Die privacyIDEA Authenticator App unterstützt im Zusammenspiel mit privacyIDEA 3.1 die Authentifizierung mittels Push-Token.

Der Push-Token

Dabei sendet das privacyIDEA Backend, wenn sich der Benutzer an bspw. einer Webseite anmelden möchte, eine kryptographisch gesicherte Challenge an das Smartphone des Benutzers. Dieser muss auf seinem Smartphone den Anmeldewunsch lediglich bestätigen. Im Hintergrund sendet das Smartphone die von ihm signierte Challenge an privacyIDEA zurück. Durch die Signatur ist sichergestellt, dass wirklich der Anwender den Login-Wunsch bestätigt hat.

Der Benutzer wird automatisch angemeldet.

Dies ist bspw. schon im Zusammenspiel mit dem privacyIDEA ownCloud Plugin realisiert. 

Der privacyIDEA Authenticator auf iOS

Seit gestern ist nun der privacyIDEA Autheticator mit der Push-Funktionalität auch für iPhones ab iOS 12.4 im Apple App Store verfügbar. 

Neben der privacyIDEA Authenticator App unterstützt privacyIDEA eine Vielzahl an Software-Token, Hardware-Token und anderen Authentifizierungsmöglichkeiten. Wenn Sie Ihre Logins im Unternehmensumfeld mit einem flexiblen zweiten Faktor absichern möchten, sprechen Sie uns an!

Letzte Woche wurde die Version 3.1.1 von privacyIDEA veröffentlicht.

Gegenüber der Version 3.1 behebt sie nun ein Problem im Audit-Log, dass die Seriennummern der Token nicht ins Audit-Log eingetragen wurden.

privacyIDEA 3.1.1 ist in den üblichen Repositories verfügbar, im Python Package Index und in den Community Repositories für Ubuntu.

Für Unternehmenskunden steht privacyIDEA 3.1.1 auch in den Enterprise-Repositories für Ubuntu,  CentOS/Red Hat Enterprise Linux und den Univention Corporate Server zur Verfügung.

Erfahren Sie mehr über die Enterprise Edition.

NetKnights verfeinert die Stellschrauben

Kassel, 4.9.2019. Der Open-Source-Security-Spezialist NetKnights hat seine Mehr-Faktor-Authentifizierungssoftware „privacyIDEA“ aktualisiert und erheblich erweitert. Die neue Version bietet mehr Flexibilität, um die Rechte von Benutzern – und Administratoren – granularer zu definieren. Die Migration von proprietären und Altsystemen ist deutlich vereinfacht.

Mit der Version 3.1 von privacyIDEA ist es möglich, die Richtlinien für Benutzerrechte an andere Benutzerparameter, beispielsweise LDAP-Attribute, zu binden. Außerdem erleichtert eine automatische Neu-Zuordnung von bereits genutzten Token die Migration von anderen 2FA-Systemen noch einmal deutlich. Die „alte“ Token-PIN eines Benutzers lässt sich ebenfalls automatisch ohne Zutun der IT-Abteilung übernehmen.

Mehr Flexibilität bei der Definition von Richtlinien

Richtlinien lassen sich an beliebige Benutzerattribute binden

Der Administrator kann mit privacyIDEA ab sofort Richtlinien abhängig von beliebigen Attributen definieren. Welche Attribute das sind, wird in erweiterbaren Modulen definiert; in Version 3.1 ist hierzu das Benutzermodul enthalten. Das bedeutet, der Administrator muss die Richtlinien nicht wie bisher an eine komplette Benutzerquelle binden, sondern kann innerhalb einer Benutzerquelle beziehungsweise Benutzergruppe abhängig von dem jeweiligen LDAP-Attribut eines Benutzers ein unterschiedliches Verhalten durch die Richtlinien erzeugen. So kann ein Unternehmen zum Beispiel durchsetzen, dass Benutzer mit Zugriff auf sensiblere Daten sich nur mit einem sicheren Tokentyp anmelden können oder Benutzern, die beispielsweise keine E-Mail-Adresse haben, manche Funktionen verwehrt wird.

Gleichzeitig ist im neuen privacyIDEA die Separation der speziellen Leserechte von Administratoren weiter ausgebaut. Mit Hilfe der Richtlinien lässt sich definieren, welche Administratoren oder Helpdesk-Mitarbeiter manche Konfigurationen lesen dürfen oder nicht. Auch die Leserechte der Administratoren auf Tokens wurden verfeinert. Sie haben nur Zugriff auf die Schlüssel, die ihnen zugeordnet sind. So lassen sich noch besser Mandantenszenarien abbilden.

Administratoren können nun dedizierte Leserechte zugewiesen werden

Leichtere Migration durch automatische Token-Zuordnung

privacyIDEA ermöglicht eine sanfte Migration von proprietären Alt- oder 2FA-Systemen. Dies ist relevant, wenn Hersteller proprietäre Systeme nicht mehr weiterentwickeln („End-of-Life“) oder Produkte den Anforderungen der Anwender nicht mehr genügen. 

Nachdem die Seed-Files der Altsystems-Tokens in privacyIDEA importiert sind, kann das System die Token unmittelbar während des Anmeldeversuchs dem Benutzer in privcayIDEA zuordnen. Gleichzeitig kann privacyIDEA automatisch die alte Token-PIN setzen, ohne dass hierzu ein Mitarbeiter aus der IT oder der Benutzer tätig werden muss.

Viele zusätzliche Erweiterungen

Der RADIUS Token unterstützt nun Challenge-Response. Die Push-Token Funktionalitäten wurden erweitert. So kann ein Authentifizierungs-Request mit der Antwort so lange warten, bis die Push-Nachricht bestätigt ist. Dies erleichtert die Einbindung des privacyIDEA Push-Tokens in Drittprodukte.

Der TiQR-Token] ist um einige Funktionen erweitert, welche die Bedienung angenehmer machen. Der TiQR-Token ist von der Funktion her einem Push-Token vergleichbar. Die Challenge wird allerdings nicht über den Push-Service eines Drittherstellers gesendet, sondern über einen QR-Code, den der Benutzer scannt.

Der Administrator kann in der grafischen Oberfläche von privacyIDEA für die Benutzer eine Willkommensnachricht definieren, um neue Benutzer besser durch den Rollout-Prozess zu führen.

E-Mail-Benachrichtigungen können nun eine Vielzahl neuer Platzhalter zum Inhalt haben, um die Nachricht besser auf die jeweilige Situation anzupassen.

Der privacyIDEA-Server kann erzwingen, dass ein Token in der privacyIDEA Authenticator App mit einer PIN geschützt werden muss.

Auch mit dem Login am WebUI lassen sich nun Event-Handler-Ereignisse verbinden.

Eine komplette Liste der Änderungen findet sich im Changelog bei Github.

Verfügbarkeit

privacyIDEA 3.1 ist ab sofort über die öffentlichen Repositories für Ubuntu 16.04 und 18.04 verfügbar. Außerdem kann die Software über den Python Package Index auf beliebigen Distributionen installiert werden.

Die NetKnights GmbH wird auch in diesem Jahr als Aussteller auf der Business-Messe it-sa in Nürnberg vertreten sein.

Vom 8. bis zum 10. Oktober 2019 trifft sich auf dem Nürnberger Messegelände das Who-is-Who der deutschen und internationalen IT-Security-Anbieter. Besucher haben die Möglichkeit, sich aus erster Hand über Neuerungen und Pläne der Anbieter zu informieren.

Die NetKnights GmbH ist als Mitaussteller von ownCloud in Halle Halle 10.0 Stand 412 vertreten. Wir präsentieren dort das Mehr-Faktor-Authentifizierungssystem privacyIDEA, das ownCloud in Unternehmensumgebungen um unterschiedliche zweite Faktoren erweitern kann und so Ihre unternehmenskritischen Daten zuverlässig schützt. Do einmal im Unternehmen ausgerollt gestattet privacyIDEA ebenso die sichere Anmeldung an anderen Webapplikationen, Remote-Login, VPN, Desktops und Terminalserver…

Vereinbaren Sie ein Gespräch, um zu klären wie auch in Ihrem Netzwerk, privacyIDEA an zentraler Stelle die Sicherheit bei der Anmeldung erhöhen kann.

Mitte September findet in Nürnberg die alljährliche ownCloud Conference statt. Dort treffen sich Anwenderfirmen, Entwickler aus der Community oder Partner um sich über die neusten Entwicklungen, Planungen und Erfahrungen auszutauschen.

ownCloud ist ein starker Partner von NetKnights. Mit dem privacyIDEA ownCloud Plugin exitiert eine stabile Software, die ownCloud auf viele verschiedene Arten und Weisen um eine unternehmenstaugliche Zwei-Faktor-Authentifizierung erweitert. Viele Unternehmen setzen auf die privacyIDEA-Komponente, um den Webzugriff auf ownCloud zuverlässig abzusichern.

Vortrag und Demopoint

Auf der ownCloud Conference wird die NetKnights GmbH daher allen Interessenten an einem Demopoint Rede und Antwort zu allen Fragen stehen bezüglich der Zwei-Faktor-Authentifizierung an ownCloud mit privacyIDEA. Neu ist dabei zum Beispiel auch die Anmeldung an ownCloud mit dem privacyIDEA Push Token. Dabei bekommt der Benutzer nach der Eingabe seines Benutzernamens und seines Passwortes an der ownCloud-UI eine Nachricht auf sein Mobiltelefon gesendet, die er lediglich durch einen Klick bestätigen muss.

Genau zu diesem Thema wird Cornelius Kölbel am 18. September 2019 auch einen Vortrag halten und zeigen, wie auch dieser Authentifzierungsmechanismus mit allen anderen in privacyIDEA (HOTP/TOTP, Yubikey, Email, SMS…) kombiniert werden kann.

Kontakt

Sprechen Sie uns an, wenn Sie schon im Vorfeld Fragen haben oder wenn Sie einen Gesprächstermin festmachen möchten.

privacyIDEA wird am 31. Mai und 1. Juni auf dem Texas LinuxFest in Dallas vertreten sein.

Cornelius Kölbel wird einen Workshow durchführen, in dem die Teilnehmer das Mehr-Faktor-Authentifizierungssystem privacyIDEA in ein bestehendes Netzwerk installieren, Benutzer aus einem AD lesen, Token zuweisen und den Zugang zu ownCloud, NGinX oder SSH um eine Zwei-Faktor-Authentifizierung erweitern. Single Sign On ist ein wichtiger Mechanismus, um das Leben der Benutzer zu erleichtern. Aber der Schutz dieses einzelnen Logins ist daher umso wichtiger. Schützen Sie SSO mit einem zweiten Faktor. Im Workshop wird die Zwei-Faktor-Authentifizierung mit privacyIDEA an Keycloak oder simpleSAMLphp betrachtet.

Am nächsten Tag wird Cornelius Kölbel einen Vortrag halten, wie Firmen und größere Benutzergruppen eine bestehende 2FA-Lösung leicht nach privacyIDEA migrieren können.

Wenn Sie Interesse an diesen Themen haben, treten Sie gerne mit uns in Kontakt.

Heute wurde die privacyIDEA Enterprise Edition 3.0.1 veröffentlicht. Sie ist das stabile Bug-Fixing Release für unsere Unternehmenskunden, das Probleme aus der Version 3.0 behebt.

Push Token

Im Bereich der neuen Funktion des Push-Token wurden Fehler behoben bzw. die Bedienbarkeit verbessert.

  • Eine Logikprüfung der Firebase-Konfiguration für den PUSH-Token wurde ergänzt (#1592).
  • Die doppelte Benachrichtigung bei der Registrierung von PUSH-Token wurde entfernt (#1598).
  • Leerzeichen im Namen der Firebase-Konfiguration sind nun erlaubt (#1599).
  • Unterstützung für iOS Firebase Konfiguration hinzugefügt (#1608).
  • Das Problem von PUSH-Token bei gleichzeitigen Label-Richtlinien wurde behoben (#1589).
  • Die Challenges von akzeptierten PUSH-Token werden in der Datenbank nun richtig marktiert  (#1584).

(Die Nummern in den Klammern geben jeweils die Github-Issues an)

Stabile Enterprise-Version

Darüberhinaus wurden die folgenden Probleme behoben oder Funktionalitäten verbessert:

  • Registrierungstoken funktionieren nun zusammen mit einem Gültigkeitszeitraum (#1587).
  • Vertikalte Ausrichtung im Menü im WebUI wurde korrigiert (#1559).
  • Fehler beim Lesen des User-Cache-Timeouts wurde behoben (#1596).
  • Die Links im Auditprotokoll wurden für normale Benutzer entfernt (#1497).
  • WebUI-Richtlinien werden nun auch auf Resolver geprüft (#1496).
  • Der Platzhalter im Realm Dropdown-Menü im Login-Dialog wird nun richtig angezeigt (#1498).
  • Das Problem beim Erzeugen des Encryption-Keys unter Python 3 wurde behoben (#1594).
  • Die „browserLanguage“ kann nun in eigenen UI templates verwendet werden (#1620).
  • Beim suchen in Richtlinien werden alle Rubriken automatisch geöffnet (#1558).
  • Support-Links werden bei entsprechender Konfiguration auch im Menü ausgeblendet (#1626).

Sichern Sie Ihr Netzwerk ab

Die Version 3.0.1 ist öffentlich verfügbar und kann leicht über den Python Package Index oder über Repositories für Ubuntu 16.04LTS und 18.04LTS installiert werden.

Unsere Unternehmenskunden wurden über die Aktualisierungen informiert. Ihnen steht außerdem ein Repository für Red Hat Enterprise Linux 7 und eine Appliance-Applikation zur Verfügung. Wenn Sie sich für die Enterprise Edition interessieren, erfahren Sie hier mehr.

Wollen Sie auf dem Laufenden bleiben, abonnieren Sie bitte unseren Newsletter.

Mit der privacyIDEA ownCloud App in Version 2.5.1 ist nun eine flexiblere Authentifizierung an ownCloud mit einem zweiten Faktor möglich. Benutzer können auch sogeannte Challenge Response Token beliebig kombinieren. So kann sich ein Benutzer bspw. mit U2F-Token oder auch mit einem Email- oder SMS-Token anmelden. Dies kann interessant sein, da schwächere Anmeldeverfahren wie SMS gerne als temporäres Backup oder im Zuge eines Rollout-Prozesses verwendet werden.

Die privacyIDEA ownCloud App in Version 2.5.1 ist im ownCloud Marketplace verfügbar.

Für Kunden, die eine kritische Infrasturktur betreiben oder auf die verlässliche Funktion Ihrer ownCloud angewiesen sind, bieten wir Support und ein Service Level Agreement für die privacyIDEA ownCloud App.

Wir sind stolz, dass wir heute privacyIDEA 3.0 veröffentlichen können. Denn mit privacyIDEA 3.0 stellen wir die Weichen für eine stabile Zukunft.

Während viele sich schnell in verlockenden MFA SaaS-Angeboten verlieren, wollen wir unseren Kunden weiter die Möglichkeit geben, ihre sichere Mehr-Faktor-Authentifizierung mit einem vertrauenswürdigen System unter der eigenen Kontrolle, on Premise, durchzuführen. Damit das auch in Zukunft so bleibt, haben wir an mehreren Punkten in den vergangenen Monaten gearbeitet. Vordergründig scheinen die erstmal keinen Wow-Effekt zu bringen, aber Ihnen als Unternehmenskunde geben sie das, was für Sie zählt: Langfristige Stabilität!

Python 3

privacyIDEA ist in Python geschrieben. Die Python Version 2.7 wird ab 2020 nicht mehr weiterentwickelt. Wir haben den Code von privacyIDEA 3.0 so geschrieben, dass er sowohl unter Python 2.7 als auch unter Python 3.x läuft. Das gibt Ihnen die Sicherheit, dass Sie ohne Migrationsprojekte von Python 2.7 auf Python 3 wechseln können und auch nach 2020 privacyIDEA entspannt einsetzen können.

Eine PIP-Installation von privacyIDEA 3.0 können Sie wahlweise schon auf Python 3 betreiben. Die Enterprise-Pakete werden wir derzeit noch mit Python 2.7 ausliefern und sie dann im Laufe der kommenden Monate auf Python 3 ändern. Für Sie ist dann außer einem normalen Update nichts weiter zu tun.

Cryptofunktionen

Unter der Haube haben wir auch Crypto-Bibliotheken ausgetauscht. Die alte Bibliothek pycrypto musste dem de-Facto-Standard cryptography weichen. Signaturen und verschlüsselte Daten haben nun zusätzlich eine eigene Versionierung, so dass wir hier zukunftssicher sind, wenn wir die Art und Weise, wie wir signieren oder verschlüsseln, austauschen wollen. Dank der Versionierung können wir hier einfach die Abwärtskompatibilität sicherstellen.

Datenbank-Schema

Wir haben mit einer Design-Altlast gebrochen, die auf die ersten Versionen im Jahr 2009 zurückgeht. Bisher wurde die Zuordnung eines Tokens zum Benutzer in der Datenbank in der Tokentabelle selber gespeichert. Das war zwar einfach, aber nicht flexibel. Die Zuordnung erfolgt nun in einer eigenen Tabelle, so dass wir datenbankseitig schon vorbereitet haben, dass mehrere Benutzer den gleichen Token besitzen können. Dies wird es uns in der Zukunft erleichtern, ganz neue Tokentypen zu entwickeln.

Installationsvarianten

Wir haben uns entschieden, alle Installationsvarianten als sogenannte Python virtualenv auszuliefern. In einem dedizierten Verzeichnis bringt privacyIDEA alle Abhängigkeiten mit, die es benötigt. Dadurch stellen wir sicher, dass unabhängig davon, ob privacyIDEA auf einem Debian, Ubuntu, RHEL oder SLES läuft und per pip, apt oder yum installiert wurde, in einer gegebenen Version der komplett gleiche Code läuft. Das hilft, Seiteneffekte von unterliegenden Abhängigkeiten auszuschließen. Die Installationen werden homogener und stabiler.

Dennoch ist weiterhin wie gehabt eine einfache Installation und Update mittels apt/aptitude oder yum möglich.

Ab privacyIDEA 3.0 werden wir keine Pakete mehr für Ubuntu 14.04LTS bauen. Dafür bieten wir ab 3.0 Pakete für Ubuntu 18.04LTS und 16.04LTS an. Die Pakete für Ubuntu können wir aber nicht mehr in den PPA Launchpad Repositories veröffentlichen. Vielmehr veröffentlichen wir diese nun in einem eigenen Repository.

Installation der neuen Version privacyIDEA 3.0

privacyIDEA 3.0 ist die Community Edition, die auf dem Python Package Index und in Repositories für Ubuntu 16.04LTS und 18.04LTS verfügbar ist. Wegen der Änderungen bitten wir Sie, die Installations- und Update-Anleitungen genau zu lesen.

Die Enterprise Edition für Unternehmenskunden wird in einigen Wochen als Version 3.0.1 folgen.

Lesen Sie außerdem unsere Pressemitteilung zum Release von privacyIDEA 3.0.

Die quelloffene Mehrfaktor-Authentifizierungssoftware privacyIDEA ist in der Version 3.0 erschienen. Als wesentliche Neuerung nennen die Entwickler des in Python geschriebenen Authentifizierungsservers die Unterstützung von Python 3, womit ein langfristig zukunftssicherer Betrieb sichergestellt wird. Mit Push-Token wurde außerdem ein neuer Tokentyp eingeführt, um die User Experience weiter zu verbessern. Außerdem wurden die Kryptographie-Module auf neue, zeitgemäße Bibliotheken umgestellt und ein generischer Queue-Mechanismus eingeführt, mit dem zeitintensive Aufgaben aus einer Authentifizierungsanfrage ausgelagert werden können.

Mit der Umstellung auf Python 3 reagieren die Entwickler von privacyIDEA auf die Einstellung des Supports von Python 2.7 ab 2020. Unternehmen und Endanwender, die privacyIDEA einsetzen, erhalten damit die Sicherheit, dass die Open-Source-Lösung auch in Zukunft modernste Standards unterstützt und kontinuierlich weiterentwickelt wird.

Als neuer Tokentyp für die Authentifizierung wurden sogenannte Push-Token eingeführt. Benutzer haben nun die Möglichkeit, bei der Anmeldung an einem Dienst Benachrichtigungen über die privacyIDEA Authenticator App zu erhalten und auf Ihrem Smartphone durch einen einfachen Klick die Anmeldung zu bestätigen.

Mehr Flexibilität für Administratoren

Die Kryptographie-Module wurden mit dem Release auf neue, zeitgemäßere Bibliotheken umgestellt. So wurde bspw. die nicht mehr gepflegte Bibliothek pycrypto entfernt und gegen cryptography ausgetauscht. Diese gilt als neuer De-Facto-Standard in der Python-Community.

Ein generischer Queue-Mechanismus erlaubt nun, dass zeitintensive Aufgaben aus dem eigentlichen Authentifizierungsrequest ausgelagert werden können. So kann der Administrator bspw. bei der Verwendung von E-Mail-Token definieren, dass eine E-Mail außerhalb der eigentlichen Authentifizierunganfrage gesendet wird, was die Wartezeit bei der Anmeldung verkürzt.

Das Datenbankschema sieht nun vor, dass ein Authentifizierungsobjekt (Smartphone, OTP-Token, Yubikey, X509-Zertifikat) mehreren Benutzern zugeordnet werden kann. Dadurch wird privacyIDEA flexibler und ermöglicht in Zukunft ein leichtere Wartbarkeit.

Bereits seit der Version 2.23 haben Administratoren die Möglichkeit, über beliebig gefilterte Ereignisse Statistiken zu erzeugen und diese zum Beispiel in Grafana darzustellen.
Mit der Version 3 lassen sich nun darüber hinaus eigene Module zur Speicherung der Statistik-Daten integrieren. Anfallende Daten können dadurch in Datenbanken abgespeichert werden, die für die Verarbeitung von Zeitreihen besser geeignet sind (z.B. Prometheus).

Für Ubuntu 16.04 LTS und Ubuntu 18.04 LTS stehen Repositories bereit, die eine leichte Installation von privacyIDEA 3.0 ermöglichen. Aus dem Python Package Index heraus kann es auf jeder anderen beliebigen Distribution installiert werden. Das Paket ist auch direkt über Github auffindbar: https://github.com/privacyidea/privacyidea
Aufgrund der weitreichenden Schema-Änderungen wird empfohlen, vor einem Update die Dokumentation unter https://privacyidea.readthedocs.io genau zu lesen.

Über privacyIDEA

privacylDEA ist ein Multi-Client- und Multi-Instanz-fähiges System zur Sicherung der Identitäten (ID) durch Mehr-Faktor-Authentifizierung. Es wird an zentraler Stelle zusätzlich zur Benutzerverwaltung installiert und verwaltet die Authentisierungs-Geräte (unterschiedliche Token, OTP-Token, Smartphone-Apps, U2F) und Zugriffsrechte der Benutzer. Es kann mit selbsterzeugtem Schlüsselmaterial umgehen.

Weitere Informationen finden Sie unter https://netknights.it/produkte/privacyidea. Wenn Sie sich über die neuesten Entwicklungen rund um privacyIDEA auf dem Laufenden halten möchten, besuchen Sie https://netknights.it/aktuelles/.

(Referenz privacyIDEA-Projekt: https://www.privacyidea.org/privacyidea-3-0—python-3,-push-and-policies/)