在身分驗證的統整上,Gemalto推出SafeNet Authentication Service(SAS)服務,提供的身分驗證方式相當多元,包含電話語音、簡訊、專屬的密碼產生器裝置等,也能在使用者的電腦或行動裝置中,安裝軟體產生動態密碼(OTP)。

企業在採用SAS之後,使用者執行身分驗證時流程仍與以往差不多,主要差異在於,通過原本的帳號與密碼驗證之後,增加第二道由SAS提供的身分驗證程序,以我們這次測試所採用的行動裝置App來說,使用者就要在驗證畫面中輸入由App提供的六位數字。

這款服務的建議售價相當便宜,每個使用者與一組行動裝置密碼產生器App的授權為一年500元(未稅),大約只有其他身分驗證服務2個月的費用。不過,目前SAS尚未推出存取應用程式的專屬單一登入平臺(SSO),因此公司提供可用的應用系統項目,使用者便要透過額外的機制得知。原廠表示,他們已經規畫要推出可選用的SafeNet Trust Access單一登入模組,使用者藉此能更容易存取企業提供的應用程式。

但相對而言,若是企業單純想要藉由提供額外的驗證機制,提升存取應用程式的安全性,那麼SAS服務就是較為經濟防護方案。

可搭配多種內部應用系統和網路設施運用

在防護存取的身分驗證範圍中,SAS不只能提供網頁應用程式進階身分認證,也可支援IBM、Orcale應用系統,以及針對Cisco、Check Point、Palo Alto等廠牌的網路設備提供相關機制,還有,Windows端點電腦登入也可整合SAS的驗證功能。

由於SAS為應用系統提供第二種身分驗證機制,因此對於採用行動裝置App的使用者而言,很可能會遇到像是忘記攜帶手機情況,或是忘記PIN碼為何,這時,使用者就必須經由自助服務網頁,向管理者申請臨時登入代碼,或是重新設定App的PIN碼。

根據管理者開放的權限,以及企業配發的驗證機制種類的不同,每個SAS服務的使用者自助平臺功能也略有差異。以我們架設的測試網站而言,SAS自助平臺一共提供了4種功能,分別是重設執行MobilePass+ App的PIN碼、數字拼盤驗證碼(PIP),或是針對透過簡訊取得驗證碼的使用者,要求系統重新寄送等措施。

對於採用Gemalto動態密碼產生器裝置的使用者,這裡也提供了裝置與SAS系統對時的機制,避免長期使用之後,密碼產生器電力下降,與系統時間落差過大而無法提供正確的驗證資訊。

此外,SAS的自助平臺也提供使用者修改個人資料,對於需要執行上述自助功能,SAS需核對像是行動電話和電子郵件信箱等基本資料,避免這些服務遭到有心人士利用。

提供使用者自助服務的專屬入口網站

在SAS中,使用者若是忘記攜帶密碼產生器或是憑證,可透過如圖中的自助平臺,向管理者線上提出取得代用驗證碼申請,或是重設手機App的PIN碼。

以動態密碼為主的身分驗證機制

基本上,無論是使用者身分還是管理者,我們在註冊SAS試用帳號的過程中,必須依照認證信件中的指示驗證之後,透過電腦瀏覽器下載MobilePass軟體,或是以手機掃描信件中的QR Code,安裝MobilePass+ App,然後使用軟體或App提供動態密碼,才能執行SAS提供的驗證服務。

以管理者而言,我們在完成註冊流程後,日後要進入SAS管理平臺,就需要輸入使用者帳號與動態密碼,進行身分驗證。

如果是透過MobilePass+ App取得動態密碼,管理者在啟動軟體時,則要以行動裝置的指紋器識別身分,若是在沒有提供這種設備的裝置上,執行MobilePass+ App時,則要輸入PIN密碼才能得到管理介面的登入密碼。

相較於適用於電腦的MobilePass軟體,MobilePass+ App在動態密碼之外,也提供了登入通知推送的功能。若是採用這種機制執行進階身分驗證,使用者只需在手機核可,就能通過驗證,不需輸入手機上的動態密碼。

能同時整合SaaS服務與本地端使用者身分

進入到SAS的管理介面後,若是需要針對個別部門檢視詳細的使用情況,或是修改設定,包括與應用程式連接、內部AD使用者的身分同步等,管理者就要前往Virtual Servers項目進行調整。

其中,SAS的管制政策設定算是相當簡易,主要可指定像是鎖定帳號的條件、動態密碼的有效時限,以及使用者能夠自助設定的項目等。

但相較於同類型的服務,SAS的每個群組只能套用單一管制政策,而且能夠設定的規則也較少,管理者無法針對特定的使用者與應用程式型態,套用多種政策。

至於與應用程式的整合,並不算難。以我們測試連接的微軟企業版Office 365服務而言,管理者只需在這裡的共同選項中,填入由微軟提供的SAML參數,就能進行整合。完成之後,使用者若是想要登入Office 365入口網站,在輸入帳號與密碼之後,還要再提供SAS驗證資訊,才能進入使用。

而建立使用者帳號的部分,大致可區分為手動建置與自動同步兩種模式,前者顧名思義就是由管理者逐筆建置帳號,或是以檔案匯入用戶名單;後者則是透過AD、LDAP目錄服務,或是經由特定資料庫中取得公司的使用者資料,並能與SAS中的用戶帳號同步。

此外,管理者必須指定使用者身分驗證的方式,在我們的測試環境中,就是採用安裝於行動裝置上的MobilePass+動態密碼產生器App。

Gemalto SafeNet Authentication Service功能總覽

在Gemalto的SAS服務中,主要的政策可區分為使用者、密碼產生器、管理者、驗證情境,以及自動化同步與自助服務等。而報表的部分,管理者則須經由系統提供的範本建置。

彙整每月身分認證整體使用量的儀表板

管理者可優先總覽全公司的採用SAS身分認證次數報表,藉此得知整體情勢。以圖中的資訊而言,去年10月與今年3月的驗認次數較為頻繁,管理者便需要進一步調查是否有異常的記錄。

針對不同驗證方式提供專屬政策

SAS的政策中,提供管理者能依據密碼產生器類型設定專屬限制。這裡可看出SAS支援的驗證方式相當多種,包括了簡訊、軟體式密碼產生器,以及提供只能在一定時間內使用的臨時密碼。

內建大量報表範本

SAS總共有多達49種報表範本,包含驗證記錄、方法等統計資訊,讓管理者只需稍做修改,就能快速套用,並即時產生或是定期自動寄送指定狀態的統計資訊。

 

 產品資訊 

Gemalto SafeNet Authentication Service(SAS)

● 原廠:Gemalto(02)7745-1888

● 建議售價:每使用者含一組行動版Token授權每年為500元(未稅)

● 管理功能:連接內部應用程式、連接SaaS服務、報表與異常警示

● 內部身分整合來源:AD或LDAP、人事系統、資料庫

● 身分驗證防護:強式密碼、多因素驗證

● 使用者存取應用程式:電腦本機登入、VPN

● 使用者自助服務機制:重設密碼、維護個人資料

【註:規格與價格由廠商提供,因時有異動,正確資訊請洽廠商。】


Advertisement

更多 iThome相關內容