Kāpēc piekļuves atslēgas (passkeys) nedarbojas ar RADIUS VPN un kas darbojas

FIB (FBI) 2026. gada janvārī sāka operāciju Winter SHIELD, un tās pirmais ieteiktais pasākums skan: ieviest pret pikšķerēšanu noturīgas metodes, “FIDO2 compliant security keys or device-bound passkeys” (FIDO2 drošības atslēgas vai ierīcei piesaistītas piekļuves atslēgas), autentifikācijai, attālinātajai piekļuvei un kritiskajām sistēmām (FBI). ENISA NIS2 ieviešanas vadlīnijās par VPN un administrēšanas sistēmām teikts tas pats: “wherever possible, use phishing-resistant MFA” (kur vien iespējams, izmantojiet pret pikšķerēšanu noturīgu MFA) (ENISA, 2025. gada jūnijs). Pašā Microsoft dokumentācijā SMS un autentifikācijas lietotņu MFA tagad raksturota kā “prone to remote phishing attacks” (pakļauta attālinātiem pikšķerēšanas uzbrukumiem) (Microsoft).

Ja jūsu attālinātā piekļuve ir VPN koncentrators, kas pieteikšanos pārbauda caur RADIUS, problēmu droši vien esat pamanījuši jau paši: piekļuves atslēgu tur nav kur izmantot. Šajā rakstā skaidrots, kāpēc tas tā ir, kādas ir trīs reālās iespējas un pret ko katra no tām neaizsargā.

Ko piekļuves atslēga patiesībā dara

Piekļuves atslēga ir WebAuthn akreditācijas dati: atslēgu pāris, kas ģenerēts lietotāja ierīcē un reģistrēts vienai tīmekļa vietnei. Lietotājam piesakoties, pārlūks liek ierīcei parakstīt vietnes izaicinājumu (challenge), un paraksts aptver tās lapas izcelsmi (origin), kuru pārlūks patiešām rāda. Vietne pārbauda, vai parakstā norādītā izcelsme ir tieši tās izcelsme. Viltota pieteikšanās lapa citā domēnā saņem parakstu ar nepareizu izcelsmi, un īstā vietne to noraida. Lietotājam nekas nav jāpamana, jo pārbaudi veic pārlūks (W3C WebAuthn).

Tieši to standarti saprot ar noturību pret pikšķerēšanu. Pašreizējā NIST definīcija ir “the ability of the authentication protocol to prevent the disclosure of authentication secrets … without relying on the vigilance of the claimant” (autentifikācijas protokola spēja novērst autentifikācijas noslēpumu izpaušanu, nepaļaujoties uz pieteicēja vērību), un tā nepārprotami nosauc, kas šo pārbaudi neiztur: paroles, vienreizējie kodi, push apstiprinājumi un viss, kas lietotājam jāpārraksta, ir “not phishing-resistant” (nav noturīgi pret pikšķerēšanu) (NIST SP 800-63B-4, 2025). CISA metodes sarindo tāpat: augšgalā FIDO/WebAuthn un PKI, tad vienreizējie kodi un push ar skaitļu salīdzināšanu (number matching), tad push bez tās, tad SMS (CISA).

Divas lietas tajā, kā piekļuves atslēga šo definīciju izpilda, VPN gadījumā ir izšķirošas. Aizsardzību dod pārlūks vai platformas klients, kas zina, ar kuru izcelsmi tas sazinās, un izaicinājums un paraksts, kas tiek pārraidīti pašā pieteikšanās protokolā.

Kāpēc RADIUS VPN piekļuves atslēgai nav vietas

RADIUS, protokols, ar kuru lielākā daļa VPN vārteju autentifikācijas serverim jautā “vai šī pieteikšanās ir derīga?”, tika izstrādāts iezvanes modemiem. Access-Request pārnes lietotājvārdu un paroli, kas noslēpta ar MD5 atslēgu plūsmu, vai CHAP atbildi. Ja serveris vēlas vairāk, tas nosūta Access-Challenge, kura tekstu vārteja lietotājam “MAY display” (var parādīt), un lietotājs tad ieraksta atbildi, kas paroles laukā aizceļo atpakaļ (RFC 2865). Tā ir visa vārdnīca: virknes, ko ierakstījis cilvēks. Nav lauka parakstītam WebAuthn apliecinājumam, nav izcelsmes, ko parakstīt, jo VPN klientam nav lapas, un nav lietotāja aģenta, kas to pārbaudītu.

Tāpēc neviens no šiem pats par sevi nespēj nodrošināt piekļuves atslēgas VPN pieteikšanai:

• MikroTik RouterOS: tikai RADIUS klients, bez SAML vai OIDC (MikroTik dokumentācija).
• WireGuard: autentificē mezglus (peers) pēc statiskām publiskajām atslēgām, un lietotāja pieteikšanās tam nav vispār, tāpēc neviena no tālāk aprakstītajām iespējām uz to neattiecas; problēma tur ir atslēgu izplatīšana (wireguard.com).
• OpenVPN Access Server: ar RADIUS, LDAP vai PAM otrais faktors ir laikā balstīts kods, un tikai SAML režīms var pieteikšanos nodot pārlūkam (OpenVPN dokumentācija).

FortiGate, Palo Alto GlobalProtect un Cisco Secure Client piekļuves atslēgas VPN pieteikšanai gan piedāvā, un visi trīs to dara vienādi: VPN klients atver pārlūku, pārlūks piesakās SAML identitātes nodrošinātājā, piekļuves atslēga tiek izmantota tur, un identitātes nodrošinātājs (IdP) paziņo vārtejai, ka lietotājs ir kārtībā. FortiClient to dara ar opciju “external browser as user agent” (ārējs pārlūks kā lietotāja aģents), Cisco ASA 9.17 un jaunākas versijas tieši šī iemesla dēļ palaiž sistēmas pārlūku, un GlobalProtect pārlūka skatu iegulst klientā (Fortinet, Duo for Cisco ASA, Palo Alto). Paša Microsoft RADIUS risinājuma dokumentācijā tas pateikts tieši: NPS paplašinājums skaitļu salīdzināšanu neatbalsta, un MS-CHAPv2 nespēj pārnest laikā balstītu kodu (Microsoft).

Piekļuves atslēga ar RADIUS nekad nesaskaras. Darbu veic pārlūks, un vārteja uzticas identitātes nodrošinātāja vārdam.

Trīs reālās iespējas

1. Novietot VPN priekšā SAML identitātes nodrošinātāju un piekļuves atslēgas izmantot tur

Šis ceļš lietotāju VPN pieteikšanai dod noturību pret pikšķerēšanu šī vārda stingrajā nozīmē, un, ja jūsu vārteja un klienti to atbalsta, tā ir pareizā atbilde tai problēmas daļai, kas norisinās pārlūkā.

Ko tas prasa: identitātes nodrošinātāju, kurš atbalsta piekļuves atslēgas, un licenci, kas tam nāk līdzi; klientu versijas, kas ir pietiekami jaunas, lai atbalstītu SAML ar ārēju pārlūku; piekļuves atslēgu ieviešanu katram VPN lietotājam un atkopšanas procesu pazaudētām ierīcēm. Ko tas atstāj nenosegtu: visas sistēmas, kuras SAML neprot, tostarp daudzās ierīcēs paša ugunsmūra administratora pieteikšanos, MikroTik, WireGuard un visu, kas piesakās bez pārlūka.

2. Sertifikāti

Klienta sertifikātu autentifikācija (EAP-TLS VPN pusē vai mašīnas sertifikāti ierīcē) ir otra metode, ko NIST uzskata par noturīgu pret pikšķerēšanu, pateicoties tam, ko tas sauc par kanāla piesaisti (channel binding) (NIST). Lietotājam nav nekā, ko ierakstīt, un nav nekā, ko pārsūtīt.

Ko tas prasa: sertifikācijas iestādi, reģistrāciju katrai ierīcei, atjaunošanu un atsaukšanu, kas patiešām darbojas, un cilvēku, kurš par visu to atbild. CISA uz PKI balstītu MFA raksturo kā tādu, kam vajadzīga “highly mature identity management practices” (ļoti nobriedusi identitātes pārvaldības prakse), un piebilst, ka tā nav plaši atbalstīta (CISA). Un mašīnas sertifikāts pierāda, kura ierīce pieslēgusies, nevis to, kurš pie tās sēdēja.

3. Saglabāt RADIUS un pievienot apstiprinājumu tālrunī, kas parāda pieteikšanās datus

Trešais ceļš atstāj vārteju un RADIUS serveri tieši tādus, kādi tie ir, un RADIUS ceļā pievieno otru soli: jūsu RADIUS serveris vispirms pārbauda paroli, un tikai tad, kad tas pieteikšanos pieņēmis, lietotājs tālrunī saņem apstiprinājuma pieprasījumu. Pieprasījumā nosaukts serviss, konts un avota IP adrese, un pieteikšanās izdodas tikai tad, ja lietotājs to apstiprina. Tieši to dara Notakey auth-proxy; uzstādīšanas rokasgrāmatā tas izklāstīts FreeRADIUS, NPS un MikroTik User Manager gadījumam.

Tas ir lētākais ceļš ieviešanai, jo vārtejā nemainās nekas, izņemot to, kurp tā sūta RADIUS, un tas darbojas jebkurā vārtejā, kas pieteikšanos pārbauda caur RADIUS, ieskaitot tās, kuras SAML neatbalstīs nekad. Tas ir arī ceļš, kuru aprakstot mums jābūt vispiesardzīgākajiem.

Ko tas aptur. Nopludināta, masveidā izmēģināta vai uzlauzta parole vairs neļauj pieteikties. FortiBleed, 2026. gada kampaņai pret FortiGate VPN, vairāk nekā to arī nevajadzēja (mūsu analīze). SMS pārtveršana un SIM apmaiņa neattiecas, jo koda nav. Push-bombing uzbrucējus 2022. gadā ielaida Cisco un Uber VPN: viņi sūtīja apstiprinājuma pieprasījumus, līdz kāds nospieda “jā” (Cisco Talos, Uber). Šeit tas atduras pret kartīti, kurā redzams, kurš konts piesakās kurā servisā un no kurienes, un pret ierobežotāju serverī (kā tieši).

Ko tas neaptur. Tas neaptur reāllaika pārsūtīšanu (relay), kurā viltots VPN portāls pārsūta upura īsto pieteikšanos un upuris apstiprina pats savu sesiju uzbrucēja savienojumā. Apstiprinājuma kartītē redzama avota IP adrese, tāpēc lietotājam, kurš ieskatās, pārsūtīšana ir redzama, taču aizsardzība ir atkarīga no tā, vai lietotājs ieskatās, un NIST definīcija tieši tādu paļaušanos izslēdz. Push apstiprinājums CISA izpratnē nav noturīgs pret pikšķerēšanu, ar skaitļu salīdzināšanu vai bez tās, un mēs to pasakām savā drošības lapā, nevis aizņemamies šo apzīmējumu.

Kā ielaušanās izskatījās patiesībā

Iespējas ir vērts pārbaudīt ne pret draudu modeli, bet pret to, kā VPN un attālinātā piekļuve patiesībā tika uzlauzta.

Trīs no sešiem gadījumiem MFA apiešana nebija vajadzīga vispār: MFA nebija. Godīgi lasot tabulu, redzams, ka lielākā daļa kaitējuma joprojām rodas plaisā starp “tikai parole” un “jebkurš otrais faktors”, un ka plaisa starp saprotamu apstiprinājumu un piekļuves atslēgu visvairāk nozīmē tiem kontiem, kurus apņēmīgs uzbrucējs pārsūtīs reāllaikā.

Kā izlemt

• Ugunsmūra un vārtejas administratora konti. Tie ir konti, pret kuriem vērsās FortiBleed un kuriem Winter SHIELD liek pievērsties pirmām kārtām. Ja pārvaldības saskarne atbalsta FIDO2 atslēgas vai SAML pieteikšanos ar piekļuves atslēgām, izmantojiet tās. Ja tā prot tikai RADIUS, apstiprinājums tālrunī administratora pieteikšanai ir krietni labāks par paroli vien un jo īpaši labāks par koplietotu paroli.
• Lietotāju VPN vārtejā, kas prot SAML ar ārēju pārlūku. Ieviesiet piekļuves atslēgas identitātes nodrošinātājā. Tā ir atbilde stingrajā nozīmē, un tā jau šodien pieejama FortiGate, GlobalProtect un Cisco risinājumos.
• Lietotāju VPN ar aprīkojumu, kas prot tikai RADIUS, piemēram, MikroTik vai novecojušiem koncentratoriem. Izvēle ir starp sertifikātiem un apstiprinājumu tālrunī. Noturībā pret pikšķerēšanu sertifikāti uzvar, ja PKI jums jau darbojas. Ja nav, saprotams apstiprinājums jau šodien panāk, ka ar paroli vien vairs nevar pieteikties, un aizstāj SMS kodus un aklus push pieprasījumus, bet pārlūkā notiekošās pieteikšanās uz piekļuves atslēgām varat pārcelt arī vēlāk.
• Lai ko izvēlētos, skatieties uz visu ceļu. 2022. gada ielaušanās Cisco sākās ar personīgu Google kontu, kurā sinhronizējās darba parole; VPN bija otrais solis. Ja MFA ir VPN, bet nav tīmekļa pastam vai attālinātajai darbvirsmai, uzbrucējs vienkārši ieiet pa blakus durvīm.

Notakey nosedz trešo ceļu, un mēs skaidri pasakām, kur tas atrodas CISA skalā. Ja jūsu vārteja atbalsta RADIUS, VPN 2FA rokasgrāmata līdz pirmajam apstiprinājumam tālrunī aizved vienas pēcpusdienas laikā, un iekārta darbojas jūsu pašu infrastruktūrā vai mūsu mākonī. Izmēģiniet tiešsaistes demo, lai redzētu, kā saprotams apstiprinājums izskatās jūsu pašu tālrunī, vai pieprasiet demo, un mēs jūsu VPN, ugunsmūra administratora un attālinātās darbvirsmas pieteikšanos izplānosim kā izmēģinājuma projektu.