OTP - One-Time-Password

Wichtige Hinweise bei der Verwendung des OTP-Verfahrens

Letzte Anpassung: 09.2023 (v12.4)

Neu:

CLI-Befehle um OPT den Anwendungen zuzuweisen
Der Hash-Algorithmus kann ausgewählt werden (v12.4)
Sicherheitshinweis beim OTP-Seed bei LDAP (03.2023)
Intervall für die Gültigkeit ist konfigurierbar 11.3

Vorherige Versionen: 12.3 11.8.8 11.8 11.7

Vorbemerkungen

Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich.
HinweisHinweis Ist das OTP-Verfahren für das Admin-Webinterface und SSH Konsole aktiv, muss jeder Administrator über diesen Token verfügen, um auf das Gerät zugreifen zu können.
Eine Ausnahme auf User-Basis ist nicht möglich

SSL-VPN:
Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.

Die Renegotiation kann im Menü → VPN →SSL-VPN in den Einstellungen einer Verbindung im Reiter Allgemein unter Renegotiation erhöht oder komplett deaktiviert werden.
Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung wird durch die UTM an die SSL-VPN Clients übermittelt. Eine Einstellung in den Clients ist nur bis zur Version 11.8 erforderlich gewesen.

Das Speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.

Im Falle eines Ausfalls des OTP-Generators (Smartphone oder Hardware Token) kann das OTP nur generiert werden, wenn Zugriff auf den QR-Code bzw. den Secret-Code besteht. Dieser findet sich unter → Authentifizierung →Benutzer OTP Codes.

Fällt der OTP-Generator für den Administrator-Zugang aus, benötigt man eine ausgedruckte Version des QR-Codes.
Sollte diese nicht vorliegen, ist ein Zugriff auf die UTM nur noch mit physischem Zugang direkt am Gerät (Tastatur und Monitor an der UTM) möglich. Fällt der OTP-Generator für den Administrator-Zugang aus, benötigt man eine ausgedruckte Version des QR-Codes.
Sollte diese nicht vorliegen, ist ein Zugriff auf die UTM nur noch mit physischem Zugang direkt am Gerät (Tastatur und Monitor an der UTM) möglich.

Ausdruck dieses Codes für die Administratoren, wie unter OTP Secret beschrieben. Ablage in der Dokumentation.

HinweisHinweis Da das OTP-Verfahren zeitbasiert ist, muss darauf geachtet werden, dass der Zeitserver in der UTM synchron zum Hard- oder Software Token läuft.

Die Uhrzeit des UTM Systems lässt sich über drei Wege überprüfen:

Über die Administrations-Weboberfläche: Die Uhrzeit steht in der Widget Auswahl wenn diese nicht ausgeklappt ist oder im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen
Über das CLI mit dem Kommando system date get
Über die Root Konsole mit dem Kommando date

Die Systemzeit kann dann über die folgenden Möglichkeiten eingestellt werden:

Über die Administrations-Weboberfläche im Menü Netzwerk unter dem Menüpunkt Servereinstellungen im Abschnitt Zeiteinstellungen
Über das CLI mit dem Kommando system date set date anschließend mit Leerzeichen getrennt das aktuelle Datum und die Uhrzeit im Format JJJJ-MM-TT hh:mm:ss

OTP - One-Time-Password

Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.
In der UTM wird das Zeit-Basierte-Verfahren verwendet (TOTP = Time-based One Time Password). Hierbei wird aus dem Sharedsecret Code und der aktuellen Uhrzeit alle 30 Sekunden ein neuer OTP errechnet.

Um dieses 6 stellige Passwort zu generieren, wird als Token eine Smartphone App genutzt, wie z.B. der Google Authenticator. Dieser ist sowohl für Android, als auch für iOS Geräte verfügbar.
Andere Apps, wie z.B. FreeOTP für Android, sind ebenfalls möglich.

OTP einrichten

Ablauf bei Aktivierung

Sicherstellen, dass die Uhrzeit der UTM und des Tokens synchron läuft
Übertragung des Geheimcodes an den Token
Aktivieren des OTP Verfahrens auf der UTM
Testen der Anmeldung, bevor die aktuelle Session beendet wurde

Ist das Verfahren aktiviert, muss sich jeder Benutzer der ausgewählten Anwendungen zusätzlich per OTP anmelden.
Ausnahmen sind nicht möglich.Ist das Verfahren aktiviert, muss sich jeder Benutzer der ausgewählten Anwendungen zusätzlich per OTP anmelden.
Ausnahmen sind nicht möglich.

Benutzer mit OTP einrichten

Zunächst werden die Benutzer unter → Authentifizierung →Benutzer wie gehabt angelegt.
Siehe dazu auch Benutzerverwaltung.
Der OTP-Code für diesen Benutzer kann erst angezeigt werden, wenn die Eingaben zum Benutzer gespeichert wurden.
Anzeigen oder ändern mit klick auf den editieren Button in der Benutzer Zeile im Reiter OTP auf der rechten Seite.

Der Code kann automatisch von der Securepoint UTM erstellt werden und liegt dann in zwei Varianten vor.
Zum einen als QR-Code, der einfach mit der Smartphone App abfotografiert werden kann, und zum anderen in Text-Form zum eingeben über die Tastatur.

╭╴OTP Konfiguration ╶╮
Eingabeformat:	base32 kodiert	Default-Einstellung, base32 kodiert, 16 Zeichen Länge Codes mit weniger als 26 Zeichen Länge können u.U. von OTP-Apps als unsicher gekennzeichnet werden	OTP Benutzer
	base64 kodiert	base64 kodiert, Länge 16 - 168 Zeichen (in 4er Blöcken), manuelle Eingabe
	HEX kodiert	HEX-kodiert, Gültige Zeichen: A-F, a-f und 0-9 / Länge 10-128 Paare, manuelle Eingabe
Hash-Algorithmus:Neu ab v12.4Neu ab v12.4	sha1 Default	Der Hash-Algorithmus kann ausgewählt werde
	sha256
	sha512
Intervall:	30	Das Intervall sollte auf 30 Sekunden eingestellt sein Wird ein Hardware-Token verwendet, muss dessen Wert übernommen werden. OTP Apps sind oft auf eine Aktualisierung des Tokens alle 30 Sekunden optimiert. einstellbar ab v12.3einstellbar ab v12.3
Code:	4ZZDUV5ZGDMOUVLT	Gibt den Code in Text-Form an Es ist hier auch möglich manuell einen Code einzutragen, z.B. ein Hardware Token.
Code:		Erzeugt einen neuen Code mit den Default-Vorgaben (base32 kodiert, Intervall 30 Sekunden)

╭╴Resultierender Code ╶╮
Secret:	4ZZDUV5ZGDMOUVLT	Gibt den Code in Text-Form an
OTP-Code überprüfen:		Hier kann ein OTP-Code der mit einem entsprechenden OTP-Generator erzeugt wurde, eingegeben werden, um zu überprüfen, ob der OTP-Generator korrekt eingerichtet wurde.

OTP Secret

OTP PDF Dokument

Zur Weitergabe an die Benutzer besteht die Möglichkeit, die erstellten Codes auszudrucken.
OTP Codes
Es wird dann ein Dokument im PDF Format wie folgt erstellt:

Einrichten eines Authenticators

Zunächst muss ein Authenticator aus dem App-Store heruntergeladen, installiert und geöffnet werden. Im Beispiel: Google Authenticator Das erste Fenster enthält eine Übersicht über die zwei Stufen zur Authentifizierung bei Google Account:	OTP mit dem Google Authenticator erzeugen
Einrichten mit QR-Code: ggf. Schaltfläche Account hinzufügen / + o.ä. wählen Schaltfläche QR-Code scannen oder auf QR-Code-Symbol klicken spätestens jetzt: Zugriff auf Kamera erlauben Es wird Ein Konto mit der Bezeichnung der Firewall und dem Benutzernamen erstellt Es wird unmittelbar oder durch tippen auf den Eintrag ein gültiger OTP-Code angezeigt, der überprüft werden kann
Einrichten mit Einrichtungsschlüssel: Accountnamen eingeben Key / Secret eintragen Key-Typ: Zeitbasiert / TOTP Digits: 6 Algorythmus: SHA1 Interval 30 Sekunden Es wird Ein Konto mit dem angegebenen Accountnamen erstellt Es wird unmittelbar oder durch tippen auf den Eintrag ein gültiger OTP-Code angezeigt, der überprüft werden kann

Nutzung eines Hardware Tokens

Auch die Nutzung eines Hardware Token ist möglich.
Dabei sollte es sich um einen RFC 6238 kompatiblen Passwort Generator handeln.

Von unserer Seite wird derzeit der Feithan OTP c200 unterstützt.
Vom Lieferanten wird dazu ein Download-Link für den HEX Code versendet, der wie oben beschrieben beim Benutzer hinterlegt werden muss.

Folgende Parameter müssen dabei verwendet werden:

SHA Algorithmus: SHA1
Zeitintervall: 30 Sekunden

Optional: SEED-Programmierung Hintergrund zur SEED-Programmierung: Wenn der Token ggf. in nicht vertrauenswürdigen Drittstaaten produziert wird und man sicher stellen möchte, dass dieser nicht schon bei der Lieferung Schadcode beinhaltet oder anderweitig kompromittiert ist, wird dieser von Mtrix für 1,77 Euro neu programmiert.

Es muss darauf geachtet werden den Token Key einzutragen und nicht die Token IDEs muss darauf geachtet werden den Token Key einzutragen und nicht die Token ID

Bei der ID handelt es sich um eine Seriennummer des Tokens, beim Key um einen 32 bis 40 Zeichen langen Code wie in der Abbildung zu sehen.
Achtung: Der OTP-Seed lässt sich per LDAP auslesen, wenn dieser in den Nutzerattributen im AD hinterlegt ist.Achtung: Der OTP-Seed lässt sich per LDAP auslesen, wenn dieser in den Nutzerattributen im AD hinterlegt ist.

OTP den Anwendungen zuweisen

OTP Anwendungen

Unter → Authentifizierung →OTP kann ausgewählt werden bei welchen Anwendungen sich die Benutzer zusätzlich mit dem One-Time-Passwort authentifizieren sollen.

╭╴Webinterfaces ╶╮
Aus	Administrator-Webinterface Der CLI-Befehl, um OTP für das Admin-Interface zu aktivieren lautet: extc global set variable GLOB_AI_OTP_AUTH value 1
Aus	Anwender-Webinterface Der CLI-Befehl, um OTP für das User-Interface zu aktivieren lautet: extc global set variable GLOB_UI_OTP_AUTH value 1

╭╴VPN╶╮ (Roadwarrior-Verbindungen)
Aus	IPSec Der CLI-Befehl für IPSec lautet: extc value set application ipsec variable USE_OTP value 1
Aus	SSL-VPN Der CLI-Befehl für SSL-VPN lautet: extc value set application openvpn variable USE_OTP value 1

╭╴Firewall╶╮
Aus	SSH (Konsole) SSL-VPN Der CLI-Befehl für SSH lautet: extc value set application sshd variable USE_OTP value 1

Fällt der OTP-Generator für den Administrator-Zugang aus, benötigt man eine ausgedruckte Version des QR-Codes.
Sollte diese nicht vorliegen, ist ein Zugriff auf die UTM nur noch mit physischem Zugang direkt am Gerät (Tastatur und Monitor an der UTM) möglich. Fällt der OTP-Generator für den Administrator-Zugang aus, benötigt man eine ausgedruckte Version des QR-Codes.
Sollte diese nicht vorliegen, ist ein Zugriff auf die UTM nur noch mit physischem Zugang direkt am Gerät (Tastatur und Monitor an der UTM) möglich.

OTP benutzen

Webinterface

Login mit OTP

Bei einem Login auf das Administrations- oder User-Webinterface gibt es nun ein weiteres Authentifikationsfeld:
für den OTP-Code.

Hier wird zusätzlich zum Benutzernamen und Passwort, der generierte Code eingetragen.

VPN

Im SSL-VPN Client kann eingestellt werden, ob der OTP-Code extra abgefragt werden soll. Eine genauere Erklärung dazu findet sich hier.

Wenn die Gegenstelle ein separates übermitteln des OTP-Kennwortes erlaubt (UTM ab Version 11.8), kann wie folgt vorgegangen werden:
Starten der SSL-VPN Verbindung auf dem Client (Unter Windows: Doppelklick auf das Schloss-Symbol in der Taskleiste).
Aufbau der Verbindung mit Klick auf

Die Verbindung wird in drei Schritten Aufgebaut:

Eingabe Benutzername: User

Eingabe Kennwort: insecure

Eingabe OTP: 123456

Verbunden

Szenario: Gegenstelle erlaubt kein separates übermitteln des OTP-Codes:Szenario: Gegenstelle erlaubt kein separates übermitteln des OTP-Codes:

Wenn OTP im Zusammenhang mit einer SSL-VPN oder Xauth-VPN Verbindung eingesetzt wird und die Gegenstelle die separate Übermittlung des OTP-Codes nicht unterstützt, muss bei der Passwortabfrage der OTP-Code ohne Leerzeichen direkt hinter dem Benutzerkennwort eingetragen werden.

Diese Variante steht nicht in den UTM-Versionen 11.8.0 bis 11.8.3.4 zur Verfügung.

Eingabe Benutzername: User

Eingabe Kennwort und OTP: insecure123456

Beispiel:

Passwort:	insecure	Das Speichern des Kennworts im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem sich stets änderndem OTP zusammensetzt.
OTP:	123456
Kennwort	insecure123456

SSH-Verbindung

Wenn der Zugriff mit einer SSH-Konsole und OTP genutzt wird, wird der OTP-Code in einer separaten Zeile Pin abgefragt.
VPN mit UTM, wenn die Gegenstelle kein separates übermitteln des OTP-Kennwortes erlaubt:VPN mit UTM, wenn die Gegenstelle kein separates übermitteln des OTP-Kennwortes erlaubt:

SSH-Login mit OTP unter PuTTY und v11.7.15

Wenn der Zugriff mit einer SSH-Konsole und OTP genutzt wird und die Gegenstalle kein separates übermitteln des OTP-Codes erlaubt, wird der OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort eingegeben.
Diese Variante steht nicht in den UTM-Versionen 11.8.0 bis 11.8.3.4 zur Verfügung.

Beispiel:

Passwort in UTM::	insecure
OTP:	123456
Password:	insecure123456