Heute wurde privacyIDEA 2.20 veröffentlicht. Pakete sind in den öffentlichen Launchpad-Repositories für Ubuntu 14.04LTS und 16.04LTS verfügbar. Über den Python Package Index kann privacyIDEA auf beliebigen Distributionen installiert werden.
Neue Funktionen in privacyIDEA
Federation-Handler
Der neue Federation-Handler erlaubt es, Authentifizierungsanfragen an untergeordnete privacyIDEA-Instanzen weiterzuleiten.
So lassen sich beliebige Berechtigungsstrukturen abbilden, in denen zum Beispiel die Authentifizierungs-Anfrage einer zentralen privcayIDEA-Instanz zu dedizierten, untergeordneten Instanzen in verschiedenen Abteilungen weitergeleitet werden.
Geschäftsbereiche, Subunternehmer oder Abteilungen können somit die Token der eigenen Mitarbeiter unter eigener Kontrolle verwalten. Dennoch gibt es einen zentralen Einstiegspunkt für Authentifizierungsanfragen.
Diese Funktion eröffnet auch im Providerumfeld neue Möglichkeiten.
Neuer Tokentyp OCRA und DisplayTAN
In Version 2.20 wurde der allgemeine Tokentyp OCRA und damit die spezielle Ausprägung DisplayTAN eingeführt. Die DisplayTAN-Karte ist eine Hardware-Karte, die über Bluetooth-LE OCRA-Challenge-Daten entgegennehmen kann. Der Benutzer kann dieser auf dem eingebauten eInk-Display verifizieren und erhält auf Basis dieser Challenge-Daten einen OTP-Wert angezeigt.
OCRA ist in RFC 6287 spezifiziert. Ein üblicher Anwendungsfall ist das Signieren von Bank-Transaktions-Daten und die Erzeugung der TAN. Mit dem DisplayTAN Token kann dies sicher auf einer dedizierten Hardware geschehen. privacyIDEA ist nun das ideale System, um diese Geräte für Bank-Anwendungen zu verwalten. In einem früheren Blog-Post berichteten wir bereits.
Login mit mehreren Loginnamen
Der LDAP Resolver gestattet es nun, mehrere LDAP Attribute zu definieren, die als Login-Name verwendet werden können. So kann der Administrator konfigurieren, dass sich Benutzer mit ihrem sAMAccountName, der Email-Adresse oder bspw. der Telefonnummer anmelden können.
Authentifizierungs-Cache
Weiterhin kann der Administrator nun definieren, ob in bestimmten Fällen für bestimmte Benutzer für eine gewissen Zeit die Authentifizierungsanfrage gecacht werden soll. Somit ist für einen gewissen Zeitraum die erneute Anmeldung mit dem gleichen OTP-Wert möglich. Zwar führt dies den Sinn von 2FA mittels OTP ad absurdum, wenige ungünstig implementierte Applikationen können jedoch davon profitieren. Ein kleiner Vorteil ist, dass sich dieses Verhalten über eine Zeit- und Client-IP-abhängige Richtlinie steuern lässt.
Weitere Funktionen
Viele Richtlinien erlauben nun auch die Nutzung von Resolvern. So lässt sich noch feiner granuliert das Verhalten für unterschiedliche Benutzergruppen anpassen.
Während des Rollout-Prozesses einer Smartphone-App kann der Benutzer, wenn er glaubt, dass ein Angreifer den angezeigten QR-Code abgegriffen hat, diesen neu generieren.
Die Ereignisse im Eventhandler-Framework können nun in einer selbst definierten Reihenfolge sortiert werden. Damit lassen sich die Reaktionen von privacyIDEA noch genauer festlegen.
Die Eventhandler können nun Zeiten und Zeitdifferenzen in den Bedingungen nutzen.
Mit einem Challenge Response-Token lässt sich ebenfalls die UI entsperren.
Während der Installation der Ubuntu-Pakete wird automatisch PGP-Schlüssel erzeugt, mit dem später die Import-Dateien der Token-Seeds verschlüsselt werden können.
Ein komplettes Changelog finden Sie bei Github.
Enterprise Edition und Beratung
Die NetKnights bieten Ihnen Beratung und Support im Rahmen der privacyIDEA Enterprise Edition. Damit haben Sie den Investitionsschutz von Open Source und die Betriebssicherheit durch einen professionellen SLA. Stabile Enterprise-Pakete runden das Angebot ab.
Sie wollen auf dem Laufenden bleiben? Dann abonnieren Sie unseren Newsletter!
Sie wollen mehr wissen? Rufen Sie uns an!
