Dotaz: EAP-TLS dvoufaktoroa autentizace

[Martin Zavacky]

Zdravim, ma prosim nekdo zkusenost s nasazenim a pouzitim EAP-TLS? Zajimalo by me, zda lze rict, ze EAP-TLS vyuziva doufaktorou autentizaci. Je to tak, ze uzivatel zada sve uzivatelske prihlasovaci udaje a pote je jeste pouzit certifiksat - tedy dva faktory, nebo se uzivatel prihlasuje pouze se zadanim certifikatu - tedy jeden faktor?

Mam pocit, ze jsem narazil na obe varianty, tak jsem z toho trochu zmateny, je to mozne?

Odpovědi

[timeos]

je to jednofaktorova autentifikacia - klientskym certifikatom.

[Martin Zavacky]

Urcite to jde timto zpusobem nakonfigurovat, ze je treba pouze klientsky certifikat.

Ja mam ale pocit, ze nekde jsem videl i takovou konfiguraci, kde bylo napred nutne zadat domenove prihlasovaci udaje a pak certifikat ulozeny na cipove karte. I google potvrzuje ze EAP-TLS ma neco s docinenim s dvoufaktorou autentizaci:

http://www.google.cz/search?q=EAP-TLS+two+factor

Jak to ted je?

[timeos]

Pozrel som si to. Myslim si, ze autor clanku myslel tu dvojfaktorovost pri EAP-TLS tak, ze:

• jednak server dokaze overit identitu klienta klientskym certifikatom (overuje issuera a dalsie podmienky)
• a druhak klient dokaze na zakladne svojho certifikatu overit certifikat servera co je vyhodne v pripadoch kedy utocnik podvrhne original server svojim vlastnym serverom

takze tuto dvojfaktorovu autentifikaciu by som skorej nazval ako obojstrannu autentifikaciu. Nie ako dvojfazovu.

Dvojfazova ma napada v pripade pouzitia IPSec VPN s pouzitim EAP-TLS a XAUTH, kde najprv prebehne overenie klientskeho certifikatu a nasledne sa VPN klient este dodatocne autentifikuje podla danych pravidiel (napr pomocou domenove mena+hesla).