Windows domein MFA oplossing gezocht

[Simon Weel]

De titel zegt het al - ik zoek een MFA oplossing voor ons Windows domein. Netwerk bestaat uit een 20-tal pc's met Windows 10. Domain Controller Server 2016. Geen Azure. Geen Microsoft 365.

Wat ik wil, en dat schijnt bijzonder te zijn, is dat als een gebruiker om zijn Windows inlognaam en wachtwoord wordt gevraagd, daarna een venstertje opduikt om een Authenticator code van bijv. Google of Microsoft in te tikken. On-premise oplossing. Betaalbaar. Leek mij niet zo ingewikkeld...

Windows Hello for Business leek me de meest uitgelezen oplossing. Kwestie van een paar Policy settings dacht ik, maar nee - blijkt erg ingewikkeld. Iets voor later, als 'we' naar Azure zijn gemigreerd. Wat we voorlopig nog niet doen.

DUO. Meest voor de hand liggende oplossing van derden. Werkt prima, simpel in gebruik. Wel prijzig en cloud-based. Dat laatste wil ik liever niet.

ADselfServicePlus. Gratis. Niet echt gemaakt voor MFA, dat is meer een bonus. Komt een heel eind, maar dekt niet de gehele lading.

Userlock. Dit leek veelbelovend. Makkelijk in gebruik, on-premise oplossing, betaalbaar. Blijkt echter kinderlijk eenvoudig te omzeilen. Schijnt volgens de makers zo te horen, maar maakt het in mijn ogen een totaal overbodig product.

Ik ben inmiddels een paar maanden zoet met het testen van bovenstaande oplossingen en er zijn nogal wat MFA leveranciers. Voordat ik die allemaal aan de tand heb gevoeld ben ik een jaar verder. En dus mijn vraag aan de gemeenschap: welke MFA oplossing voldoet aan mijn wensen?

[downtime]

Simon Weel schreef op woensdag 9 juni 2021 @ 09:52:

Ik ben inmiddels een paar maanden zoet met het testen van bovenstaande oplossingen en er zijn nogal wat MFA leveranciers. Voordat ik die allemaal aan de tand heb gevoeld ben ik een jaar verder. En dus mijn vraag aan de gemeenschap: welke MFA oplossing voldoet aan mijn wensen?

Smartcard logon: https://docs.microsoft.co...certification-authorities

De MFA bestaat uit iets wat je hebt (de card met een persoonlijk certificaat erop) en iets wat je weet (een pincode). Enige nadeel is dat je zakelijke laptops met een smartcard slot (of USB readers) nodig hebt.

[Nielson]

ESET Secure Authentication is op zich wel een mooie oplossing:

https://www.eset.com/me/business/secure-authentication/

[revolution-nl]

Yubi Key met PIV manager i.c.m. certificate services in je domein is wellicht een optie.

[Voor 14% gewijzigd door revolution-nl op 10-06-2021 17:00]

[albert04]

Windows Hello for Business is idd een leuke oplossing voor een soort tweede authenticatie op de werkplek (aanmelden Win10). Windows Hello heeft als enige requirement dat de gebruikers Azure MFA heeft geactiveerd en het apparaat (hybrid) Azure AD joined is. Dus, hiervoor moet je idd naar de Cloud en een MS 365 dienst activeren.


Waarom niet naar MS365? Ideaal en efficiënter voor z'n klein groepje werkplekken. Weg met die DC..

[Simon Weel]

Nielson schreef op donderdag 10 juni 2021 @ 16:54:
ESET Secure Authentication is op zich wel een mooie oplossing:

Het is een tijdje geleden. Druk met andere dingen. Afgelopen week nog een keer met Duo in de weer geweest. Blijkt wat betreft Windows logon hetzelfde te werken als Userlock - dus simpel te omzeilen. Deze week naar ESET Secure Authentication gekeken. Dat ziet er beter uit. Om niet weer heel veel tijd te besteden aan een test heb ik eerst even gevraagd hoe de Windows MFA logon wordt geregeld. Waar de andere oplossingen simpel zijn te omzeilen door domweg de bijbehorende client software niet te installeren, gaat dat bij Eset niet op - zeggen ze.

Kan iemand dat bevestigen?