ESET Secure Authentication: Jak wdrożyć dwuskładnikowe uwierzytelnianie?

Czym jest ESET Secure Authentication?

ESET Secure Authentication to rozwiązanie wspierające dwuskładnikowe uwierzytelnianie dla systemów Windows, aplikacji webowych (np. Microsoft Exchange, SharePoint), dostępu VPN, zdalnego pulpitu, usług ADFS oraz protokołu SAML. „Jest to stosunkowo nowe rozwiązanie w portfolio ESETa służące do dwuskładnikowego uwierzytelniania” – mówi Daniel Winiarski. ESA jest dostępne w modelach on-premise (lokalnym) i chmurowym, przy czym webinar skupił się na wersji chmurowej dla uproszczenia procesu. Producent podkreśla, że konfiguracja ESA jest prosta i możliwa do przeprowadzenia w około 10 minut.

Jak nabyć ESET Secure Authentication?

ESA można nabyć jako samodzielny produkt lub w ramach pakietu ESET Elite, który obejmuje dodatkowe narzędzia.

Konfiguracja ESET Secure Authentication w wersji chmurowej

Konto i konsola zarządzająca

Do korzystania z ESA w wersji chmurowej wymagane jest konto ESET Protect Hub, natomiast dla wersji on-premise wystarczy ESET Business Account. „Pierwsza rzecz, którą musicie posiadać, to konto, najlepiej ESET Protect Hub, jeżeli chcecie korzystać z rozwiązania ESET Secure Authentication w wersji chmurowej” – instruuje Winiarski. Po aktywacji użytkownik zyskuje dostęp do konsoli zarządzającej, w której konfiguruje kluczowe elementy.

Dodawanie realm i użytkowników

Pierwszym krokiem jest skonfigurowanie realm, czyli obszaru uwierzytelniania. „Żeby dodać użytkowników, musimy skonfigurować przynajmniej jeden realm, powiedzmy domenę” – wyjaśnia Winiarski. Dla komputerów spoza Active Directory można użyć customowego realm. To, że nie korzystacie z Active Directory, nie oznacza, że nie możecie używać ESET Secure Authentication także na komputerach spoza domeny.

Do skonfigurowania realm dla komputera bez domeny potrzebny jest identyfikator generowany przez narzędzie PSGetSid z pakietu PSTools. „Pobieramy sobie pakiet PS Tools. Z tego pakietu będzie nam potrzebny taki malutki programik, który się nazywa PSGetSid” – mówi Winiarski. Następnie realm jest dodawany w konsoli, a użytkownicy przypisywani z nazwą zgodną z użytkownikiem systemowym. „Nazwa takiego użytkownika musi być tożsama z nazwą użytkownika, który jest tutaj logowany do systemu” – podkreśla Winiarski. Dla użytkownika należy zdefiniować numer telefonu lub e-mail, aby umożliwić przesyłanie tokenów uwierzytelniających.

Konfiguracja drugiego składnika uwierzytelniania

Drugi składnik można skonfigurować za pomocą tokenów sprzętowych, kluczy FIDO, aplikacji mobilnej lub SMS-ów (wymagających dodatkowego pakietu). W webinarze wybrano aplikację mobilną bazującą na znaczniku czasu. Aplikacja ESET Secure Authentication nie jest obowiązkowa – można użyć dowolnej aplikacji OTP, choć powiadomienia PUSH wymagają dedykowanej aplikacji ESET. Po wybraniu opcji wysyłki kodu (np. przez URL lub kod QR), użytkownik skanuje kod smartfonem, aby aktywować aplikację.

Instalacja komponentów na komputerze

Aby włączyć 2FA na komputerze, należy zainstalować odpowiedni komponent. „Wypadałoby doinstalować na komputerze, na którym chcemy uwierzytelniać się dwuskładnikowo, jakieś komponenty, które nam to umożliwią” – mówi Winiarski. W konsoli generuje się instalator dla logowania Windowsowego, wybierając opcję „live installer”, który zawiera wszystkie wymagane elementy. „Wybieramy live instalera i, co istotne, wybieramy, po jakim czasie on ewentualnie wygaśnie” – instruuje Winiarski. Maksymalny czas ważności instalatora to cztery tygodnie, z możliwością określenia liczby urządzeń. Po instalacji stacja pojawia się w konsoli, gdzie można włączyć 2FA lub zezwolić na logowanie bez drugiego składnika.

Logowanie z drugim składnikiem

Po skonfigurowaniu użytkownik loguje się do Windows, wpisując hasło i kod z aplikacji mobilnej. „Próbuje nam się skomunikować z serwerem ESET Secure Authentication. Czeka na wpisanie hasła” – opisuje Winiarski. W przypadku braku łączności z serwerem możliwe jest logowanie offline po pierwszym udanym logowaniu online lub użycie jednorazowego klucza odzyskiwania (master recovery key).

Przeczytaj również: Co to jest Multi-Factor Authentication (MFA)?

 Zastosowania ESET Secure Authentication

ESA zabezpiecza nie tylko logowanie do Windows, ale także dostęp VPN, zdalny pulpit, aplikacje Microsoft (Exchange, SharePoint, Dynamics) oraz usługi ADFS i SAML. „Nic nie stoi na przeszkodzie, żeby ESA była naszym serwerem RADIUS dla zabezpieczenia dostępu VPN-owego, czy żeby zabezpieczyć dostęp do zdalnego pulpitu” – podkreśla Winiarski.

Podsumowanie

Webinar ESET Tips & Tricks dostarcza praktycznych wskazówek dotyczących konfiguracji ESET Secure Authentication w wersji chmurowej, obejmujących dodawanie użytkowników, konfigurację aplikacji mobilnej oraz zabezpieczenie logowania do Windows. „Sam producent deklaruje, że jesteście w stanie wdrożyć to rozwiązanie, skonfigurować w ciągu około 10 minut” – podsumowuje Winiarski. Więcej szczegółów znajdziesz w wideo na YouTube: [https://www.youtube.com/watch?v=35sS3NPgfDQ&t=11s]