LinOTP

Radius-Authentifizierung mit One Time Password (OTP) am Linux-Backend

RADIUS (Remote Authentication Dial In User Service) ist ein offener Standard (RFC2865) zur Authentifizierung von Benutzern. LinOTP ermöglicht die Authentifizierung von Benutzern mit Hilfe eines Hardware-Token an einem kompletten Linux-Backend. Ein Radius-Server läuft an einer sensiblen Stelle in Ihrem Netzwerk, denn er regelt den Zugriff auf Ihre internen Netzressourcen aus dem Internet. Hier erreichen Sie höchstmögliche Sicherheit durch Nutzung des im eTokenNG OTP implementierten offenen Algorithmus HMAC-OTP (RFC4226) und den Einsatz überwiegend freier Software im Backend durch LinOTP.

Komponenten

LinOTP integriert sich nahtlos in FreeRadius und OpenLDAP. Zentrale Komponente von LinOTP ist das FreeRadius-Modul, das auf Basis des HMAC-OTP Algorithmus den nächsten OTP-Wert berechnet. Die eTokenNG OTP werden mit einer Administrationssoftware initialisiert, die sich mühelos automatisieren und somit in bestehende Prozesse einbinden läßt.

Das Schaubild zeigt, wie sich LinOTP integriert. Die Komponenten von LinOTP sind orange dargestellt.

Funktionsweise

Der Benutzer authentisiert sich mit seinem Benutzernamen, einem Passwort und dem OTP-Wert an bspw. einer Webseite oder einer VPN-Verbindung. Der Radius-Client leitet diese Authentisierungsdaten an den Radius-Server weiter. Der Radius-Server – d.h. das Radius-Modul von LinOTP – erfragt aus dem LDAP-Verzeichnis den HMAC-SHA1-Key des entsprechenden Benutzers und berechnet daraus den nächsten OTP-Wert. Der Radius-Server beantwortet die Authentisierungsanfrage des Radius-Clients entsprechend.

Unterstütze Token

Aladdin eTokenNG OTP
Aladdin eToken PASS
Safeword Alpine
LSE MobileOTP

Auf Anfrage können weitere HMAC-OTP kompatiblen Token unterstützt werden.

Lizenzen

Die zur Laufzeit benötigten Komponenten von LinOTP (FreeRadius-Modul und Konnektor-Bibliothek) stehen unter der GPLv2. Die Administrationskomponente zur Initialisierung der eTokenNG OTP, Dokumentation und Skripte sind bei der LSE zu lizensieren.

Bitte erfragen Sie konkrete Preise und fordern Sie eine Teststellung an.

Erweiterbarkeit

Auf Basis der GPLv2 haben Sie die Möglichkeit die Funktionsweise des FreeRadius-Moduls zur Authentifizierung um neue, eigene Aspekte zu erweitern oder die Software eigenen Audits und Code-Reviews zu unterziehen.

LiveCD

Für schnelle Tests zur Einbindung der Einmalpassworte in Ihre Infrastruktur ist LinOTP als LiveCD verfügbar. So können Sie sich bereits innerhalb von 2 Minuten mit hardwarebasierten Einmalpassworten authentisieren.