{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"Alternatiiv Microsofti sertifitseerimiskeskusele","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Kasutajaid ei saa usaldada. Enamik neist on laisk ja valib mugavuse ohvri asemel. Statistika kohaselt kirjutab 21% oma t\u00f6\u00f6akna paroole paberile, 50% kasutab samu paroole nii t\u00f6\u00f6- kui ka isiklikes teenustes.<\/p>\n

Keskkond on ka vaenulik. 74% organisatsioonidest lubavad t\u00f6\u00f6tajatel tuua t\u00f6\u00f6le isiklikke seadmeid ja \u00fchendada need ettev\u00f5tte v\u00f5rku. 94% kasutajatest ei suuda eristada ehtsat e-kirja kalastamisest ning 11% on kl\u00f5psanud manusel.<\/p>\n

K\u00f5ik need probleemid lahendab ettev\u00f5tte avalike v\u00f5ti infrastruktuur (PKI), mis tagab e-kirjade kr\u00fcpteerimise ja autentimise ning asendab paroolid digitaalsete sertifikaatidega. Sellise infrastruktuuri saab \u00fcles seada Windows Serveris. Vastavalt Microsofti kirjeldusele<\/a><\/noindex>, on Active Directory sertifikaaditeenuste (AD CS) teenus server, mis v\u00f5imaldab teie organisatsioonis luua PKI ning kasutada avaliku v\u00f5tme kr\u00fcptograafiat, digitaalseid sertifikaate ja digiallkirju.<\/p>\n

Kuid Microsofti lahendus on \u00fcsna kallis.
\n<\/a><\/noindex><\/p>\n

Microsofti privaatsertifitseerimise keskuse omamise kogukulu<\/h1>\n

\n\"Alternatiiv
\nMicrosoft CA ja GlobalSign AEG omamiskulude v\u00f5rdlus. Allikas<\/a><\/noindex><\/i><\/p>\n

Paljuski olukordades on mugavam ja odavam luua sarnane eraldi sertifitseerimiskeskus, kuid v\u00e4lise haldusega. Just seda probleemi lahendab GlobalSign Auto Enrollment Gateway (AEG). Kokkuv\u00f5ttes v\u00e4listatakse omamiskuludest mitmed kululiigid (seadme soetamine, tugiteenuste kulud, personali koolitus jne). kokkuhoid v\u00f5ib \u00fcletada 50% kogu omamiskuludest<\/a><\/noindex>.<\/p>\n

Mis on AEG<\/h1>\n

\n\"Alternatiiv
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) on tarkvarateenus, mis toimib sildana GlobalSigni SaaS sertifikaaditeenuste ja ettev\u00f5tte Windows keskkonna vahel.<\/p>\n

AEG integreerub Active Directoryga, v\u00f5imaldades organisatsioonidel automatiseerida GlobalSigni digitaalsete sertifikaatide registreerimist, ettevalmistust ja haldust Windows keskkonnas. Asendades sisemised sertifitseerimiskeskused GlobalSigni teenustega, suurendavad ettev\u00f5tted turvalisust ja v\u00e4hendavad keeruka ja kallis sisemise Microsofti sertifitseerimiskeskuse halduskulusid.<\/p>\n

GlobalSign SaaS sertifitseerimisteenused on usaldusv\u00e4\u00e4rsem valik v\u00f5rreldes n\u00f5rkade ja haldamata sertifikaatidega isiklikus infrastruktuuris. Ressursside mahuka sisemise sertifitseerimiskeskuse haldamise vajaduse k\u00f5rvaldamine v\u00e4hendab PKI omamiskulusid ja s\u00fcsteemih\u00e4irete riski.<\/p>\n

SCEP ja ACME protokollide tugi laiendab tuge kaugemale Windowsist, h\u00f5lmates automatiseeritud sertifikaatide v\u00e4ljastamist Linuxi serveritele, mobiilsete, v\u00f5rguseadmete ja muude seadmete, samuti Active Directory's registreeritud Apple OSX arvutite jaoks.<\/p>\n

Suurem turvalisus<\/h3>\n

\nLisaks eelarve kokkuhoiule parandab v\u00e4lise PKI haldamine s\u00fcsteemi turvalisust. Aberdeen Groupi uuringud n\u00e4itavad, et sertifikaadid on \u00fcha enam r\u00fcnnakuobjektiks: kurjategijad kasutavad edukalt tuntud haavatavusi, nagu mittesertifitseeritud iseallkirjastatud sertifikaadid, n\u00f5rk kr\u00fcptimine ja keerulised tagasiv\u00f5tmismehhanismid. Lisaks on pahatahtlikud kasutajad omandanud keerukamaid \u00e4rakasutusi, n\u00e4iteks vale sertifikaatide v\u00e4ljastamine usaldusv\u00e4\u00e4rsetelt sertifitseerimiskeskustelt ja allkirjastamisse sertifikaatide vale kopeerimine.<\/p>\n

\u201eEnamik ettev\u00f5tteid ei suuda piisavalt aktiivselt hallata nende r\u00fcnnakutega seotud riske ja ei ole valmis kiiresti reageerima kompromissile,\u201c \u2014 kirjutas<\/a><\/noindex> Derek E. Brink, Aberdeen Groupi IT-kaitse asepresident ja teaduslik t\u00f6\u00f6taja. \u2014 \u201eAnna ettev\u00f5tetele v\u00f5imalus edastada sertifikaatide haldamise operatiivsed aspektid ekspertidele, s\u00e4ilitades samal ajal ettev\u00f5tte kontroll r\u00fchmapoliitikate \u00fcle Active Directorys. GlobalSign p\u00fc\u00fcdleb sertifikaatide kasutamise edasise kasvu tagamise nimel, lahendades praktilised turbe- ja usalduse k\u00fcsimused efektiivses ja \u00f6konoomses juurutusmudelis.\u201c<\/p>\n

Kuidas AEG t\u00f6\u00f6tab<\/h1>\n

\n\"Alternatiiv
\n
\nT\u00fc\u00fcpiline AEG s\u00fcsteem h\u00f5lmab nelja p\u00f5hikomponenti, et tagada \u00f5igete sertifikaatide edastamine \u00f5igetele ligip\u00e4\u00e4supunktidele:<\/p>\n

    \n
  1. AEG tarkvara Windowsi serveris.\n<\/li>\n
  2. Active Directory serverid v\u00f5i domeenikontrollerid, mis v\u00f5imaldavad administraatoritel hallata ja salvestada teavet ressursside kohta.\n<\/li>\n
  3. L\u00f5pp-punktid: kasutajad, seadmed, serverid ja t\u00f6\u00f6jaamad \u2014 praktiliselt iga objekt, mis on digitaalsete sertifikaatide \u201etarbija\u201c.\n<\/li>\n
  4. GlobalSigni v\u00f5i GCC sertifitseerimiskeskus, mis asub usaldusv\u00e4\u00e4rse sertifikaadi v\u00e4ljastamise ja haldamise platvormi tipus. Siin genereeritakse sertifikaadid.<\/li>\n<\/ol>\n

    \nKolm neljast n\u00e4idatud komponendist on kliendi kohalikus keskkonnas, neljas aga pilves.<\/p>\n

    Esmalt eeldefineeritakse l\u00f5pp-punktid grupipoliitikate abil: n\u00e4iteks sertifikaadi kontrollimise poliitika kasutaja autentimiseks, S\/MIME sertifikaadi taotlemiseks ja nii edasi \u2013 et edasise \u00fchendamise jaoks AEG serveriga. \u00dchendus toimub turvaliselt HTTPS kaudu.<\/p>\n

    AEG server saadab Active Directoryse p\u00e4ringu LDAP kaudu, et saada sertifikaadi mallide nimekiri nende l\u00f5pp-punktide jaoks, ja edastab sellele nimekirja koos sertifitseerimiskeskuse asukohaga. Nende reeglite saamisel \u00fchenduvad l\u00f5pp-punktid uuesti AEG serveriga, seekord sertifikaatide tegeliku taotlemise jaoks. AEG loob omakorda API-kutse antud parameetritega ja saadab selle GlobalSigni v\u00f5i GCC sertifitseerimiskeskusele t\u00f6\u00f6tlemiseks.<\/p>\n

    L\u00f5puks t\u00f6\u00f6tab GCC serveri osa p\u00e4ringute t\u00f6\u00f6tlemisel tavaliselt m\u00f5ne sekundi jooksul ja saadab API vastuse koos sertifikaadiga, mis installitakse n\u00f5udmisel l\u00f5pp-punktidesse.<\/p>\n

    Kogu protsess kestab vaid m\u00f5ne sekundi ja seda on v\u00f5imalik t\u00e4ielikult automatiseerida, seadistades l\u00f5pp-punktid sertifikaatide automaatseks saamiseks r\u00fchmapoliitikate abil.<\/p>\n

    AEG unikaalsed omadused<\/h4>\n

    <\/p>\n