Apriti Sesamo Plus Client per Windows

Transcript

1 Apriti Sesamo Plus Client per Windows 1. username e password per il logon di Windows 2. Username e password sono corretti. Windows è OK ma non quella al sistema Windows Domain Controller Utente finale al sistema deve rispondere alla richiesta di OTP PLEASE DIGIT YOUR OTP 3. Il server di Apriti Sesamo Plus invia OTP 4. dal Cellulare 5. La richiesta di valori e la Apriti Sesamo Plus sono inviate al server 7. al desktop e/o alla rete 6. Apriti Sesamo Plus Authentication server invia la conferma 61

2 Integrazione con Sistemi di Accesso Remoto Infrastruttura del Cliente Radius Server Radius Gateway di Accesso Remoto Esistente IP-SEC or SSL Gateway Supporta i principali Vendors 62

3 Client VPN o Web Browser 1. inserisce le sue credenziali di autenticazione Gateway di Accesso Remoto 2. Le credenziali vengono inviate al server Apriti Sesamo Plus Radius Server 3. Verifica sul server RADIUS PLEASE DIGIT YOUR OTP 4. Ia richiesta di OTPl Apriti Sesamo Plus viene presentato 5. La risposta viene inviata al server Apriti Sesamo Plus IG Radius Proxy 6. / rifiuto al client VPN 7. Repository 63

4 Integrazione del Repository GlobalTrust JNDI SSL LDAP Directory Database Utilizza gli Utenti esistenti senza bisogno di Provisioning Utilizza attributi e classi ausiliarie nei Repository di tipo LDAP (vengono forniti i file LDIF per Utilizza tabelle indipendenti nei Repository di tipo RBDMS (viene fornito lo schema per il database) 64

5 Scalabilità GlobalTrust Internet Infrastruttura del Cliente Utente Applicazione Esistente o di Sign-On Repository 65

6 Performance GlobalTrust Repository TPS* Response Time LDAP ms LDAP (cache) ms Database ms * Real World Example for multi-million user deployment: 16 M per month = 6 TPS Architettura a server singolo. Gli accessi in scrittura possono costituire un collo di bottiglia se si usa un Repository di tipo LDAP. 66

7 Scalabilità GlobalTrust Internet Infrastruttura del Cliente Utente Applicazione Esistente o di Sign-On Load Balancer (Sticky IP) Repository 67

8 Apriti Sesamo Plus come Strong Remoto 68

9 GlobalTrust Tramite il componente Radius Proxy, Apriti Sesamo Plus è in grado di prendere il controllo della fase di autenticazione, consentendo solo quando la seconda autenticazione con non è stata effettuata. Gli apparati e le configurazioni ufficialmente supportate sono i seguenti: 1. CISCO 3000 VPN Concentrator CISCO ACS Server 2. NORTEL VPN Router CES1700 (Continuity) 3. JUNIPER Secure Access IVE 4.2 SSL VPN 4. mentre quelli già annunciati sono: 4. CHECKPOINT Connectra 5. F5 FirePass 69

10 Apriti Sesamo Plus e CISCO VPN 3000 La configurazione supportata da Cisco Systems consiste in un VPN server costituito da VPN 3000 Series Concentrator ed in un Radius server del tipo Cisco Secure ACS RADIUS server. Per integrare GlobalTrust Apriti Sesamo Plus come secondo fattore di autenticazione gli step da effettuare sono i seguenti: 1. Configurazione del VPN server 2. Configurazione del RADIUS server 3. Configurazione 4. Test di Accesso dal VPN client 70

11 Test di Accesso dal CISCO VPN Client Nessuna modifica è richiesta sul VPN Client! 71

12 Apriti Sesamo Plus e NORTEL CES1700D La configurazione supportata da Nortel consiste in un VPN server costituito dal VPN Router CES1700D (Connetivity) ed in un Radius server del tipo Funk RADIUS server. Per integrare GlobalTrust Apriti Sesamo Plus come secondo fattore di autenticazione gli step da effettuare sono i seguenti: 1. Configurazione del VPN server 2. Configurazione del RADIUS server 3. Configurazione 4. Test di Accesso dal VPN client 72

13 Configurazione del Funk Radius Server La configurazione del RAS Clients va modificata nel seguente modo: IP Address va inserito Plus server. utilizzando Edit authentication shared deve essere utilizzato poi per configurare Apriti Sesamo Plus. 73

14 Configurazione di IG Radius Proxy Il Radius Proxy di Apriti Sesamo Plus va configurato inserendo i dati relativi al VPN Concentrator ed al Radius server ed esattamente: Port for the proxy server con la porta di comunicazione con il VPN server. VPN server name con il nome del VPN server. VPN server host VPN server secret con lo shared secret usato per il VPN server. RADIUS server name con il nome del Funk RADIUS server. RADIUS server host con il Funk RADIUS server. RADIUS server secret con lo shared secret usato nel Funk RADIUS server. 74

15 Test di Accesso al JUNIPER SSL VPN Il JUNIPER IVE 4.2 è un SSL VPN server e quindi non è richiesto 75

16 Scenari di Implementazione 76

17 Pre- GlobalTrust LRA Creates pre-produced OTP Send sms/mms (java apps) 1 GlobalTrust Apriti Sesamo Plus Admin API 1 Unassigned OTP repository. Identify cellular phone type and send appropriate file 2 OTP XML File User Store 3 Organization Auth. Application Internal or External Personalization & OTP Production Options Distribuzione: LRA o gestita centralmente Assegnazione: LRA o gestita attraverso sistemi IVR o pagine web 77

18 User Enrollment per la richiesta di OTP OTP Request comes from 2 options Depending on distribution system: 1. From Admin 2. From User Directly GlobalTrust Apriti Sesamo Plus Admin API Check user state and set user status to pending OTP activation 5 N IVR/Call Center Submit user ID 4 6 OTP XML File OTP Generation/Assignment (if not pre-produced) User Store 9 Activate OTP Admin Console Online Application Page 2 OTP Request w/ UserID & Password. 7 Auth. Application OTP XML File Submit (if not presend) 3 Verify UserID/password Distribute User 8 1 OTP Assignment User Log in w/user ID and Password Internal OR External Personalization & OTP Options 78

19 Attivazione OTP GlobalTrust GlobalTrust Apriti Sesamo Plus 9 OTP activated User 1 Log in w/userid and Password Online Application Page Activate OTP Alternative Login Transmit Response 2 8 Present Code/Challenge 7 OTP Activation request w/userid or OTP Serial number Transmit Code Auth. API 6 4 Organization Auth. Application 5 Submit userid Verify user exist in Apriti Sesamo Plus Repositoy 3 generate challenge Verify UserID code User Store IVR 79

20 Autenticazione Utenti Registrati 2 Verify UserID/Password Database User authenticates with current mechanism (ex. password) 1 Authentication Service 3 UserID sent to Apriti Sesamo Plus server for challenge/code Check User Code cellular info. Check Response in Step Online Customers 6 7 Apriti Sesamo Plus challenge/code presented User enters Apriti Sesamo Plus response Organization Authentication Application 5 8 Apriti Sesamo Plus server returns challenge/code User name and Apriti Sesamo Plus response sent to server GlobalTrust Apriti Sesamo Plus 11 User Authenticated Policy 10 Apriti Sesamo Plus server returns authentication confirmation 80