¿Autenticación de dos factores para SSLVPN (cisco)?

Me preguntaron hoy sobre la implementación de la autenticación de dos factores para los usuarios de SSLVPN dentro de nuestra empresa (conectando a través de Cisco AnyConnect no admitimos / usamos WebVPN). Actualmente usamos LDAP para la autenticación.

Identifiqué una empresa que se integra directamente con anyConnect y el cliente de movilidad para permitir la autenticación de dos factores basada en token, pero me preguntaba cuáles son las formas más comunes de implementar dos factores en este tipo de configuración. Lo primero que se me ocurrió fue Google Authenticator o RSA, pero encontrar información sobre este tipo de configuraciones junto con AnyConnect fue sorprendentemente difícil de encontrar (no encontré nada ... de hecho)

Los dos caminos que puedo pensar son los siguientes:

1. Desea utilizar la autenticación secundaria incorporada de Cisco ASA

2. Está abierto a usar un servidor de radio.

El concepto para el n. ° 2:

1. Elige un autenticador. Por ejemplo, Google, LDAP, AD, etc.

2. Configure un servidor Radius (FreeRADIUS, Windows NPM, Cisco ACS, etc.) que admita el autenticador.

3. Configure la autenticación en su Cisco ASA para usar ese servidor Radius (dirección IP, puertos, clave secreta, etc.) y listo. Ajuste los tiempos de espera según sea necesario.

Acerca de Google Authenticator :
puede configurar FreeRadius para usar Google Authenticator y luego configurar el servidor aaa Cisco ASA para usar el servidor FreeRadius. Hecho :)

Acerca de Duo Security :
He usado Duo Security y funciona muy bien. Este enlace de configuración muestra cómo configurar la autenticación de 2 factores sin instalar la aplicación Duo Security. Sin embargo, si instala la aplicación (actúa como un servidor RADIUS), la configuración se vuelve aún más fácil. A continuación se muestra una configuración de muestra que debería ayudar.

Los AVISOS a esta configuración: ¡
aumenta tus tiempos de espera! He tenido problemas con esto. No instale la aplicación Duo en un servidor RADIUS existente (conflicto de puerto de escucha).

• Después de instalar la aplicación en un servidor, debe modificar el authproxy.cfgarchivo para utilizar Active Directory como su autenticador principal, en la parte superior de suauthproxy.cfg

• Establecer cliente ad_clienty servidor enradius_server_auto

  [main]  
  client=ad_client  
  server=radius_server_auto  
  

• Crea una sección llamada ad_client.

  [ad_client]
  host=10.x.x.11
  host_2=10.x.x.12
  service_account_username=ldap.duo
  service_account_password=superSecretPassword
  search_dn=DC=corp,DC=businessName,DC=com
  

• El grupo de seguridad es opcional. Este grupo permite a los usuarios autenticarse.

  security_group_dn=CN=Administrators,CN=Builtin,DC=example,DC=com
  

• Información de configuración de seguridad DUO específica

  [radius_server_auto]
  ikey=xxxxxxxxxxxxx
  skey=xxxxxxxxxxxxx
  api_host=api-xxxxx.duosecurity.com
  

• Seguro o protegido son las opciones aquí.

• Safe=allow auth Si Duo es inalcanzable.

• Secure=do not allow auth si Duo es inalcanzable modo de falla = seguro

• Dirección IP de Cisco ASA que desea presionar y la clave

  radius_ip_1=10.x.x.1
  radius_secret_1=superSecretPassword
  

• Windows Server que tiene instalada la aplicación DuoSecurity

  net stop DuoAuthProxy
  net start DuoAuthProxy
  

• Configuración de Cisco ASA 8.4

• Agregue un nuevo servidor aaa a la política de VPN correspondiente

  aaa-server DUO protocol radius
  !
  aaa-server DUO (inside) host 10.x.x.101
   accounting-port 1813
   authentication-port 1812
   key superSecretPassword
   retry-interval 10
   timeout 300
  !
  

La definición de autenticación de dos factores es tener una variedad de métodos. Estos son los métodos:

1. Lo que sabes, como el nombre de usuario y la contraseña de una cuenta de inicio de sesión
2. Lo que tiene, como un llavero RSA que genera números o un archivo de certificado
3. Lo que eres, como escáneres de retina y escáneres de huellas digitales

La autenticación de dos factores es no tener dos cuentas de inicio de sesión diferentes, como en dos conjuntos diferentes de nombres de usuario y contraseñas, de dos fuentes diferentes porque ambos son "lo que sabes". Un ejemplo de autenticación de dos factores es insertar una tarjeta inteligente en una computadora portátil (lo que tiene) y luego deslizar un escáner de huellas digitales (lo que es).

Parece que tiene un servidor Microsoft, si entiendo su uso de LDAP. ¿Por qué no habilitar el servicio de Microsoft Certificate Authority en el Microsoft Windows Server más cercano, que se incluye con el sistema operativo, y habilitar la inscripción del certificado de usuario ? El ASA, con el certificado raíz de la CA, puede validar cuentas, a las que se refiere como XAUTH, y luego autenticar certificados de usuario que Windows, Linux y MacOS pueden usar.

Correcto, sin embargo, siempre que tenga un proceso seguro para la inscripción, de alguna manera el teléfono móvil se convierte en el llavero físico. Duo también ofrece la flexibilidad UX de la aplicación push o el código sms. La CA interna en el ASA también es excelente, pero no es una opción si se ejecuta en pares de alta disponibilidad o en contextos múltiples. Como se sugiere, use el MS / Dogtag CA o Duo.

OMI, obtienes la mayor cobertura configurando el grupo vpn como tal:

Factor 1: usar certificados (MS / Dogtag / ASA a bordo para CA): puede usar el usuario ldap / AD para generar el certificado. (Mejor hecho localmente, se deben seguir las mejores prácticas de OpSec al entregar / instalar el certificado).

Factor 2: FreeRADIUS o Duo proxy con inscripción segura para token / OTP fob o dispositivo móvil.

De esta manera, si un usuario es el objetivo, el atacante debe obtener a.) Una copia del certificado que solo debe existir en el almacén de claves de la computadora portátil / punto final b.) Los usuarios AD / radius nombre de usuario / contraseña c.) El mando (rsa / yubikey) o dispositivo móvil (DuoSec)

Esto también limita la responsabilidad por dispositivos perdidos / robados. Creo que duo también ofrece una forma de administrar a los usuarios a través de su AD, lo que hace que toda la configuración sea fácil de administrar. Su equipo debe permitir ajustes de tiempo de espera / reintento para admitir la interacción del usuario fuera de banda durante la autenticación. (Desbloqueo del teléfono / extracción del mando del bolsillo / etc. - permita un tiempo de espera de al menos 30 segundos)