PrivacyIDEA wird auch in diesem Jahr wieder bei den Chemnitzer Linux Tagen, CLT2020, vertreten sein. Dieses Mal spricht Cornelius Kölbel über Zwei-Faktor-Authentisierung im Single Sign-On (SSO) Kontext.

Termin: Sonntag, 17:00 , Raum V4

In einem Kurzpaper wird die Verwendung von speziellen 2FA-Systemen im Gegensatz zum anwendungsintegrierten 2FA-Management motiviert. PrivacyIDEA Enterprise Edition stellt eine professionelle dedizierte 2FA-Lösung dar und kann in allen Arten von Unternehmensnetzwerken eingesetzt werden.

SSO ist für die IT Administration Chance und Risiko zugleich. Benutzer und Passwörter werden zwar einheitlich und somit übersichtlich verwaltet, aber ein Verlust der Credentials bedeutet auch größeren Schaden. Ein obligatorischer zweiter Faktor erhöht hier das Maß an Sicherheit enorm.

Im Vortrag wird gezeigt, dass das Zusammenspiel von Keycloak und privacyIDEA als 2-Factor-Enabled Identity Provider eine solide Basis für die sichere Anbindung beliebiger SSO-fähiger Anwendungen bildet, die einfach verwaltet und erweitert werden kann.

privacyIDEA ist eine unternehmenstaugliche Multifaktor-Lösung, die mit kommerziellen Produkten wie RSA SecurID, Vasco oder SafeNet konkurriert. Sie wird weltweit von kleinen Gruppen, Organisationen, Firmen und Konzernen eingesetzt. Aus diesem Grund wenden wir uns auch an 2FA-Benutzer auf der ganzen Welt. Um IT-Profis, die privacyIDEA noch nicht kennen sollten, über diese flexible und nachhaltige Lösung zu informieren und um Anwender, die privacyIDEA bereits nutzen,  über die neuesten Funktionen zu informieren, wird privacyIDEA im März 2020 auf der Linux Expo in Südkalifornien (kurz: SCaLE 18X) zu hören sein.

Vortrag über die Migration hin zu privacyIDEA

Cornelius Kölbel wird einen Vortrag im Security Track am 8. März von 15 bis 16 Uhr halten.

Der Vortrag wird von den Entwicklungen im 2FA-Markt handeln. Neue Authentifizierungsmechanismen sind aufgekommen, proprietäre Produkte kamen und gingen. Lösungen, die vor kurzem noch die erste Wahl der IT-Leiter waren, konnten schon bald end-of-life sein.

In diesem Vortrag erfahren Sie, wie Sie mit privacyIDEA die Unwägbarkeiten des Marktes umschiffen können. Die Migration hin zu privacyIDEA ist einfach und stellt den Betrieb eines flexiblen und dynamischen Systems sicher, mit dem Sie auch zukünftige Authentifzierungsmechanismen umsetzen können.

Lesen Sie mehr in unserem Kommentar zu Mergers & Akquisitions.

Mit der privacyIDEA ownCloud App ist nun die Anmeldung an ownCloud mittels Push-Benachrichtigung möglich. Der Benutzer meldet sich mit seinem Benutzernamen und Passwort am ownCloud Webinterface an. Daraufhin bekommt er eine Push-Nachricht auf sein Smartphone geschickt. Diese muss er bestätigen, erst dann ist er im Webinterface angemeldet.

privacyIDEA ownCloud App im Marketplace

NetKnights veröffentlicht die privacyIDEA ownCloud App in der Version 2.6 im ownCloud Marketplace. Diese stellt die neue Anmeldung mit Push-Nachricht als zweiten Faktor bereit.

Hierzu ist im Hintergrund der privacyIDEA Server in Version 3.2 und auf dem Smartphone die privacyIDEA Authenticator App notwendig. Zwischen privacyIDEA Server und Smartphone App werden digital signierte Nachrichten ausgetauscht, so dass es für einen Angreifer nicht möglich ist, die Kommunikation zu verändern, zu fälschen oder eine replay-Attacke durchzuführen.

Sprechen Sie uns an, wenn Sie Zwei-Faktor-Authentifizierung mit flexiblen zweiten Faktoren in Ihrem Unternehmen umsetzen möchten.

Kassel, 2.12.2019. Der Open-Source-Security-Spezialist NetKnights hat eine neue Version der Mehr-Faktor-Authentifizierungssoftware „privacyIDEA“ bereitgestellt. Sie bietet neue Möglichkeiten, das Authentifizierungssystem durch flexible Konfiguration anzupassen und in die eigenen Workflows zu integrieren.

Mit der Version 3.2 von privacyIDEA erhält der Administrator zwei neue Event-Handler-Module, um Regeln zu definieren, die sowohl HTTP-Requests als auch HTTP-Responses der REST-API beliebig modifizieren können. Hierüber lassen sich Workflows hochgradig individualisieren. Es ist nun möglich, Audit-Informationen leicht an externe Log-Management-Tools wie Splunk oder Logstash weiter zu leiten und dort zu verarbeiten. Die Authentifizierung an der REST-API wurde so ausgebaut, dass eine robuste Integration in beliebige andere Applikationen umgesetzt werden kann.

privacyIDEA ist ab sofort über den Python Package Index und in Repositories für Ubuntu LTS verfügbar.

Zwei neue Event-Handler-Module machen flexibler

Bisher gab es im Event-Handler-Framework neben den Benachrichtigungen die Token-, Script-, Federation- und Statistik-Handler. Jetzt stehen mit dem Request-Handler und dem Response-Handler zwei weitere, sehr flexible Module zur Verfügung. Diese ermöglichen es dem Administrator, Regeln zu definieren, die abhängig von definierbaren Bedingungen einen REST-Request an privacyIDEA und auch den Response beliebig verändern.

Das Verhalten von privacyIDEA lässt sich somit äußerst flexibel anpassen. Naheliegende Anwendungsfälle sind beispielsweise das sichere Zurücksetzen von Passwörtern, spezielle Rollout-Szenarien oder individuelle Authentifizierungsregeln. Das System lässt sich damit beliebig auf unterschiedliche Anwenderanforderungen an das Verhalten und die gegebenen Abläufe anpassen.

Audit-Daten at your fingertip

privacyIDEA schreibt alle Logdaten, wer wann wie und was mit welchem Erfolg gemacht hat, in ein internes, strukturiertes SQL-Audit-Modul. Ab der Version 3.2 gibt es daneben ein File-Audit-Modul. Dessen Einträge lassen sich nun leicht in beliebige Log-Management-System wie Splunk oder Logstash importieren. Unternehmen bekommen so die Möglichkeit, Events – auch aus privacyIDEA – zu korrelieren, gegebenenfalls auftretende Probleme leichter zu identifizieren und zu bearbeiten.

Einbindung beliebiger Funktionen in eigene Portale

Über die REST-API lässt sich privacyIDEA bereits in die Portale eines Anwenders einbinden, beispielsweise in einen Browser-basierten Self-Service- oder internes, existierendes Management-Portal.

Dies ist durch den Einsatz von vertrauenswürdigen JSON Web Tokens in privacyIDEA mit der Version 3.2 erheblich einfacher geworden. Jetzt kann ein Endanwender häufige Aktionen wie den Bezug oder das Sperren eines Authentifizierungs-Token in einem bestehenden, vertrauten Web UI selbst ausführen, ohne die Unterstützung von Administratoren oder Helpdesk zu benötigen.

Diese Token-Management-Funktionen ließen sich auch in andere Applikationen einbauen, was besonders für Eigenentwicklungen interessant sein dürfte. Unverändert obliegt es jedoch dem privacyIDEA-Administrator, sämtliche Rechte zentral in privacyIDEA zu gewähren oder auch wieder zu entziehen.

Viele zusätzliche Erweiterungen

Auch die Richtlinien, die allgemein das Verhalten von privacyIDEA steuern, wurden erweitert. Der Administrator kann nun beliebige HTTP-Header als Bedingung für die jeweiligen Richtlinien heranziehen.

Event-Handler können ebenfalls den anfragenden HTTP-Client oder auch den Rollout-Zustand eines Tokens als Bedingung verwenden.

Der Benachrichtigungs-Handler enthält neben der Benachrichtigung per E-Mail und SMS nun auch die Möglichkeit, Nachrichten einfach in Dateien in einem Spool-Verzeichnis zu schreiben.

Auch das Verhalten des PUSH-Tokens wurden verbessert. Der Authentifizierungsablauf ist jetzt so gestaltet, dass er sich einfacher in andere Applikationen integrieren lässt.

Insgesamt gab es mehr als 25 Erweiterungen und sechs Bug-Fixes. Eine komplette Liste der Änderungen findet sich im Changelog bei Github.

privacyIDEA installieren oder aktualisieren

https://pypi.org/project/privacyIDEA/privacyIDEA 3.2 ist ab sofort über die öffentlichen Repositories für Ubuntu 16.04 und 18.04 verfügbar. Außerdem lässt sich die Software über den Python Package Index auf beliebigen Distributionen installierten. Enterprise Releases für Ubuntu LTS und RHEL/CentOS folgen in Kürze.

Besuchen Sie unseren Blog.

Abonnieren Sie unseren Newsletter.

Lesen Sie die Mitteilung auf privacyIDEA.org.

Die privacyIDEA Authenticator App unterstützt im Zusammenspiel mit privacyIDEA 3.1 die Authentifizierung mittels Push-Token.

Der Push-Token

Dabei sendet das privacyIDEA Backend, wenn sich der Benutzer an bspw. einer Webseite anmelden möchte, eine kryptographisch gesicherte Challenge an das Smartphone des Benutzers. Dieser muss auf seinem Smartphone den Anmeldewunsch lediglich bestätigen. Im Hintergrund sendet das Smartphone die von ihm signierte Challenge an privacyIDEA zurück. Durch die Signatur ist sichergestellt, dass wirklich der Anwender den Login-Wunsch bestätigt hat.

Der Benutzer wird automatisch angemeldet.

Dies ist bspw. schon im Zusammenspiel mit dem privacyIDEA ownCloud Plugin realisiert. 

Der privacyIDEA Authenticator auf iOS

Seit gestern ist nun der privacyIDEA Autheticator mit der Push-Funktionalität auch für iPhones ab iOS 12.4 im Apple App Store verfügbar. 

Neben der privacyIDEA Authenticator App unterstützt privacyIDEA eine Vielzahl an Software-Token, Hardware-Token und anderen Authentifizierungsmöglichkeiten. Wenn Sie Ihre Logins im Unternehmensumfeld mit einem flexiblen zweiten Faktor absichern möchten, sprechen Sie uns an!

Letzte Woche wurde die Version 3.1.1 von privacyIDEA veröffentlicht.

Gegenüber der Version 3.1 behebt sie nun ein Problem im Audit-Log, dass die Seriennummern der Token nicht ins Audit-Log eingetragen wurden.

privacyIDEA 3.1.1 ist in den üblichen Repositories verfügbar, im Python Package Index und in den Community Repositories für Ubuntu.

Für Unternehmenskunden steht privacyIDEA 3.1.1 auch in den Enterprise-Repositories für Ubuntu,  CentOS/Red Hat Enterprise Linux und den Univention Corporate Server zur Verfügung.

Erfahren Sie mehr über die Enterprise Edition.

NetKnights verfeinert die Stellschrauben

Kassel, 4.9.2019. Der Open-Source-Security-Spezialist NetKnights hat seine Mehr-Faktor-Authentifizierungssoftware „privacyIDEA“ aktualisiert und erheblich erweitert. Die neue Version bietet mehr Flexibilität, um die Rechte von Benutzern – und Administratoren – granularer zu definieren. Die Migration von proprietären und Altsystemen ist deutlich vereinfacht.

Mit der Version 3.1 von privacyIDEA ist es möglich, die Richtlinien für Benutzerrechte an andere Benutzerparameter, beispielsweise LDAP-Attribute, zu binden. Außerdem erleichtert eine automatische Neu-Zuordnung von bereits genutzten Token die Migration von anderen 2FA-Systemen noch einmal deutlich. Die „alte“ Token-PIN eines Benutzers lässt sich ebenfalls automatisch ohne Zutun der IT-Abteilung übernehmen.

Mehr Flexibilität bei der Definition von Richtlinien

Richtlinien lassen sich an beliebige Benutzerattribute binden

Der Administrator kann mit privacyIDEA ab sofort Richtlinien abhängig von beliebigen Attributen definieren. Welche Attribute das sind, wird in erweiterbaren Modulen definiert; in Version 3.1 ist hierzu das Benutzermodul enthalten. Das bedeutet, der Administrator muss die Richtlinien nicht wie bisher an eine komplette Benutzerquelle binden, sondern kann innerhalb einer Benutzerquelle beziehungsweise Benutzergruppe abhängig von dem jeweiligen LDAP-Attribut eines Benutzers ein unterschiedliches Verhalten durch die Richtlinien erzeugen. So kann ein Unternehmen zum Beispiel durchsetzen, dass Benutzer mit Zugriff auf sensiblere Daten sich nur mit einem sicheren Tokentyp anmelden können oder Benutzern, die beispielsweise keine E-Mail-Adresse haben, manche Funktionen verwehrt wird.

Gleichzeitig ist im neuen privacyIDEA die Separation der speziellen Leserechte von Administratoren weiter ausgebaut. Mit Hilfe der Richtlinien lässt sich definieren, welche Administratoren oder Helpdesk-Mitarbeiter manche Konfigurationen lesen dürfen oder nicht. Auch die Leserechte der Administratoren auf Tokens wurden verfeinert. Sie haben nur Zugriff auf die Schlüssel, die ihnen zugeordnet sind. So lassen sich noch besser Mandantenszenarien abbilden.

Administratoren können nun dedizierte Leserechte zugewiesen werden

Leichtere Migration durch automatische Token-Zuordnung

privacyIDEA ermöglicht eine sanfte Migration von proprietären Alt- oder 2FA-Systemen. Dies ist relevant, wenn Hersteller proprietäre Systeme nicht mehr weiterentwickeln („End-of-Life“) oder Produkte den Anforderungen der Anwender nicht mehr genügen. 

Nachdem die Seed-Files der Altsystems-Tokens in privacyIDEA importiert sind, kann das System die Token unmittelbar während des Anmeldeversuchs dem Benutzer in privcayIDEA zuordnen. Gleichzeitig kann privacyIDEA automatisch die alte Token-PIN setzen, ohne dass hierzu ein Mitarbeiter aus der IT oder der Benutzer tätig werden muss.

Viele zusätzliche Erweiterungen

Der RADIUS Token unterstützt nun Challenge-Response. Die Push-Token Funktionalitäten wurden erweitert. So kann ein Authentifizierungs-Request mit der Antwort so lange warten, bis die Push-Nachricht bestätigt ist. Dies erleichtert die Einbindung des privacyIDEA Push-Tokens in Drittprodukte.

Der TiQR-Token] ist um einige Funktionen erweitert, welche die Bedienung angenehmer machen. Der TiQR-Token ist von der Funktion her einem Push-Token vergleichbar. Die Challenge wird allerdings nicht über den Push-Service eines Drittherstellers gesendet, sondern über einen QR-Code, den der Benutzer scannt.

Der Administrator kann in der grafischen Oberfläche von privacyIDEA für die Benutzer eine Willkommensnachricht definieren, um neue Benutzer besser durch den Rollout-Prozess zu führen.

E-Mail-Benachrichtigungen können nun eine Vielzahl neuer Platzhalter zum Inhalt haben, um die Nachricht besser auf die jeweilige Situation anzupassen.

Der privacyIDEA-Server kann erzwingen, dass ein Token in der privacyIDEA Authenticator App mit einer PIN geschützt werden muss.

Auch mit dem Login am WebUI lassen sich nun Event-Handler-Ereignisse verbinden.

Eine komplette Liste der Änderungen findet sich im Changelog bei Github.

Verfügbarkeit

privacyIDEA 3.1 ist ab sofort über die öffentlichen Repositories für Ubuntu 16.04 und 18.04 verfügbar. Außerdem kann die Software über den Python Package Index auf beliebigen Distributionen installiert werden.

Die NetKnights GmbH wird auch in diesem Jahr als Aussteller auf der Business-Messe it-sa in Nürnberg vertreten sein.

Vom 8. bis zum 10. Oktober 2019 trifft sich auf dem Nürnberger Messegelände das Who-is-Who der deutschen und internationalen IT-Security-Anbieter. Besucher haben die Möglichkeit, sich aus erster Hand über Neuerungen und Pläne der Anbieter zu informieren.

Die NetKnights GmbH ist als Mitaussteller von ownCloud in Halle Halle 10.0 Stand 412 vertreten. Wir präsentieren dort das Mehr-Faktor-Authentifizierungssystem privacyIDEA, das ownCloud in Unternehmensumgebungen um unterschiedliche zweite Faktoren erweitern kann und so Ihre unternehmenskritischen Daten zuverlässig schützt. Do einmal im Unternehmen ausgerollt gestattet privacyIDEA ebenso die sichere Anmeldung an anderen Webapplikationen, Remote-Login, VPN, Desktops und Terminalserver…

Vereinbaren Sie ein Gespräch, um zu klären wie auch in Ihrem Netzwerk, privacyIDEA an zentraler Stelle die Sicherheit bei der Anmeldung erhöhen kann.

Mitte September findet in Nürnberg die alljährliche ownCloud Conference statt. Dort treffen sich Anwenderfirmen, Entwickler aus der Community oder Partner um sich über die neusten Entwicklungen, Planungen und Erfahrungen auszutauschen.

ownCloud ist ein starker Partner von NetKnights. Mit dem privacyIDEA ownCloud Plugin exitiert eine stabile Software, die ownCloud auf viele verschiedene Arten und Weisen um eine unternehmenstaugliche Zwei-Faktor-Authentifizierung erweitert. Viele Unternehmen setzen auf die privacyIDEA-Komponente, um den Webzugriff auf ownCloud zuverlässig abzusichern.

Vortrag und Demopoint

Auf der ownCloud Conference wird die NetKnights GmbH daher allen Interessenten an einem Demopoint Rede und Antwort zu allen Fragen stehen bezüglich der Zwei-Faktor-Authentifizierung an ownCloud mit privacyIDEA. Neu ist dabei zum Beispiel auch die Anmeldung an ownCloud mit dem privacyIDEA Push Token. Dabei bekommt der Benutzer nach der Eingabe seines Benutzernamens und seines Passwortes an der ownCloud-UI eine Nachricht auf sein Mobiltelefon gesendet, die er lediglich durch einen Klick bestätigen muss.

Genau zu diesem Thema wird Cornelius Kölbel am 18. September 2019 auch einen Vortrag halten und zeigen, wie auch dieser Authentifzierungsmechanismus mit allen anderen in privacyIDEA (HOTP/TOTP, Yubikey, Email, SMS…) kombiniert werden kann.

Kontakt

Sprechen Sie uns an, wenn Sie schon im Vorfeld Fragen haben oder wenn Sie einen Gesprächstermin festmachen möchten.

privacyIDEA wird am 31. Mai und 1. Juni auf dem Texas LinuxFest in Dallas vertreten sein.

Cornelius Kölbel wird einen Workshow durchführen, in dem die Teilnehmer das Mehr-Faktor-Authentifizierungssystem privacyIDEA in ein bestehendes Netzwerk installieren, Benutzer aus einem AD lesen, Token zuweisen und den Zugang zu ownCloud, NGinX oder SSH um eine Zwei-Faktor-Authentifizierung erweitern. Single Sign On ist ein wichtiger Mechanismus, um das Leben der Benutzer zu erleichtern. Aber der Schutz dieses einzelnen Logins ist daher umso wichtiger. Schützen Sie SSO mit einem zweiten Faktor. Im Workshop wird die Zwei-Faktor-Authentifizierung mit privacyIDEA an Keycloak oder simpleSAMLphp betrachtet.

Am nächsten Tag wird Cornelius Kölbel einen Vortrag halten, wie Firmen und größere Benutzergruppen eine bestehende 2FA-Lösung leicht nach privacyIDEA migrieren können.

Wenn Sie Interesse an diesen Themen haben, treten Sie gerne mit uns in Kontakt.