产品文档
ADC
14.1 - Current Release 13.1 13.0 12.1
查看 PDF

以加密格式存储 OTP 密钥数据

December 7, 2023
投稿者: 
C

从 NetScaler 版本 13.0 版本 41.20 开始，OTP 机密数据可以以加密格式存储，而不是纯文本。

以前，NetScaler 设备将 OTP 密钥作为纯文本存储在 AD 中。以纯文本格式存储 OTP 密钥会构成安全威胁，因为恶意攻击者或管理员可能会通过查看其他用户的共享密钥来利用数据。

加密参数启用 AD 中的 OTP 密钥的加密。当您使用 NetScaler 版本 13.0 build 41.20 注册新设备并启用加密参数时，OTP 密钥默认以加密格式存储。但是，如果禁用了加密参数，OTP 密钥将以纯文本格式存储。

对于 13.0 Build 41.20 之前注册的设备，必须执行以下操作作为最佳实践：

  1. 将 13.0 NetScaler 设备升级到 13.0 版本 41.20。
  2. 在设备上启用加密参数。
  3. 使用 OTP 密钥迁移工具将 OTP 密钥数据从纯文本格式迁移到加密格式。

有关 OTP 密钥迁移工具的详细信息，请参阅“OTP 加密工具”。

重要

Citrix 建议您作为管理员确保满足以下条件：

  • 如果您没有使用 KBA 作为自助服务密码重置功能的一部分，则必须将新证书配置为加密 OTP 密钥。

    • To bind the certificate to VPN global, you can use the following command:

      bind vpn global -userDataEncryptionKey <certificate name>

  • 如果您已使用证书加密 KBA，则可以使用同一证书加密 OTP 密钥。

  • 新 OTP 注册总是使用最后绑定的证书，因为它的优先级最高。在下面显示的示例中，如果您绑定证书 (cert1)，然后绑定另一个证书 (cert2)，则会考虑使用 cert2 进行设备注册。如果缺少设备注册所需的证书，最终用户登录将失败。

       bind vpn global -userDataEncryptionKey otp-cert1
   bind vpn global -userDataEncryptionKey otp-cert2
   <!--NeedCopy-->

    在以下示例中，cert2 证书显示为 show vpn global 命令输出的第一个条目：

    ``` show vpn global

    Portal Theme: RfWebUI Userdata Encryption Certificate: cert2 Userdata Encryption Certificate: cert1 1) VPN Clientless Access Policy Name: ns_cvpn_owa_policy Priority: 95000 Bindpoint: REQ_DEFAULT 2) VPN Clientless Access Policy Name: ns_cvpn_sp_policy Priority: 96000 Bindpoint: REQ_DEFAULT 3) VPN Clientless Access Policy Name: ns_cvpn_sp2013_policy Priority: 97000 Bindpoint: REQ_DEFAULT 4) VPN Clientless Access Policy Name: ns_cvpn_default_policy Priority: 100000 Bindpoint: REQ_DEFAULT ```

使用 CLI 启用 OTP 加密数据

在命令提示符下，键入：

set aaa otpparameter [-encryption ( ON | OFF )]

示例

set aaa otpparameter -encryption ON

使用 GUI 配置 OTP 加密

  1. 导航到 Security（安全）> AAA – Application Traffic（AAA - 应用程序流量），然后单击 Authentication Settings（身份验证设置）部分下的 Change authentication AAA OTP Parameter（更改身份验证 AAA OTP 参数）。
  2. 在 Configure AAA OTP Parameter（配置 AAA OTP 参数）页面上，选择 OTP Secret encryption（OTP 密钥加密）。
  3. 单击确定。

配置用于接收 OTP 通知的最终用户设备的数量

管理员现在可以配置最终用户可以注册以接收 OTP 通知或身份验证的设备数量。

使用 CLI 配置 OTP 中的设备数量

在命令提示符下，键入：

set aaa otpparameter [-maxOTPDevices <positive_integer>]

示例

set aaa otpparameter -maxOTPDevices 4

使用 GUI 配置设备数量

  1. 导航到安全 > AAA - 应用程序流量。

  2. 在“身份验证设置”部分中，单击“更改身份验证 AAA OTP 参数”。

  3. 在 Configure AAA OTP Parameter（配置 AAA OTP 参数）页面上，输入 Max OTP device Configured（已配置的最大 OTP 设备数量）。

  4. 单击确定。

以加密格式存储 OTP 密钥数据
December 7, 2023
投稿者: 
C
December 7, 2023
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.