Možnosti doručenia

Predvolené možnosti doručenia OTP (SMS, mobilná aplikácia) dokonale vyhovujú väčšine používateľov. ESA okrem toho umožňuje aj nastavenie vlastných možností doručenia.

V nástroji ESA Web Console kliknite na Settings > Delivery Options.

Vyberte Email alebo zadajte cestu k svojmu vlastnému skriptu, ktorým sa má riadiť poskytovanie alebo doručovanie OTP. Ak chcete zobraziť zoznam parametrov, ktoré môžete preniesť do vlastného skriptu, kliknite na Insert attribute. Napríklad doručenie OTP je možné len vtedy, ak použijete parameter [OTP]. Môžete tiež zadať vlastný reťazec, ktorý sa má preniesť do skriptu (pozri parameter1 na obrázku vyššie).

Autorizácia príkazov

V programe ESET Secure Authentication On-Prem 3.0.21 a novších verziách si možnosť Use custom application vyžaduje autorizáciu príkazov.

1.Vytvorte priečinok „authorized_command“ v priečinku zobrazenom pod príkazovým poľom. V našom príklade je to C:\Program Files\ESET Secure Authentication On-Prem\.

2.Podľa inštrukcií nachádzajúcich sa pod poľom príkazového riadka vytvorte „delivery_provisioning.txt“ alebo „delivery_opt.txt“ v priečinku „authorized_command“ a uložte poskytnutý hash do priečinka.

3.Kliknite na Save.

Použitie e‑mailu ako predvolenej možnosti doručovania/poskytovania

Ak chcete doručovať OTP alebo informácie o poskytovaní prostredníctvom e‑mailu, najprv zadajte podrobnosti o serveri SMTP:

1.V nástroji ESA Web Console kliknite na Settings > SMTP Server a vyplňte požadované údaje.

a.Ak sa používa protokol SSL/TLS, SSL certifikát servera SMTP musí byť dôveryhodný pre server, na ktorom beží ESA Authentication Server.

2.Ak chcete otestovať nastavenia, použite možnosť Send test email. Ak dôjde k úspešnému doručeniu e-mailu na zadanú e-mailovú adresu, nastavenia sú správne.

3.V sekcii Settings > Delivery Options vyberte Email a kliknite na Save.

4.Zapnite SMS-based OTPs pre konkrétneho používateľa:

a.Kliknite na Users.

b.Kliknite na používateľa, zapnite SMS-Based OTPs a kliknite na Save.

5.Ak je povolená individuálna registrácia, uistite sa, že je zapnutá možnosť SMS-Based OTPs v sekcii Settings > Enrollment > Default authentication types.

Bezpečnosť možností overenia

ESA ponúka širokú škálu možností 2FA, aby sme vedeli vyhovieť rôznym potrebám našich zákazníkov.

Najbezpečnejšie a vysoko použiteľné je overenie typu Mobile Application push (push autentifikácia pomocou mobilnej aplikácie).

Medzi ďalšie veľmi spoľahlivé, hoci v niektorých situáciách menej pohodlné metódy, patria: Mobile Application OTP, hardvérový token a FIDO.

Overovanie využívajúce jednorazové heslá (OTP) zasielané cez SMS je stále dostupné, no nepatrí medzi najbezpečnejšie hlavne z dôvodu úrovne zabezpečenia systémov slúžiacich na doručovanie SMS.

V prípade overenia využívajúceho zasielanie OTP prostredníctvom e‑mailu môžu existovať schémy použitia, ktoré majú slabšie zabezpečenie.

Vzorový príklad pre typ nasadenia Active Directory Integration – doručenie OTP prostredníctvom vlastného e‑mailového riešenia (aplikácie)

Požiadavky

•Poznať podrobnosti o protokole SMTP e‑mailovej brány, ktorá sa má použiť na odoslanie e‑mailovej správy obsahujúcej OTP.

•Mať vlastný skript na odosielanie e-mailových správ.

•Mať vlastný skript .BAT, ku ktorému zadefinujete cestu v nástroji ESA Web Console, ako je znázornené na obrázku vyššie, pričom tento skript .BAT vyvolá váš vlastný skript určený na odoslanie e‑mailovej správy.

•Každý používateľ so zapnutým 2FA, ktorý dostáva OTP passwords e‑mailom, musí mať svoju e‑mailovú adresu uvedenú v rozhraní na správu Active Directory Users and Computers na karte General v poli Email.

Podrobnosti protokolu SMTP

V uvedenom skripte Python je potrebné nahradiť smtpserver:port, username a password zodpovedajúcimi podrobnosťami protokolu SMTP.

Vzorový skript .BAT na vyvolanie skriptu sendmail.py pri prenose základných parametrov – súbor je pomenovaný CustomMail.bat

c:\Python\python.EXE c:\work\sendmail.py %1 %2

Požiadavky

Tento vzorový príklad predpokladá, že knižnica Python je nainštalovaná na vašom hlavnom počítači s komponentom ESA Authentication Server a že poznáte cestu k súboru python.exe.

V časti Sending OTP by definujte cestu vedúcu k skriptu CustomMail.bat, vyberte základné parametre, ako sú [E-mail-Addresses] a [OTP], a potom kliknite na Save.

Rovnakým spôsobom je možné prispôsobiť poskytnutie (doručenie) mobilnej aplikácie, a to pomocou parametrov [PHONE] a [URL].

E‑mail vs. SMS

V porovnaní s SMS (alebo poskytnutou mobilnou aplikáciou) je e‑mail o trochu menej bezpečnejším nástrojom na distribúciu OTP, pretože e‑mailová správa sa dá prečítať na akomkoľvek zariadení, ktoré používateľ vlastní. Táto metóda nezaručuje, že zamýšľaný príjemca vlastní registrovaný telefón (telefónne číslo).

˄˅