Wichtige Hinweise bei Verwendung des OTP-Verfahrens
Ist das OTP-Verfahren aktiviert, ist die Anmeldung nur durch Eingabe eines korrekten OTP möglich
Ist das OTP-Verfahren für das Admin-Webinterface, SSH oder Konsole aktiv, muss jeder Administrator über diesen Token verfügen, um auf das Gerät zugreifen zu können.
Eine Ausnahme auf User-Basis ist nicht möglich
SSL-VPN:
Da beim SSL-VPN jede Stunde eine Reauthentifizierung stattfindet, muss auch jede Stunde ein neuer OTP eingegeben werden.
Die Renegotiation kann entsprechend erhöht oder komplett deaktiviert werden.
Das Deaktivieren ist natürlich nicht empfohlen. Eine Änderung muss auf der UTM und allen SSL-VPN Clients erfolgen.
Das speichern des Passwortes im SSL-VPN Client ist nicht möglich, da sich das zu übergebene Passwort aus dem statischen Benutzer-Passwort und dem OTP zusammensetzt.
|
Achtung! Denken Sie bitte daran, dass im Falle eines Ausfalls des Smartphones, das OTP nicht mehr generiert werden kann und Sie keinen Zugriff auf die ausgewählten Funktionen der UTM haben. |
Am besten Drucken sie sich diesen Code für die Administratoren wie unter OTP Secret beschrieben aus und legen Sie zu ihrer Dokumentation.
OTP - One-Time-Password
Das One-Time-Password (OTP) ist ein zusätzlicher Authentifizierungs-Mechanismus der für zusätzliche Sicherheit bei der Anmeldung eines Benutzers sorgt.
Um dieses 6 stellige Passwort zu generieren, nutzen wir als Token eine Smartphone App wie den Google Authenticator. Diese ist sowohl für Android als auch für iOS Geräte verfügbar.
Andere Apps wie z.B. FreeOTP für Android sind ebenfalls möglich.
OTP einrichten
Benutzer mit OTP einrichten
Zunächst legen sie ihre Benutzer unter Authentifizierung Benutzer wie gehabt an. Siehe dazu auch Benutzerverwaltung.
Den OTP-Code für diesen Benutzer erhalten Sie erst wenn die Eingaben zum Benutzer gespeichert wurden.
Um diesen zu sehen oder zu ändern, klicken sie auf den editieren Button in der Benutzer Zeile und wechseln sie auf den Reiter OTP auf der rechten Seite.
Der Code liegt in zwei Varianten vor.
Zum einen als QR-Code, den sie einfach mit der Smartphone App abfotografieren können, und zum anderen in Text-Form zum eingeben über die Tastatur.
Weiterhin könen Sie diesen ändern, indem sie über den Button 
automatische einen neuen Code erzeugen lassen oder über 
manuell einen 16-stelligen base32 oder HEX kodierten SSH-Schlüssel eingeben.
OTP Secret
Zur weitergabe an die Benutzer haben sie die Möglichkeit, die erstellten Codes auszudrucken. Klicken sie dazu einfach auf 
Es wird dann ein Dokument im PDF Format erstellt.
OTP den Anwendungen zuweisen
Wechseln Sie über Authentifizierung zum Menüpunkt OTP.
Hier wählen sie die Anwendung aus, über die sich die Benutzer zusätzlich mit dem One-Time-Passwort Authentifizieren sollen.
Dieser kann bei folgenden Anmeldungen zum Einsatz kommen:
- Webinterfaces
- Administrator-Webinterface
- Anwender-Webinterface
- VPN Roadwarrior-Verbindungen
- IPSec
- SSL-VPN
- Firewall
- System Console direkt an der Firewall
- SSH Konsole
Ablauf bei Aktivierung
1. Stellen Sie sicher, dass die Uhrzeit der UTM und dem Token synchron läuft
2. Übertragen sie den Geheimcode an den Token
3. Aktivieren sie das OTP Verfahren auf der UTM
4. Testen Sie die Anmeldung bevor die aktuelle Session beendet wurde
Ist das Verfahren aktiviert, muss sich jeder Benutzer der ausgewählten Anwendungen zusätzlich per OTP anmelden.
Ausnahmen sind nicht möglich.
Einrichten des Google Authenticator
Zunächst laden sie sich den Google Authenticator aus dem App-Store herunter, installieren und öffen diesen.
Das erste Fenster enthält eine Beschreibung über die 2 Stufen zur Authentifizierung bei Google Account, tippen sie auf den Button Einstellungen.
Im nun erscheinenden Fenster Konto hinzufügen wählen sie im Bereich Konto manuell hinzufügen entweder Barcode scannen oder Schlüssel eingeben.
Wenn sie sich für Barcode scannen entscheiden, wird eventuell noch eine zusätzliche App zum scannen von Barcodes namens "Barcode Scanner" installiert, sollte sich diese noch nicht bei Ihnen auf dem Smartphone befinden.
Ansonsten halten sie die Kamera des Smartphone einfach in den Bereich des ausgedruckten oder am Bildschirm ausgegeben QR-Code und es wird automatisch ein Konto erstellt.
Möchten sie den QR-Code nicht abscannen, tippen sie auf Schlüssel eingeben, tragen sie den Benutzer Namen und den Code ein, wählen sie zeitbasiert und klicken auf Hinzufügen.
Im folgenden Fenster sehen Sie dann das Konto mit den OTP-Code.
Dieser ändert sich alle 30 sekunden.
Die Zeitanzeige rechts gibt ihnen einen überblick wie lange dieses OTP-Passwort noch aktiv ist.
OTP benutzen
Bei einem Login auf das Administrations- oder User-Webinterface erhalten sie nun ein weiteres Authentifikationsfeld mit der Bezeichnung OTP Code:.
Hier tragen sie zusätzlich zum Benutzernamen und Passwort, den in der App generierten Code ein.
Wenn sie das OTP im Zusammenhang mit einer SSH-Konsole oder direkt an der Konsole der UTM verwenden, tragen sie bei der Passwortabfrage den OTP-Code ohne Leerzeichen direkt nach dem Benutzerkennwort ein.
| Beispiel: | |
| Passwort: | insecure |
| OTP: | 12345 |
Eingabe in der Passwortzeile: insecure12345
Das selbe gilt auch bei Anmeldungen per SSL-VPN und Xauth VPN Verbindungen.