Access Management och OTP integration med Novell iChain. Peter Lauren, Dimension NetAssist Jesper Tohmo, Nordic Edge

Agenda IAM (Identity & Access Management) Varför OTP (OneTimePassword)? Scenario – OTP och iChain Demonstration Varför Nordic Edge OTP? Mer information

Bakgrund Medarbetarna blir mer mobila Produktivitet - även utanför kontoret Organisationsgränser suddas ut – samarbete mellan företag och organisationer Virtuella arbetsgrupper allt vanligare Kommunikation måste vara möjlig med externa partners Kunder, partners och anställda förväntar sig snabbare och bekvämare service

IAM (Identity & Access Management) Access kontroll av applikationer som skall publiceras externt/internt, exempelvis: WebAccess till mail system Intern web information Kund system (t.ex. banker) Partner system Medborgare (t.ex. 24 h myndigheten) etc Omfattar autentisering, auktorisering och SSO Administration av användarinformation samt delegerad administration (IM)

What Is iChain? “iChain is a security and management infrastructure that provides a common security framework for enabling eBusiness services while at the same time reducing complexity and total cost of ownership” iChain is a gatekeeper to web-based resources

Today’s Typical Environment Web servers and applications Security E-mail ERP CRM Employee Intranet LHowarth - xxx 7748-zzz HowarthL - yyy Partner Extranet Customer Internet GabeW - xxx WatG - yyy 7366 - zzz 2298- zzz HalesMY - yyy MYHales Firewall

Web servers and applications Novell iChain One Net Web servers and applications Firewall Employee E-mail LHowarth - xxx ERP MYHales - xxx Security infrastructure Customer GabeW - xxx CRM Partner Novell eDirectory™

Novell iChain—How Does It Work? Proxy Server Browser Security User=xx Password=xx Books=Thrillers, Horrors 1. Authentication—Who are you? 2. Access control—What do you have access to? 3. Single Sign-on Web and application servers 4. OLAC (Personalization) iChain Authorization Server 5. Data confidentiality

Frågeställningar Vad skall skyddas? Finns en säkerhetspolicy? Klassning av information och användare Definiera roller och regler Skalbarhet och Redundans Bakomliggande behörighetssystem Delegerad administration Självbetjäningsfunktioner Hur skall vi identifiera våra användare

Inloggningsmetoder Formulär (med eller utan SSL) Certifikat, PKI Token dosor Biometri Engångslösenord (OTP) Kombinationer av dessa...

Varför OTP? Användar id/lösenord ger inte tillräcklig säkerhet för vissa kunder! Tokens/certifikat är mycket kostsamt både i inköp och administration! Enkelt sätt att lägga på ett extra säkerhets lager, tex för extern åtkomst av applikationer. Klient oberoende! 24-h service om man förlorar SIM-kortet kan därmed göras ogiltigt Fungerar med olika transport metoder (SMS/SMTP/SMPP/etc) Mobil tfn har i princip alla och ingen utbildning behövs

autentiserings servlet Novell iChain Scenario Användare med mobil tfn eller mail En användare frågar efter en resurs på en webserver som är skyddad av Novell iChain Proxyserver. Internet eller Intranet Novell iChain ProxyServer SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory NordicEdge OneTimePassword Server Webserver skyddad med iChain och NordicEdge autentiserings servlet

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail iChain Proxyserver omdirigerar användaren till NordicEdge autentiserings servlet för autentisering.

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge autentiserings servlet skickar login sidan till användaren för att autentisera användaren mot eDirectory.

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användaren anger id/lösenord som skickas till NordicEdge autentiserings servlet. Användar id=”jDoe” Lösenord=”secret”

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge autentiserings servlet skickar en fråga till NordicEdge OTPServer för att verifiera id/lösenord. Användar id=”jDoe” Lösenord=”secret”

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge OTPServer kontrollerar om autentisering servleten är konfigurerad. NordicEdge OTPServer kontrollerar sen id/lösen mot Novell eDirectory LDAP katalogen (stöder alla LDAP v3 databaser). Novell eDirectory verifierar id/lösenord och returnerar resultatet till NordicEdge OTPServer. Användar id=”jDoe” Lösenord=”secret” Användare ”cn=jdoe,o=Acme” är autentiserad

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Om id/lösenord verifierades korrekt, hämtar NordicEdge OTP Server användarens mobil tfn nummer eller mail adress från Novell eDirectory. Hämtar ”cn=jDoe,o=Acme” mobil tfn nummer eller mail adress mobilNummer=”+46 7321321” eller mailAdress=”jdoe@acme.com”

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge OTP Server skickar resultatet från autentiseringen till NordicEdge autentiserings servlet. Användare ”cn=jdoe,o=Acme” är autentiserad

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge autentiserings servlet begär att NordicEdge OTP Server skall skapa ett engångs lösenord och skicka det till användarens mobil tfn eller mail. Skapa OTP för cn=jdoe,o=Acme och skicka till: ”+46 7321321” eller ”jdoe@acme.com”

autentiserings servlet Novell iChain Scenario NordicEdge OTPServer genererar ett engångs lösenord och skickar det till SMS tjänsten eller mail server. SMS tjänsten/mail server skickar engångslösenordet till användarens mobil tfn (SMS) eller brevlåda (SMTP) och returnerar status till NordicEdge OTPServer. NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Engångs lösenord= ”328712” Skicka engångs lösenord=”328712” till mobilNummer: ”+46 7321321” eller mailAdress: ”jdoe@acme.com” Status: OK

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge OTPServer skickar status tillbaka till NordicEdge autentiserings servlet. Status: OK

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användar id=”jdoe” NordicEdge autentiserings servlet skickar användaren vidare till login sida nr 2, för att användaren skall ange engångs lösenordet.

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användaren anger engångs lösenordet i web läsaren och skickar det till Novell iChain Proxyserver. Användar id=”jdoe” Engångs lösenord=”328712”

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Novell iChain Proxyserver skickar en RADIUS autentiserings förfrågan till NordicEdge OTPServer för att kontrollera om användar id och engångs lösenord stämmer och om den är giltig. RADIUS förfrågan: Användar id=”jdoe” Engångs lösenord=”328712”

autentiserings servlet Novell iChain Scenario NordicEdge OTP Server kontrollerar om iChain Proxyserver är konfigurerad och om engångs lösenordet matchar användar id. Om det är korrekt, skickar NordicEdge OTP Server tillbaka ett RADIUS “accept”. Om det inte är korrekt skickas ett RADIUS “reject” tillbaka. NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Svar=”accept”

autentiserings servlet Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användaren är autentiserad och auktoriserad. Om RADIUS svaret är “accept”, kommer Novell iChain Proxyserver att kontrollera om användaren är auktoriserad för resursen. Om användaren är auktoriserad för resursen kommer Novell iChain Proxyserver att ge användaren tillgång till resursen. Om RADIUS svaret är “reject” kommer autentiserings processen start om från början.

DEMO

Varför Nordic Edge OTP? "Native" stöd för iChain (ingen annan som har detta) Skriver inte över existerande lösenord Använder existerande databas och information (för att hämta mobil nr/mail) Kan köras på vad som helst som har stöd för JVM 1.3 (inkluderande NetWare) Klient API som gör att man kan integrera andra applikationer

Mer information www.netassist.se Novell Coolsolution http://www.novell.com/coolsolutions/icmag/features/a_otp_ichain.html Artikel i CS, 2003-02-07, sidan 9

Dimension NetAssist Förstudier och analyser POC och implementeringar Marknadsledande produkter Drift och förvaltning Utbildning Support