USB टोकन का उपयोग करके साइट पर दो-कारक प्रमाणीकरण। मैं सर्विस पोर्टल लॉगिन को कैसे सुरक्षित बना सकता हूँ?

हैकर्स ने अंतरराष्ट्रीय कंपनी डेलॉइट के मुख्य मेल सर्वर तक पहुंच हासिल कर ली। इस सर्वर का व्यवस्थापक खाता केवल पासवर्ड द्वारा सुरक्षित था।

स्वतंत्र ऑस्ट्रियाई शोधकर्ता डेविड विंड को Google इंट्रानेट लॉगिन पेज में भेद्यता की खोज के लिए $5 का इनाम मिला।

91% रूसी कंपनियां डेटा लीक छिपाती हैं।

ऐसी खबरें लगभग हर दिन इंटरनेट समाचार फ़ीड में पाई जा सकती हैं। यह प्रत्यक्ष प्रमाण है कि कंपनी की आंतरिक सेवाओं की सुरक्षा की जानी चाहिए।

और कंपनी जितनी बड़ी होगी, उसके पास जितने अधिक कर्मचारी होंगे और उसका आंतरिक आईटी बुनियादी ढांचा जितना जटिल होगा, उसके लिए सूचना रिसाव की समस्या उतनी ही अधिक होगी। हमलावरों के लिए कौन सी जानकारी रुचिकर है और इसकी सुरक्षा कैसे करें?

किस प्रकार की जानकारी लीक होने से कंपनी को नुकसान हो सकता है?

• ग्राहकों और लेनदेन के बारे में जानकारी;
• तकनीकी उत्पाद जानकारी और जानकारी;
• साझेदारों और विशेष प्रस्तावों के बारे में जानकारी;
• व्यक्तिगत डेटा और लेखांकन।

और यदि आप समझते हैं कि उपरोक्त सूची में से कुछ जानकारी आपके नेटवर्क के किसी भी खंड से केवल लॉगिन और पासवर्ड प्रस्तुत करने पर ही पहुंच योग्य है, तो आपको डेटा सुरक्षा के स्तर को बढ़ाने और इसे अनधिकृत पहुंच से बचाने के बारे में सोचना चाहिए।

हार्डवेयर क्रिप्टोग्राफ़िक मीडिया (टोकन या स्मार्ट कार्ड) का उपयोग करके दो-कारक प्रमाणीकरण ने बहुत विश्वसनीय और साथ ही उपयोग में काफी आसान होने के लिए प्रतिष्ठा अर्जित की है।

हम लगभग हर लेख में दो-कारक प्रमाणीकरण के लाभों के बारे में लिखते हैं। आप इसके बारे में लेखों में अधिक पढ़ सकते हैं विंडोज़ डोमेन में किसी खाते की सुरक्षा कैसे करें и ईमेल.

इस लेख में, हम आपको दिखाएंगे कि अपने संगठन के आंतरिक पोर्टल में लॉग इन करने के लिए दो-कारक प्रमाणीकरण का उपयोग कैसे करें।

एक उदाहरण के रूप में, हम कॉर्पोरेट उपयोग के लिए सबसे उपयुक्त मॉडल, रुटोकन - एक क्रिप्टोग्राफ़िक यूएसबी टोकन लेंगे रूटोकेन ईडीएस पीकेआई.

आइए सेटअप के साथ शुरुआत करें।

चरण 1 - सर्वर सेटअप

किसी भी सर्वर का आधार ऑपरेटिंग सिस्टम होता है। हमारे मामले में, यह विंडोज सर्वर 2016 है। और इसके साथ और विंडोज परिवार के अन्य ऑपरेटिंग सिस्टम के साथ, आईआईएस (इंटरनेट सूचना सेवा) वितरित किया जाता है।

IIS इंटरनेट सर्वरों का एक समूह है, जिसमें एक वेब सर्वर और एक FTP सर्वर शामिल है। IIS में वेबसाइट बनाने और प्रबंधित करने के लिए एप्लिकेशन शामिल हैं।

IIS को किसी डोमेन या सक्रिय निर्देशिका द्वारा प्रदान किए गए उपयोगकर्ता खातों का उपयोग करके वेब सेवाएं बनाने के लिए डिज़ाइन किया गया है। यह आपको मौजूदा उपयोगकर्ता डेटाबेस का उपयोग करने की अनुमति देता है।

В पहला लेख हमने आपके सर्वर पर प्रमाणन प्राधिकरण को कैसे स्थापित और कॉन्फ़िगर करें, इसका विस्तार से वर्णन किया है। अब हम इस पर विस्तार से ध्यान नहीं देंगे, बल्कि यह मान लेंगे कि सब कुछ पहले से ही कॉन्फ़िगर है। वेब सर्वर के लिए HTTPS प्रमाणपत्र सही ढंग से जारी किया जाना चाहिए। बेहतर होगा कि इसकी तुरंत जांच कर ली जाए।

विंडोज़ सर्वर 2016 आईआईएस संस्करण 10.0 बिल्ट-इन के साथ आता है।

यदि IIS स्थापित है, तो जो कुछ बचा है उसे सही ढंग से कॉन्फ़िगर करना है।

भूमिका सेवाओं के चयन के चरण में, हमने बॉक्स को चेक किया मूल प्रमाणीकरण.

में फिर इंटरनेट सूचना सेवा प्रबंधक चालू किया बुनियादी प्रमाणीकरण.

और उस डोमेन को इंगित किया जिसमें वेब सर्वर स्थित है।

फिर हमने एक साइट लिंक जोड़ा।

और एसएसएल विकल्प का चयन किया।

यह सर्वर सेटअप पूरा करता है।

इन चरणों को पूरा करने के बाद, केवल वही उपयोगकर्ता साइट तक पहुंच पाएगा जिसके पास प्रमाणपत्र और टोकन पिन वाला टोकन है।

हम आपको एक बार फिर याद दिलाते हैं कि पहला लेख, उपयोगकर्ता को पहले कुंजी के साथ एक टोकन जारी किया गया था और एक टेम्पलेट के अनुसार एक प्रमाण पत्र जारी किया गया था स्मार्ट कार्ड वाला उपयोगकर्ता.

अब उपयोगकर्ता के कंप्यूटर को सेट करने के लिए आगे बढ़ते हैं। उसे उन ब्राउज़रों को कॉन्फ़िगर करना चाहिए जिनका उपयोग वह संरक्षित वेबसाइटों से कनेक्ट करने के लिए करेगा।

चरण 2 - उपयोगकर्ता का कंप्यूटर सेट करना

सरलता के लिए, मान लें कि हमारे उपयोगकर्ता के पास विंडोज़ 10 है।

चलिए यह भी मान लेते हैं कि उसने किट लगा ली है विंडोज़ के लिए रुटोकन ड्राइवर.

ड्राइवरों का एक सेट स्थापित करना वैकल्पिक है, क्योंकि टोकन के लिए संभवतः समर्थन विंडोज अपडेट के माध्यम से आएगा।

लेकिन अगर यह अचानक नहीं होता है, तो विंडोज़ के लिए रुटोकन ड्राइवर्स का एक सेट स्थापित करने से सभी समस्याएं हल हो जाएंगी।

आइए टोकन को उपयोगकर्ता के कंप्यूटर से कनेक्ट करें और रुटोकन कंट्रोल पैनल खोलें।

टैब प्रमाण पत्र यदि आवश्यक प्रमाणपत्र चेक नहीं किया गया है तो उसके बगल में स्थित बॉक्स को चेक करें।

इस प्रकार, हमने सत्यापित किया कि टोकन काम कर रहा है और इसमें आवश्यक प्रमाणपत्र शामिल है।

फ़ायरफ़ॉक्स को छोड़कर सभी ब्राउज़र स्वचालित रूप से कॉन्फ़िगर किए गए हैं।

 

आपको उनके साथ कुछ खास करने की जरूरत नहीं है.

अब कोई भी ब्राउज़र खोलें और संसाधन पता दर्ज करें।

साइट लोड होने से पहले, प्रमाणपत्र चुनने के लिए एक विंडो खुलेगी, और फिर टोकन पिन कोड दर्ज करने के लिए एक विंडो खुलेगी।

यदि Aktiv ruToken CSP को डिवाइस के लिए डिफ़ॉल्ट क्रिप्टो प्रदाता के रूप में चुना गया है, तो पिन कोड दर्ज करने के लिए एक और विंडो खुलेगी।

और इसे ब्राउज़र में सफलतापूर्वक दर्ज करने के बाद ही हमारी वेबसाइट खुलेगी।

फ़ायरफ़ॉक्स ब्राउज़र के लिए, अतिरिक्त सेटिंग्स बनानी होंगी।

अपनी ब्राउज़र सेटिंग में चुनें गोपनीयता और सुरक्षा। अनुभाग में प्रमाण पत्र दबाने के लिए सुरक्षा उपकरण. एक विंडो खुलेगी डिवाइस प्रबंधन.

प्रेस डाउनलोड, रूटोकन ईडीएस नाम और पथ C:windowssystem32rtpkcs11ecp.dll इंगित करें।

बस, फ़ायरफ़ॉक्स अब जानता है कि टोकन को कैसे संभालना है और आपको इसका उपयोग करके साइट पर लॉग इन करने की अनुमति देता है।

वैसे, वेबसाइटों पर टोकन का उपयोग करके लॉगिन करना सफारी, क्रोम और फ़ायरफ़ॉक्स ब्राउज़र में मैक पर भी काम करता है।

आपको बस वेबसाइट से रूटोकेन इंस्टॉल करना होगा चाबी का गुच्छा समर्थन मॉड्यूल और उसमें टोकन पर प्रमाणपत्र देखें।

Safari, Chrome, Yandex और अन्य ब्राउज़रों को कॉन्फ़िगर करने की कोई आवश्यकता नहीं है; आपको बस इनमें से किसी भी ब्राउज़र में साइट खोलने की आवश्यकता है।

फ़ायरफ़ॉक्स ब्राउज़र को लगभग विंडोज़ की तरह ही कॉन्फ़िगर किया गया है (सेटिंग्स - उन्नत - प्रमाणपत्र - सुरक्षा उपकरण)। केवल लाइब्रेरी का पथ थोड़ा अलग है /Library/Akitv Co/Rutoken ECP/lib/librtpkcs11ecp.dylib.

निष्कर्ष

हमने आपको दिखाया कि क्रिप्टोग्राफ़िक टोकन का उपयोग करके वेबसाइटों पर दो-कारक प्रमाणीकरण कैसे सेट किया जाए। हमेशा की तरह, हमें इसके लिए रुटोकन सिस्टम लाइब्रेरीज़ को छोड़कर किसी अतिरिक्त सॉफ़्टवेयर की आवश्यकता नहीं थी।

आप इस प्रक्रिया को अपने किसी भी आंतरिक संसाधन के साथ कर सकते हैं, और आप उन उपयोगकर्ता समूहों को भी लचीले ढंग से कॉन्फ़िगर कर सकते हैं जिनकी साइट तक पहुंच होगी, ठीक विंडोज सर्वर में कहीं और की तरह।

क्या आप सर्वर के लिए किसी भिन्न OS का उपयोग कर रहे हैं?

यदि आप चाहते हैं कि हम अन्य ऑपरेटिंग सिस्टम की स्थापना के बारे में लिखें, तो लेख की टिप्पणियों में इसके बारे में लिखें।

स्रोत: www.habr.com