Integracje · FortiGate
FortiGate 2FA: zatwierdzanie na telefonie dla VPN i logowań administratorów
Dla organizacji z FortiGate wystawionym do internetu, którego VPN lub konsola administracyjna wciąż przyjmuje samo hasło. Gdy na ścieżce RADIUS stoi Notakey auth-proxy, wykradzione, odgadnięte w ataku password spraying lub złamane hasło kończy się nieudaną próbą, a nie zalogowaniem.
Jak przebiega połączenie
Standardowy RADIUS z zatwierdzeniem dodanym pośrodku
FortiGate potrafi kierować logowania do VPN i logowania administratorów do serwera RADIUS. Notakey auth-proxy stoi na tej ścieżce RADIUS: pozwala istniejącemu serwerowi RADIUS sprawdzić hasło, następnie prosi użytkownika o zatwierdzenie na telefonie i odpowiada twierdząco dopiero wtedy, gdy powiodą się oba kroki.
Serwer RADIUS i zapisani w nim użytkownicy pozostają bez zmian. FortiGate komunikuje się z proxy standardowym protokołem RADIUS, jak każdy inny koncentrator VPN. Jeśli nie mają Państwo serwera RADIUS, rolę serwera docelowego może pełnić wtyczka RADIUS dostarczana z appliance Notakey.
FortiGate obsługuje też zdalne uwierzytelnianie administratorów przez RADIUS, w tym konto administratora typu wildcard dla wszystkich członków grupy RADIUS. Dzięki temu zatwierdzenie chroni nie tylko VPN, ale i konsolę, na którą celują atakujący.
Co warto wiedzieć przed rozpoczęciem
- Sami nie testowaliśmy FortiGate w laboratorium. Ustawienia FortiGate pochodzą z dokumentacji Fortinet, do której odsyła przewodnik; FortiGate komunikuje się z auth-proxy standardowym protokołem RADIUS.
- Domyślnie FortiGate daje całej wymianie RADIUS 5 sekund (remoteauthtimeout) i ponawia żądanie po 5 sekundach. Obie wartości muszą być wyraźnie dłuższe niż 30-sekundowe okno proxy. Proxy ignoruje ponowione żądanie, więc użytkownik nie dostaje drugiej prośby o zatwierdzenie, ale jeśli dłuższym z tych dwóch limitów będzie ten na ponowienie, cała wymiana ograniczy się do jednego żądania.
- Zatwierdzanie na telefonie nie naprawi urządzenia, które już zostało przejęte: kont utworzonych przez atakujących, utrzymywanych przez nich sesji czy zmienionej konfiguracji. Najpierw należy zakończyć sesje, zresetować hasła i przejrzeć konfigurację.
- Drugi składnik na interfejsie zarządzania, który w ogóle nie powinien być dostępny z internetu, to słabsze rozwiązanie. Administrację należy ograniczyć przez trusted hosts, politykę local-in lub całkowite wyłączenie administracji z internetu.
- Zatwierdzanie na telefonie samo w sobie nie powstrzyma atakującego, który w czasie rzeczywistym przekazuje prawdziwe logowanie przez fałszywą stronę. Dla nielicznych kont administrujących samym firewallem warto rozważyć klucze powiązane z witryną, takie jak FIDO.
- Należy utrzymywać lokalne awaryjne konto administratora z długim, unikalnym hasłem, dostępne tylko z zaufanych hostów, i przetestować je, zanim będzie potrzebne.
Od zera do pierwszego zatwierdzenia
- 01
Utworzenie aplikacji i konfiguracja auth-proxy
W panelu Notakey należy utworzyć aplikację VPN, zarejestrować telefony użytkowników i skopiować Access ID. Następnie należy skonfigurować auth-proxy na appliance (lub jako kontener obok serwera RADIUS), podając to Access ID, adres docelowego serwera RADIUS i wspólne sekrety.
- 02
Skierowanie FortiGate na proxy i zwiększenie limitów czasu
Należy dodać proxy jako serwer RADIUS w FortiGate z tym samym sekretem. Wartość remoteauthtimeout i limit czasu serwera RADIUS trzeba ustawić wyraźnie powyżej 30-sekundowego okna na zatwierdzenie w proxy, na przykład 60 sekund łącznie i 90 przed ponownym wysłaniem.
- 03
Test przy otwartej drugiej sesji
Należy zalogować się do VPN jako użytkownik z RADIUS i zatwierdzić powiadomienie push, a potem spróbować jeszcze raz i odrzucić żądanie. Przed zamknięciem działającej sesji trzeba się upewnić, że lokalny awaryjny administrator nadal może się zalogować.
Najczęściej zadawane pytania
- Czy FortiGate potrzebuje wtyczki Fortinet dla Notakey?
- Nie. FortiGate przesyła logowania do VPN i logowania administratorów do Notakey auth-proxy standardowym protokołem RADIUS, tak jak każdy inny koncentrator VPN, więc żadna wtyczka specyficzna dla Fortinet nie jest potrzebna. Ustawienia FortiGate pochodzą z dokumentacji Fortinet; sami nie testowaliśmy FortiGate w laboratorium.
- Które limity czasu w FortiGate trzeba zmienić?
- Parametr remoteauthtimeout w FortiGate daje całej wymianie RADIUS domyślnie 5 sekund, a po 5 sekundach żądanie jest wysyłane ponownie. Obie wartości należy podnieść wyraźnie powyżej 30-sekundowego okna na zatwierdzenie w proxy, na przykład do 60 sekund łącznie i 90 sekund przed ponownym wysłaniem.
- Czy zatwierdzanie na telefonie może chronić także logowania administratorów?
- Tak. FortiGate obsługuje zdalne uwierzytelnianie administratorów przez RADIUS, w tym konto administratora typu wildcard dla grupy RADIUS, więc konsola jest chroniona tym samym zatwierdzeniem. Należy zachować lokalne awaryjne konto administratora, dostępne tylko z zaufanych hostów.