Ga naar inhoud

Tweefactorauthenticatie met Google Authenticator instellen

Een nieuw TOTP-token aanmaken in de beheerconsole

Open OTP Token Generator met een beheerdersaccount:

Voeg een nieuw TOTP-token toe en selecteer TOTP (Google authenticator, FreeOTP, ...):

Configureer daarna uw TOTP-token:

  • Bepaal een naam. Merk op dat deze naam aan de gebruiker wordt weergegeven in Google Authenticator als de registratiemethode via QR-code wordt gekozen.
  • De velden Expiration Time en Number of Digits zijn afhankelijk van de TOTP-generator. Voor Google Authenticator moeten deze waarden op respectievelijk 30 seconden en 6 cijfers worden ingesteld.
  • Het veld Key size (bits) staat standaard op 32, wat de aanbevolen waarde is, hoewel instellingen van 16 of 64 bits ook mogelijk zijn.

Er bestaan twee methoden om de TOTP-sleutels op te slaan:

  1. (Aanbevolen methode) Opslag van de sleutel in CyberElements; er zijn 3 werkingsmodi mogelijk:

    1. Als u de optie Display a QR Code on the user portal aanvinkt, krijgt de gebruiker bij zijn eerste authenticatie een QR-code te zien die hij met Google Authenticator moet scannen om zijn TOTP te registreren. Daarna moet hij het geregistreerde TOTP bevestigen.
    2. Samen met de vorige optie of zonder deze kan de TOTP-sleutel per e-mail naar de gebruiker worden verzonden, die dan een handmatige registratie moet uitvoeren:
    3. Als er geen enkele optie is geactiveerd, is het aan de beheerders om de TOTP-sleutels handmatig te importeren en aan de gebruikers mee te delen.

    Voorbeeld

    Hieronder een voorbeeld van de configuratie van een TOTP-token:

    In dit voorbeeld wordt de geheime sleutel opgeslagen in CyberElements en bij de eerste aanmelding aan de gebruiker weergegeven als een QR-code die hij in Google Authenticator moet scannen.

  2. Opslag van de sleutel in een gebruikersattribuut: u moet de naam van het attribuut opgeven (met onderscheid tussen hoofdletters en kleine letters) dat de TOTP-sleutel zal bevatten.

    Waarschuwing!

    Deze methode is alleen geschikt voor gebruikers die tot een LDAP-domein behoren.

    Aangezien de toegang van CyberElements tot de LDAP-server bovendien alleen-lezen is, is het aan de beheerder om de inhoud van het geconfigureerde attribuut te vullen met de TOTP-sleutel van de gebruiker.
    Deze methode kan daarom niet worden gecombineerd met de opties om de TOTP-sleutel via een QR-code weer te geven of de sleutel per e-mail te verzenden.

TOTP inschakelen voor een authenticatiedomein

Bewerk in de authenticatiedomeinen het domein waarvoor u de TOTP-MFA wilt inschakelen:

Schakel daarna de TOTP-MFA voor dit domein in. Met de vervaltijd bepaalt u of de gebruiker zijn TOTP bij elke authenticatie moet invoeren (waarde 0) of pas na een bepaald aantal uren of dagen:

TOTP-sleutels handmatig importeren

De TOTP-sleutel is gebaseerd op de base32-standaard van RFC3548.

Daarom geldt:

  • De ondersteunde tekens zijn die van RFC3548: letters van A tot Z en cijfers van 2 tot 7
  • De sleutel mag alleen hoofdletters bevatten
  • De sleutel moet 32 tekens bevatten (als het TOTP-token zo is geconfigureerd)

Voorbeeld

AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P

De import verloopt via een CSV-bestand met twee kolommen:

1
user,key

De eerste kolom moet de naam van de gebruiker bevatten en de tweede de bijbehorende TOTP-sleutel.

Tip

Als een lege sleutel wordt opgegeven, wordt de sleutel van de gebruiker gewist en wordt er bij zijn volgende aanmelding een nieuwe gegenereerd.

Voorbeeld

Om de koppeling tussen de gebruiker en de volgende TOTP-sleutel te verkrijgen (bij de derde gebruiker wordt de TOTP-sleutel gewist):

  • user1 / AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
  • user2 / PIHYCEG2374V76523EVXAMZOUT36F3FG
  • user3 /

Het CSV-bestand moet het volgende bevatten: 

1
2
3
4
user,key
user1,AHGXZFGCNWOD2X7YT6KI5JMXCUYKDN6P
user2,PIHYCEG2374V76523EVXAMZOUT36F3FG
user3,

Zodra het CSV-bestand is voorbereid, moet het worden geïmporteerd voor een bepaald domein en een bepaald TOTP-token: