Seminar privacyIDEA – Mehrfaktorauthentifizierung und Token-Lebenszyklus

Seminarbeschreibung

Mehrfaktorauthentifizierung bleibt nur dann wirksam, wenn Registrierung, laufende Nutzung und Wiederherstellung sauber geregelt sind. privacyIDEA verwaltet Faktoren und prüft Authentifizierungsanfragen angebundener Systeme. Das Seminar zeigt, wie diese Funktion in eine bestehende Benutzerverwaltung integriert wird. Es behandelt dabei die Rollen des eigentlichen Zugangssystems, der Benutzerquelle und des MFA-Dienstes getrennt.

Die Übungen beginnen mit einem überschaubaren TOTP-Szenario und führen bis zur Anbindung eines vorbereiteten RADIUS-Dienstes. Richtlinien werden über erfolgreiche sowie abgewiesene Anmeldungen geprüft. Weitere Anmeldemittel werden nach Einsatzfall eingeordnet, ohne für jede Variante eine zusätzliche Integration zu versprechen. Administrative Berechtigungen, Wiederherstellungsprozesse und abgesicherte Speicherung des Schlüsselmaterials bilden die Grundlage für einen nachvollziehbaren Betrieb.

Seminarinhalte

Inhaltsübersicht:

1. Architektur und sichere Grundkonfiguration
2. Benutzerquellen, Resolver und Realms
3. Tokenregistrierung und Richtlinien
4. API und RADIUS-Anbindung
5. Verlust, Sperrung und Ersatz
6. Betrieb und Fehleranalyse

1. Architektur und sichere Grundkonfiguration

• MFA-Dienst, Benutzerquelle, Zugangssystem und administrative Oberfläche mit ihren Vertrauensbeziehungen einordnen.
• Die vorbereitete Installation und Datenbank prüfen sowie TLS und begrenzte Administrationsrechte konfigurieren.
• Technische Zugangsdaten und benötigtes Schlüsselmaterial in den Sicherungsumfang aufnehmen.

2. Benutzerquellen, Resolver und Realms

• Ein LDAP-Verzeichnis über einen eingeschränkten Resolver anbinden und benötigte Benutzerattribute prüfen.
• Realms und Benutzerzuordnung eindeutig gestalten, damit gleichnamige Konten nicht versehentlich zusammenfallen.
• Die Wirkung geänderter oder gesperrter Benutzerkonten im vollständigen Anmeldeweg untersuchen.

3. Tokenregistrierung und Richtlinien

• TOTP-Token anlegen, zuordnen und mit kontrolliertem Registrierungsvorgang in Betrieb nehmen.
• Enrollment-, Authentifizierungs- und Administrationsrichtlinien nach ihrer jeweiligen Wirkung unterscheiden.
• PIN-Verhalten, Zeitbezug, Fehlversuche und zulässige Ersatzverfahren anhand konkreter Testfälle abstimmen.

4. API und RADIUS-Anbindung

• Authentifizierungsanfragen mit einem vorbereiteten API-Testclient nachvollziehen.
• FreeRADIUS über die vorbereitete Integration an privacyIDEA anbinden und die Rolle des eigentlichen RADIUS-Clients prüfen.
• Korrekte und fehlerhafte Einmalcodes, begrenzte technische Konten und Ausfallverhalten im Gesamtweg testen.

5. Verlust, Sperrung und Ersatz

• Verlust eines Anmeldemittels mit verlässlicher Identitätsprüfung und begrenzter administrativer Zuständigkeit bearbeiten.
• Token sperren, Ersatz registrieren und die Ungültigkeit des alten Anmeldemittels nachweisen.
• Ausnahmen befristen und vermeiden, dass ein dauerhafter MFA-Bypass aus einem Supportfall entsteht.

6. Betrieb und Fehleranalyse

• Audit-Ereignisse und typische Fehler bei Zeitabweichung, Resolver, Richtlinie und RADIUS-Zuordnung unterscheiden.
• Verfügbarkeit, technische Schnittstellen und Wiederherstellbarkeit in eine kleine Betriebscheckliste aufnehmen.
• Den gesamten Lebenszyklus mit einer wiederholbaren Testmatrix und klaren Verantwortlichkeiten abnehmen.

Praxisübungen

1. Die Benutzerquelle mit begrenzten Rechten anbinden und einen Testbenutzer eindeutig einem Realm zuordnen.
2. Einen TOTP-Token registrieren und die erfolgreiche Validierung mit einem API-Testclient prüfen.
3. Eine Richtlinie anlegen und ungültige Codes sowie nicht zugeordnete Token kontrolliert zurückweisen lassen.
4. Die vorbereitete RADIUS-Integration verbinden und den vollständigen Anmeldeweg testen.
5. Einen Tokenverlust simulieren, den alten Token sperren und ein neues Anmeldemittel registrieren.
6. Die Ereignisse des Supportfalls prüfen und nachweisen, dass keine unbefristete Ausnahme bestehen bleibt.

Einordnung und Vertiefung

privacyIDEA wird als MFA-Komponente behandelt. Ein RADIUS-Adapter oder eine andere passende Integration bleibt für das jeweilige Zugangssystem erforderlich; ein vollständiger SSO-Identity-Provider wird dadurch nicht automatisch ersetzt.

Seminarangebot und Lernpfade