Реализация двухфакторной аутентификации

Моя компания имеет доступ к стороннему веб-сайту, который использует простой метод аутентификации по имени пользователя и паролю. Этот поставщик может ограничить доступ к приложению (веб-сайт) определенным диапазоном IP-адресов. Мы пытаемся внедрить двухфакторную аутентификацию для защиты сайта. У нас нет доступа к исходному коду поставщика веб-сайта, поэтому мы не смогли внедрить на веб-сайте 2FA native.

Я думал о создании экземпляра AWS EC2 с 2FA и ограничении веб-сайта стороннего поставщика только этим IP.

Другой вариант - создать прокси-сервер (с 2FA, я не знаю, возможно ли это) и ограничить IP-адрес только прокси.

Это лучшая практика? У кого-нибудь есть другая идея?

2 ответа

Могу ли я использовать ограничения IP-доступа, которые поддерживает поставщик, чтобы ограничить доступ к (обратному) прокси-серверу, а затем включить двухфакторную аутентификацию на прокси-сервере?

Да, вы могли бы, но это все еще не предлагает вам фактическую двухфакторную аутентификацию.

Проблема в том, что, хотя люди должны будут проходить аутентификацию с использованием двухфакторной проверки на прокси-сервере, для входа на веб-сайт им все равно будет предложено ввести имя пользователя и пароль. И ничто не мешает им использовать чужое имя пользователя и пароль, а не свои собственные для входа в систему.

Пользователь A на прокси-сервере может войти в систему как Пользователь B на стороннем веб-сайте, что, как предполагается, должно предотвращать использование двухфакторного фактора!

Да, это обеспечит двойную аутентификацию, хотя:

1) Возможно подделывать IP-адреса, даже с TCP - используя VPN (правильную VPN с собственными IP-адресами и взаимной аутентификацией, например, IPSEC или ssh-туннель, а не дешевые анонимные службы, которые вы увидите в Google, если вы ищете "VPN") будет решить эту проблему

2) При наличии только одного прокси ваша доступность уменьшается вдвое.

3) Можете ли вы реально контролировать, насколько фиксирован "фиксированный" IP-адрес прокси (подсказка: вы можете, если его "127.0.0.1")

В качестве альтернативы вы можете потратить огромные суммы денег на решение по управлению привилегированным доступом / независимостью (а затем выяснить, насколько это ограничительно на практике).

Другие вопросы по тегам