Autentisering av användare av VPN Enterprise Mobile Device - dummies

Innan du tillåter åtkomst till företagsnätverket från en mobil enhet, bör du först identifiera användaren. En typ av validering av användaridentitet är autentisering. Användarautentisering är den validering som en användare verkligen är som hon säger att hon är. Med andra ord visar användarautentisering att personen som försöker logga in på VPN, eftersom SueB verkligen är Sue Berks, och inte Joe Hacker.

Som med många säkerhetstekniker erbjuds en rad säkerhetsstyrkor genom dessa olika lösningar. Organisationer som är väldigt säkerhetsmedvetna använder vanligtvis en stark autentiseringslösning, såsom ett engångslösenordssystem eller X. 509 digitala certifikat. Användningen av stark autentisering har blivit mycket populär de senaste åren. Det är en bra praxis för alla organisationer. Mindre säkerhetsmedvetna organisationer klarar sig av statiska användarnamn och lösenordssystem för fjärrautentisering av användare.

Lokal autentisering

Lokal autentisering är en inbyggd databas för autentisering av användare. Hela användarkontostyrningen och lagringsutrymmet är gjort på VPN-apparaten.

De flesta VPN-leverantörer erbjuder denna typ av autentisering, även om den används främst för administratörsautentisering eller för mindre organisationer.

LDAP (Lightweight Directory Access Protocol)

LDAP (Lightweight Directory Access Protocol) är ett standardprotokoll för att fråga en katalogdatabas och uppdatera databasposter. Som en av de mer vanliga gränssnitten i VPN-implementeringar fungerar LDAP som valfritt protokoll för att fråga många typer av databaser, inklusive Active Directory.

Active Directory är en av de ledande katalogservrarna, och de flesta organisationer använder det till viss del. Många VPN-servrar erbjuder ett inbyggt Active Directory-autentiseringsservergränssnitt, men AD-implementeringar kan också utnyttja LDAP / LDAPS (LDAP över SSL) för frågor och uppdateringar.

RADIUS-autentisering och engångssystem för lösenord

De flesta VPN-system ger ett vanligt sätt att ansluta till dessa OTP-system via RADIUS-protokollet. Remote Authentication Dial-In User Service (RADIUS) tillhandahåller autentisering, auktorisering och bokföringstjänster; och de flesta OTP-system som finns tillgängliga på marknaden idag stödjer RADIUS.

X. 509 certifikatautentisering

Under de senaste åren har X. 509 digitala certifikat blivit mer populära som en autentiseringsmetod. De utfärdas av flera betrodda certifikatmyndigheter (CAs) till organisationer och slutanvändare.Utvecklingen inom USA: s regering har varit en stor förare för antagande av X. 509 certifikat. Som ett resultat har stödet förbättrats avsevärt de senaste åren, vilket gör implementeringen och den löpande administrationen mycket enklare.

När en VPN-apparat stöder X. 509 digitala certifikat måste den här apparaten utföra validering av ett certifikat för att säkerställa att intyget inte har återkallats. VPN validerar certifikatet med antingen

CRL (certifikatåterkallande listor):

• CRL: er är i huvudsak listor över återkallade certifikat som distribueras av certifikatutgivaren. OCSP (Online Certificate Status Protocol):

• OCSP är ett sätt att kringgå några av begränsningarna för CRL-kontroll (t.ex. storleken på listorna) och det anger ett sätt att verifiera certifikatstatus i realtid. Förutom certifikatstatusvalidering kan VPN också hämta användarattribut från certifikatet så att VPN-åtkomstkontrollsystemet kan jämföra med attribut i en katalog.

Säkerhetsanmärkning Markup Language

Säkerhetsuppsättning Markup Language (SAML) är en standard för autentisering och auktorisering av användare i olika system. I huvudsak är det en SSO-teknik (single sign-on). Vissa SSL VPN-apparater ger stöd för SAML, så att användare som redan är inloggade på andra system kan logga in på SSL VPN-systemet efter behov. SAML-autentiseringslösningar är vanligtvis inte kopplade till IPsec VPN.