Обзор Multifactor, системы многофакторной аутентификации для внутренних ресурсов

Система Multifactor от компании «Мультифактор» выделяется на рынке продуктов для многофакторной аутентификации рядом отличительных особенностей. Во-первых, она предлагается по сервисной подписке, что облегчает процесс интеграции и сокращает время до начала пользования. Во-вторых, дополнительный фактор для аутентификации можно выбирать из многих вариантов, включая такой необычный, как мессенджер Telegram. Какие ещё возможности предоставляет Multifactor, мы узнаем далее.

1. Введение
2. Функциональные возможности системы Multifactor
3. Архитектура системы Multifactor
4. Системные требования Multifactor
5. Сценарии использования системы Multifactor
   
   1. 5.1. Начало работы с системой Multifactor
   2. 5.2. Управление ресурсами в системе Multifactor
   3. 5.3. Управление пользователями в системе Multifactor
   4. 5.4. Управление доступом в системе Multifactor
   5. 5.5. Журналирование событий в системе Multifactor
6. Выводы

Введение

Долгое время считалось, что классический метод аутентификации, основанный на комбинации логина и пароля, весьма надёжен. Однако сейчас утверждать такое уже не представляется возможным. Всё дело — в человеческом факторе и наличии у злоумышленников больших возможностей по «угону» пароля. Не секрет, что люди редко используют сложные пароли, не говоря уже о том, чтобы регулярно их менять. К сожалению, является типичной ситуация, когда для различных сервисов и ресурсов применяется один и тот же пароль. Таким образом, если последний будет подобран посредством брутфорса или украден с помощью фишинговой атаки, то у злоумышленника появится доступ ко всем ресурсам, для которых применялся этот пароль.

Для решения описанной проблемы можно использовать дополнительный фактор проверки личности. Решения, основанные на таком методе, называются системами двухфакторной аутентификации (two-factor authentication, 2FA) или многофакторной аутентификации (multi-factor authentication, MFA).

Одним из таких решений является Multifactor от компании «Мультифактор». Эта система позволяет выбрать в качестве второго фактора один из следующих инструментов: аппаратный токен, SMS-сообщения, звонки, биометрию, UTF, Google Authenticator, «Яндекс.Ключ», Telegram или мобильное приложение. Необходимо добавить, что данное решение предлагается только в качестве сервиса, когда у заказчика устанавливаются лишь программные агенты, а ядро системы размещается на стороне вендора, избавляя таким образом специалистов заказчика от проблем с внесением изменений в инфраструктуру и решением вопросов по организации канала связи с провайдерами для приёма звонков и SMS-сообщений.

Заметим к слову, что информационно-аналитический центр Anti-Malware.ru уже поднимал тему MFA — например, в статье «Актуальные проблемы корпоративной многофакторной аутентификации».

Функциональные возможности системы Multifactor

Система Multifactor обладает следующими ключевыми функциональными особенностями:

1. Большой выбор способов аутентификации: Telegram, биометрия, U2F, FIDO, OTP, Google Authenticator, «Яндекс.Ключ», мобильное приложение Multifactor, звонки и SMS-сообщения.
2. Предоставление API для управления пользователями из внешних систем.
3. Готовность вендора доработать Multifactor под требования заказчика.
4. Журналирование действий пользователей при получении доступа.
5. Управление ресурсами, к которым осуществляется доступ.
6. Управление пользователями из консоли администрирования.
7. Возможность импорта пользователей из файлов формата CSV или простого текстового файла.
8. Большой перечень ресурсов, с которыми возможна интеграция Multifactor: OpenVPN, Linux SSH, Linux SUDO, Windows VPN, Windows Remote Desktop, Cisco VPN, FortiGate VPN, Check Point VPN, Yandex.Cloud, VMware vCloud, Huawei.Cloud (в России — SberCloud), Outlook Web Access, VMware Horizon, VMware AirWatch, Citrix VDI и другие.
9. Управление функциями системы Multifactor через единую консоль администратора.
10. Информирование администратора системы о потенциальных инцидентах в сфере ИБ.
11. Поддержка Active Directory и RADIUS.

Архитектура системы Multifactor

Как уже было сказано, Multifactor является сервисным продуктом. Таким образом, вычислительные мощности и сетевая инфраструктура, необходимые для работы системы, размещены в Москве, в дата-центре «Даталайн». ЦОД сертифицирован по стандартам PCI DSS (уровень 1) и ISO/IEC 27001:2005. На стороне заказчика устанавливаются только следующие программные компоненты с открытым исходным кодом: 

• RADIUS Adapter (для приёма запросов по протоколу RADIUS),
• IIS Adapter (для включения двухфакторной аутентификации в Outlook Web Access),
• портал самообслуживания (для самостоятельного управления средствами аутентификации со стороны пользователей).

Рисунок 1. Схема и описание работы компонентов Multifactor

Multifactor можно приобрести только по сервисной подписке. Стоимость лицензии зависит от количества пользователей. Доступна подписка на любой срок начиная от 1 месяца.

Интерфейс программного обеспечения Multifactor поддерживает только русский язык. Другие языки в данный момент не поддерживаются.

Система не имеет сертификатов по требованиям безопасности информации, но  программные агенты, которые устанавливаются на стороне заказчика, поставляются с исходным кодом, что даёт возможность убедиться в отсутствии недекларированных возможностей.

Необходимо отметить, что Multifactor включён в реестр российских программ для электронных вычислительных машин и баз данных.

Системные требования Multifactor

Для корректного функционирования Multifactor производитель установил отдельные системные требования по каждому из компонентов системы. В таблице 1 указаны минимальные ресурсы для RADIUS Adapter.

Таблица 1. Минимальные системные требования для установки RADIUS Adapter

В таблице 2 приведены показатели, соответствие которым необходимо для установки портала самообслуживания (Self-Service Portal).

Таблица 2. Минимальные системные требования для установки Self-Service Portal

На момент выхода статьи в Multifactor доступны следующие ресурсы для реализации механизма многофакторной аутентификации (см. табл. 3).

Таблица 3. Требования к ресурсам для интеграции с Multifactor

Сценарии использования системы Multifactor

Ниже будут описаны различные варианты работы системы Multifactor.

Начало работы с системой Multifactor

После установки всех необходимых программных компонентов можно приступать к работе с Multifactor. Все основные действия по управлению системой находятся в консоли администрирования. Для того чтобы зайти в неё, следует ввести логин и пароль.

Рисунок 2. Аутентификация в консоли администрирования Multifactor

При первом запуске консоли потребуется выбрать второй фактор аутентификации из числа предложенных.

Рисунок 3. Выбор дополнительного способа аутентификации в Multifactor

В качестве примера была выбрана аутентификация через Telegram. Для активации данного метода понадобится добавить в приложение Telegram на мобильном телефоне бота Multifactor. Далее от этого бота поступает сообщение, где для получения доступа необходимо нажать на кнопку «Да, это я» (рис. 4).

Рисунок 4. Подтверждение доступа в Multifactor через Telegram

После выполнения этого действия будет загружена консоль администрирования. Откроется раздел «Главная».

Рисунок 5. Главное меню консоли администратора в Multifactor

На этой вкладке можно поменять тариф оплаты, контактную информацию и логотип, а также сразу добавить защищаемые ресурсы. Переход на вкладку «Настройки» позволит изменить формат преобразования учётных записей и включить расширенный API для управления пользователями, ресурсами и настройками доступа к системе через программный интерфейс (рис. 6).

Рисунок 6. Управление настройками в Multifactor

Также в консоли администратора доступны разделы «Ресурсы» (для управления ресурсами заказчика), «Администратор» (для управления учётными записями администраторов Multifactor), «Пользователи» и «Группы» (для совершения операций с пользователями), «Запросы доступа» (для просмотра журнала подключений), «Проект» (для указания данных по текущей системе), «Тариф и оплата» (для просмотра возможностей текущего тарифа).

Отметим, что на вкладке «Проект» помимо названия системы можно указать данные администратора, в том числе и контактную информацию, чтобы пользователи знали, к кому обращаться в случае появления трудностей при доступе к ресурсам.

Рисунок 7. Настройка параметров проекта и контактной информации

Для взаимодействия с большей частью средств коммутации и сервисов в целях осуществления доступа в Multifactor используется сетевой протокол RADIUS (Remote Authentication Dial-In User Service). Система полагается на данный протокол в следующих сценариях:

• схема двухфакторной аутентификации, где в качестве первого фактора пользователь применяет пароль, а в качестве второго — мобильное приложение, Telegram или одноразовый код (OTP);
• схема однофакторной аутентификации, где пользователь применяет логин, а вместо пароля вводится второй фактор (например, пуш-уведомление).

Для того чтобы можно было использовать протокол RADIUS, необходимо обеспечить беспрепятственное подключение устройства доступа (сервер, межсетевой экран или другое средство сетевой коммутации) к адресу radius.multifactor.ru по UDP-порту 1812. Соответственно, данный порт и веб-адрес должны находиться в списке разрешённых.

Кроме того, протокол RADIUS можно применять для обеспечения безопасности подключения по SSH, использования команды SUDO и других операций, требующих усиленного контроля доступа. Также сетевой протокол RADIUS пригодится как дополнительный инструмент проверки подлинности Windows для подключения к удалённому рабочему столу (Remote Desktop).

Для полноценного использования протокола RADIUS в Multifactor применяется программный компонент Multifactor RADIUS Adapter.

Multifactor RADIUS Adapter реализует следующие возможности:

• получение запросов для прохождения аутентификации по протоколу RADIUS,
• проверка логина и пароля пользователя в Active Directory или NSP (Microsoft Network Policy Server),
• проверка второго фактора аутентификации на мобильном устройстве пользователя,
• настройка доступа на основе принадлежности пользователя к группе в Active Directory,
• включение второго фактора на основе принадлежности пользователя к группе в Active Directory,
• применение мобильного телефона пользователя из Active Directory для отправки одноразового кода через SMS.

Помимо RADIUS в Multifactor также используется протокол взаимодействия SAML, который кроме двухфакторной аутентификации предоставляет технологию единого входа (SSO) в корпоративные и облачные приложения, где первым фактором может быть логин и пароль от учётной записи в Active Directory либо в Google или Yandex. При использовании протокола SAML в Multifactor можно настроить взаимодействие для аутентификации со следующими приложениями и сервисами: VMware, Yandex.Cloud, SberCloud, Salesforce, Trello, Jira, Slack и др.

Управление ресурсами в системе Multifactor

Как уже было сказано выше, управление ресурсами осуществляется в разделе «Ресурсы». На данной вкладке возможно добавление ресурсов заказчика, таких как сайты, облачные решения, межсетевые экраны, серверы под ОС Linux и Windows. В частности, для подключения двухфакторной аутентификации на сайте потребуется помимо адреса этого сайта выбрать тип JSON-токена и провести процедуру интеграции с Multifactor посредством предоставляемых производителем инструкций.

Рисунок 8. Добавление ресурсов заказчика для реализации MFA

При добавлении нового ресурса появится отдельная страница, посвящённая ему (рис. 9). На такой странице будут представлены информация о названии ресурса и его адресе в сети «Интернет», параметры API для интеграции с Multifactor и формат токена доступа.

Рисунок 9. Просмотр данных о параметрах добавленного ресурса в Multifactor

Порядок подключения пользователей к сайту выглядит так, как показано на рисунке 10. Упрощённо получение доступа пользователем можно представить в виде совокупности следующих шагов:

1. На первом этапе пользователь вводит на сайте, к которому требуется доступ, свои логин и пароль.
2. Далее сайт проверяет корректность и правильность введённых пользователем данных.
3. В случае если все данные корректны, сайт делает запрос к API Multifactor для подготовки доступа. Обратно API направляет ответ, в котором содержится уникальный адрес страницы доступа для осуществления дальнейших действий.
4. На следующем этапе сайт перенаправляет пользователя на страницу доступа Multifactor, где проверяется второй фактор аутентификации.
5. После того как сотрудник пройдёт проверку по второму фактору аутентификации, система создаст JW-токен доступа и переадресует пользователя обратно на сайт.
6. Сайт проводит проверку JW-токена и в случае правильности и корректности данных авторизует пользователя.

Таким образом, для осуществления аутентификации в Multifactor применяется JW-токен (JSON Web Token) — стандарт создания метки доступа для обмена аутентификационной информацией между двумя сторонами. JWT имеет простую структуру, состоящую из трёх частей: заголовок, данные, подпись.

Рисунок 10. Схема получения доступа к сайту через Multifactor

Управление пользователями в системе Multifactor

Под управление пользователями в графическом интерфейсе Multifactor отводятся сразу два раздела: «Пользователи» и «Группы». В первом из них можно добавлять новых пользователей, задавая логин, имя, адрес электронной почты, телефон, а также группу, к которой должен относиться сотрудник. Помимо ручного ввода этих данных в Multifactor есть возможность их импорта из файлов формата TXT и CSV. Для корректного выполнения данной операции на каждого пользователя должна отводиться только одна строка.

Рисунок 11. Добавление новых пользователей в систему

Раздел «Группы», как можно понять по названию, позволяет создавать новые группы, в которые будут входить пользователи. Здесь есть возможности тонкой настройки следующих параметров: название группы, время жизни сеанса доступа, способы аутентификации (включая доступ без таковой), перечень ресурсов, с которыми смогут взаимодействовать сотрудники, IP-адреса, с которых будет возможен доступ, а также дни недели, в которые он будет разрешён.

Рисунок 12. Добавление новой группы для пользователей

Управление доступом в системе Multifactor

Управление доступом пользователей к ресурсам тоже осуществляется через вкладку «Группы», где есть возможность определить способ аутентификации, доступные ресурсы, период подключения и прочее.

Для того чтобы задать способ аутентификации для конкретного сотрудника, необходимо зайти в раздел «Пользователи», выбрать нужную учётную запись и нажать на строку «Детали». В открывшемся окне с данными пользователя можно отправить ссылку на выбор способа аутентификации.

Ссылка придёт на указанный электронный адрес (рис. 13).

Рисунок 13. Получение ссылки для самостоятельного выбора способа аутентификации

После перехода по ссылке у пользователя откроется окно для выбора предпочтительного способа аутентификации (рис. 14).

Рисунок 14. Выбор пользователем способа аутентификации

После выбора способа аутентификации пользователь сможет подключаться к ресурсу с выбранными параметрами.

Как уже отмечалось выше, в Multifactor есть возможность установить портал самообслуживания (Self-Service Portal). Данный компонент поставляется в комплекте с лицензией Multifactor и позволяет пользователям самостоятельно регистрировать второй фактор аутентификации внутри корпоративной сети Active Directory для безопасного подключения удалённого доступа через VPN или Remote Desktop.

Журналирование событий в системе Multifactor

Просмотр событий, связанных с доступом к ресурсам, реализован в Multifactor в разделе «Запросы доступа». Имеются фильтры для поиска событий по пользователю, ресурсу и периоду времени. В журнале отображается следующая информация по каждому запросу: дата подключения, имя пользователя, наименование ресурса, к которому осуществляется доступ, местоположение пользователя в момент получения этого доступа (страна и город) и статус его получения.

Рисунок 15. Просмотр данных о запросах пользователей в Multifactor

Выводы

По результатам тестирования Multifactor можно сказать, что данная система предлагает интересный и удобный механизм по использованию многофакторной аутентификации для доступа к практически любым ресурсам заказчика. Можно сделать более безопасной аутентификацию на веб-ресурсах и устройствах сетевой коммутации, в облаках и средствах виртуализации, в инфраструктуре Linux и Windows.

Большой выбор методов аутентификации позволяет подобрать наиболее удобный и безопасный вариант для любой группы пользователей или дать сотрудникам право самостоятельно определять способ удостоверения личности. Отметим также, что в качестве дополнительного фактора можно использовать такие современные инструменты, как мобильное приложение Multifactor, OTP от Google и «Яндекса», а также сообщения от бота в Telegram (тем более что мессенджер Telegram стал в последнее время вполне легитимным приложением и даже органы государственной власти используют его для своих официальных новостных каналов).

Наличие подробных инструкций, в том числе и в видеоформате, позволяет быстро и без особых трудностей осуществить интеграцию практически любого ресурса с системой Multifactor.

Ещё одним положительным моментом является легковесность внедрения данного решения. В инфраструктуре заказчика устанавливаются только три программных компонента (включая портал самообслуживания), обладающие вполне приемлемыми системными требованиями. Кроме того, вендор готов индивидуализировать свой продукт под нужды заказчика.

Из отрицательных сторон можно выделить отсутствие сертификата по требованиям безопасности информации, наличие программных компонентов только под ОС семейства Windows, невозможность импорта пользователей через Active Directory / LDAP.

По совокупности положительных характеристик, а также отмечая тот факт, что данная система вполне активно развивается (например, в одной из последних итераций в качестве одного из методов аутентификации появилось мобильное приложение), можно говорить о том, что Multifactor занимает выгодное место на рынке систем многофакторной аутентификации.