অভিজ্ঞতা "আলাদিন R.D." নিরাপদ দূরবর্তী অ্যাক্সেস বাস্তবায়ন এবং কোভিড-১৯ মোকাবেলায়

আমাদের কোম্পানিতে, অন্যান্য আইটি কোম্পানির মতো এবং আইটি কোম্পানির মতো নয়, দূরবর্তী অ্যাক্সেসের সম্ভাবনা দীর্ঘদিন ধরে বিদ্যমান ছিল এবং অনেক কর্মচারী এটি প্রয়োজনের বাইরে ব্যবহার করেছেন। বিশ্বে COVID-19 ছড়িয়ে পড়ার সাথে সাথে, আমাদের আইটি বিভাগ, কোম্পানির ব্যবস্থাপনার সিদ্ধান্তে, বিদেশ ভ্রমণ থেকে ফিরে আসা কর্মচারীদের দূরবর্তী কাজে স্থানান্তর করতে শুরু করে। হ্যাঁ, আমরা মূলধারায় পরিণত হওয়ার আগেই মার্চের শুরু থেকেই হোম স্ব-বিচ্ছিন্নতার অনুশীলন শুরু করেছি। মার্চের মাঝামাঝি সময়ে, সমাধানটি ইতিমধ্যেই পুরো কোম্পানির কাছে স্কেল করা হয়েছে এবং মার্চের শেষে আমরা সবাই প্রায় নির্বিঘ্নে সকলের জন্য ভর দূরবর্তী কাজের একটি নতুন মোডে স্যুইচ করেছি।

প্রযুক্তিগতভাবে, নেটওয়ার্কে দূরবর্তী অ্যাক্সেস বাস্তবায়ন করতে, আমরা Microsoft VPN (RRAS) ব্যবহার করি - Windows সার্ভারের ভূমিকাগুলির মধ্যে একটি হিসাবে। আপনি যখন নেটওয়ার্কের সাথে সংযোগ করেন, তখন শেয়ারপয়েন্ট, ফাইল শেয়ারিং পরিষেবা, বাগ ট্র্যাকার থেকে শুরু করে একটি CRM সিস্টেম পর্যন্ত বিভিন্ন অভ্যন্তরীণ সংস্থান পাওয়া যায়; অনেকের জন্য, তাদের কাজের জন্য এটিই প্রয়োজন। যাদের অফিসে এখনও ওয়ার্কস্টেশন আছে, তাদের জন্য RDP অ্যাক্সেস RDG গেটওয়ের মাধ্যমে কনফিগার করা হয়েছে।

আপনি কেন এই সিদ্ধান্তটি বেছে নিলেন বা কেন এটি বেছে নেওয়া মূল্যবান? কারণ আপনার যদি ইতিমধ্যেই মাইক্রোসফ্ট থেকে একটি ডোমেন এবং অন্যান্য অবকাঠামো থাকে, তবে উত্তরটি সুস্পষ্ট, এটি সম্ভবত আপনার আইটি বিভাগের পক্ষে কার্যকর করা সহজ, দ্রুত এবং সস্তা হবে। আপনাকে শুধু কয়েকটি বৈশিষ্ট্য যোগ করতে হবে। এবং অতিরিক্ত অ্যাক্সেস ক্লায়েন্ট ডাউনলোড এবং কনফিগার করার চেয়ে কর্মীদের জন্য উইন্ডোজ উপাদানগুলি কনফিগার করা সহজ হবে৷

VPN গেটওয়ে নিজে অ্যাক্সেস করার সময় এবং পরে, ওয়ার্কস্টেশন এবং গুরুত্বপূর্ণ ওয়েব সংস্থানগুলির সাথে সংযোগ করার সময়, আমরা দ্বি-ফ্যাক্টর প্রমাণীকরণ ব্যবহার করি। প্রকৃতপক্ষে, এটি অদ্ভুত হবে যদি আমরা, দ্বি-ফ্যাক্টর প্রমাণীকরণ সমাধানের প্রস্তুতকারক হিসাবে, আমাদের পণ্যগুলি নিজেরাই ব্যবহার না করি। এটি আমাদের কর্পোরেট স্ট্যান্ডার্ড; প্রতিটি কর্মচারীর একটি ব্যক্তিগত শংসাপত্র সহ একটি টোকেন রয়েছে, যা অফিস ওয়ার্কস্টেশনে ডোমেনে এবং কোম্পানির অভ্যন্তরীণ সংস্থানগুলিতে প্রমাণীকরণ করতে ব্যবহৃত হয়।

পরিসংখ্যান অনুসারে, তথ্য সুরক্ষার 80% এরও বেশি ঘটনা দুর্বল বা চুরি করা পাসওয়ার্ড ব্যবহার করে। অতএব, দ্বি-ফ্যাক্টর প্রমাণীকরণের প্রবর্তন কোম্পানি এবং এর সংস্থানগুলির নিরাপত্তার সামগ্রিক স্তরকে ব্যাপকভাবে বৃদ্ধি করে, আপনাকে চুরি বা পাসওয়ার্ড অনুমান করার ঝুঁকি প্রায় শূন্যে হ্রাস করতে দেয় এবং এটি নিশ্চিত করে যে কোনও বৈধ ব্যবহারকারীর সাথে যোগাযোগ ঘটে। একটি PKI পরিকাঠামো বাস্তবায়ন করার সময়, পাসওয়ার্ড প্রমাণীকরণ সম্পূর্ণরূপে অক্ষম করা যেতে পারে।

ব্যবহারকারীর জন্য UI দৃষ্টিকোণ থেকে, এই স্কিমটি লগইন এবং পাসওয়ার্ড প্রবেশের চেয়েও সহজ। কারণ হল যে একটি জটিল পাসওয়ার্ড আর মনে রাখার দরকার নেই, কীবোর্ডের নিচে স্টিকার লাগানোর দরকার নেই (সমস্ত ধারণাযোগ্য নিরাপত্তা নীতি লঙ্ঘন করে), এমনকি প্রতি 90 দিনে একবার পাসওয়ার্ড পরিবর্তন করারও প্রয়োজন নেই (যদিও এটি নেই দীর্ঘকাল সেরা অনুশীলন হিসাবে বিবেচিত, তবে অনেক জায়গায় এখনও অনুশীলন করা হয়)। ব্যবহারকারীকে খুব জটিল নয় এমন একটি পিন কোড নিয়ে আসতে হবে এবং টোকেন হারাতে হবে না। টোকেনটি নিজেই একটি স্মার্ট কার্ডের আকারে তৈরি করা যেতে পারে, যা একটি ওয়ালেটে সুবিধাজনকভাবে বহন করা যেতে পারে। অফিস প্রাঙ্গনে প্রবেশের জন্য টোকেন এবং স্মার্ট কার্ডে RFID ট্যাগ লাগানো যেতে পারে।
PIN কোডটি প্রমাণীকরণের জন্য ব্যবহার করা হয়, মূল তথ্যে অ্যাক্সেস প্রদান করতে এবং ক্রিপ্টোগ্রাফিক রূপান্তর এবং চেক সঞ্চালনের জন্য। টোকেন হারানো ভীতিকর নয়, যেহেতু পিন কোডটি অনুমান করা অসম্ভব; কিছু প্রচেষ্টার পরে, এটি ব্লক করা হবে। একই সময়ে, স্মার্ট কার্ড চিপ মূল তথ্যগুলি নিষ্কাশন, ক্লোনিং এবং অন্যান্য আক্রমণ থেকে রক্ষা করে।

আর কি?

মাইক্রোসফ্ট থেকে রিমোট অ্যাক্সেসের সমস্যার সমাধান যদি কোনো কারণে উপযুক্ত না হয়, তাহলে আপনি একটি PKI অবকাঠামো বাস্তবায়ন করতে পারেন এবং বিভিন্ন VDI পরিকাঠামোতে আমাদের স্মার্ট কার্ড ব্যবহার করে দ্বি-ফ্যাক্টর প্রমাণীকরণ কনফিগার করতে পারেন (Citrix Virtual Apps এবং Desktops, Citrix ADC, VMware) Horizon, VMware ইউনিফাইড গেটওয়ে, Huawei Fusion) এবং হার্ডওয়্যার সিকিউরিটি সিস্টেম (PaloAlto, CheckPoint, Cisco) এবং অন্যান্য পণ্য।

কিছু উদাহরণ আমাদের পূর্ববর্তী নিবন্ধে আলোচনা করা হয়েছে.

পরবর্তী নিবন্ধে আমরা MSCA থেকে শংসাপত্র ব্যবহার করে প্রমাণীকরণ সহ OpenVPN সেট আপ করার বিষয়ে কথা বলব।

একটিও সার্টিফিকেট নেই

যদি একটি PKI অবকাঠামো বাস্তবায়ন করা এবং প্রতিটি কর্মচারীর জন্য হার্ডওয়্যার ডিভাইস ক্রয় করা খুব জটিল মনে হয় বা, উদাহরণস্বরূপ, একটি স্মার্ট কার্ড সংযোগ করার কোন প্রযুক্তিগত সম্ভাবনা নেই, তাহলে আমাদের JAS প্রমাণীকরণ সার্ভারের উপর ভিত্তি করে এককালীন পাসওয়ার্ড সহ একটি সমাধান রয়েছে৷ প্রমাণীকরণকারী হিসাবে, আপনি সফ্টওয়্যার (গুগল প্রমাণীকরণকারী, ইয়ানডেক্স কী), হার্ডওয়্যার (যেকোন সংশ্লিষ্ট RFC, উদাহরণস্বরূপ, JaCarta ওয়েবপাস) ব্যবহার করতে পারেন। স্মার্ট কার্ড/টোকেনগুলির জন্য প্রায় সমস্ত একই সমাধান সমর্থিত। আমরা আমাদের আগের পোস্টে কিছু কনফিগারেশন উদাহরণ সম্পর্কে কথা বলেছি।

প্রমাণীকরণ পদ্ধতিগুলি একত্রিত করা যেতে পারে, অর্থাৎ, OTP দ্বারা - উদাহরণস্বরূপ, শুধুমাত্র মোবাইল ব্যবহারকারীদের অনুমতি দেওয়া যেতে পারে, এবং ক্লাসিক ল্যাপটপ/ডেস্কটপগুলি শুধুমাত্র একটি টোকেনে একটি শংসাপত্র ব্যবহার করে প্রমাণীকরণ করা যেতে পারে।

আমার কাজের নির্দিষ্ট প্রকৃতির কারণে, অনেক নন-টেকনিক্যাল বন্ধুরা রিমোট অ্যাক্সেস সেট আপ করার জন্য সাহায্যের জন্য ব্যক্তিগতভাবে আমার সাথে যোগাযোগ করেছে। তাই আমরা একটু উঁকি দিতে সক্ষম হয়েছি কে পরিস্থিতি থেকে বেরিয়ে আসছে এবং কীভাবে। আনন্দদায়ক বিস্ময় ছিল যখন খুব বড় কোম্পানিগুলি বিখ্যাত ব্র্যান্ডগুলি ব্যবহার করে না, যার মধ্যে দ্বি-ফ্যাক্টর প্রমাণীকরণ সমাধান রয়েছে৷ এমন কিছু ঘটনাও ছিল, বিপরীত দিকে আশ্চর্যজনক, যখন সত্যিই খুব বড় এবং সুপরিচিত সংস্থাগুলি (আইটি নয়) তাদের অফিস কম্পিউটারে টিমভিউয়ার ইনস্টল করার সুপারিশ করেছিল।

বর্তমান পরিস্থিতিতে, কোম্পানির বিশেষজ্ঞরা "আলাদিন আরডি।" আপনার কর্পোরেট অবকাঠামোতে দূরবর্তী অ্যাক্সেসের সমস্যা সমাধানের জন্য একটি দায়িত্বশীল পদ্ধতি গ্রহণ করার পরামর্শ দিন। এই উপলক্ষে, সাধারণ স্ব-বিচ্ছিন্নতা শাসনের একেবারে শুরুতে, আমরা চালু করেছি প্রচারাভিযান "কর্মচারীদের নিরাপদ দূরবর্তী কাজের সংগঠন".

উত্স: www.habr.com