Gli hacker hanno ottenuto accesso al server di posta elettronica principale della società internazionale Deloitte. L'account dell'amministratore di questo server era protetto solo da una password.
Il ricercatore indipendente austriaco David Wind ha ricevuto una ricompensa di 5.000 dollari per aver scoperto una vulnerabilità nella pagina di accesso all'intranet di Google.
Il 91% delle aziende russe nasconde i fatti relativi alle perdite di dati.
Notizie di questo tipo possono essere trovate quasi ogni giorno nei feed informativi su Internet. Questa è una prova diretta del fatto che i servizi interni di un'azienda devono essere assolutamente protetti.
E quanto più grande è l'azienda, quanti più dipendenti ci sono e quanto più complessa è l'infrastruttura IT interna, tanto più urgente diventa per essa il problema della fuga di informazioni. Quali informazioni interessano i malintenzionati e come proteggerle?
Quali informazioni possono danneggiare l'azienda?
- informazioni sui clienti e sulle transazioni;
- informazioni tecniche sui prodotti e know-how;
- informazioni sui partner e offerte speciali;
- dati personali e contabilità.
E se hai capito che alcune informazioni della lista fornita sono disponibili da qualsiasi segmento della tua rete semplicemente presentando un login e una password, dovresti riflettere sull'aumento del livello di sicurezza dei dati e sulla protezione contro accessi non autorizzati.
L'autenticazione a due fattori tramite dispositivi criptografici hardware (token o smart card) ha guadagnato una reputazione di grande affidabilità e allo stesso tempo è piuttosto semplice da usare.
Scriviamo quasi in ogni articolo sui vantaggi dell'autenticazione a due fattori. Puoi leggere di più in articoli su come e .
In questo articolo ti mostreremo come applicare l'autenticazione a due fattori per accedere ai portali interni dell'organizzazione.
Per esempio, prenderemo come modello più adatto per un'applicazione aziendale il modello Rutoken — token USB criptografico. .
Iniziamo a configurare.
Passo 1 — Configurazione del server
La base di qualsiasi server è il sistema operativo. Nel nostro caso, si tratta di Windows Server 2016. Insieme ad esso, vengono distribuiti IIS (Internet Information Services) e altri sistemi operativi della famiglia Windows.
IIS è un gruppo di server internet, inclusi server web e server FTP. IIS include applicazioni per la creazione e la gestione di siti web.
IIS è progettato per costruire servizi web utilizzando gli account utente forniti dal dominio o dal servizio Active Directory. Questo consente di utilizzare database utenti esistenti.
In Abbiamo spiegato in dettaglio come installare e configurare sul tuo server l'Autorità di Certificazione (Certification Authority). Ora non approfondiremo ulteriormente questo argomento, ma daremo per scontato che sia già tutto configurato. Il certificato HTTPS per il server web deve essere emesso in modo corretto. È meglio controllarlo subito.
In Windows Server 2016 è integrato IIS versione 10.0.
Se IIS è installato, resta solo da configurarlo correttamente.
Nella fase di selezione dei servizi ruolo abbiamo messo il segno di spunta Autenticazione di base.
Poi nel Gestore dei servizi IIS abbiamo abilitato L'autenticazione di base.
E abbiamo indicato il dominio in cui si trova il server web.
Poi abbiamo aggiunto l'associazione del sito.
E abbiamo selezionato le opzioni SSL.
Con questo la configurazione del server è completata.
Dopo aver eseguito le azioni indicate, solo l'utente che possiede un token con il certificato e il PIN del token potrà accedere al sito.
Ricordiamo nuovamente che secondo , all'utente è stato precedentemente rilasciato un token con le chiavi e il certificato emesso in base a un modello di tipo L'utente con la smart card.
Ora passiamo alla configurazione del computer dell'utente. Deve configurare i browser che utilizzerà per connettersi ai siti web protetti.
Passo 2 - Configurazione del computer dell'utente
Per semplicità, supponiamo che il nostro utente utilizzi Windows 10.
Supponiamo anche che abbia installato il pacchetto .
L'installazione del pacchetto di driver è facoltativa, poiché probabilmente il supporto per il token arriverà tramite Windows Update.
Ma se ciò non dovesse avvenire, l'installazione del pacchetto di driver RuToken per Windows risolverà tutti i problemi.
Colleghiamo il token al computer dell'utente e apriamo il Pannello di controllo RuToken.
Nella scheda Certificati mettiamo un segno di spunta sul certificato necessario, se non è già selezionato.
In questo modo abbiamo verificato che il token è funzionante e contiene il certificato necessario.
Tutti i browser, eccetto Firefox, si configurano automaticamente.
Non è necessario fare nulla di speciale con loro.
Ora apriamo qualsiasi browser e inseriamo l'indirizzo della risorsa.
Prima che il sito si carichi, si aprirà una finestra per la selezione del certificato, seguita da una finestra per l'inserimento del PIN del token.
Se per il dispositivo è selezionato come fornitore di cryptography di default l'Aktiv ruToken CSP, si aprirà un'altra finestra per l'inserimento del PIN.
E solo dopo l'inserimento corretto in browser si aprirà il nostro sito.
Per il browser Firefox sono necessarie ulteriori impostazioni.
Nelle impostazioni del browser scegliere Privacy e Sicurezza. Nella sezione Certificati cliccare Dispositivo di Sicurezza. Si aprirà una finestra Gestione dei dispositivi.
Cliccare Scarica, specificare il nome RuToken ECP e il percorso C:windowssystem32rtpkcs11ecp.dll.
Questo è tutto, ora Firefox sa come gestire il token e consente l'accesso al sito utilizzandolo.
Tra l'altro, l'accesso tramite token ai siti web funziona anche su Mac con il browser Safari, Chrome e Firefox.
È sufficiente installare dal sito di RuToken e visualizzare il certificato sul token.
Non è necessario configurare i browser Safari, Chrome, Yandex e altri, basta semplicemente aprire il sito in uno di questi browser.
Il browser Firefox si configura quasi allo stesso modo che in Windows (Impostazioni — Avanzate — Certificati — Dispositivi di sicurezza). Solo il percorso della libreria è leggermente diverso /Library/Akitv Co/Rutoken ECP/lib/librtpkcs11ecp.dylib.
Conclusioni
Ti abbiamo dimostrato come impostare l'autenticazione a due fattori sui siti utilizzando i token crittografici. Come sempre, non abbiamo avuto bisogno di alcun software aggiuntivo, tranne le librerie di sistema di RuToken.
Puoi eseguire questa procedura con qualsiasi tua risorsa interna, inoltre potrai configurare flessibilmente i gruppi di utenti che avranno accesso al sito, come avviene in Windows Server.
Utilizzi un altro sistema operativo per il server?
Se desideri che scriviamo sulla configurazione di altri sistemi operativi, scrivilo nei commenti all'articolo.
Fonte: habr.com
