raddb/mods-available/otp

   1 #
   2 #  Configuration for the OTP module.
   3 #
   4
   5 #  This module allows you to use various handheld OTP tokens
   6 #  for authentication (Auth-Type := otp).  These tokens are
   7 #  available from various vendors.
   8 #
   9 #  It works in conjunction with otpd, which implements token
  10 #  management and OTP verification functions; and lsmd or gsmd,
  11 #  which implements synchronous state management functions.
  12 #  otpd, lsmd and gsmd are available from TRI-D Systems:
  13 #              <http://www.tri-dsystems.com/>
  14
  15 #  You must list this module in BOTH the authorize and authenticate
  16 #  sections in order to use it.
  17 otp {
  18         # otpd rendezvous point.
  19         # (default: /var/run/otpd/socket)
  20         #otpd_rp = /var/run/otpd/socket
  21
  22         # Text to use for the challenge.  The '%' character is
  23         # disallowed, except that you MUST have a single "%s"
  24         # sequence in the string; the challenge itself is
  25         # inserted there.  (default "Challenge: %s\n Response: ")
  26         #challenge_prompt = "Challenge: %s\n Response: "
  27
  28         # Length of the challenge.  Most tokens probably support a
  29         # max of 8 digits.  (range: 5-32 digits, default 6)
  30         #challenge_length = 6
  31
  32         # Maximum time, in seconds, that a challenge is valid.
  33         # (The user must respond to a challenge within this time.)
  34         # It is also the minimal time between consecutive async mode
  35         # authentications, a necessary restriction due to an inherent
  36         # weakness of the RADIUS protocol which allows replay attacks.
  37         # (default: 30)
  38         #challenge_delay = 30
  39
  40         # Whether or not to allow asynchronous ("pure" challenge/
  41         # response) mode authentication.  Since sync mode is much more
  42         # usable, and all reasonable tokens support it, the typical
  43         # use of async mode is to allow resync of event based tokens.
  44         # But because of the vulnerability of async mode with some tokens,
  45         # you probably want to disable this and require that out-of-sync
  46         # users resync from specifically secured terminals.
  47         # See the otpd docs for more info.
  48         # (default: no)
  49         #allow_async = no
  50
  51         # Whether or not to allow synchronous mode authentication.
  52         # When using otpd with lsmd, it is *CRITICALLY IMPORTANT*
  53         # that if your OTP users can authenticate to multiple RADIUS
  54         # servers, this must be "yes" for the primary/default server,
  55         # and "no" for the others.  This is because lsmd does not
  56         # share state information across multiple servers.  Using "yes"
  57         # on all your RADIUS servers would allow replay attacks!
  58         # Also, for event based tokens, the user will be out of sync
  59         # on the "other" servers.  In order to use "yes" on all your
  60         # servers, you must either use gsmd, which synchronizes state
  61         # globally, or implement your own state synchronization method.
  62         # (default: yes)
  63         #allow_sync = yes
  64
  65         # If both allow_async and allow_sync are "yes", a challenge is
  66         # always presented to the user.  This is incompatible with NAS's
  67         # that can't present or don't handle Access-Challenge's, e.g.
  68         # PPTP servers.  Even though a challenge is presented, the user
  69         # can still enter their synchronous passcode.
  70
  71         # The following are MPPE settings.  Note that MS-CHAP (v1) is
  72         # strongly discouraged.  All possible values are listed as
  73         # {value = meaning}.  Default values are first.
  74         #mschapv2_mppe = {2 = required, 1 = optional, 0 = forbidden}
  75         #mschapv2_mppe_bits = {2 = 128, 1 = 128 or 40, 0 = 40}
  76         #mschap_mppe = {2 = required, 1 = optional, 0 = forbidden}
  77         #mschap_mppe_bits = {2 = 128}
  78 }