Forefront + PointSharp del 2 om flerfaktorautentisering

Jag har tidigare skrivit om hur du med hjälp av PointSharp ID och PointSharp SecureActiveSync kan höja säkerheten för din Exchange ActiveSync. Här kommer en fortsättning som handlar om hur du kan nyttja PointSharp ID även för flerfaktor- autentisering till webbpubliceringar. Låt oss ta exemplet att publicera Outlook Web App (OWA) för att på ge en säkrare tillgång även till den Exchange tjänsten.

OTP metoder
Det finns flera tillvägagångssätt att ge användaren en engångskod (även kallat One-Time Password OTP). Det klassiska som man nyttjar till flera banktjänster med mera är hårdvarudosor, det här har även PointSharp, men jag kan tycka att det är lite bökigt att kräva att användaren skall ha med sig denna dosa. Det finns då några andra smart alternativ, dels finns en kort-dosa som är i samma storlek som ett bankkort/smartcard och får lätt plats i plånboken, kortet har en liten display och med hjälp av ett enkelt tryck generar den OTP koder. Ett annat alternativ är att använda telefonen som man ändå alltid har med sig. Här finns två alternativ, dels kan man få ett SMS skickat vid inloggning med en engångskod, dels finns det även OTP appar till i stort sett varenda telefonmodell vilket jag tycker är den smidigaste lösningen. Telefonen har man alltid med sig och man slipper kostnad för SMS eller eventuella fördröjningar.

Distribution av PointSharp app
Distribution av PointSharp appen är enkel från PointSharp Admin gränssnittet där man kan välja att skicka ut den via SMS eller E-post till valfri användare och det finns en dosa per mobilplattform. Användaren får då ett meddelande med en länk till appen från appstore/marketplace samt en personlig kod som knyter OTP dosan till användaren. Användaren kan även ta hem appen på egen hand för att i efterhand få en kod och knyta appen till användarkontot.

Inloggningsformulär
Som det ser ut i nuvarande PointSharpversion så finns det bara ett specialanpassat gränssnitt för inloggningsformulär med SMS. Om man använder annan OTP metod så nyttjar man standard inloggningsformulären som i exemplet nedan är Exchange OWA formuläret.
Här anger man sitt användarnamn och lösenord (vilket kan vara användarens AD lösenord alternativt ett unik PointSharplösenord) följt utav genererad OTP kod i samma lösenordsfält.

Naturligtvis kan man editera gränssnittet själv och förklara mer tydligt för användaren hur han skall ange kombinationen av lösenord och OTP.
Det finns även planer från PointSharp att komma med fler modifierade formulär för att kunna skilja på lösenord och OTP.

Det här är en perfekt metod för att höja säkerheten till de webbtjänster som du publicerar via TMG med en stark autentisering, som då innebär något användaren vet (lösenordet) samt något den har (dosan).

En fördel kan också vara att man har ett unikt lösenord via PointSharp för alla webbtjänster och ActiveSync för att på så sätt hindra att användaren anger sitt AD lösenord på främmande datorer så som Internet-Caféer och liknande.

Ny RollUp till TMG Service Pack 2

Igår publicerades en rollup uppdatering till Forefront TMG Service Pack 2.

Det har dykt upp en del problem i och med Service Pack 2. Framför allt så är den här uppdateringen aktuell om du har problem med Reporting Services. Exempelvis om du får ett felmeddelande som “Subreport could not be shown” när du genererar en User Activity eller Site Activity rapport.

Notera att denna rollup uppdatering kräver att du har TMG Service Pack 2 installerad och den skall då installeras på samtliga TMG och även EMS om du har en större klustrad lösning. Observera också att alltid uppgradera eventuell EMS först och sedan den TMG som har reporting service-tjänsten för att sedan fortsätta installera på övriga array medlemmar. Den här uppdateringen kräver heller ingen omstart av servern.

Läs mer om uppdateringen och ladda hem den via kb2649961

MVP 2012!

Mitt nyårsfirande fick ett gott avslut då jag fick reda på att jag är tilldelad MVP (Most Valuable Professional) inom Microsoft Forefront ännu ett år!

Önskar alla läsare ett riktigt gott nytt 2012 där vi garanterat kommer få se många nya produkter och snygga säkerhetslösningar!

Forefront + PointSharp ger en säkrare ActiveSyncanslutning för dina enheter

Jag har tidigare skrivit om hur vi kan nyttja Microsoft Forefront för att supportera olika typer av mobila enheter så som smartphones och plattor. (Video och Artikel) En del av detta handlar om hur vi skall kunna synkronisera information så som e-post, kalender med mera till dessa enheter men samtidigt vidhålla en hög säkerhetsnivå i vår infrastruktur.

Det finns alltid risker med att ha för mycket information i dessa mobila enheter och det bästa är att kunna kontrollera exakt vilken information som skall få finnas på vilken enhet och för vilken användare.

Det finns flera bra plugins till både Forefront TMG och UAG. Vi har bland annat ett svenskt företag vid namn PointSharp vars plugin ger funktioner som flerfaktorautentisering och utökad säkerhet för Micrsosoft Exchange ActiveSync.

Till skillnad från flera andra tredjepartsprodukter så kräver inte den här någon som helst installation eller handpåläggning på själva klienten utan alla enheter som kan kommunicera med Exchange ActiveSync kommer fungera precis som vanligt, med undantag av några säkerhetsmässiga fördelar.

Med hjälp av PointSharp kan vi skapa ett separat lösenord som enbart används för ActiveSync, det här lösenordet kan vi spara i befintligt Active Directory så vi behöver ingen separat databas för detta ändamål.
En stor fördel är också att vi kan automatisera mycket av det här flödet och även ge användaren möjlighet att hantera sitt ActiveSynclösenord och sina mobila enheter på egen hand genom en självbetjäningsportal. Alternativet är också att en servicedeskorganisation behöver involveras för att godkänna nya enheter för att på så sätt få kontroll över vilka enheter som får synkronisera företagets information.
När användaren loggar in på självbetjäningsportal med sitt vanliga AD konto första gången autoskapas ett PointSharpkonto med motsvarande namn som användarkontot i ADt, användaren kan sedan själva autogenerera ett lösenord.

Med hjälp av PointSharps TMG Filter och en produkt som heter PointSharp Secure ActiveSync kan vi även sätta upp ett regelverk över vilka Exchange-funktioner som får synkroniseras ut till vilken typ av enhet. På det sättet kan vi säkerhetsklassa de enheter som finns i miljön och därefter sätta upp regler för att exempelvis en viss telefonmodell enbart får synkronisera mail och kalender men inga bifogade filer medans en viss typ av platta kan ta emot alla bifogade filer så länge det inte är ett säkerhetsklassat dokument.

Rent tekniskt bygger autentiseringstekniken på Kerberos Constrained Delegation (KCD) där TMG servern har rätt att delegera autentisering bak mot Exchange och då istället autentisera användaren med sitt PointSharpkonto.

Det här höjer säkerheten på flera plan. Dels så finns inte något AD-lösenord lagrat på telefonen och sedan finns det heller inte risk att felaktiga påloggningsförsök låser det riktiga AD-kontot. En snygg funktion för att inte själva PointSharpkontot skall bli utlåst av en felaktigt konfigurerad telefon är att den registrerar flera påloggningsförsök med samma lösenord som ett enda försök.

En annan säkerhetsaspekt på det hela är att all kontroll av vilka funktioner och vilken information som får synkroniseras ut till telefonerna baserat på telefonmodell och användare och kontrolleras redan på edge-nivå, innan någon som helst information når fram till Exchange.

Genom att integrera PointSharps lösning kan du även nyttja funktioner för att få flerfaktorautentisering mot både webbpubliceringar och VPN lösningar. Ett tänkbart scenario är att även autentisera Outlook Web App (OWA) med PointSharpkontot för att på så sätt undvika att ange ett AD-lösenord från ett Internetcafe.

Det här var bara exempel på några scenarier över hur man kan kombinera dessa produkter för att få en säkrare ActiveSynclösning. Det första man bör göra är att se till vilka verksamhetsbehov man har och vilken information man vill skydda och sedan anpassa den tekniska lösningen utefter de behov som finns. 

Problem med TMG/UAG som inte visar sin konfiguration

Under veckan påträffades ett ganska ovanligt problem där man avinstallerat Service Pack 1 på en Forefront Threat Management Gateway Enterprise-lösning baserat på en EMS server och två TMG Servrar.
Miljön körde för närvarande Service Pack 1 och av någon anledning så avinstallerades Service Pack 1 på samtliga servrar. TMG lösningen fungerade funktionellt efter detta men när man startade TMG Management Consol så var arrayen helt tom och det visades ingen konfiguration.

Nu finns det egentligen ingen anledning att avinstallera Service Pack till TMG, men i det här fallet gjordes det i en felsökning. Frågan är snarare, vad är det egentligen som hade hänt här när vi inte såg någon konfiguration?

Avinstallationen gjordes via Program and Features (snabbkommando appwiz.cpl) vilket är helt korrekt. Där emot uppstod ett problem då man inte längre kunde se array konfigurationen grafiskt längre. Det hela visade sig bero på att själva TMG programvaran hade avinstallerat SP1 och var tillbaka på RTM nivå men ADLDS databasen som tillhandahåller konfigurationen i sig var fortfarande på SP1 nivå.

Hur identifierades detta då?
För att identifiera vilken patch-nivå ADLDS databasen  har så öppnar du denna via ADSI EDIT där du ansluter med nedanstående uppgifter:

Där Connection Point är cn=fpc2 och “Computer” skall vara namnet på TMG servern följt av :2171 (såvida du inte ändrat default port.)

Gå sedan ner i strukturen till Array-Root och under CN=Arrays välj egenskaper på den du vill inspektera. Attributet msFPC=AdminMinorVersion visar vilken version du använder och om den skiljer sig från versionnumret på TMGn.

(I mitt fall demar jag exemplet från min labbmiljö där jag har en icke publik version)

Lösningen?
För att komma runt problemet var den absolut enklaste lösningen att helt enkelt få upp  TMGn till SP1 version igen vilket då gjorde att den kunde läsa in konfigurationen och visa den grafiskt på nytt.

Jag har inte testat detta, men det är högst sannolikt att samma fel skulle kunna uppstå på en UAG där man avinstallerar TMGns Service pack på samma sätt.

Slutsatsen blir också att man bör undvika att avinstallera service pack till TMG/UAG, (vilket i det här scenariot var en del av en annan felsökning)

Intressanta artiklar

Häromdagen kom det ut en ny kb om ett eventuellt problem man kan stöta på i Forefront TMG när en proxy klient överför en större mängd data mot en webbsida över SSL där TMG stänger sessionen. Det finns en fix för det här problemet som beskrivs i kb-artikeln:

FIX: Forefront Threat Management Gateway 2010 prematurely closes the connection to the web server when a web proxy client uploads data by using an SSL tunnel

En annan bra blogg-artikel kommer från två MVP kollegor som identifierade ett scenario efter TMG Service Pack 2 installation. Om man manuellt har raderat standard nätverksregeln “Internet Access”. Vid installation av SP2 återställs nämligen den här regeln vilket kan ge konstiga effekter om man exempelvis har valt att TMG skall routa trafik mot Internet.

Richard Hicks blogg

Vill du lära dig mer om Forefront?

Jag kommer framöver köra några kurser på Cornerstone, initialt är det en Forefront TMG kurs som är på G och kommer köra igång i början på nästa år.

Så skall “jag lära dig allt jag kan” om TMG så är det bara att boka in en kurs. Naturligtvis kontrar man med “Nåja, det går väl ganska fort” vilket stämmer, kursen är planerad till tre dagar

http://www.cornerstone.se/sv/Om-Cornerstone/Instruktorer/Anders-Olsson/