Configuración SWIFT Alliance Access para MFA

Para usar Alliance Access, los usuarios deben tener un perfil que defina el rol del usuario y sus funciones
para acceder la funcionalidad disponible. SWIFT se refiere a estos usuarios finales del Alliance Access
como operadores. SWIFT entrega al Alliance Access con perfiles predefinidos, el LSO y el RSO asignan los
perfiles a los usuarios del Alliance Access. Los oficiales de seguridad pueden modificar los perfiles o
crearlos.

Existen cuatro métodos de autenticación posibles para los usuarios:

1. Contraseña (autenticación local).

2. RADIUS contraseña one-time (OTP).
3. Autenticación LDAP.
4. Contraseña y TOTP.

Cada método de autenticación de usuario debe ser configurado individualmente. En general, la

autenticación de dos factores puede ser implementado de las siguientes maneras:

 Contraseña u OTP.
 RADIUS, configurando el servidor para usar contraseñas y OTP.
 LDAP, habilitando la característica o plug-in para que el servidor LDAP provea el TOTP o el OTP
con la contraseña.

Para el caso del Banco BICE la integración con la plataforma de autenticación robusta IdentityGuard de
EntrustDatacard se realiza a través del método de autenticación RADIUS.

OTP RADIUS

Para usar los OTP se necesitan los siguientes componentes:

Token de hardware o Soft Token que genere los OTP.

Servidor de autenticación que verifique los OTP.

Se debe configurar el servidor de autenticación antes que se pueda usar las contraseñas OTP. La
implementación del Alliance Access incluye las siguientes funciones de autenticación para el protocolo
RADIUS:

 Reenvío del nombre de usuario y el OTP al servidor de autenticación para su validación.

 Bloqueo de la cuenta del usuario después de un número predefinido de intentos inválidos de
OTP.

Grupos de Servidores de Autenticación

Servidores de Autenticación y OTP

Servidores de Autenticación

Se debe configurar al menos un grupo de servidor de autenticación con un servidor primario en el

Web Platform antes de iniciar el uso de contraseñas OTP, también se puede configurar un servidor
secundario (se debe aprobar el primario para configurar el secundario). Una vez aprobados, cuando no
esté disponible el servidor primario o la conexión se pierda, se conmutara al servidor de autenticación
secundario.

La página del Grupo de Servidores de Autenticación en el Web Platform muestra información acerca del
servidor primario y secundario, para poder usar OTP se debe configurar al menos el servidor primario:
Para agregar un servidor primario en los grupos de servidores de autenticación se debe entrar con las
credenciales de al menos un oficial de seguridad, agregar al grupo de servidores al menos el primario
como se muestra en las figuras a continuación: