Kelių veiksnių autentifikavimo nustatymas¶
Kelių veiksnių autentifikavimas (MFA) reikalauja, kad vartotojas, be savo identifikatoriaus ir slaptažodžio, pateiktų antrą įrodymą. CyberElements siūlo kelis būdus jam gauti. Šiame puslapyje aprašomi keturi iš jų tokia tvarka, kokia jie paprastai svarstomi, o tada išsamiai aprašomas tas, kuris neturi savo integravimo puslapio: el. paštu siunčiamas vienkartinis slaptažodis.
Keturi veiksniai – ne visas vaizdas
Šie keturi – tai tie, kuriuos aptaria šis puslapis; tai ne vieninteliai antrieji veiksniai, kurių gali reikalauti platforma. Taip pat galimi, tačiau nepatenka į šio puslapio aprėptį:
- SMS žinute siunčiamas OTP, per vieną iš daugelio operatorių, kuriuos siūlo modulis OTP Token Generators;
- Radius jungtis su trečiosios šalies MFA sprendimu, naudojant to paties modulio tipą OTP - Radius;
- autentifikavimas x509 sertifikatu, kuris yra ne tokenas, o paties domeno autentifikavimo metodas – User certificate arba User certificate and form, jei norite išsaugoti ir slaptažodį;
- MFA, kurį įeinančioje grandyje priverstinai taiko SAML teikėjas, arba bet kuris kitas deleguotas autentifikavimas. Tada antrojo veiksnio reikalaujama dar prieš įsitraukiant platformai, kuri jo nei konfigūruoja, nei mato.
MFA nustatomas tapatybės teikėjui, niekada ne vartotojui
Kad ir kokį veiksnį pasirinktumėte, jis įjungiamas tapatybės teikėjui ir taikomas kiekvienam per jį prisijungiančiam vartotojui. Atskiro parametro kiekvienam vartotojui nėra: jei MFA norite taikyti tik daliai vartotojų, priskirkite tuos vartotojus atskiram tapatybės teikėjui.
Veiksnio pasirinkimas¶
| Veiksnys | Ką daro vartotojas | Ko reikia | Procedūra |
|---|---|---|---|
| Neomia Pulse | Nieko. Vartotojas atpažįstamas pagal tai, kaip jis rašo klaviatūra. | Parinktis Neomia Pulse, local arba LDAP tipo tapatybės teikėjas ir antrasis šios lentelės veiksnys tame pačiame teikėjuje. |
Neomia Pulse integravimas |
| FIDO2 | Pateikia savo autentifikatorių – prijungia saugos raktą arba patvirtina įrenginyje ar seife, kuriame laikomas prieigos raktas, – tada įveda PIN kodą, jei autentifikatorius jo prašo. | Kiekvienam vartotojui po FIDO2 autentifikatorių, konsolėje deklaruota pasikliaujančioji šalis ir asmeninė paskyra – anoniminis tapatybės teikėjas netinka. | Yubico integravimas |
| TOTP | Perskaito šešių skaitmenų kodą autentifikatoriaus taikomojoje programoje. | Taikomoji programa vartotojo telefone arba darbo stotyje (Google Authenticator, FreeOTP, Microsoft Authenticator ir pan.) ir po vieną registraciją kiekvienam vartotojui. | Google Authenticator integravimas |
| OTP el. paštu | Nukopijuoja el. paštu gautą kodą. | Platformai pasiekiamas SMTP serveris ir el. pašto adresas, saugomas vartotojo atribute. | OTP el. paštu nustatymas |
Neomia Pulse konfigūruojamas papildomai prie kito veiksnio
Norint įjungti Neomia Pulse, tame pačiame domene turi būti įjungtas kitas MFA. Tada jo parametrai lemia, kam naudojamas tas kitas veiksnys: jį galima praleisti, kai Pulse patvirtina vartotoją, ir reikalauti, kai Pulse jo nepatvirtina. Taigi Neomia Pulse yra būdas sutaupyti antrąjį veiksnį, o ne jį pakeisti.
Kur kiekvienas veiksnys deklaruojamas ir kur įjungiamas¶
Konfigūravimą gali sudaryti du etapai – veiksnio deklaravimas jo paties modulyje, tada jo įjungimas tapatybės teikėjui, – tačiau du iš keturių vieną iš jų praleidžia:
| Veiksnys | Kur deklaruojamas | Įjungiamas tapatybės teikėjui |
|---|---|---|
| Neomia Pulse | nieko deklaruoti nereikia | ✅ parinktis Enable neomia Pulse authentication |
| FIDO2 | Relying parties | ❌ nieko įjungti nereikia – žr. pastabą toliau |
| TOTP | OTP Token Generators | ✅ kaip autentifikavimo tokenas |
| OTP el. paštu | SMTP server, tada OTP Token Generators | ✅ kaip autentifikavimo tokenas |
FIDO2 neturi jungiklio tapatybės teikėjo lygmeniu
Saugos raktai neįjungiami kiekvienam domenui atskirai: platforma siūlo šį veiksnį, kai tik deklaruojama bent viena pasikliaujančioji šalis, kiekviename tapatybės teikėjuje, kuris nėra anoniminis – raktas turi būti susietas su asmenine paskyra. Be to, savo autentifikatorių portale užregistruoja pats vartotojas, o ne administratorius jį priskiria.
Neomia Pulse nereikia nieko iš anksto deklaruoti
Pulse nėra tokenas, kurį reikia sukurti modulyje: parinktis įjungiama tiesiogiai tapatybės teikėjui, kuriame nustatoma ir jo elgsena.
Likusioje šio puslapio dalyje nuo pradžios iki galo aprašomas OTP el. paštu. Kiti trys veiksniai aprašyti jų integravimo puslapiuose, į kuriuos nuorodos pateiktos aukščiau esančioje lentelėje.
OTP el. paštu nustatymas¶
OTP el. paštu – tai būdas, kai, priėmus vartotojo identifikatorių ir slaptažodį, jam el. paštu išsiunčiamas vienkartinis kodas. Vartotojas įveda šį kodą portale, kad užbaigtų prisijungimą.
Prieš pradėdami: ką iš tikrųjų apsaugo OTP el. paštu¶
OTP el. paštu ne visada prideda veiksnį
Perskaitykite tai prieš pasirinkdami šį veiksnį vietoj kitų trijų.
Jei vartotojas prisijungia savo Active Directory paskyra ir kodą pasiima iš pašto dėžutės, susietos su ta pačia paskyra, antrasis veiksnys beveik nieko neprideda: užpuolikas, gavęs kredencialus, tais pačiais kredencialais atidaro pašto dėžutę ir perskaito kodą.
OTP el. paštu verta diegti, kai pašto dėžutės negalima pasiekti tikrinamais kredencialais, t. y. kai:
- vartotojas prisijungia vietine paskyra arba paskyra, kuri skiriasi nuo jo pašto dėžutės;
- kodas siunčiamas kitu adresu nei tas, kuris priklauso prisijungimo paskyrai.
1 veiksmas – SMTP serverio parengimas¶
Kodą platforma siunčia per SMTP serverį, deklaruotą modulyje SMTP servers. Jei tokio serverio dar nėra, prieš tęsdami jį deklaruokite:
Tada naudodami šio modulio rėmelį SMTP configuration test patvirtinkite pristatymą: šiame etape nustatytos nesėkmės vėliau nereikės ieškoti prisijungimo eigoje.
Bandomasis laiškas nenaudoja siuntėjo, kurį sukonfigūruosite
Bandymas siunčiamas iš adreso noreply@cleanroom.com, kuris yra įrašytas į produktą: jo niekur negalima pakeisti, be to, jis naudojamas ir kaip atsakymo adresas. Jūsų pačių siuntėjas yra tokeno SMTP sender, nustatomas 2 veiksme, – būtent jį naudoja tikri OTP laiškai.
Prieš darant išvadas verta žinoti pasekmę: SMTP serveris, ribojantis siuntimo adresus, gali atmesti bandymą, bet praleisti tikrus laiškus, ir atvirkščiai.
Ryšį atidaro platforma
Srautas į SMTP serverį išeina iš platformos, o ne iš vartotojo darbo stoties. Jei jūsų SMTP serveris yra jūsų LAN tinkle, šis srautas turi būti leidžiamas.
2 veiksmas – OTP tokeno kūrimas¶
Atidarykite modulį OTP Token Generators ir spustelėkite +. Lange Add OTP token pasirinkite tipą OTP - email, tada užpildykite laukus.
| Laukas | Ką įvesti |
|---|---|
| OTP Type | OTP - email. Šio pasirinkimo vėliau pakeisti negalima – kitas kanalas reiškia kitą tokeną. |
| Name | Tokeno pavadinimas. Jis rodomas vartotojui portale, todėl turėtų skambėti kaip veiksnio pavadinimas, o ne kaip vidinė nuoroda. |
| Description | Laisvas tekstas, matomas tik administratoriams. |
| OTP usable characters | Abėcėlė, iš kurios sudaromas kodas. |
| OTP Length | Kodo simbolių skaičius. |
| Validity period of a token (seconds) | Kiek laiko vartotojas turi kodui įvesti, kol jis bus atmestas. |
| Message before the OTP | Sakinys, esantis prieš kodą laiško tekste. |
| Mail subject | Laiško tema. |
| SMTP sender | Laiško siuntėjo adresas. |
| SMTP server | 1 veiksme deklaruotas serveris. |
Visas laukų sąrašas su numatytosiomis reikšmėmis ir apribojimais pateiktas žinyno puslapyje: Bendrasis blokas ir Pristatymas el. paštu.
Spustelėkite Validate, kad įrašytumėte tokeną.
3 veiksmas – tokeno įjungimas tapatybės teikėjui¶
Atidarykite modulį Identity Providers ir redaguokite teikėją, kuris turi reikalauti OTP.
| Laukas | Ką įvesti |
|---|---|
| Authentication token | 2 veiksme sukurtas tokenas. Galima pasirinkti kelis tokenus. |
| User attribute used to send the OTP | Vartotojo atributo, kuriame saugomas adresas, kuriuo siunčiamas kodas, pavadinimas. |
| Token expiration duration | Kiek laiko patvirtintas OTP lieka priimamas, kol jo vėl paprašoma. 0 išjungia galiojimo pabaigą, t. y. OTP prašoma kiekvieno prisijungimo metu. |
| Time unit | Hours arba Days, taikoma ankstesniam laukui. |
| Expiration starts | Ar atgalinis skaičiavimas pradedamas nuo paskutinio OTP patvirtinimo, ar nuo paskutinio sėkmingo prisijungimo. |
Kuriame atribute saugomas adresas
Tai katalogo, į kurį nukreiptas tapatybės teikėjas, atributas, o ne mūsų pasirinktas pavadinimas: naudokite atributą, kuriame jūsų vartotojai iš tikrųjų turi adresą. Vietinio katalogo atveju reikia nurodyti adresą, įvestą vartotojo ypatybėse; LDAP katalogo atveju – paties katalogo pašto atributą.
Spustelėkite Validate. Kito prisijungimo metu šio tapatybės teikėjo vartotojų bus paprašyta įvesti kodą.
4 veiksmas – patikrinimas pirmiausia bandomajame tapatybės teikėjuje¶
Įjungus MFA tapatybės teikėjui, jis taikomas kiekvienam per jį prisijungiančiam vartotojui, įskaitant jus pačius, jei prisijungiate per jį. Prieš įjungdami tokeną gamybiniam teikėjui, sukurkite bandomąjį tapatybės teikėją su viena paskyra ir per jį atlikite visą prisijungimą: identifikatorius, slaptažodis, laiško gavimas, kodo įvedimas.
Vartotojas be adreso niekada negauna kodo
Vartotojui, kurio atributas tuščias, nieko negalima išsiųsti, todėl jo prisijungimas negali būti užbaigtas. Prieš įjungdami tokeną tapatybės teikėjui patikrinkite, ar atributas užpildytas kiekvienai per jį prisijungiančiai paskyrai.