Hackerům se podařilo získat přístup k hlavnímu e-mailovému serveru mezinárodní společnosti Deloitte. Účet správce tohoto serveru byl chráněn pouze heslem.
Nezávislý rakouský výzkumník David Wind obdržel odměnu 5000 dolarů za odhalení zranitelnosti na přihlašovací stránce intranetu Google.
91 % ruských společností skrývá skutečnosti o úniku dat.
Takové zprávy lze téměř každý den nalézt v internetových novinových kanálech. To je přímým důkazem, že interní služby společnosti je nutné chránit.
A čím větší je společnost, tím více zaměstnanců má a složitější je její vnitřní IT infrastruktura, tím aktuálnější je pro ni problém úniku informací. Jaké informace zajímají útočníky a jak je chránit?
Jaké úniky informací mohou uškodit společnosti?
- informace o zákaznících a transakcích;
- technické informace o produktech a know-how;
- informace o partnerech a speciálních nabídkách;
- osobní údaje a účetnictví.
Pokud jste si uvědomili, že nějaké informace z uvedeného seznamu jsou dostupné z jakéhokoliv segmentu vaší sítě pouze po předložení uživatelského jména a hesla, měli byste přemýšlet o zvýšení úrovně ochrany dat a ochraně před neoprávněným přístupem.
Dvoufaktorová autentizace pomocí hardwarových kryptografických nosičů (tokenů nebo čipových karet) si zasloužila pověst velmi spolehlivé a zároveň poměrně snadné na použití.
O výhodách dvoufaktorové autentizace píšeme téměř v každém článku. Podrobněji o tom si můžete přečíst v článcích o tom, a .
V tomto článku vám ukážeme, jak používat dvoufaktorovou autentizaci pro přístup na interní portály organizace.
Pro příklad vezmeme nejvhodnější model pro firemní použití, RUTOKEN — kryptografický USB token .
Pojďme se pustit do nastavení.
Krok 1 — Nastavení serveru
Základem každého serveru je operační systém. V našem případě je to Windows Server 2016. Spolu s ním a dalšími operačními systémy rodiny Windows je šířen IIS (Internet Information Services).
IIS je skupina internetových serverů, včetně webového serveru a FTP serveru. IIS zahrnuje aplikace pro vytváření a správu webových stránek.
IIS je navržena pro budování webových služeb pomocí uživatelských účtů poskytovaných doménou nebo službou Active Directory. To umožňuje využít existující databáze uživatelů.
V Podrobně jsme popsali, jak doinstalovat a nakonfigurovat na vašem serveru Certifikační autoritu (Certification Authority). Nyní se na to podrobněji nezaměříme a budeme předpokládat, že vše je již nastaveno. HTTPS certifikát pro webový server musí být vystaven správně. Je lepší to ihned zkontrolovat.
Windows Server 2016 obsahuje vestavěný IIS verze 10.0.
Pokud je IIS nainstalován, zbývá ho správně nakonfigurovat.
Ve fázi výběru rolí služeb jsme zaškrtli Běžná autentizace.
Poté v Správci služeb IIS jsme povolili Běžnou autentizaci.
A uvedli jsme doménu, ve které se nachází webový server.
Poté jsme přidali vazbu webu.
A vybrali jsme možnosti SSL.
Tím je konfigurace serveru dokončena.
Po provedení těchto kroků se na web může dostat pouze uživatel, který má token s certifikátem a PIN kódem tokenu.
Ještě jednou připomínáme, že podle , měl uživatel předem vydán token s klíči a certifikátem vystaveným podle šablony typu Uživatel se smart kartou.
Nyní přejdeme k nastavení počítače uživatele. Měl by nakonfigurovat prohlížeče, které bude používat k připojení k chráněným webovým stránkám.
Krok 2 – Nastavení počítače uživatele
Pro zjednodušení předpokládejme, že náš uživatel má systém Windows 10.
Také předpokládejme, že má nainstalován balíček .
Instalace balíčku ovladačů je volitelná, protože pravděpodobně podpora tokenu přijde prostřednictvím Windows Update.
Pokud se tak nestalo, instalace balíčku Ovladačů Rutoken pro Windows vyřeší všechny problémy.
Připojíme token k počítači uživatele a otevřeme Ovládací panel Rutoken.
Na kartě Certifikáty zaškrtneme odpovídající certifikát, pokud není zaškrtnutý.
Tímto jsme zkontrolovali, že token funguje a obsahuje požadovaný certifikát.
Všechny prohlížeče kromě Firefoxu se nastavují automaticky.
S nimi není třeba nic speciálního dělat.
Teď otevřeme libovolný prohlížeč a zadáme adresu zdroje.
Než se webová stránka načte, otevře se okno pro výběr certifikátu a poté okno pro zadání PIN kódu tokenu.
Pokud je pro zařízení jako kryptografický poskytovatel ve výchozím nastavení zvolen Aktiv ruToken CSP, otevře se pro zadání PIN kódu jiné okno.
A teprve po úspěšném zadání se v prohlížeči otevře naše stránka.
Pro prohlížeč Firefox je třeba provést další nastavení.
V nastavení prohlížeče vyberte Ochrana osobních údajů a Bezpečnost. V části Certifikáty stiskněte Ochranné zařízení. Otevře se okno Správa zařízení.
Stiskněte Načíst, zadejte název RUTOKEN ECP a cestu C:windowssystem32rtpkcs11ecp.dll.
To je vše, nyní Firefox ví, jak pracovat s tokenem a umožňuje přístup na web pomocí něj.
Mimochodem, přihlášení pomocí tokenu na webové stránky funguje také na MaMacích v prohlížeči Safari, Chrome a Firefox.
Musíte jen nainstalovat z webu RUTOKEN a vidět certifikát na tokenu.
Nastavení prohlížečů Safari, Chrome, Yandex a dalších není nutné, stačí otevřít web v libovolném z těchto prohlížečů.
Prohlížeč Firefox se nastavuje téměř stejně jako ve Windows (Nastavení — Další — Certifikáty — Ochranná zařízení). Jen cesta k knihovně je mírně jiná /Library/Akitv Co/Rutoken ECP/lib/librtpkcs11ecp.dylib.
Závěry
Ukázali jsme vám, jak nastavit dvoufaktorovou autentizaci na webových stránkách pomocí kryptografických tokenů. Jak vždy, k tomu jsme nepotřebovali žádný další software kromě systémových knihoven RUTOKEN.
Tento postup můžete provést s jakýmikoliv interními zdroji, také flexibilně můžete nastavovat skupiny uživatelů, kteří budou mít k webu přístup, stejně jako kdekoli v Windows Serveru.
Používáte jiný operační systém pro server?
Pokud chcete, abychom napsali o nastavení jiných operačních systémů, dejte nám vědět v komentářích k článku.
Zdroj: habr.com
