Kasutajatele ei saa usaldada. Enamasti on nad laisad ja valivad mugavuse asemel turvalisuse. Statistika kohaselt kirjutab 21% oma tööliste kontode paroolid paberile, 50% kasutab samasid paroole nii töö- kui isiklikes teenustes.

Keskkond on samuti vaenulik. 74% organisatsioonidest lubavad töötajatel tuua töötamiseks oma seadmed ning ühendada need ettevõtte võrku. 94% kasutajatest ei suuda eristada ehtsat kirja phishingust, 11% on klõpsanud manustele.

Kõik need probleemid lahendab ettevõtte avaliku võtme infrastruktuur (PKI), mis tagab e-posti krüptimise ja autentimise ning asendab paroolid digitaalsed sertifikaatidega. Sellise infrastruktuuri saab üles seada Windows Serveris. Vastavalt Microsofti kirjeldusele, on Active Directory Certificate Services (AD CS) teenus, mis võimaldab teie organisatsioonis luua PKI ja kasutada avaliku võtme krüptograafiat, digitaalseid sertifikaate ja digiallkirju.

Kuid Microsofti lahendus on üsna kallis.

Microsofti privaatse sertifitseerimiskeskuse kogumaksumus

Microsoft CA ja GlobalSign AEG kogumaksumuse võrdlemine. Allikas

Paljudel juhtudel on mugavam ja odavam luua sarnane privaatne sertifitseerimiskeskus, kuid välise haldusega. Just seda probleemi lahendab GlobalSign Auto Enrollment Gateway (AEG). Kogumaksumuse arvelt jäetakse välja mitu kulurida (seadmete soetamine, toetuskulud, personali koolitus jne). Sääst võib ületada 50% kogumaksumusest.

Mis on AEG

Auto Enrollment Gateway (AEG) on tarkvarateenus, mis toimib sildana GlobalSign SaaS sertifikaatide teenuste ja Windowsi ettevõtte keskkonna vahel.

AEG integreerub Active Directoryga, võimaldades organisatsioonidel automatiseerida GlobalSigni digitaalsete sertifikaatide registreerimist, ettevalmistamist ja haldamist Windowsi keskkonnas. Asendades sisemised sertifitseerimiskeskused GlobalSigni teenustega, suurendavad ettevõtted turvalisust ja vähendavad keerulise ja kuluka Microsofti sisemise sertifitseerimiskeskuse haldamise kulusid.

GlobalSign SaaS sertifitseerimisteenused on usaldusväärsem variant võrreldes nõrkade ja haldamata sertifikaatidega oma infrastruktuuris. Ressursimahuka sisemise sertifitseerimiskeskuse haldamise vajaduse kaotamine vähendab PKI kogumaksumust ning süsteemi rikke riski.

SCEP ja ACME protokollide tugi laiendab toetust väljaspool Windowsit, sealhulgas automatiseeritud sertifikaatide väljastamine Linuxi serveritele, mobiil- ja võrguseadmetele ning muudele seadmetele, samuti Apple OSX arvutitele, mis on registreeritud Active Directorys.

Tõhustatud turvalisus

Lisaks eelarve kokkuhoiule suurendab PKI välise haldamine süsteemi turvalisust. Aberdeen Groupi uuringus märgitakse, et sertifikaadid muutuvad üha enam küberkurjategijate sihtmärkideks: nad kasutavad edukalt tuntud haavatavusi, nagu ebaturvalised isetekkelised sertifikaadid, nõrk krüpteerimine ja mahukad tühistamismehhanismid. Lisaks on küberkurjategijad omandanud keerukamad ründamisviisid, nagu sertifikaatide valeväljastamine usaldusväärsetelt CA-delt ja sertifikaatide võltsimine koodiallkirjastamiseks.

„Enamik ettevõtteid ei halda piisavalt aktiivselt nende rünnakutega seotud riske ning ei ole valmis kiiresti reageerima kompromissile,“ kirjutas Derek E. Brink, Aberdeen Groupi IT-turvalisuse asepresident ja teaduslik töötaja. „Kuna GlobalSign võimaldab ettevõtetel sertifikaatide haldamise operatiivsed aspektid ekspertide kätte anda, samal ajal säilitades ettevõtte kontrolli Active Directory grupipoliitikate üle, püüab GlobalSign tagada sertifikaatide tuleviku kasvu, lahendades praktilisi turvalisuse ja usaldusväärsuse küsimusi tõhusas, kulutõhusas rakendamise mudelis.”

Kuidas AEG töötab

Tüüpiline AEG-süsteem sisaldab nelja peamist komponenti, et tagada õige sertifikaadi edastamine õigetele juurdepääsupunktidele:

1. AEG tarkvara Windowsi serveris.
2. Active Directory serverid või domeenikontrollerid, mis võimaldavad administraatoritel hallata ja salvestada teavet ressursside kohta.
3. Lõpp-punktid: kasutajad, seadmed, serverid ja tööjaamad - praktiliselt iga objekt, mis on "digitaalsete sertifikaatide" tarbija.
4. GlobalSign sertifikaadikeskus või GCC, mis asub usaldusväärse sertifikaatide väljastamise ja haldamise platvormi tipus. Siin genereeritakse sertifikaadid.

Kolm neljast näidatud komponendist asuvad kliendi kohalikus keskkonnas, neljas aga pilves.

Esmalt lõpp-punktid seadistatakse esialgu grupipoliitikate abil: näiteks kasutaja autentimise sertifikaadi kontrollimise, S/MIME sertifikaadi taotlemise jne jaoks – et seejärel ühenduda AEG serveriga. Ühendus toimub turvaliselt läbi HTTPS.

AEG server saadab Active Directoryle LDAPi kaudu päringu, et saada nende lõpp-punktide jaoks sertifikaadimallide nimekiri ning edastab selle nimekirja koos sertifikaadi keskuse asukohaga klientidele. Pärast nende reeglite saamist ühenduvad lõpp-punktid uuesti AEG serveriga, seekord sertifikaatide tegeliku taotluse jaoks. AEG omakorda loob API kutse määratud parameetritega ja saadab selle GlobalSigni või GCC sertifikaadi keskusele töötlemiseks.

Lõpuks töötleb GCC serveri osa päringud tavaliselt mõne sekundi jooksul ja saadab API vastuse sertifikaadiga, mis paigaldatakse taotluse korral lõpp-punktidele.

Kogu protsess võtab paar sekundit ja võib olla täielikult automatiseeritud, seadistades lõpp-punktid grupipoliitikate abil sertifikaatide automaatseks saamiseks.

AEG ainulaadsed omadused

• Registreerimine on võimalik MDM platvormi kaudu.
• Arendatud endiste Microsoft Crypto meeskonna töötajate poolt.
• Lahendus "ilma kliendita".
• Lihtsustatud elluviimine ja elutsükli haldamine.

Arhitektuuri näited

Seega tähendab välise PKI haldamine GlobalSign AEG kaudu suurenenud turvalisust, kulude kokkuhoiust ja riskide vähenemisest. Veel üks eelis on lihtne skaleeritavus ja kõrgem jõudlus. Õige PKI haldamine tagab pika töökindluse, välistab kriitilisi operatsioone kehtetute sertifikaatide tõttu ning pakub töötajatele kaug- ja turvalist juurdepääsu ettevõtte võrkudele.

AEG toetab laia valikut kaheastmelise autentimise kasutusvõimalusi: alates kaugmeeskondade klientidest, kes pääsevad võrkudesse VPN ja Wi-Fi kaudu, kuni privileegidega juurdepääseni üliturvalistele ressurssidele nutikaardiga.

GlobalSign - globaalne liider pilve- ja võrgupõhiste PKI-ühenduste valdkonnas, mis on seotud identiteedi ja juurdepääsu haldamisega. Rohkem teavet toodete kohta saate küsida meie müügiagentidelt.

Allikas: habr.com