Alternativen zu RSA SecurID? [geschlossen]

Haben Sie eine Alternative zu RSA SecurID für die Zwei-Faktor-Authentifizierung verwendet und würden diese empfehlen?

Ich habe zuvor mit CRYPTOCard gearbeitet , um sowohl Windows- als auch Linux-Authentifizierung durchzuführen. Bei der Betrachtung über RSA SecurID waren eher die Gesamtbetriebskosten ein entscheidender Faktor. Mit CRYPTOCard konnten die Token vom Sicherheitsadministrator direkt verwaltet werden, ohne sie wie bei RSA zurücksenden zu müssen. Wenn die Batterie leer ist, kann der Administrator die Batterie wechseln und den Token neu programmieren. Wenn die Batterie bei RSA verbraucht war, musste sie zurückgeschickt und ausgetauscht werden, was bedeutete, dass zusätzliche Token zur Hand waren, damit sie schnell ausgetauscht werden konnten. Dies ist die gleiche Situation, die ich mit Secure Computing Safeword-Tokens erlebt habe.

Dies ist ein relativ neues Startup-Unternehmen, aber ich denke, dass sein Produkt eines der interessantesten für die 2-Faktor-Autorisierung ist.

http://www.yubico.com/products/yubikey/

• Es ist kleiner als der SecurID-Schlüsselanhänger.
• Hat keine Batterien.
• Verlässt sich nicht darauf, dass ein Benutzer eine Nummer liest und erneut eingibt.
• Benötigt keine Treiber auf den Computern.

In kleinerem Maßstab können Sie Google Authenticator verwenden.

Es gibt ein ziemlich einfaches PAM-Modul dafür.

http://code.google.com/p/google-authenticator/

Ich muss ein Netzwerk verwalten, in dem Smartcards vorhanden sind. Sie stellen eine gute Alternative dar. Beachten Sie jedoch, dass Sie jetzt Hardwarekomponenten installieren, die ausfallen und Treiberprobleme auf jeder einzelnen Workstation in Ihrer Organisation aufweisen. Sie müssen auch Software lizenzieren, die die Smartcard und einen Computer liest, um die Smartcards zu erstellen, zu aktualisieren und zu reparieren. Es ist eine echte PITA. Ich wünschte wirklich, die Organisation, für die ich gearbeitet habe, hätte sich stattdessen für SecureID entschieden. Benutzer können eine Smartcard genauso einfach verlieren wie einen schlüsselanhängergroßen Zahlengenerator.

Kurz gesagt - ich würde nichts anderes für die Zwei-Faktor-Authentifizierung empfehlen. SecureID ist Solid und es funktioniert.

Schauen Sie sich Smartcards an.

Benutzer authentifizieren sich beim Windows AD. Wird vom DOD verwendet

Hier finden Sie einen Planungsleitfaden von Microsoft.

http://go.microsoft.com/fwlink/?LinkId=41314

Wenn Sie nicht dagegen sind, Ihre eigene PKI-Infrastruktur zu betreiben, haben wir mit Aladdins eTokens , bei denen es sich um USB-Zwei-Faktor -Authentifizierung handelt , einen langjährigen Erfolg .

Wir haben sie in einer Vielzahl von Szenarien implementiert - Webanwendungen, VPN-Authentifizierung, SSH-Authentifizierung, AD-Anmeldungen, gemeinsame Kennwortlisten und Web-SSO-Kennwortspeicher.

Wir sind mit Entrust gefahren, viel billiger als RSA / Vasco etc ...

http://www.entrust.com/strong-authentication/identityguard/tokens/index.htm

Ein SecurID-Herausforderer: Vasco / Digipass: Linktext

Sie können auch in Betracht ziehen, RSA SecurID von einem Unternehmen wie Signify zu hosten. Dies ist hilfreich , wenn Sie nur ein paar Geräte für Benutzer benötigen .

Wir prüfen derzeit, ob die 2-Faktor-Authentifizierung über SMS eine akzeptable Alternative zu SecurID oder anderen Lösungen im Zusammenhang mit Zugangskarten darstellt. Dies ist offensichtlich nicht sinnvoll, wenn Sie mobile Anwendungen verwenden (die Anwendung wird auf demselben Gerät ausgeführt, auf dem die SMS-Nachricht empfangen wurde).

In meinem Fall ist dies nur für RAS / VPN und es handelt sich um das Barracuda SSL VPN .

Vielleicht möchten Sie auch ActivIdenty in Betracht ziehen. Als ich mir 2FA ansah, mochte ich diese Lösung. Sie unterstützen SmartCards, USB-Tokens, OTP-Tokens, DisplayCard-Tokens und Soft-Tokens. Wir haben dies für Active Directory untersucht. Ich bin mir nicht sicher, welches andere Betriebssystem sie unterstützen.

Nach 4 Jahren des Kampfes mit RSA SecurID haben wir auf die Gemalto .NET-Smartcard umgestellt.
Warum wir RSA SecurID nicht mögen:

• Jeden Monat haben wir einige Probleme mit einem Benutzer, der sich nicht an seinem Computer anmelden konnte. Die einzige Lösung bestand darin, eine Verbindung zur RSA-Serversoftware herzustellen und den Grund für das Überwachen von Protokollen zu ermitteln.
• Ihre Serversoftware ist sehr schwer zu bedienen und nicht intuitiv. Wir hatten nur einen Mann, der kaum ein Wissen hatte, wie man es benutzt.
• Sie müssen alle zwei Jahre neue Token kaufen. Anschließend müssen Sie den aktiven Token für jeden Benutzer wechseln. Manchmal funktioniert es, manchmal nicht. Man weiß nie.
• Sie müssen die Software auf dem Domänencontroller installieren. Entfernen Sie sie besser nicht, da Sie sich sonst nicht bei DC anmelden können .
• Sie müssen das Anmeldefenster auf jedem Computer in der Domäne installieren
• Sie können nicht zulassen, dass sowohl das Kennwort als auch die SecureID für einen bestimmten Benutzer verwendet werden
• Ihre Unterstützung / Dokumentation ist schrecklich
• Benutzer von Laptops konnten sich zu Hause nicht anmelden, und auf unseren Computern funktionierten keine zwischengespeicherten Anmeldeinformationen

Warum wir uns für Gemalto .NET entschieden haben

• Es ist eine Smartcard, die vollständig von Windows unterstützt wird. Alle Treiber sind auf Windows Update installiert.
• Sie müssen nicht alle paar Jahre neue Token kaufen, sondern nur Zertifikate erneuern.
• Es kann für eine spezielle Verwendung programmiert werden, wenn Sie etwas anderes benötigen (außer einfache Anmeldung).
• Benutzer können sich mit ihren Kennwörtern anmelden, wenn Ihr CA-Server aus irgendeinem Grund ausfällt. Sie können sie jedoch zur Verwendung der Smartcard zwingen, wenn Sie dies möchten.
• Alle Smartcard-APIs / -Software sind von Microsoft recht gut dokumentiert.

Auf der gesamten Softwareseite gibt es

http://www.wikidsystems.com/

Sie haben eine kostenlose Community Edition.

Ich bin ein glücklicher Benutzer von Mobile-Otp . einfache Java-Anwendung für Ihr Handy + Code, den Sie aus Bash / PHP / praktisch alles aufrufen können. und sogar Pam-Modul [das ich nicht benutzt habe].