Miks pääsuvõtmed RADIUS-VPN-il ei tööta ja mis töötab

FBI käivitas 2026. aasta jaanuaris operatsiooni Winter SHIELD, mille esimene soovitatud samm kõlab nii: võtke autentimiseks, kaugjuurdepääsuks ja kriitiliste süsteemide jaoks kasutusele andmepüügikindlad meetodid, „FIDO2-ga ühilduvad turvavõtmed või seadmega seotud pääsuvõtmed“ (ingl „FIDO2 compliant security keys or device-bound passkeys“) (FBI). ENISA NIS2 rakendusjuhend ütleb VPN-ide ja haldussüsteemide kohta sama: „kus vähegi võimalik, kasutage andmepüügikindlat MFA-d“ (ingl „wherever possible, use phishing-resistant MFA“) (ENISA, juuni 2025). Microsofti enda dokumentatsioon kirjeldab nüüd SMS-i ja autentimisrakenduse MFA-d kui „kaugandmepüügirünnetele vastuvõtlikku“ (ingl „prone to remote phishing attacks“) (Microsoft).

Kui teie kaugjuurdepääs käib VPN-kontsentraatori kaudu, mis kontrollib sisselogimisi RADIUS-e kaudu, olete probleemi tõenäoliselt juba märganud: pääsuvõtit pole kuhugi ühendada. See postitus selgitab, miks see nii on, millised on kolm realistlikku valikut ja mille vastu ükski neist ei kaitse.

Mida pääsuvõti tegelikult teeb

Pääsuvõti on WebAuthni mandaat: kasutaja seadmes loodud võtmepaar, mis registreeritakse ühe veebisaidi juurde. Sisselogimisel palub brauser seadmel allkirjastada saidilt saabunud väljakutse ning allkiri katab selle lehe päritolu (origin), mida brauser tegelikult kuvab. Sait kontrollib, et allkirjas olev päritolu on tema enda oma. Teisel domeenil asuv võltsitud sisselogimisleht saab allkirja vale päritoluga ja päris sait lükkab selle tagasi. Kasutaja ei pea midagi märkama, sest kontrolli teeb brauser (W3C WebAuthn).

Just seda tähendab standardites andmepüügikindlus. NIST-i kehtiv määratlus on „autentimisprotokolli võime hoida ära autentimissaladuste avalikuks tulekut … ilma et see sõltuks taotleja valvsusest“ (ingl „the ability of the authentication protocol to prevent the disclosure of authentication secrets … without relying on the vigilance of the claimant“) ning standard ütleb selgelt, mis testi ei läbi: paroolid, ühekordsed koodid, push-kinnitused ja kõik, mida kasutaja peab ümber trükkima, „ei ole andmepüügikindlad“ (ingl „not phishing-resistant“) (NIST SP 800-63B-4, 2025). CISA järjestab meetodid samamoodi: tipus FIDO/WebAuthn ja PKI, siis ühekordsed koodid ja numbrite kokkusobitamisega push, siis push ilma selleta, siis SMS (CISA).

Selles, kuidas pääsuvõti sellele määratlusele vastab, on VPN-i jaoks olulised kaks asja. Kaitse tuleb brauserist või platvormi kliendist, mis teab, millise päritoluga ta suhtleb, ning väljakutsest ja allkirjast, mis liiguvad sisselogimisprotokolli sees.

Miks RADIUS-VPN-il pole seda kuhugi panna

RADIUS, protokoll, millega enamik VPN-lüüse küsib autentimisserverilt „kas see sisselogimine on korras?“, loodi sissehelistamismodemite jaoks. Access-Request kannab kasutajanime ja MD5-võtmevooga peidetud parooli või CHAP-vastust. Kui server tahab rohkemat, saadab ta Access-Challenge’i, mille teksti lüüs „VÕIB kuvada“ (ingl „MAY display“) kasutajale, kes seejärel trükib vastuse, mis saadetakse tagasi parooliväljas (RFC 2865). See on kogu sõnavara: inimese trükitud stringid. Puudub väli allkirjastatud WebAuthni kinnituse (assertion) jaoks, puudub päritolu, mille kohta allkirja anda, sest VPN-kliendil pole lehte, ja puudub kasutajaagent, mis seda jõustaks.

Nii et omal jõul ei suuda ükski neist VPN-i sisselogimisel pääsuvõtmeid kasutada:

• MikroTik RouterOS: ainult RADIUS-klient, ei SAML-i ega OIDC-d (MikroTiku dokumentatsioon).
• WireGuard: autendib osapooli staatiliste avalike võtmetega ja kasutaja sisselogimist seal üldse pole, nii et ükski allolevatest valikutest sellele ei kehti; probleem on seal võtmete jaotamine (wireguard.com).
• OpenVPN Access Server: RADIUS-e, LDAP-i või PAM-iga on teine tegur ajapõhine kood ja ainult SAML-režiim suudab sisselogimise brauserile üle anda (OpenVPN-i dokumentatsioon).

FortiGate, Palo Alto GlobalProtect ja Cisco Secure Client pakuvad VPN-i sisselogimisel pääsuvõtmeid küll ning kõik kolm teevad seda ühtmoodi: VPN-klient avab brauseri, brauser logib sisse SAML-identiteedipakkuja juures, pääsuvõtit kasutatakse seal ja identiteedipakkuja (IdP) teatab lüüsile, et kasutaja on korras. FortiClient teeb seda valikuga „external browser as user agent“ (väline brauser kasutajaagendina), Cisco ASA 9.17 ja uuemad käivitavad just sel põhjusel süsteemibrauseri ning GlobalProtect manustab brauserivaate kliendi sisse (Fortinet, Duo Cisco ASA-le, Palo Alto). Microsofti enda RADIUS-lahenduse kohta öeldakse see otse välja: NPS-i laiendus ei suuda numbreid kokku sobitada ja MS-CHAPv2 ei suuda kanda ajapõhist koodi (Microsoft).

Pääsuvõti ei puuduta RADIUS-t kunagi. Töö teeb brauser ja lüüs usaldab identiteedipakkuja sõna.

Kolm realistlikku valikut

1. Pange VPN-i ette SAML-identiteedipakkuja ja kasutage pääsuvõtmeid seal

See tee annab kasutajate VPN-i sisselogimistele andmepüügikindluse selle sõna ranges tähenduses ning kui teie lüüs ja kliendid seda toetavad, on see õige vastus probleemi brauseripõhisele osale.

Mida see maksab: pääsuvõtmeid toetav identiteedipakkuja ja sellega kaasnev litsents, piisavalt uued kliendiversioonid välise brauseriga SAML-i jaoks, pääsuvõtmete kasutuselevõtt iga VPN-kasutaja juures ja taasteprotsess kadunud seadmete puhuks. Mida see katmata jätab: iga süsteemi, mis SAML-i ei oska, sealhulgas paljudel seadmetel tulemüüri enda administraatori sisselogimise, MikroTiku, WireGuardi ja kõige, mis logib sisse ilma brauserita.

2. Sertifikaadid

Kliendisertifikaadiga autentimine (EAP-TLS VPN-il või masinasertifikaadid seadmes) on teine meetod, mida NIST peab andmepüügikindlaks; selle tagab mehhanism, mida NIST nimetab kanaliga sidumiseks (channel binding) (NIST). Kasutajal pole midagi trükkida ja ründajal pole midagi vahendada.

Mida see maksab: sertifitseerimiskeskus, iga seadme registreerimine, päriselt toimiv uuendamine ja tühistamine ning keegi, kes selle kõige eest vastutab. CISA kirjeldab PKI-põhist MFA-d kui meetodit, mis nõuab „väga küpset identiteedihalduse praktikat“ (ingl „highly mature identity management practices“), ja märgib, et see pole laialt toetatud (CISA). Ja masinasertifikaat tõendab, milline seade ühenduse lõi, mitte seda, kes selle taga istus.

3. Jätke RADIUS alles ja lisage telefonikinnitus, mis näitab sisselogimist

Kolmas tee jätab lüüsi ja RADIUS-serveri täpselt nii, nagu need on, ja lisab RADIUS-teele teise sammu: teie RADIUS-server kontrollib esmalt parooli ja alles siis, kui see on sisselogimise heaks kiitnud, saadetakse kasutaja telefoni kinnituspäring. Päringus on näha teenus, konto ja lähte-IP-aadress ning sisselogimine õnnestub ainult siis, kui kasutaja selle kinnitab. Just seda teeb Notakey auth-proxy; seadistusjuhend käib selle läbi FreeRADIUS-e, NPS-i ja MikroTiku User Manageri jaoks.

See on kasutuselevõtuks odavaim tee, sest lüüsil ei muutu midagi peale selle, kuhu see RADIUS-päringud saadab, ja see töötab igal lüüsil, mis kontrollib sisselogimisi RADIUS-e kaudu, sealhulgas neil, mis SAML-i kunagi toetama ei hakka. See on ka tee, mille kirjeldamisel peame olema kõige hoolikamad.

Mida see peatab. Lekkinud, pihustusründega (password spraying) äraarvatud või lahtimurtud paroolist ei piisa enam sisselogimiseks. FortiBleed, 2026. aasta kampaania FortiGate’i VPN-ide vastu, ei vajanud midagi enamat (meie analüüs). SMS-i pealtkuulamine ja SIM-kaardi vahetus pole siin asjakohased, sest koodi pole. Push-pommitamine viis ründajad 2022. aastal Cisco ja Uberi VPN-idesse: nad saatsid kinnituspäringuid, kuni keegi vajutas „jah“ (Cisco Talos, Uber). Siin põrkub see kaardile, mis näitab, milline konto logib kust millisesse teenusesse, ning serveripoolsele päringupiirajale (kuidas).

Mida see ei peata. See ei peata reaalajas vahendamist, kus võltsitud VPN-portaal edastab ohvri päris sisselogimise ja ohver kinnitab omaenda seansi ründaja ühendusel. Kinnituskaart näitab lähte-IP-aadressi, nii et vahendusserver on nähtav kasutajale, kes vaatab, kuid kaitse sõltub sellest, et kasutaja ka vaatab, ning NIST-i määratlus välistab täpselt sellise sõltuvuse. Push-kinnitus ei ole CISA tähenduses andmepüügikindel, numbrite kokkusobitamisega või ilma, ja me ütleme seda oma turvalisuse lehel ka ise, selle asemel et seda silti endale võtta.

Kuidas sissemurdmised tegelikult välja nägid

Valikuid tasub kontrollida selle vastu, kuidas VPN-idesse ja kaugjuurdepääsu tegelikult sisse murti, mitte ohumudeli vastu.

Kuuest juhtumist kolmes ei olnud vaja MFA-st üldse mööda pääseda: MFA-d polnudki. Ausalt lugedes näitab tabel, et lõhe „ainult parooli“ ja „ükskõik millise teise teguri“ vahel on endiselt see koht, kus sünnib enamik kahjust, ning lõhe loetava kinnituse ja pääsuvõtme vahel on kõige olulisem nende kontode puhul, mida sihikindel ründaja hakkab reaalajas vahendama.

Kuidas otsustada

• Tulemüüri ja lüüsi administraatorikontod. Just neid kontosid FortiBleed sihtis ja just neid ütleb Winter SHIELD esmajärjekorras kaitsta. Kui haldusliides toetab FIDO2-võtmeid või pääsuvõtmetega SAML-sisselogimist, kasutage neid. Kui see oskab ainult RADIUS-t, on telefonikinnitus administraatori sisselogimisel palju parem kui ainult parool ja seda enam, kui see parool on jagatud.
• Kasutajate VPN lüüsil, mis oskab SAML-i välise brauseriga. Võtke pääsuvõtmed kasutusele identiteedipakkuja juures. See on range vastus ja see on juba täna saadaval FortiGate’il, GlobalProtectil ja Ciscol.
• Kasutajate VPN ainult RADIUS-t oskaval riistvaral, näiteks MikroTikul või vanadel kontsentraatoritel. Valik on sertifikaadid või telefonikinnitus. Andmepüügikindluses võidavad sertifikaadid, kui PKI on teil juba olemas. Kui ei ole, tähendab loetav kinnitus, et paroolist üksi ei piisa enam sisselogimiseks, ja see asendab juba täna SMS-koodid ja pimedad push-päringud, ning brauseripõhised sisselogimised saate hiljem ikkagi pääsuvõtmetele viia.
• Mida iganes te valite, vaadake kogu teekonda. 2022. aasta Cisco sissemurdmine algas isiklikust Google’i kontost, mis sünkroonis tööparooli; VPN oli teine samm. Kui MFA on VPN-il, kuid veebipostil või kaugtöölaual puudub, liigub ründaja lihtsalt kõrvaluksest sisse.

Notakey katab kolmanda tee ja me ütleme selgelt, kus see CISA redelil asub. Kui teie lüüs räägib RADIUS-t, viib VPN-i 2FA juhend teid esimese telefonikinnituseni ühe pärastlõunaga ning seade töötab teie enda taristus või meie pilves. Proovige elavat demot, et näha omaenda telefonis, milline loetav kinnitus välja näeb, või küsige demot ja me kaardistame teie VPN-i, tulemüüri administraatori ja kaugtöölaua sisselogimised pilootprojektiks.