριτικού σε πάροχο ταυτότητας

Ανοίξτε τη λειτουργική μονάδα Identity Providers και επεξεργαστείτε τον πάροχο που πρέπει να ζητά το OTP.

Πεδίο	Τι πρέπει να καταχωρήσετε
Authentication token	Το διακριτικό που δημιουργήθηκε στο βήμα 2. Μπορούν να επιλεγούν πολλά διακριτικά.
User attribute used to send the OTP	Το όνομα του χαρακτηριστικού χρήστη που περιέχει τη διεύθυνση στην οποία αποστέλλεται ο κωδικός.
Token expiration duration	Πόσο χρόνο παραμένει αποδεκτό ένα επικυρωμένο OTP πριν ζητηθεί ξανά. Η τιμή 0 απενεργοποιεί τη λήξη, που σημαίνει ότι το OTP ζητείται σε κάθε σύνδεση.
Time unit	Hours ή Days, εφαρμόζεται στο προηγούμενο πεδίο.
Expiration starts	Αν η αντίστροφη μέτρηση ξεκινά από την τελευταία επικύρωση OTP ή από την τελευταία επιτυχή σύνδεση.

Ποιο χαρακτηριστικό περιέχει τη διεύθυνση

Το χαρακτηριστικό είναι εκείνο του καταλόγου στον οποίο παραπέμπει ο πάροχος ταυτότητας, όχι ένα όνομα της επιλογής μας: χρησιμοποιήστε το χαρακτηριστικό στο οποίο οι χρήστες σας έχουν πράγματι καταχωρημένη μια διεύθυνση. Για έναν τοπικό κατάλογο, η διεύθυνση που έχει καταχωρηθεί στις ιδιότητες του χρήστη είναι αυτή που πρέπει να στοχεύσετε· για έναν κατάλογο LDAP, είναι το χαρακτηριστικό mail του ίδιου του καταλόγου.

Κάντε κλικ στο κουμπί Validate. Στους χρήστες αυτού του παρόχου ταυτότητας ζητείται κωδικός κατά την επόμενη σύνδεσή τους.

Βήμα 4 — Έλεγχος πρώτα σε δοκιμαστικό πάροχο ταυτότητας

Η ενεργοποίηση του ελέγχου MFA σε έναν πάροχο ταυτότητας τον εφαρμόζει σε κάθε χρήστη πίσω από αυτόν, συμπεριλαμβανομένων και εσάς, εάν συνδέεστε μέσω αυτού. Πριν ενεργοποιήσετε το διακριτικό στον πάροχο παραγωγής σας, δημιουργήστε έναν δοκιμαστικό πάροχο ταυτότητας με έναν μόνο λογαριασμό και εκτελέστε μέσω αυτού μια πλήρη σύνδεση: αναγνωριστικό, κωδικός πρόσβασης, λήψη του μηνύματος, πληκτρολόγηση του κωδικού.

Ένας χρήστης χωρίς διεύθυνση δεν λαμβάνει ποτέ κωδικό

Σε έναν χρήστη του οποίου το χαρακτηριστικό είναι κενό δεν μπορεί να σταλεί τίποτα και η σύνδεσή του δεν μπορεί να ολοκληρωθεί. Ελέγξτε ότι το χαρακτηριστικό είναι συμπληρωμένο για κάθε λογαριασμό πίσω από τον πάροχο ταυτότητας πριν ενεργοποιήσετε το διακριτικό σε αυτόν.