Nastavenie viacfaktorového overovania¶
Viacfaktorové overovanie (MFA) vyžaduje od používateľa okrem identifikátora a hesla aj druhý dôkaz. CyberElements ponúka niekoľko spôsobov, ako ho získať. Táto stránka sa venuje štyrom z nich v poradí, v akom sa zvyčajne zvažujú, a potom podrobne opisuje ten, ktorý nemá vlastnú stránku integrácie: jednorazové heslo odoslané e-mailom.
Štyri faktory, nie celý obraz
Tieto štyri faktory prechádza táto stránka — nie sú to jediné druhé faktory, ktoré môže platforma vyžadovať. K dispozícii sú aj tieto možnosti, ktoré presahujú rámec tejto stránky:
- OTP odosielané prostredníctvom SMS cez jedného z mnohých operátorov, ktorých ponúka modul OTP Token Generators;
- konektor Radius k riešeniu MFA od iného výrobcu prostredníctvom typu OTP - Radius toho istého modulu;
- overovanie certifikátom x509, ktoré nie je token, ale metóda overovania samotnej domény — User certificate alebo User certificate and form, ak chcete zachovať aj heslo;
- MFA vynútené vopred poskytovateľom SAML alebo akýmkoľvek iným delegovaným overovaním. Druhý faktor sa vtedy vyžaduje skôr, ako sa zapojí platforma, ktorá ho nekonfiguruje ani nevidí.
MFA sa nastavuje u poskytovateľa identity, nikdy nie pri používateľovi
Nech zvolíte ktorýkoľvek faktor, povoľuje sa u poskytovateľa identity a platí pre každého používateľa, ktorý sa prihlasuje cez tohto poskytovateľa. Neexistuje nastavenie pre jednotlivých používateľov: ak chcete MFA uplatniť iba na časť používateľov, umiestnite týchto používateľov za vyhradeného poskytovateľa identity.
Výber faktora¶
| Faktor | Čo robí používateľ | Čo vyžaduje | Postup |
|---|---|---|---|
| Neomia Pulse | Nič. Používateľ je rozpoznaný podľa spôsobu, akým píše na klávesnici. | Možnosť Neomia Pulse, poskytovateľ identity typu local alebo LDAP a druhý faktor z tejto tabuľky u toho istého poskytovateľa. |
Integrácia Neomia Pulse |
| FIDO2 | Predloží svoj overovací nástroj — pripojí bezpečnostný kľúč alebo potvrdí na zariadení či v trezore, ktorý uchováva prístupový kľúč — a potom zadá PIN, ak si ho overovací nástroj vyžiada. | Overovací nástroj FIDO2 pre každého používateľa, relying party deklarovaná v konzole a osobný účet — anonymný poskytovateľ identity je vylúčený. | Integrácia Yubico |
| TOTP | Prečíta šesťmiestny kód v overovacej aplikácii. | Aplikácia v telefóne alebo na pracovnej stanici používateľa (Google Authenticator, FreeOTP, Microsoft Authenticator a podobne) a jedna registrácia na používateľa. | Integrácia Google Authenticator |
| OTP e-mailom | Skopíruje kód prijatý e-mailom. | Server SMTP dostupný pre platformu a e-mailová adresa uložená v atribúte používateľa. | Nastavenie OTP e-mailom |
Neomia Pulse sa konfiguruje ako doplnok iného faktora
Povolenie Neomia Pulse vyžaduje, aby bolo v tej istej doméne povolené iné MFA. Nastavenia Neomia Pulse potom určujú, na čo sa tento druhý faktor používa: môže sa preskočiť, keď Pulse používateľa potvrdí, a vyžadovať, keď ho nepotvrdí. Neomia Pulse je teda spôsob, ako druhý faktor ušetriť, nie ako ho nahradiť.
Kde sa jednotlivé faktory deklarujú a kde sa povoľujú¶
Konfigurácia má dve možné fázy — deklarovanie faktora v jeho vlastnom module a potom jeho povolenie u poskytovateľa identity — ale dva zo štyroch faktorov jednu z nich vynechávajú:
| Faktor | Deklaruje sa v | Povoľuje sa u poskytovateľa identity |
|---|---|---|
| Neomia Pulse | nič na deklarovanie | ✅ možnosť Enable neomia Pulse authentication |
| FIDO2 | Relying parties | ❌ nič na povolenie — pozrite si poznámku nižšie |
| TOTP | OTP Token Generators | ✅ ako token overovania |
| OTP e-mailom | server SMTP, potom OTP Token Generators | ✅ ako token overovania |
FIDO2 nemá prepínač u poskytovateľa identity
Bezpečnostné kľúče sa nepovoľujú doménu po doméne: platforma ponúkne tento faktor, hneď ako je deklarovaná aspoň jedna relying party, u každého poskytovateľa identity, ktorý nie je anonymný — kľúč musí byť priradený k osobnému účtu. A svoj overovací nástroj registruje z portálu používateľ, nie správca, ktorý by ho priraďoval.
Pri Neomia Pulse nie je potrebné nič vopred deklarovať
Pulse nie je token, ktorý sa vytvára v module: táto možnosť sa povoľuje priamo u poskytovateľa identity, kde sa nastavuje aj jej správanie.
Zvyšok tejto stránky sa venuje OTP e-mailom od začiatku do konca. Ostatné tri faktory opisujú ich stránky integrácie, na ktoré odkazuje tabuľka vyššie.
Nastavenie OTP e-mailom¶
OTP e-mailom odošle používateľovi jednorazový kód e-mailom po prijatí jeho identifikátora a hesla. Používateľ tento kód zadá na portáli, čím dokončí prihlásenie.
Skôr ako začnete: čo OTP e-mailom skutočne chráni¶
OTP e-mailom nie vždy pridáva faktor
Prečítajte si toto skôr, ako zvolíte tento faktor namiesto ostatných troch.
Ak sa používateľ prihlasuje svojím účtom Active Directory a kód preberá z poštovej schránky prepojenej s tým istým účtom, druhý faktor neprináša takmer nič: útočník, ktorý získal poverenia, otvorí poštovú schránku práve týmito povereniami a prečíta si kód.
OTP e-mailom sa oplatí nasadiť vtedy, keď poštová schránka nie je dostupná pomocou kontrolovaných poverení, teda keď:
- sa používateľ prihlasuje lokálnym účtom alebo účtom odlišným od jeho poštovej schránky;
- sa kód odosiela na inú adresu, než je adresa prihlasovacieho účtu.
Krok 1 — Zabezpečenie dostupného servera SMTP¶
Kód odosiela platforma cez server SMTP deklarovaný v module SMTP servers. Ak ešte žiadny nie je k dispozícii, deklarujte ho skôr, ako budete pokračovať:
Nastavenie odosielania e-mailov
Potom pomocou bloku SMTP configuration test tohto modulu overte doručenie: zlyhanie diagnostikované v tejto fáze je zlyhanie, ktoré nebudete neskôr hľadať v procese prihlasovania.
Testovacia správa nepoužíva odosielateľa, ktorého nakonfigurujete
Test odosiela z adresy noreply@cleanroom.com, ktorá je pevne zapísaná v produkte: nedá sa nikde zmeniť a slúži aj ako adresa na odpoveď. Vaším vlastným odosielateľom je pole SMTP sender tokenu nastavené v kroku 2 — práve ten uvádzajú skutočné správy s OTP.
Dôsledok je dobré poznať skôr, ako vyvodíte závery: server SMTP, ktorý obmedzuje adresy odosielateľov, môže odmietnuť test a zároveň prepustiť skutočné správy, a naopak.
Pripojenie otvára platforma
Tok k serveru SMTP vychádza z platformy, nie z pracovnej stanice používateľa. Ak sa váš server SMTP nachádza vo vašej sieti LAN, tento tok musí byť povolený.
Krok 2 — Vytvorenie tokenu OTP¶
Otvorte modul OTP Token Generators a kliknite na +. V okne Add OTP token vyberte typ OTP - email a potom vyplňte polia.
| Pole | Čo zadať |
|---|---|
| OTP Type | OTP - email. Túto voľbu nemožno neskôr zmeniť — iný kanál znamená iný token. |
| Name | Názov tokenu. Zobrazuje sa používateľovi na portáli, preto by mal znieť ako názov faktora, nie ako interné označenie. |
| Description | Ľubovoľný text, viditeľný iba pre správcov. |
| OTP usable characters | Abeceda, z ktorej sa kód generuje. |
| OTP Length | Počet znakov kódu. |
| Validity period of a token (seconds) | Koľko času má používateľ na zadanie kódu, kým bude odmietnutý. |
| Message before the OTP | Veta, ktorá predchádza kódu v tele správy. |
| Mail subject | Predmet správy. |
| SMTP sender | Adresa odosielateľa správy. |
| SMTP server | Server deklarovaný v kroku 1. |
Úplný zoznam polí s ich predvolenými hodnotami a obmedzeniami nájdete na referenčnej stránke: Všeobecný blok a Doručovanie e-mailom.
Kliknite na Validate, aby sa token uložil.
Krok 3 — Povolenie tokenu u poskytovateľa identity¶
Otvorte modul Identity Providers a upravte poskytovateľa, ktorý má vyžadovať OTP.
| Pole | Čo zadať |
|---|---|
| Authentication token | Token vytvorený v kroku 2. Možno vybrať viacero tokenov. |
| User attribute used to send the OTP | Názov atribútu používateľa, ktorý obsahuje adresu, na ktorú sa kód odosiela. |
| Token expiration duration | Ako dlho zostáva overené OTP akceptované, kým sa znova vyžiada. 0 vypne vypršanie platnosti, čo znamená, že OTP sa vyžaduje pri každom prihlásení. |
| Time unit | Hours alebo Days, použité pre predchádzajúce pole. |
| Expiration starts | Či sa odpočítavanie začína od posledného overenia OTP, alebo od posledného úspešného prihlásenia. |
Ktorý atribút obsahuje adresu
Ide o atribút adresára, na ktorý odkazuje poskytovateľ identity, nie o názov podľa nášho výberu: použite atribút, v ktorom majú vaši používatelia skutočne uloženú adresu. Pri lokálnom adresári je cieľom adresa zadaná vo vlastnostiach používateľa; pri adresári LDAP je to vlastný poštový atribút adresára.
Kliknite na Validate. Používatelia tohto poskytovateľa identity budú pri ďalšom prihlásení požiadaní o kód.
Krok 4 — Najprv to overte u testovacieho poskytovateľa identity¶
Povolenie MFA u poskytovateľa identity sa uplatní na každého používateľa za ním vrátane vás, ak sa cez neho prihlasujete. Pred povolením tokenu u produkčného poskytovateľa vytvorte testovacieho poskytovateľa identity s jediným účtom a vykonajte cez neho úplné prihlásenie: identifikátor, heslo, prijatie správy, zadanie kódu.
Používateľ bez adresy nikdy nedostane kód
Používateľovi, ktorého atribút je prázdny, nemožno nič odoslať a jeho prihlásenie sa nemôže dokončiť. Pred povolením tokenu u poskytovateľa identity overte, či je atribút vyplnený pre každý účet za týmto poskytovateľom.