privacyIDEA Workshop – Teil 1 So geht Mehr-Faktor-Authentifizierung mit Open Source

Anbieter zum Thema

NetKnights GmbH

FTAPI Software GmbH

Mehr-Faktor-Authentifizierung (MFA) ist ein guter Weg, um System- und Applikations­anmeldungen sicherer zu machen. privacyIDEA ist ein etabliertes Mehr-Faktor-System auf Open-Source-Basis, mit dem Unternehmen und Organisationen die zweiten Faktoren der Benutzer zentral und on Premises verwalten können. Wie das geht zeigen wir in dieser Workshop-Reihe.

Viele Applikationen kommen heutzutage mit der Möglichkeit, einen zweiten Faktor wie bspw. eine TOTP-Smartphone-App oder einen FIDO2-Token auszurollen. Das Problem entsteht für Unternehmen aber dann, wenn unterschiedliche Applikationen eingesetzt werden und die Benutzer sich bspw. für jede dieser Applikation einen neuen zweiten Faktor ausrollen müssen.

Vielleicht kennen Sie das aus Ihrem privaten Umfeld, dass sich in Ihrem Google oder Microsoft Authenticator ganz viele TOTP-Profile ansammeln. Als Unternehmen möchte man das für seine Benutzern vermeiden, um somit eine einfache Verwaltbarkeit zu ermöglichen.

Und hier kommt privacyIDEA ins Spiel.

Administratoren oder Benutzer können in der Lösung zentral die zweiten Faktoren verwalten, Applikationen werden über definierte Schnittstellen für die Anmeldung angebunden. D.h. nicht mehr die Applikation kennt den zweiten Faktor, sondern ausschließlich das privacyIDEA System. Dies stellt auch eine große Zukunftssicherheit dar. Wenn in Zukunft weitere Applikationen hinzukommen, die mit einem zweiten Faktor abgesichert werden sollen, so muss die IT Abteilung nur noch diese Applikation an privacyIDEA anbinden und es sind keine weiteren Benutzerinteraktionen erforderlich. privacyIDEA ist übrigens Open Source unter der AGPLv3 und bei Github verfügbar.

In dieser Workshop-Reihe werden wir verschiedene Anmeldeszenarien aufzeigen, bspw. VPN über RADIUS, Keycloak als Single Sign-On Identity Provider oder gar die Anmeldung am Windows Desktop oder Terminalserver.

Darüber hinaus bietet privacyIDEA eine breite Unterstützung von verschiedenen Authentifizierungsmethoden: „Tokentypen“. Dazu gehören bereits erwähnte Methoden wie HOTP und TOTP, FIDO2 Token und Passkeys. Aber auch vermeintlich alte Dinge wie SMS Codes oder Papier-TAN-Listen werden unterstützt; ebenso wie exotischere Varianten wie „Tagespasswörter“ oder 4-Augen-Token. Insgesamt unterstützt das System knapp 30 verschiedene Tokentypen.

Der Vorteil ist, dass ein Benutzer beliebig viele verschiedene Tokentypen besitzen und dann für unterschiedliche Login-Szenarien verwenden kann. Die Administratoren können somit zentral steuern, wie, wo und womit sich ein Benutzer authentisieren kann.

Installation

privacyIDEA ist eine Python-Applikation, die in einem Webserver-Kontext läuft. Dadurch hat der Administrator viel Freiheit für unterschiedliche Installationsvarianten.

Das System speichert alle Daten in einer SQL-Datenbank. Darüber lassen sich auch redundante Setups realisieren. In unserem Beispiel nutzen wir die vom Projekt bereitgestellten Community Ubuntu Repositories, die derzeit für Ubuntu LTS Versionen 20 und 22 verfügbar sind.

Da privacyIDEA ein Management-System ist, das zentral für viele Benutzer die zweiten Faktoren verwalten soll, empfiehlt sich dringend, für die Installation eine eigene (virtuelle) Maschine vorzusehen. Wir nutzen hier eine Basis-Server-Installation von Ubuntu 22.04LTS.

Das privacyIDEA Projekt wird federführend von der NetKnights GmbH entwickelt. Als Benutzer root laden wir uns als erstes den Signatur-Key für die Pakete herunter:

Wir prüfen den Fingerprint des Schlüssels:

Dies muss folgende Ausgabe ergeben:

Nun fügen wir den Schlüssel zu den Trusted Keys hinzu:

Schließlich können wir das Repository einbinden,

die Paketquellen aktualisieren und die Software installieren:

privacyidea-apache2 ist ein Meta-Paket, das alle Abhängigkeiten, den MySQL-Server und den Apache-Server installiert. Damit haben wir schon den Ubuntu-Server schon zu einem vollwertigen Mehr-Faktor-Management-System gemacht!

Erstes Login des Administrators

Nun müssen wir unser neues MFA-System konfigurieren. Das System kommt standardmäßig ohne administrativen Benutzer und ohne Standardpasswort. Als erstes legen wir also einen administrativen Nutzer an --- wir nennen ihn mal "superuser":

pi-manage ist ein Kommandozeilentool, mit dem die Grundkonfiguration des privacyIDEA Systems durchgeführt wird. Das ist bspw. das Anlegen des ersten Administrators oder ein Backup der Datenbank.

Wie genau der erste Login aussieht sehen Sie in der folgenden Bilderstrecke.

Der erste Admin-Login bei privacyIDEA

Bildergalerie mit 6 Bildern

Mit dem neuen Administrator "superuser" können wir uns als nächstes ins WebUI einloggen und dort alle nötigen logischen Konfigurationen durchführen.

Anmerkung: Für alle die sich wundern, dass sich der Administrator eines Mehr-Faktor-Systems mit einem statischen Passwort anmeldet sei gesagt: privacyIDEA ermöglicht die Nutzung verschiedener Administratoren und Rollen. So können später bspw. IT-Mitarbeiter aus dem Active Directory gelesen werden und diesen wiederum tatsächlich auch für die Anmeldung an privacyIDEA zweite Faktoren zugewiesen werden.

Anbindung von Benutzern

privacyIDEA verfolgt den Ansatz, der IT-Abteilung die größtmögliche Flexibilität und Wahlfreiheit zu lassen. So liest es bspw. Benutzer aus existierenden Benutzerquellen. Dies können OpenLDAP, eDirectory, Active Directory, SQL-Datenbanken, HTTP-Interfaces oder die /etc/passwd sein. Dazu lassen sich durch ein Konzept aus "Resolvern" (Benutzerquellen) und Realms auch viele verschiedene Benutzerquellen neu logisch gruppieren.

In unserem Beispiel binden wir Benutzer aus einem Active Directory ein.

Dazu melden wir uns mit dem vorher angelegten Benutzer "superuser" am WebUI an. Hierzu gehen wir mit dem Browser über HTTPS auf unseren neuen privacyIDEA Server, entweder über die IP-Adresse oder den Hostnamen, wenn wir die Namensauflösung richtig konfiguriert haben.

Nun legen wir den Resolver an. Dazu gehen wir zu Konfiguration→Benutzer.

Zur Konfiguration des LDAP-Resolvers benötigen wir:

• Die URL des Domaincontrollers: ldaps://.…

• TLS1.2 auswählen

• Lediglich für Testzwecke „TLS verifizieren“ ausschalten

• Den BINDDN eines ServiceAccounts

• Das BIND Passwort.

Bei dem Benutzer-Attribut-Mapping machen wir uns das Leben leicht und klicken auf „Active Directory vorbelegen“.

Weitere Einstellungen zur Konfiguration des LDAP-Resolvers sehen Sie in der folgenden Bilderstrecke.

Konfiguration des LDAP-Resolvers in privacyIDEA

Bildergalerie mit 5 Bildern

Wenn wir alle Daten eingegeben haben drücken wir auf „LDAP Resolver testen“ und „Resolver speichern“.

Damit privacyIDEA Token für diese Benutzer verwalten kann, müssen wir diesen Resolver nun noch in einen Default-Realm bringen.

Wie man einen Realm anlegt, sehen Sie in der folgenden Bilderstrecke.

Realm anlegen in privacyIDEA

Nun kann der Administrator bereits die Benutzer aus dem Active Directory sehen. Hierzu gehen wir auf das Hauptmenü „Benutzer“.

Durch Klick auf das Trichtersymbol können wir nach Benutzern filtern bzw. suchen.

Erste Schritte im Selfservice

Prinzipiell können Administratoren für Benutzer Token ausstellen oder Benutzer können dies selber tun. Standardmäßig können sich Benutzer in unserem Fall mit Ihrem AD-Passwort am WebUI als Selfservice Portal anmelden. Sie erhalten ein auf sie zugeschnittene Ansicht und können sich selber nun bspw. einen TOTP-Token mit einer Authenticator App wie dem Google Authenticator oder eben auch dem privacyIDEA Authenticator ausrollen.

Wie ein Benutzer sich in privacyIDEA anmeldet und im Selfservice seinen Token ausrollt, sehen Sie in der folgenden Bilderstrecke.

Benutzeranmeldung und Token-Rollout in privacyIDEA

Weitere Schritte

In den weiteren Artikeln diese Serie werden wir uns anschauen, wie ein Benutzer diesen Token nun zur Anmeldung an einem VPN wie Netscaler verwenden kann.

Wir werden genauer auf Rollen und Rechte eingehen und zeigen, wie bspw. Helpdesk-Rollen definiert werden können oder der Administrator die Rechte und Möglichkeiten der Benutzer im Selfservice-Portal definieren kann.

Im vierten Artikel werden wir das Thema Single Sign-On mit Keycloak gegen privacyIDEA betrachten und uns bei der Gelegenheit sowohl FIDO2/Passkeys als auch PUSH-Token als moderne Art der Authentifizierung anschauen.

Im vorerst letzten Artikel der Reihe werden wir mit Hilfe des privacyIDEA Credential Providers die Anmeldung an Windows-Systemen absichern.

Über den Autor: Cornelius Kölbel ist CEO von NetKnights.

(ID:50264608)