privacyIDEA im Einsatz So funktioniert MFA mit Open Source

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

In unserer fünfteiligen Workshop-Reihe zeigen wir, wie Sie mit der Open Source Software privacyIDEA Zweifaktor-Authentifizierung umsetzen und damit auch VPN und Windows schützen, während Sie gleichzeitig her­stellerunabhängig sind und Plugins nahtlos integrieren können.

In einer Welt, in der Cyberangriffe zunehmend gezielter und raffinierter werden, ist der Ver­zicht auf Multi-Faktor-Authentifizierung (MFA) grob fahrlässig. Doch viele proprietäre Lösungen sind teuer, unflexibel oder lassen sich schwer in vorhandene Infrastrukturen integrieren. Genau hier setzt privacyIDEA an: eine Open-Source-MFA-Lösung, die Wahlfreiheit bietet und das für Unternehmen jeder Größe. Mittlerweile ist die Lösung von Netknights jedoch mehr als nur eine einfache MFA.

Passwortlose Multi-Faktor-Authentifizierung

Warum MFA nicht gleich MFA ist

Was ist privacyIDEA?

privacyIDEA ist eine modulare und hochflexible Open-Source-Software zur Multi-Faktor-Authentifizierung, die auf offenen Standards basiert. Ursprünglich wurde privacyIDEA im Jahr 2014 von der deutschen Firma Netknights mit Sitz in Kassel entwickelt, um eine quelloffene, auditierbare Alternative zu klassischen Zwei-Faktor-Systemen zu schaffen. Heute unterstützt privacy­IDEA verschiedenste Token-Typen wie OTP, FIDO2, Smartcards oder Push-Token und bietet Funktionen wie Single Sign-on mittels SAML, Self-Service-Portale, mandantenfähige Administration, delegierte Rollenvergabe und eine mächtige Policy-Engine, sowie mit Hilfe eines Credential Providers auch die Anmeldung mit zweitem Faktor an Windows-Desktops und Windows-Servern.

Unsere Artikelserie auf Security-Insider beleuchtet verschiedene Aspekte von privacyIDEA im Detail. In diesem Artikel geben wir einen groben Überblick über die wichtigsten Funktionen.

Open Source MFA-Software in neuer Version

privacyIDEA 3.10 ermöglicht Offline-Authentifizierung mit Push-Token

privacyIDEA als MFA

privacyIDEA ist in erster Linie eine MFA-Plattform. Der erste Teil unserer Reihe erklärt das Grundprinzip hinter privacyIDEA und zeigt, warum Open Source gerade im Bereich Authen­tifizierung ein strategischer Vorteil ist. Er richtet sich an Entscheider, CISOs und Admins, die nach einer skalierbaren Alternative zu proprietären Lösungen suchen.

Die größten Vorteile von privacyIDEA als MFA sind:

• Die zentrale Verwaltung aller zweiten Faktoren (TOTP, FIDO2, SMS, Hardware-Token), sodass Unternehmen nicht mehr jedem Login-Szenario eigene Token zuordnen müssen – die Authentifizierung erfolgt konsolidiert über privacyIDEA

• Die flexible Anbindung von verschiedenen Applikationen über REST API, RADIUS, PAM oder SAML/SimpleSAMLphp (VPN, SSH, Web-UIs), ohne dass jede Anwendung individuell MFA implementieren muss 

• Das Token‑enrollment und Rollout im Self-Service-Portal – Admins oder Nutzer können neue Token zuweisen, sperren oder löschen, ohne großen Verwaltungsaufwand 

• privacyIDEA ist nicht an einen Token-Hersteller gebunden, und die Open‑Source‑Lizenz sichert die Unabhängigkeit gegenüber Anbieterkäufen oder Produkt­änderungen 

privacyIDEA Workshop – Teil 1

So geht Mehr-Faktor-Authentifizierung mit Open Source

VPN mit privacyIDEA

Im zweiten Workshop-Teil gehen wir darauf ein, wie sich privacyIDEA zusammen mit Free­RADIUS als zentrale MFA-Lösung für VPN-Zugänge einsetzen lässt. Das ist besonders relevant für Organisationen mit vielen Remote-Arbeitsplätzen. Die Integration in bestehende Systeme wie Netscaler, OpenVPN, pam_radius oder Netzwerkswitche wird konkret gezeigt, inklusive Token-Handling.

• Anwendungsfall: Integration einer Citrix NetScaler-VPN-Instanz via RADIUS, um VPN-Zugänge durch Mehr-Faktor-Authentifizierung zusätzlich zur Passwortprüfung abzusichern

• Technische Umsetzung: Installation des Meta-Pakets „privacyidea-radius“, das sowohl Free­RADIUS als auch das dazugehörige privacyIDEA‑Plugin umfasst. Basis-Konfiguration ist bereits einsatzbereit, Anpassungen sind über „/etc/privacyidea/rlm_perl.ini“ möglich.

• Token-Testing: Über das Tool „radclient“ lässt sich die MFA-Praxis unmittelbar testen – be­stehend aus Active-Directory-Passwort plus TOTP-Code (Time-based One-Time Password Token).

• Flexibilität und Skalierbarkeit: RADIUS erlaubt nicht nur VPN-Integration, sondern auch die Anbindung weiterer Anwendungen an die zentral gesteuerte MFA-Plattform.

Im Detail lesen Sie im Artikel „VPN an privacyIDEA anbinden“, wie privacyIDEA mit minimalem Aufwand in bestehende VPN-Infrastrukturen integriert werden kann und so eine skalierbare und herstellerunabhängige MFA-Plattform bereitstellt.

privacyIDEA Workshop – Teil 2

VPN an privacyIDEA anbinden

Policies steuern mit privacyIDEA

Wie Sie mit privacyIDEA-Policies das Verhalten bei Authentifizierung und Token-Verwaltung zielgerichtet steuern können, beschreiben wir im dritten Teil unserer Reihe. Dabei gehen wir auf die wichtigsten Geltungsbereiche ein:

• admin / user: Regeln für Administratoren und normale Nutzer – etwa Zuweisung ver­schiedener Administrationsrollen wie „Helpdesk“ oder „Operator“ im Selbst­verwaltungstool

• auth / authz: Steuerung des Login-Verhaltens – zum Beispiel Zulassung von Token-Ausgabe oder Zugriff je nach Nutzerrolle oder Umgebung

• Weitere relevante Scopes: webui, enrollment, register – etwa zur Einschränkung der UI-Funktionen oder zur Verwaltung von Token-Anmeldungen und Registrierungsprozessen

Bedingte Steuerungen können zwar teils recht komplex sein, doch so können Policies abhängig von Benutzer-, Realm- oder Resolverzugehörigkeit, IP-Adresse (Client), time schedules, privacyIDEA-Node oder Priorität sein. Lesen Sie deshalb im Artikel „privacyIDEA mit Policies präzise steuern“, wie Sie über Policies maßgeschneiderten Zugriff, Kontrolle und Automa­tisierung ermöglichen – von Helpdesk-Rollen bis zur restriktiven Authentifizierung.

privacyIDEA Workshop – Teil 3

privacyIDEA mit Policies präzise steuern

Open Source Identity Provider Keycloak und privacyIDEA

Die gleichnamige Lösung Keycloak, des Open Source Identity Providers, ist eine Ergänzung zu privacyIDEA, mit der sich bestehende SSO-Umgebung (Single Sign-On) um zuverlässige Multi-Faktor-Authentifizierung erweitern lassen. Und es gibt gute Gründe für diese Integration: Obwohl Keycloak bereits MFA unterstützt, bietet privacyIDEA zentral verwaltete Token, wie zum Beispiel TOTP oder FIDO2, und entkoppelt damit die Authentifizierung vom Identity Provider. Das bedeutet, dass die Nutzer sich wie gewohnt mit Benutzernamen und Passwort anmelden. Der zweite Faktor wird direkt über privacyIDEA validiert und das ohne zusätzliche Registrierung oder Setup-Schritte. Dies bietet Unternehmen mehr Skalierbarkeit und Flexibilität. Neben Keycloak stehen auch andere Plugins zur Verfügung, zum Beispiel Microsoft ADFS, Shibboleth, Gluu und SimpleSAMLphp. Damit lässt sich privacyIDEA als zentrale MFA-Plattform über unterschiedlichste Authentifizierungsumgebungen hinweg integrieren.

Erfahren Sie im vierten Workshop im Detail, wie Sie Keycloak an privacyIDEA anbinden.

privacyIDEA Workshop – Teil 4

Keycloak an privacyIDEA anbinden

Sichere Anmeldung an jedem Windows-Desktop

Im großen Finale der Workshop-Reihe zu privacyIDEA erfahren Sie, wie privacyIDEA Cre­dential Provider die Windows-Anmeldung für Desktop und Server sicher mit Multi-Faktor-Authentifizierung schützt. Dabei gehen wir sowohl auf Bereitstellung und Installation ein, wie auch auf Konfiguration und Bedienbarkeit.

Großer Pluspunkt ist hierbei, dass der Anmeldeprozess intuitiv bleibt. Zunächst geben Sie Nutzername und Passwort ein, dann erfolgt die Token-Auswahl, etwa Security-Key, YubiKey oder TOTP-App. Bei erfolgreicher Authentifizierung erhält der User Zugang. Und das ist auch offline möglich. Über Registry-Einträge oder administrative Templates lässt sich die Kon­fi­gu­ration domainweit verteilen. Das ermöglicht konsistente Sicherheitseinstellungen, die zentral steuerbar und revisionsfähig sind. Die Anmeldung am Windows-Desktop mit privacyIDEA eignet sich für alle, die die Multifaktor-Authentifizierung konsistent durchsetzen und gleichzeitig den Betriebsaufwand gering halten wollen.

privacyIDEA Workshop – Teil 5

Sichere Anmeldung an jedem Windows-Desktop mit privacyIDEA

Fazit

Die fünfteilige Workshop-Reihe zeigt, wie sich privacyIDEA als zentrale, modulare und her­steller­unabhängige Multifaktor-Authentifizierungslösung in unterschiedlichste IT-Infra­strukturen integrieren lässt. Besonders ist der konsequent offene, interoperable Ansatz des Herstellers Netknights. Hervorzuheben ist zudem die große Auswahl an Token-Typen für die Authentifizierung mit privacyIDEA . Außerdem lässt sich die MFA-Lösung durch Plugins und REST-APIs flexibel in bestehende Systeme einfügen, begleitet von vielen Self-Service- und Sicherheitsfunktionen. Somit ist privacyIDEA eine geeignete Authentifzierungslösung, die skalierbar ist für mittelständische Unternehmen wie auch Konzerne, die gleichzeitig digitale Souveränität und Transparenz bietet.

Risiken und Probleme aktueller MFA-Methoden

Die 5 größten Herausforderungen für Multi-Faktor-Authentifizierung (MFA)

(ID:50498581)