अनुभव "अलादीन आर.डी." सुरक्षित रिमोट एक्सेस लागू करने और COVID-19 का मुकाबला करने में

हमारी कंपनी में, कई अन्य आईटी और गैर-आईटी कंपनियों की तरह, रिमोट एक्सेस की संभावना लंबे समय से मौजूद है, और कई कर्मचारी आवश्यकता के कारण इसका उपयोग करते थे। दुनिया में COVID-19 के प्रसार के साथ, हमारे आईटी विभाग ने, कंपनी के प्रबंधन के निर्णय से, विदेश यात्राओं से लौटने वाले कर्मचारियों को दूरस्थ कार्य पर स्थानांतरित करना शुरू कर दिया। हां, हमने मार्च की शुरुआत से ही घर पर आत्म-अलगाव का अभ्यास करना शुरू कर दिया था, यहां तक ​​कि इसके मुख्यधारा बनने से भी पहले। मार्च के मध्य तक, समाधान पहले ही पूरी कंपनी में लागू कर दिया गया था, और मार्च के अंत में हम सभी लगभग निर्बाध रूप से सभी के लिए बड़े पैमाने पर दूरस्थ कार्य के एक नए मोड में बदल गए।

तकनीकी रूप से, नेटवर्क तक दूरस्थ पहुंच को लागू करने के लिए, हम विंडोज सर्वर भूमिकाओं में से एक के रूप में माइक्रोसॉफ्ट वीपीएन (आरआरएएस) का उपयोग करते हैं। जब आप नेटवर्क से जुड़ते हैं, तो विभिन्न आंतरिक संसाधन उपलब्ध हो जाते हैं, शेयरपॉइंट्स, फ़ाइल शेयरिंग सेवाओं, बग ट्रैकर्स से लेकर सीआरएम सिस्टम तक; कई लोगों के लिए, उन्हें अपने काम के लिए बस यही चाहिए होता है। उन लोगों के लिए जिनके पास अभी भी कार्यालय में कार्यस्थान हैं, आरडीपी पहुंच आरडीजी गेटवे के माध्यम से कॉन्फ़िगर की गई है।

आपने यह निर्णय क्यों चुना या यह चुनने लायक क्यों है? क्योंकि यदि आपके पास पहले से ही Microsoft का एक डोमेन और अन्य बुनियादी ढाँचा है, तो उत्तर स्पष्ट है, आपके आईटी विभाग के लिए इसे लागू करना संभवतः आसान, तेज़ और सस्ता होगा। आपको बस कुछ सुविधाएं जोड़ने की जरूरत है। और कर्मचारियों के लिए अतिरिक्त एक्सेस क्लाइंट को डाउनलोड और कॉन्फ़िगर करने की तुलना में विंडोज घटकों को कॉन्फ़िगर करना आसान होगा।

वीपीएन गेटवे तक पहुंचते समय और उसके बाद, वर्कस्टेशन और महत्वपूर्ण वेब संसाधनों से कनेक्ट करते समय, हम दो-कारक प्रमाणीकरण का उपयोग करते हैं। वास्तव में, यह अजीब होगा यदि हम, दो-कारक प्रमाणीकरण समाधानों के निर्माता के रूप में, अपने उत्पादों का उपयोग स्वयं नहीं करते। यह हमारा कॉर्पोरेट मानक है; प्रत्येक कर्मचारी के पास एक व्यक्तिगत प्रमाणपत्र के साथ एक टोकन होता है, जिसका उपयोग कार्यालय कार्य केंद्र पर डोमेन और कंपनी के आंतरिक संसाधनों को प्रमाणित करने के लिए किया जाता है।

आंकड़ों के अनुसार, 80% से अधिक सूचना सुरक्षा घटनाएं कमजोर या चोरी हुए पासवर्ड का उपयोग करती हैं। इसलिए, दो-कारक प्रमाणीकरण की शुरूआत से कंपनी और उसके संसाधनों की सुरक्षा का समग्र स्तर काफी बढ़ जाता है, जिससे चोरी या पासवर्ड अनुमान लगाने का जोखिम लगभग शून्य हो जाता है, और यह भी सुनिश्चित होता है कि संचार एक वैध उपयोगकर्ता के साथ होता है। पीकेआई बुनियादी ढांचे को लागू करते समय, पासवर्ड प्रमाणीकरण को पूरी तरह से अक्षम किया जा सकता है।

उपयोगकर्ता के लिए यूआई के दृष्टिकोण से, यह योजना लॉगिन और पासवर्ड दर्ज करने से भी अधिक सरल है। इसका कारण यह है कि एक जटिल पासवर्ड को अब याद रखने की आवश्यकता नहीं है, कीबोर्ड के नीचे स्टिकर लगाने की कोई आवश्यकता नहीं है (सभी कल्पनीय सुरक्षा नीतियों का उल्लंघन), पासवर्ड को हर 90 दिनों में एक बार बदलने की भी आवश्यकता नहीं है (हालांकि यह नहीं है) अब इसे सर्वोत्तम अभ्यास माना जाता है, लेकिन कई स्थानों पर अभी भी अभ्यास किया जाता है)। उपयोगकर्ता को बस एक बहुत जटिल पिन कोड के साथ आना होगा और टोकन नहीं खोना होगा। टोकन को स्मार्ट कार्ड के रूप में बनाया जा सकता है, जिसे आसानी से वॉलेट में रखा जा सकता है। कार्यालय परिसर तक पहुंच के लिए आरएफआईडी टैग को टोकन और स्मार्ट कार्ड में लगाया जा सकता है।
पिन कोड का उपयोग प्रमाणीकरण के लिए, मुख्य जानकारी तक पहुंच प्रदान करने और क्रिप्टोग्राफ़िक परिवर्तन और जांच करने के लिए किया जाता है। टोकन खोना डरावना नहीं है, क्योंकि पिन कोड का अनुमान लगाना असंभव है; कुछ प्रयासों के बाद, इसे अवरुद्ध कर दिया जाएगा। साथ ही, स्मार्ट कार्ड चिप प्रमुख जानकारी को निष्कर्षण, क्लोनिंग और अन्य हमलों से बचाती है।

और क्या?

यदि Microsoft से रिमोट एक्सेस के मुद्दे का समाधान किसी कारण से उपयुक्त नहीं है, तो आप PKI इन्फ्रास्ट्रक्चर को लागू कर सकते हैं और विभिन्न VDI इन्फ्रास्ट्रक्चर (Citrix वर्चुअल ऐप्स और डेस्कटॉप, Citrix ADC, VMware) में हमारे स्मार्ट कार्ड का उपयोग करके दो-कारक प्रमाणीकरण कॉन्फ़िगर कर सकते हैं। होराइजन, वीएमवेयर यूनिफाइड गेटवे, हुआवेई फ्यूजन) और हार्डवेयर सुरक्षा प्रणालियाँ (पालोऑल्टो, चेकप्वाइंट, सिस्को) और अन्य उत्पाद।

कुछ उदाहरणों पर हमारे पिछले लेखों में चर्चा की गई थी।

अगले लेख में हम MSCA के प्रमाणपत्रों का उपयोग करके प्रमाणीकरण के साथ OpenVPN स्थापित करने के बारे में बात करेंगे।

एक भी प्रमाणपत्र नहीं

यदि पीकेआई बुनियादी ढांचे को लागू करना और प्रत्येक कर्मचारी के लिए हार्डवेयर डिवाइस खरीदना बहुत जटिल लगता है या, उदाहरण के लिए, स्मार्ट कार्ड कनेक्ट करने की कोई तकनीकी संभावना नहीं है, तो हमारे जेएएस प्रमाणीकरण सर्वर पर आधारित वन-टाइम पासवर्ड के साथ एक समाधान है। प्रमाणक के रूप में, आप सॉफ़्टवेयर (Google प्रमाणक, यांडेक्स कुंजी), हार्डवेयर (कोई भी संबंधित RFC, उदाहरण के लिए, JaCarta WebPass) का उपयोग कर सकते हैं। स्मार्ट कार्ड/टोकन के लिए लगभग सभी समान समाधान समर्थित हैं। हमने अपनी पिछली पोस्टों में कुछ कॉन्फ़िगरेशन उदाहरणों के बारे में भी बात की थी।

प्रमाणीकरण विधियों को जोड़ा जा सकता है, यानी ओटीपी द्वारा - उदाहरण के लिए, केवल मोबाइल उपयोगकर्ताओं को ही अनुमति दी जा सकती है, और क्लासिक लैपटॉप/डेस्कटॉप को केवल टोकन पर प्रमाणपत्र का उपयोग करके प्रमाणित किया जा सकता है।

मेरे काम की विशिष्ट प्रकृति के कारण, कई गैर-तकनीकी मित्रों ने हाल ही में रिमोट एक्सेस स्थापित करने में मदद के लिए मुझसे व्यक्तिगत रूप से संपर्क किया है। इसलिए हम इस पर थोड़ी नज़र डालने में सक्षम थे कि कौन स्थिति से बाहर निकल रहा है और कैसे। सुखद आश्चर्य हुआ जब बहुत बड़ी कंपनियाँ दो-कारक प्रमाणीकरण समाधानों सहित प्रसिद्ध ब्रांडों का उपयोग नहीं करतीं। ऐसे मामले भी थे, जो विपरीत दिशा में आश्चर्यजनक थे, जब वास्तव में बहुत बड़ी और प्रसिद्ध कंपनियों (आईटी नहीं) ने केवल अपने कार्यालय के कंप्यूटर पर टीमव्यूअर स्थापित करने की सिफारिश की थी।

वर्तमान स्थिति में, कंपनी "अलादीन आर.डी." के विशेषज्ञ आपके कॉर्पोरेट बुनियादी ढांचे तक दूरस्थ पहुंच की समस्याओं को हल करने के लिए एक जिम्मेदार दृष्टिकोण अपनाने की सलाह देते हैं। इस अवसर पर, सामान्य आत्म-अलगाव शासन की शुरुआत में, हमने लॉन्च किया अभियान "कर्मचारियों के सुरक्षित दूरस्थ कार्य का संगठन".

स्रोत: www.habr.com