{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"Alternatiiv Microsofti sertifitseerimiskeskusele.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Kasutajatele ei saa usaldada. Enamasti on nad laisad ja valivad mugavuse asemel turvalisuse. Statistika kohaselt kirjutab 21% oma t\u00f6\u00f6liste kontode paroolid paberile, 50% kasutab samasid paroole nii t\u00f6\u00f6- kui isiklikes teenustes.<\/p>\n

Keskkond on samuti vaenulik. 74% organisatsioonidest lubavad t\u00f6\u00f6tajatel tuua t\u00f6\u00f6tamiseks oma seadmed ning \u00fchendada need ettev\u00f5tte v\u00f5rku. 94% kasutajatest ei suuda eristada ehtsat kirja phishingust, 11% on kl\u00f5psanud manustele.<\/p>\n

K\u00f5ik need probleemid lahendab ettev\u00f5tte avaliku v\u00f5tme infrastruktuur (PKI), mis tagab e-posti kr\u00fcptimise ja autentimise ning asendab paroolid digitaalsed sertifikaatidega. Sellise infrastruktuuri saab \u00fcles seada Windows Serveris. Vastavalt Microsofti kirjeldusele<\/a><\/noindex>, on Active Directory Certificate Services (AD CS) teenus, mis v\u00f5imaldab teie organisatsioonis luua PKI ja kasutada avaliku v\u00f5tme kr\u00fcptograafiat, digitaalseid sertifikaate ja digiallkirju.<\/p>\n

Kuid Microsofti lahendus on \u00fcsna kallis.
\n<\/a><\/noindex><\/p>\n

Microsofti privaatse sertifitseerimiskeskuse kogumaksumus<\/h1>\n

\n\"Alternatiiv
\nMicrosoft CA ja GlobalSign AEG kogumaksumuse v\u00f5rdlemine. Allikas<\/a><\/noindex><\/i><\/p>\n

Paljudel juhtudel on mugavam ja odavam luua sarnane privaatne sertifitseerimiskeskus, kuid v\u00e4lise haldusega. Just seda probleemi lahendab GlobalSign Auto Enrollment Gateway (AEG). Kogumaksumuse arvelt j\u00e4etakse v\u00e4lja mitu kulurida (seadmete soetamine, toetuskulud, personali koolitus jne). S\u00e4\u00e4st v\u00f5ib \u00fcletada 50% kogumaksumusest<\/a><\/noindex>.<\/p>\n

Mis on AEG<\/h1>\n

\n\"Alternatiiv
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) on tarkvarateenus, mis toimib sildana GlobalSign SaaS sertifikaatide teenuste ja Windowsi ettev\u00f5tte keskkonna vahel.<\/p>\n

AEG integreerub Active Directoryga, v\u00f5imaldades organisatsioonidel automatiseerida GlobalSigni digitaalsete sertifikaatide registreerimist, ettevalmistamist ja haldamist Windowsi keskkonnas. Asendades sisemised sertifitseerimiskeskused GlobalSigni teenustega, suurendavad ettev\u00f5tted turvalisust ja v\u00e4hendavad keerulise ja kuluka Microsofti sisemise sertifitseerimiskeskuse haldamise kulusid.<\/p>\n

GlobalSign SaaS sertifitseerimisteenused on usaldusv\u00e4\u00e4rsem variant v\u00f5rreldes n\u00f5rkade ja haldamata sertifikaatidega oma infrastruktuuris. Ressursimahuka sisemise sertifitseerimiskeskuse haldamise vajaduse kaotamine v\u00e4hendab PKI kogumaksumust ning s\u00fcsteemi rikke riski.<\/p>\n

SCEP ja ACME protokollide tugi laiendab toetust v\u00e4ljaspool Windowsit, sealhulgas automatiseeritud sertifikaatide v\u00e4ljastamine Linuxi serveritele, mobiil- ja v\u00f5rguseadmetele ning muudele seadmetele, samuti Apple OSX arvutitele, mis on registreeritud Active Directorys.<\/p>\n

T\u00f5hustatud turvalisus<\/h3>\n

\nLisaks eelarve kokkuhoiule suurendab PKI v\u00e4lise haldamine s\u00fcsteemi turvalisust. Aberdeen Groupi uuringus m\u00e4rgitakse, et sertifikaadid muutuvad \u00fcha enam k\u00fcberkurjategijate sihtm\u00e4rkideks: nad kasutavad edukalt tuntud haavatavusi, nagu ebaturvalised isetekkelised sertifikaadid, n\u00f5rk kr\u00fcpteerimine ja mahukad t\u00fchistamismehhanismid. Lisaks on k\u00fcberkurjategijad omandanud keerukamad r\u00fcndamisviisid, nagu sertifikaatide valev\u00e4ljastamine usaldusv\u00e4\u00e4rsetelt CA-delt ja sertifikaatide v\u00f5ltsimine koodiallkirjastamiseks.<\/p>\n

\u201eEnamik ettev\u00f5tteid ei halda piisavalt aktiivselt nende r\u00fcnnakutega seotud riske ning ei ole valmis kiiresti reageerima kompromissile,\u201c kirjutas<\/a><\/noindex> Derek E. Brink, Aberdeen Groupi IT-turvalisuse asepresident ja teaduslik t\u00f6\u00f6taja. \u201eKuna GlobalSign v\u00f5imaldab ettev\u00f5tetel sertifikaatide haldamise operatiivsed aspektid ekspertide k\u00e4tte anda, samal ajal s\u00e4ilitades ettev\u00f5tte kontrolli Active Directory grupipoliitikate \u00fcle, p\u00fc\u00fcab GlobalSign tagada sertifikaatide tuleviku kasvu, lahendades praktilisi turvalisuse ja usaldusv\u00e4\u00e4rsuse k\u00fcsimusi t\u00f5husas, kulut\u00f5husas rakendamise mudelis.\u201d<\/p>\n

Kuidas AEG t\u00f6\u00f6tab<\/h1>\n

\n\"Alternatiiv
\n
\nT\u00fc\u00fcpiline AEG-s\u00fcsteem sisaldab nelja peamist komponenti, et tagada \u00f5ige sertifikaadi edastamine \u00f5igetele juurdep\u00e4\u00e4supunktidele:<\/p>\n

    \n
  1. AEG tarkvara Windowsi serveris.\n<\/li>\n
  2. Active Directory serverid v\u00f5i domeenikontrollerid, mis v\u00f5imaldavad administraatoritel hallata ja salvestada teavet ressursside kohta.\n<\/li>\n
  3. L\u00f5pp-punktid: kasutajad, seadmed, serverid ja t\u00f6\u00f6jaamad - praktiliselt iga objekt, mis on \"digitaalsete sertifikaatide\" tarbija.\n<\/li>\n
  4. GlobalSign sertifikaadikeskus v\u00f5i GCC, mis asub usaldusv\u00e4\u00e4rse sertifikaatide v\u00e4ljastamise ja haldamise platvormi tipus. Siin genereeritakse sertifikaadid.<\/li>\n<\/ol>\n

    \nKolm neljast n\u00e4idatud komponendist asuvad kliendi kohalikus keskkonnas, neljas aga pilves.<\/p>\n

    Esmalt l\u00f5pp-punktid seadistatakse esialgu grupipoliitikate abil: n\u00e4iteks kasutaja autentimise sertifikaadi kontrollimise, S\/MIME sertifikaadi taotlemise jne jaoks \u2013 et seej\u00e4rel \u00fchenduda AEG serveriga. \u00dchendus toimub turvaliselt l\u00e4bi HTTPS.<\/p>\n

    AEG server saadab Active Directoryle LDAPi kaudu p\u00e4ringu, et saada nende l\u00f5pp-punktide jaoks sertifikaadimallide nimekiri ning edastab selle nimekirja koos sertifikaadi keskuse asukohaga klientidele. P\u00e4rast nende reeglite saamist \u00fchenduvad l\u00f5pp-punktid uuesti AEG serveriga, seekord sertifikaatide tegeliku taotluse jaoks. AEG omakorda loob API kutse m\u00e4\u00e4ratud parameetritega ja saadab selle GlobalSigni v\u00f5i GCC sertifikaadi keskusele t\u00f6\u00f6tlemiseks.<\/p>\n

    L\u00f5puks t\u00f6\u00f6tleb GCC serveri osa p\u00e4ringud tavaliselt m\u00f5ne sekundi jooksul ja saadab API vastuse sertifikaadiga, mis paigaldatakse taotluse korral l\u00f5pp-punktidele.<\/p>\n

    Kogu protsess v\u00f5tab paar sekundit ja v\u00f5ib olla t\u00e4ielikult automatiseeritud, seadistades l\u00f5pp-punktid grupipoliitikate abil sertifikaatide automaatseks saamiseks.<\/p>\n

    AEG ainulaadsed omadused<\/h4>\n

    <\/p>\n