Postavljanje višestruke provjere autentičnosti¶
Višestruka provjera autentičnosti (MFA) od korisnika traži drugi dokaz uz identifikator i lozinku. CyberElements nudi nekoliko načina da se on dobije. Ova stranica obrađuje četiri od njih, redoslijedom kojim se obično razmatraju, a zatim detaljno opisuje onaj koji nema vlastitu stranicu integracije: jednokratnu lozinku poslanu e-poštom.
Četiri čimbenika, ali ne i cijela slika
Ova stranica obrađuje ta četiri čimbenika — no to nisu jedini drugi čimbenici koje platforma može zatražiti. Dostupni su i sljedeći, izvan opsega ove stranice:
- OTP poslan SMS porukom, putem jednog od brojnih operatera koje nudi modul OTP Token Generators;
- poveznik Radius prema rješenju MFA treće strane, putem vrste OTP - Radius istog modula;
- provjera autentičnosti certifikatom x509, koja nije token nego način provjere autentičnosti same domene — User certificate ili User certificate and form ako želite zadržati i lozinku;
- MFA koji se nameće na ulaznoj strani, kod davatelja SAML, ili kod bilo koje druge delegirane provjere autentičnosti. Drugi se čimbenik tada traži prije nego što se platforma uključi, a ona ga ni ne konfigurira ni ne vidi.
MFA se postavlja na davatelju identiteta, nikada na korisniku
Koji god čimbenik odabrali, on se omogućuje na davatelju identiteta i primjenjuje se na svakog korisnika koji se prijavljuje putem njega. Ne postoji postavka po korisniku: da biste MFA primijenili samo na dio korisnika, smjestite te korisnike iza namjenskog davatelja identiteta.
Odabir čimbenika¶
| Čimbenik | Što korisnik radi | Što zahtijeva | Postupak |
|---|---|---|---|
| Neomia Pulse | Ništa. Korisnik se prepoznaje po načinu na koji tipka na tipkovnici. | Mogućnost Neomia Pulse, davatelj identiteta vrste local ili LDAP i drugi čimbenik iz ove tablice na istom davatelju. |
Integracija s rješenjem Neomia Pulse |
| FIDO2 | Predočuje svoj autentifikator — priključuje sigurnosni ključ ili odobrava na uređaju ili u trezoru koji sadrži pristupni ključ — a zatim unosi PIN ako ga autentifikator zatraži. | Autentifikator FIDO2 po korisniku, pouzdana strana deklarirana u konzoli i osobni račun — anonimni davatelj identiteta je isključen. | Integracija s rješenjem Yubico |
| TOTP | Očitava šesteroznamenkasti kod u aplikaciji za provjeru autentičnosti. | Aplikacija na telefonu ili radnoj stanici korisnika (Google Authenticator, FreeOTP, Microsoft Authenticator i slično) i jedna registracija po korisniku. | Integracija s aplikacijom Google Authenticator |
| OTP e-poštom | Prepisuje kod primljen e-poštom. | Poslužitelj SMTP dostupan platformi i adresa e-pošte pohranjena u atributu korisnika. | Postavljanje čimbenika OTP e-poštom |
Neomia Pulse konfigurira se uz drugi čimbenik
Za omogućivanje rješenja Neomia Pulse potrebno je da na istoj domeni bude omogućen drugi čimbenik MFA. Postavke rješenja Neomia Pulse tada određuju čemu služi taj drugi čimbenik: može se preskočiti kada Pulse potvrdi korisnika, a zahtijevati kada ga ne potvrdi. Neomia Pulse stoga je način da se drugi čimbenik poštedi, a ne da se zamijeni.
Gdje se pojedini čimbenik deklarira, a gdje omogućuje¶
Konfiguracija ima dvije moguće faze — deklariranje čimbenika u njegovu modulu, a zatim njegovo omogućivanje na davatelju identiteta — ali dva od četiri čimbenika preskaču jednu od njih:
| Čimbenik | Deklarira se u | Omogućuje se na davatelju identiteta |
|---|---|---|
| Neomia Pulse | ništa za deklariranje | ✅ mogućnost Enable neomia Pulse authentication |
| FIDO2 | Relying parties | ❌ ništa za omogućivanje — pogledajte napomenu u nastavku |
| TOTP | OTP Token Generators | ✅ kao token za provjeru autentičnosti |
| OTP e-poštom | poslužitelj SMTP, a zatim OTP Token Generators | ✅ kao token za provjeru autentičnosti |
FIDO2 nema prekidač na davatelju identiteta
Sigurnosni ključevi ne omogućuju se domenu po domenu: platforma nudi taj čimbenik čim je deklarirana barem jedna pouzdana strana, na svakom davatelju identiteta koji nije anoniman — ključ mora biti povezan s osobnim računom. Osim toga, korisnik registrira svoj autentifikator s portala, a ne administrator koji bi mu ga dodijelio.
Za Neomia Pulse ništa ne treba unaprijed deklarirati
Pulse nije token koji se izrađuje u modulu: mogućnost se omogućuje izravno na davatelju identiteta, gdje se postavlja i njezino ponašanje.
Ostatak ove stranice opisuje čimbenik OTP e-poštom od početka do kraja. Ostala tri čimbenika opisana su na njihovim stranicama integracije, povezanima u gornjoj tablici.
Postavljanje čimbenika OTP e-poštom¶
Čimbenik OTP e-poštom šalje korisniku jednokratni kod e-poštom nakon što su njegov identifikator i lozinka prihvaćeni. Korisnik unosi taj kod na portalu kako bi dovršio prijavu.
Prije početka: što čimbenik OTP e-poštom zapravo štiti¶
OTP e-poštom ne dodaje uvijek čimbenik
Pročitajte ovo prije nego što ovaj čimbenik odaberete umjesto ostala tri.
Ako se korisnik prijavljuje svojim računom Active Directory i preuzima kod iz poštanskog sandučića povezanog s tim istim računom, drugi čimbenik ne dodaje gotovo ništa: napadač koji je pribavio vjerodajnice otvara poštanski sandučić upravo tim vjerodajnicama i čita kod.
Čimbenik OTP e-poštom isplati se implementirati kada poštanski sandučić nije dostupan s vjerodajnicama koje se provjeravaju, odnosno kada:
- se korisnik prijavljuje lokalnim računom ili računom odvojenim od svog poštanskog sandučića;
- se kod šalje na adresu različitu od one koja pripada računu za prijavu.
Korak 1 — Osiguravanje dostupnog poslužitelja SMTP¶
Kod šalje platforma putem poslužitelja SMTP deklariranog u modulu SMTP servers. Ako još nijedan nije dostupan, deklarirajte ga prije nastavka:
Zatim pomoću bloka SMTP configuration test tog modula potvrdite isporuku: neuspjeh dijagnosticiran u ovoj fazi neuspjeh je koji kasnije nećete morati tražiti u tijeku prijave.
Testna poruka ne koristi pošiljatelja kojeg ćete konfigurirati
Test šalje s adrese noreply@cleanroom.com, ugrađene u proizvod: ne može se nigdje promijeniti, a služi i kao adresa za odgovor. Vaš vlastiti pošiljatelj polje je SMTP sender tokena, postavljeno u koraku 2 — njega nose stvarne poruke s kodom OTP.
Posljedicu je vrijedno znati prije nego što donesete zaključak: poslužitelj SMTP koji ograničava adrese pošiljatelja može odbiti test, a pritom propustiti stvarne poruke, i obrnuto.
Vezu otvara platforma
Tok prema poslužitelju SMTP polazi s platforme, a ne s radne stanice korisnika. Ako se vaš poslužitelj SMTP nalazi u vašoj lokalnoj mreži (LAN), taj tok mora biti dopušten.
Korak 2 — Izrada tokena OTP¶
Otvorite modul OTP Token Generators i kliknite +. U prozoru Add OTP token odaberite vrstu OTP - email, a zatim ispunite polja.
| Polje | Što unijeti |
|---|---|
| OTP Type | OTP - email. Taj se odabir poslije ne može promijeniti — drugi kanal znači drugi token. |
| Name | Naziv tokena. Prikazuje se korisniku na portalu, pa bi trebao zvučati kao naziv čimbenika, a ne kao interna oznaka. |
| Description | Slobodni tekst, vidljiv samo administratorima. |
| OTP usable characters | Abeceda iz koje se generira kod. |
| OTP Length | Broj znakova u kodu. |
| Validity period of a token (seconds) | Koliko vremena korisnik ima za unos koda prije nego što bude odbijen. |
| Message before the OTP | Rečenica koja prethodi kodu u tijelu poruke. |
| Mail subject | Predmet poruke. |
| SMTP sender | Adresa pošiljatelja poruke. |
| SMTP server | Poslužitelj deklariran u koraku 1. |
Potpuni popis polja, s njihovim zadanim vrijednostima i ograničenjima, nalazi se na referentnoj stranici: Generički blok i Isporuka e-poštom.
Kliknite Validate da biste spremili token.
Korak 3 — Omogućivanje tokena na davatelju identiteta¶
Otvorite modul Identity Providers i uredite davatelja koji treba zahtijevati kod OTP.
| Polje | Što unijeti |
|---|---|
| Authentication token | Token izrađen u koraku 2. Moguće je odabrati više tokena. |
| User attribute used to send the OTP | Naziv atributa korisnika koji sadrži adresu na koju se šalje kod. |
| Token expiration duration | Koliko dugo potvrđeni kod OTP ostaje prihvaćen prije nego što se ponovno zatraži. 0 onemogućuje istek, što znači da se kod OTP traži pri svakoj prijavi. |
| Time unit | Hours ili Days, primjenjuje se na prethodno polje. |
| Expiration starts | Počinje li odbrojavanje od posljednje potvrde koda OTP ili od posljednje uspješne prijave. |
Koji atribut sadrži adresu
Riječ je o atributu imenika na koji upućuje davatelj identiteta, a ne o nazivu koji sami biramo: koristite atribut u kojem vaši korisnici stvarno imaju adresu. Za lokalni imenik ciljna je adresa unesena u svojstvima korisnika; za imenik LDAP to je vlastiti atribut pošte tog imenika.
Kliknite Validate. Od korisnika tog davatelja identiteta kod će se zatražiti pri sljedećoj prijavi.
Korak 4 — Najprije provjerite na testnom davatelju identiteta¶
Omogućivanje MFA na davatelju identiteta primjenjuje ga na svakog korisnika iza njega, uključujući vas ako se prijavljujete putem njega. Prije nego što token omogućite na produkcijskom davatelju, izradite testnog davatelja identiteta s jednim računom i putem njega izvedite cijelu prijavu: identifikator, lozinka, primitak poruke, unos koda.
Korisnik bez adrese nikada ne prima kod
Korisniku čiji je atribut prazan ne može se ništa poslati i njegova se prijava ne može dovršiti. Provjerite je li atribut ispunjen za svaki račun iza davatelja identiteta prije nego što na njemu omogućite token.