На потребителите не може да се вярва. По правило те са мързеливи и вместо сигурност предпочитат комфорт. Според статистиката, 21% записват паролите си за работните акаунти на хартия, 50% използват едни и същи пароли за работни и лични услуги.

И средата е враждебна. 74% от организациите разрешават носенето на лични устройства на работа и свързването им с корпоративната мрежа. 94% от потребителите не могат да различат истинското писмо от фишинговото, 11% са кликнали на прикачени файлове.

Всички тези проблеми решава корпоративната инфраструктура за открити ключове (PKI), която осигурява криптиране и удостоверяване на имейли, заменяйки паролите с цифрови сертификати. Тази инфраструктура може да се изгради на Windows Server. Според описанието на Microsoft, услугата Active Directory Certificate Services (AD CS) е сървър, който позволява на вашата организация да създаде PKI и да използва криптография с открити ключове, цифрови сертификати и цифрови подписи.

Но решението на Microsoft е доста скъпо.

Общата цена на притежание за частен сертификационен център от Microsoft

Сравнение на цената на притежание на Microsoft CA и GlobalSign AEG. Източник

В много ситуации е по-удобно и по-евтино да се създаде същият частен сертификационен център, но с външно управление. Именно този проблем решава GlobalSign Auto Enrollment Gateway (AEG). От общата цена на притежание се изключват няколко пера на разходите (закупуване на оборудване, разходи за поддръжка, обучение на персонала и др.). Спестяванията могат да надвишават 50% от общата цена на притежание.

Какво е AEG

Auto Enrollment Gateway (AEG) е софтуерна услуга, която действа като шлюз между услугите за сертификати SaaS на GlobalSign и корпоративната среда на Windows.

AEG се интегрира с Active Directory, позволявайки на организациите да автоматизират регистрацията, подготовката и управлението на цифровите сертификати на GlobalSign в среда на Windows. Заменяйки вътрешните сертификационни центрове с услугите на GlobalSign, предприятията повишават сигурността и намаляват разходите за управление на сложен и скъп вътрешен сертификационен център на Microsoft.

Услугите за сертификати на GlobalSign SaaS са по-надежден вариант в сравнение с слабите и неуправляеми сертификати в собствената инфраструктура. Ликвидиране на необходимостта от управление на ресурсоемкия вътрешен ЦС намалява общата цена на притежание на PKI, както и риска от системни сривове.

Поддръжката на протоколите SCEP и ACME разширява възможностите за поддръжка извън Windows, включително автоматизираното издаване на сертификати за Linux сървъри, мобилни, мрежови и други устройства, както и компютри с Apple OSX, регистрирани в Active Directory.

Повишена сигурност

Освен икономия на бюджета, външното управление на PKI повишава сигурността на системата. Както посочва изследването на Aberdeen Group, сертификатите все повече се превръщат в мишена за злонамерени действия: те успешно използват известни уязвимости, като ненадеждни самоподписани сертификати, слабо криптиране и тромави механизми за отзыва. Освен това, злонамерените лица усвоиха по-сложни експлояти, като измамно издаване на сертификати от доверени CA и фалшифициране на сертификати за подписване на код.

„Повечето предприятия недостатъчно активно управляват рисковете, свързани с тези атаки, и не са готови бързо да реагират на компрометиране, — написа Дерек Е. Бринк, вицепрезидент и изследовател по ИТ-сигурност в Aberdeen Group. — Предоставяйки на предприятията възможността да прехвърлят операционните аспекти на управлението на сертификатите в ръцете на експерти, като същевременно запазват корпоративния контрол над груповите политики в Active Directory, GlobalSign се стреми да осигури бъдещ растеж на използването на сертификати, решавайки практически въпроси на сигурността и доверието в ефективен, икономически модел на разгръщане.“

Как работи AEG

Типична система с AEG включва четири ключови компонента, за да гарантира прехвърлянето на правилните сертификати на правилните точки за достъп:

Програмата AEG на Windows сървър.
Сървъри Active Directory или контролери на домейни, които позволяват на администраторите да управляват и съхраняват информация за ресурсите.
Крайните точки: потребители, устройства, сървъри и работни станции — практически всеки обект, който е "потребител" на цифрови сертификати.
Център за сертификация GlobalSign или GCC, който стои на върха на надеждна платформа за издаване и управление на сертификати. Тук се генерират сертификати.

Три от четирите показани компонента са в локалната среда на клиента, а четвъртият — в облака.

Първоначално крайните точки се конфигурират предварително чрез групови политики: например, чрез проверка на сертификата за автентикация на потребителя, заявка S/MIME за сертификат и т.н. — за последваща свързаност със сървъра AEG. Свързването става безопасно през HTTPS.

Сървърът AEG изпраща заявка до Active Directory чрез LDAP, за да получи списък с шаблони на сертификати за тези крайни точки и изпраща този списък на клиентите заедно с местоположението на центъра за сертификация. След получаване на тези правила, крайните точки отново се свързват със сървъра AEG, този път за да поискат действителните сертификати. AEG от своя страна изгражда API повикване с посочените параметри и го изпраща до Център за сертификация GlobalSign или GCC за обработка.

Накрая, сървърната част на GCC обработва заявките, обикновено в рамките на няколко секунди, и изпраща API отговор заедно със сертификата, който ще бъде инсталиран на крайните точки при заявка.

Целият процес отнема няколко секунди и може да бъде напълно автоматизиран чрез конфигуриране на крайните точки за автоматично получаване на сертификати чрез групови политики.

Уникални характеристики на AEG

Може да се регистрирате чрез платформата MDM.
Разработена от бивши служители на екипа на Microsoft Crypto.
Решение „без клиент“.
Упрощена реализация и управление на жизнения цикъл.

Примери за архитектури

Така че, външното управление на PKI чрез шлюза GlobalSign AEG означава повишена сигурност, спестяване на средства и намаляване на рисковете. Другото предимство е лесната мащабируемост и повишената производителност. Правилното управление на PKI осигурява дълъг период на работа без откази, предотвратява прекъсването на критични операции поради невалидни сертификати и предлага на служителите дистанционен, сигурен достъп до мрежите на компанията.

AEG поддържа широк спектър от приложения, изискващи двуфакторна автентикация: от клиенти на отдалечени работни групи, получаващи достъп до мрежата през VPN и Wi-Fi, до привилегирован достъп до високочувствителни ресурси чрез смарт карти.

GlobalSign - световен лидер в предоставянето на облачни и мрежови PKI решения за управление на идентичността и достъпа. По-подробна информация за продуктите можете да получите от нашите мениджъри.

Източник: habr.com