Opzioni di consegna
Le opzioni di recapito predefinite della OTP (SMS, app mobile) funzionano perfettamente per la maggior parte degli utenti. ESA può anche adattare opzioni di recapito personalizzate.
In ESA Web Console, fare clic su Settings (Impostazioni) 
> Delivery Options (Opzioni di consegna).
Selezionare Email o specificare il percorso dello script personalizzato in base al quale si desidera gestire il provisioning o la consegna dell’OTP. Fare clic su Insert attribute per visualizzare un elenco di parametri disponibili da trasmettere allo script personalizzato. Ad esempio, per poter consegnare l’OTP, è necessario utilizzare il parametro [OTP][OTP]. È inoltre possibile specificare una stringa personalizzata da trasmettere allo script (vedere parametro1) nella schermata precedente).
Autorizza comandi
In ESET Secure Authentication On-Prem versione 3.0.21 e successive, l’opzione Use custom application (Utilizza applicazione personalizzata) richiede l’autorizzazione dei comandi.
1.Creare una cartella "authorized_commandauthorized_command" nella cartella visualizzata sotto al campo del comando. In questo esempio, C:\Program Files\ESET Secure Authentication On-Prem\.
2.In base alle istruzioni fornite nel campo della riga di comando, creare "delivery_provisioning.txt" o "delivery_opt.txt" nella cartella "authorized_command" e salvare l'hash specificato nella cartella.
3.Fare clic su Save (Salva).
Utilizzare l’e-mail come opzione di consegna/provisioning predefinita
Per fornire le informazioni relative all’OTP e/o al provisioning tramite E-mail, definire prima i dettagli di un server SMTP di lavoro:
1.In ESA Web Console, fare clic su Settings (Impostazioni) > SMTP Server (Server SMTP) e inserire i dettagli richiesti.
a.In caso di utilizzo del certificato SSL/TLS, il certificato SSL del protocollo SMTP deve essere considerato attendibile dal server che ospita il server di autenticazione.
2.Utilizzare l’opzione Send test email (Invia e-mail di prova) per testare la configurazione. Se un messaggio di posta elettronica viene inviato all'indirizzo di posta elettronica fornito, la configurazione è corretta.
3.In Settings (Impostazioni) > Delivery Options (Opzioni di consegna), selezionare Email (E-mail) e fare clic su Save (Salva).
4.Abilita OTP basate su SMS per utente:
a.Fare clic su Utenti.
b.Fare clic su un utente, abilitare le OTP basate su SMS e fare clic su Salva.
5.Se è abilitata l’autoregistrazione, assicurarsi che le OTP basate su SMS siano abilitate in Impostazioni > Registrazione > Tipi di autenticazione predefinita.
|
Sicurezza delle opzioni di autenticazione ESA offre un'ampia gamma di metodi 2FA che si adattano alle diverse preferenze dei clienti. Il sistema più sicuro ed estremamente usabile è Mobile Application Push (Autenticazione push). Sempre molto affidabili, ma in alcune situazioni meno convenienti, sono: OTP applicazione mobile, Hard token, e FIDO. Le OTP basate su SMS, anche se ancora disponibili, non sono considerate le più sicure soprattutto a causa della sicurezza sottostante utilizzata nei sistemi di invio via SMS. In caso di scelta dell’invio dell’OTP tramite e-mail, potrebbero essere presenti schemi di utilizzo con una protezione più debole. |
Scenario campione disponibile nel tipo di distribuzione Active Directory Integration (Integrazione Active Directory): invio dell’OTP (Password monouso) tramite la soluzione e-mail personalizzata (applicazione)
Prerequisiti
•Consultare i dettagli del protocollo SMTP del gateway di posta elettronica che si desidera utilizzare per l’invio del messaggio e-mail contenente la OTP (Password monouso)
•Possedere uno script personalizzato per l'invio di messaggi e-mail
•Essere in possesso di uno script .bat personalizzato per il quale si definisce il percorso in , come illustrato nello screenshot precedente; lo script ESA Console Web chiama lo script personalizzato considerato nell'esempio che dovrebbe inviare il messaggio di posta elettronica
•Ogni utente abilitato con 2FA (Autenticazione a due fattori) che riceve OTP passwords (Password OTP) tramite e-mail deve aver definito il proprio indirizzo e-mail nel campo Email della scheda General (Generale) nel momento in cui visualizza i propri dettagli attraverso l'interfaccia di gestione Active Directory Users and Computers (Utenti e computer Active Directory).
|
Dettagli SMTP Nell'esempio di script Python precedente a smtpserver:port, username (nome utente) e password dovrebbero essere sostituiti con i dettagli SMTP corrispondenti. |
Esempio di script .BAT per la chiamata dello script sendmail.py durante la trasmissione dei parametri essenziali: il file viene denominato CustomMail.bat
c:\Python\python.EXE c:\work\sendmail.py %1 %2
|
Prerequisiti Questo esempio di scenario presuppone che la libreria python sia installata nel computer principale su cui è installato il componenteESA Authentication Server e che l’utente sia a conoscenza del percorso del file python.exe. |
Nel campo Sending OTP by (Invio di OTP tramite), definire il percorso che porta allo script CustomMail.bat, selezionare i parametri essenziali come [E-mail-Addresses] ([Indirizzi e-mail]) e fare clic su [OTP] ([Password monouso)] e su Save (Salva)
Il provisioning (invio dell'applicazione mobile) può essere personalizzato allo stesso modo utilizzando i parametri [PHONE] ([TELEFONO]) e [URL].
|
Consegna tramite e-mail VS tramite SMS Rispetto alla consegna tramite SMS (o all'utilizzo dell'applicazione mobile su cui è stato eseguito il provisioning), l'e-mail come mezzo di distribuzione delle OTP è leggermente meno sicura in quanto può essere letta su qualsiasi dispositivo posseduto dall'utente. Questo metodo non conferma che il destinatario previsto sia proprietario del telefono registrato (numero di telefono). |