<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote">On Wed, Nov 15, 2017 at 8:48 AM, Manuel Haim <span dir="ltr"><<a href="mailto:haim@hrz.uni-marburg.de" target="_blank">haim@hrz.uni-marburg.de</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hi Josh,<br>
<br>
there seems to be a Shibboleth plugin for use with LinOTP:<br>
<a href="https://github.com/cyber-simon/idp-auth-linotp" rel="noreferrer" target="_blank">https://github.com/cyber-<wbr>simon/idp-auth-linotp</a></blockquote><div><br></div><div>We're using LinOTP with Shibboleth with a heavily modified (essentially unrecognizable) fork of this module.  We've been doing so for around 6 months now.</div><div><br></div><div>If distractions would quit getting in the way, I'd have finished at least adding U2F support and "KeyIdentity" Push Token support to the Shibboleth module.  (I'm still hoping to have a first pass of that done this week, at least for U2F; the push tokens are a bit trickier.)</div><div><br></div><div>I haven't checked InCommon Duo pricing lately; we didn't qualify, and the market price for Duo was considerably higher.  That, and we needed MFA for Active Directory desktops, and Duo's solution was ill-suited to our requirements.  However, in general, Duo's solution is quite a bit slicker than LinOTP's.  In particular, the LinOTP enrollment apps are sufficiently poor that we decided from the start that we had to do our own.  And, of course, the push tokens for LinOTP aren't part of the open source distro.  (Technically, the token code itself is there.  What's not there are the push notification servers.)</div><div><br></div><div>I can't currently distribute my currently module, but I don't foresee it being an issue.  I just haven't bothered doing it until I get the last two pieces in.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">However, we currently plan to implement Shibboleth multi-factor<br>
authentication along with the LinOTP-fork "privacyIDEA" and Yubikey tokens.<br>
<br>
Up to now, we already have an privacyIDEA-LDAP-Proxy running for some<br>
secured applications. Instead of the password alone, the user has to<br>
enter password + Yubikey token into the password field. The LDAP-Proxy<br>
then forwards the password check to our regular LDAP servers, while the<br>
token check is forwarded to the privacyIDEA server.<br></blockquote><div><br></div><div>We have something similar for the LinOTP server.  (Not theirs, which is based on an OpenLDAP Perl backend and seemed to have concurrency issues in our testing.  We'd had one for our prior solution that we ported over.)</div><div><br></div><div>Greg</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
Kind regards,<br>
Manuel<br>
<br>
Philipps University Marburg, Germany<br>
<span class=""><br>
<br>
<br>
Am 15.11.2017 um 17:09 schrieb O'Dowd, Josh:<br>
> I am doing due diligence for a likely Duo purchase, which I have demo’d<br>
> on campus using the outstanding Shibboleth native support.  I am curious<br>
</span>> if there are any known legitimate alternatives to Duo as a 2^nd factor<br>
<span class="">> solution WITHOUT sacrificing Shibboleth IdP front-channel password<br>
</span>> authentication as the 1^st factor.<br>
<span class="im HOEnZb">><br>
>  <br>
><br>
> We are not considering a custom built solution at this time.<br>
><br>
>  <br>
><br>
> I truly appreciate any feedback from the Shibboleth community.<br>
><br>
>  <br>
><br>
> Thank You!<br>
><br>
>  <br>
><br>
> Josh O’Dowd<br>
><br>
> Software Systems Engineer / Identity Access Management<br>
><br>
> University of Montana<br>
><br>
>  <br>
><br>
><br>
><br>
<br>
</span><div class="HOEnZb"><div class="h5">--<br>
For Consortium Member technical support, see <a href="https://wiki.shibboleth.net/confluence/x/coFAAg" rel="noreferrer" target="_blank">https://wiki.shibboleth.net/<wbr>confluence/x/coFAAg</a><br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br>
</div></div></blockquote></div><br></div></div>