Access Management och OTP integration med Novell iChain.

En presentation över ämnet: "Access Management och OTP integration med Novell iChain."— Presentationens avskrift:

1 Access Management och OTP integration med Novell iChain.
Peter Lauren, Dimension NetAssist Jesper Tohmo, Nordic Edge

2 Agenda IAM (Identity & Access Management)
Varför OTP (OneTimePassword)? Scenario – OTP och iChain Demonstration Varför Nordic Edge OTP? Mer information

3 Bakgrund Medarbetarna blir mer mobila
Produktivitet - även utanför kontoret Organisationsgränser suddas ut – samarbete mellan företag och organisationer Virtuella arbetsgrupper allt vanligare Kommunikation måste vara möjlig med externa partners Kunder, partners och anställda förväntar sig snabbare och bekvämare service

4 IAM (Identity & Access Management)
Access kontroll av applikationer som skall publiceras externt/internt, exempelvis: WebAccess till mail system Intern web information Kund system (t.ex. banker) Partner system Medborgare (t.ex. 24 h myndigheten) etc Omfattar autentisering, auktorisering och SSO Administration av användarinformation samt delegerad administration (IM)

5 What Is iChain? “iChain is a security and management infrastructure that provides a common security framework for enabling eBusiness services while at the same time reducing complexity and total cost of ownership” iChain is a gatekeeper to web-based resources

6 Today’s Typical Environment
Web servers and applications Security ERP CRM Employee Intranet LHowarth - xxx 7748-zzz HowarthL - yyy Partner Extranet Customer Internet GabeW - xxx WatG - yyy zzz 2298- zzz HalesMY - yyy MYHales Firewall

7 Web servers and applications
Novell iChain One Net Web servers and applications Firewall Employee LHowarth - xxx ERP MYHales - xxx Security infrastructure Customer GabeW - xxx CRM Partner Novell eDirectory™

8 Novell iChain—How Does It Work?
Proxy Server Browser Security User=xx Password=xx Books=Thrillers, Horrors 1. Authentication—Who are you? 2. Access control—What do you have access to? 3. Single Sign-on Web and application servers 4. OLAC (Personalization) iChain Authorization Server 5. Data confidentiality

9 Frågeställningar Vad skall skyddas? Finns en säkerhetspolicy?
Klassning av information och användare Definiera roller och regler Skalbarhet och Redundans Bakomliggande behörighetssystem Delegerad administration Självbetjäningsfunktioner Hur skall vi identifiera våra användare

10 Inloggningsmetoder Formulär (med eller utan SSL) Certifikat, PKI
Token dosor Biometri Engångslösenord (OTP) Kombinationer av dessa...

11 Varför OTP? Användar id/lösenord ger inte tillräcklig säkerhet för vissa kunder! Tokens/certifikat är mycket kostsamt både i inköp och administration! Enkelt sätt att lägga på ett extra säkerhets lager, tex för extern åtkomst av applikationer. Klient oberoende! 24-h service om man förlorar SIM-kortet kan därmed göras ogiltigt Fungerar med olika transport metoder (SMS/SMTP/SMPP/etc) Mobil tfn har i princip alla och ingen utbildning behövs

12 autentiserings servlet
Novell iChain Scenario Användare med mobil tfn eller mail En användare frågar efter en resurs på en webserver som är skyddad av Novell iChain Proxyserver. Internet eller Intranet Novell iChain ProxyServer SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory NordicEdge OneTimePassword Server Webserver skyddad med iChain och NordicEdge autentiserings servlet

13 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail iChain Proxyserver omdirigerar användaren till NordicEdge autentiserings servlet för autentisering.

14 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge autentiserings servlet skickar login sidan till användaren för att autentisera användaren mot eDirectory.

15 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användaren anger id/lösenord som skickas till NordicEdge autentiserings servlet. Användar id=”jDoe” Lösenord=”secret”

16 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge autentiserings servlet skickar en fråga till NordicEdge OTPServer för att verifiera id/lösenord. Användar id=”jDoe” Lösenord=”secret”

17 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge OTPServer kontrollerar om autentisering servleten är konfigurerad. NordicEdge OTPServer kontrollerar sen id/lösen mot Novell eDirectory LDAP katalogen (stöder alla LDAP v3 databaser). Novell eDirectory verifierar id/lösenord och returnerar resultatet till NordicEdge OTPServer. Användar id=”jDoe” Lösenord=”secret” Användare ”cn=jdoe,o=Acme” är autentiserad

18 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Om id/lösenord verifierades korrekt, hämtar NordicEdge OTP Server användarens mobil tfn nummer eller mail adress från Novell eDirectory. Hämtar ”cn=jDoe,o=Acme” mobil tfn nummer eller mail adress mobilNummer=” ” eller

19 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge OTP Server skickar resultatet från autentiseringen till NordicEdge autentiserings servlet. Användare ”cn=jdoe,o=Acme” är autentiserad

20 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge autentiserings servlet begär att NordicEdge OTP Server skall skapa ett engångs lösenord och skicka det till användarens mobil tfn eller mail. Skapa OTP för cn=jdoe,o=Acme och skicka till: ” ” eller

21 autentiserings servlet
Novell iChain Scenario NordicEdge OTPServer genererar ett engångs lösenord och skickar det till SMS tjänsten eller mail server. SMS tjänsten/mail server skickar engångslösenordet till användarens mobil tfn (SMS) eller brevlåda (SMTP) och returnerar status till NordicEdge OTPServer. NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Engångs lösenord= ”328712” Skicka engångs lösenord=”328712” till mobilNummer: ” ” eller mailAdress: Status: OK

22 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail NordicEdge OTPServer skickar status tillbaka till NordicEdge autentiserings servlet. Status: OK

23 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användar id=”jdoe” NordicEdge autentiserings servlet skickar användaren vidare till login sida nr 2, för att användaren skall ange engångs lösenordet.

24 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användaren anger engångs lösenordet i web läsaren och skickar det till Novell iChain Proxyserver. Användar id=”jdoe” Engångs lösenord=”328712”

25 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Novell iChain Proxyserver skickar en RADIUS autentiserings förfrågan till NordicEdge OTPServer för att kontrollera om användar id och engångs lösenord stämmer och om den är giltig. RADIUS förfrågan: Användar id=”jdoe” Engångs lösenord=”328712”

26 autentiserings servlet
Novell iChain Scenario NordicEdge OTP Server kontrollerar om iChain Proxyserver är konfigurerad och om engångs lösenordet matchar användar id. Om det är korrekt, skickar NordicEdge OTP Server tillbaka ett RADIUS “accept”. Om det inte är korrekt skickas ett RADIUS “reject” tillbaka. NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Svar=”accept”

27 autentiserings servlet
Novell iChain Scenario NordicEdge OneTimePassword Server Internet or Intranet Novell iChain ProxyServer Webserver skyddad med och autentiserings servlet SMS Tjänst och/eller Mail (SMTP) internt eller externt Novell eDirectory Användare med mobil tfn eller mail Användaren är autentiserad och auktoriserad. Om RADIUS svaret är “accept”, kommer Novell iChain Proxyserver att kontrollera om användaren är auktoriserad för resursen. Om användaren är auktoriserad för resursen kommer Novell iChain Proxyserver att ge användaren tillgång till resursen. Om RADIUS svaret är “reject” kommer autentiserings processen start om från början.

28 DEMO

29 Varför Nordic Edge OTP? "Native" stöd för iChain (ingen annan som har detta) Skriver inte över existerande lösenord Använder existerande databas och information (för att hämta mobil nr/mail) Kan köras på vad som helst som har stöd för JVM 1.3 (inkluderande NetWare) Klient API som gör att man kan integrera andra applikationer

30 Mer information www.netassist.se Novell Coolsolution
Artikel i CS, , sidan 9

31 Dimension NetAssist Förstudier och analyser POC och implementeringar
Marknadsledande produkter Drift och förvaltning Utbildning Support