Bastion Pass

O Bastion Pass é o módulo do GuardianKey Auth Bastion que leva autenticação multifator a sistemas cujo cliente não tem onde pedir o segundo fator. O caso mais comum é o acesso remoto ao Windows pela Conexão de Área de Trabalho Remota (mstsc) através do RD Gateway: o cliente pede usuário e senha e não tem tela para um código de verificação.

O problema

O Bastion Web, o outro módulo do Auth Bastion, protege sistemas web ficando entre o navegador e a aplicação. Ele intercepta o login e pede o segundo fator antes de liberar o acesso. Esse modelo depende de um navegador.

RDP, clientes desktop e aplicações legadas com cliente próprio não passam por uma página onde o bastion consiga inserir essa etapa. Alterar o cliente quase nunca é opção: ele é de terceiros, o código-fonte não está disponível ou a troca envolveria todas as estações da empresa.

A ideia: liberar o acesso por um canal paralelo

O Bastion Pass separa a autenticação forte do uso do sistema.

Antes de conectar, o usuário abre o portal do Bastion Pass no navegador. Ele entra com o usuário e a senha da empresa (o mesmo diretório que o sistema protegido usa) e confirma com o código do aplicativo autenticador. O portal registra uma liberação para aquele usuário, a partir do endereço IP de onde ele acessou.

Depois disso, o usuário usa o sistema como sempre usou. A cada nova conexão, um módulo de integração instalado junto ao sistema protegido pergunta ao Bastion Pass se existe liberação válida para aquele usuário vindo daquele IP. Se existe, a conexão segue. Se não existe, a conexão é encerrada e o usuário precisa passar pelo portal.

O sistema protegido e o cliente que o usuário já usa não mudam. O que se instala é o portal e o módulo de integração.

O que muda para o usuário

No primeiro acesso, o usuário cadastra o aplicativo autenticador (Google Authenticator, Microsoft Authenticator ou outro compatível com TOTP) lendo um QR code no portal.

Ao conectar de um IP novo, ele passa pelo portal e informa o código. Na mesma tela pode marcar "Confiar neste IP": a liberação vale então por 30 dias. Sem essa opção, a liberação dura 12 horas e se renova a cada uso, até o limite de 24 horas. Os dois prazos são configuráveis.

Do mesmo IP, dentro da validade, não há passo extra. O sistema abre como antes.

O que vem do Auth Bastion

O Bastion Pass não tem cadastro nem administração próprios. Ele usa o que já está configurado no Auth Bastion:

• o cadastro de TOTP dos usuários, incluindo o reset feito pelo administrador;
• as políticas de usuário e de IP, para liberar ou bloquear usuários e redes sem passar pelo portal;
• a análise de risco do GuardianKey Auth Security, consultada no login do portal e em cada conexão ao sistema;
• a proteção do formulário de login contra automação e força bruta com o GKTinc.

Cada decisão, no portal ou em uma conexão, fica registrada em trilha de auditoria.

Onde pode ser usado

A primeira integração disponível é com o Microsoft RD Gateway, para acesso RDP pelo mstsc. Ela não exige instalar nada nos servidores do gateway.

O mesmo modelo serve para outros sistemas cujo cliente não comporta um segundo fator, como uma aplicação Java legada ou um cliente desktop proprietário. Para cada sistema muda só o módulo de integração, isto é, o ponto em que o sistema consulta o Bastion Pass a cada conexão. O portal, o cadastro, as políticas e a auditoria são os mesmos. A viabilidade de cada integração é avaliada com o time de Customer Success da GuardianKey.