אימות דו-גורמי באתר באמצעות אסימון USB. כיצד להפוך את הכניסה לפורטל השירות למאובטחת?

האקרים קיבלו גישה לשרת הדואר הראשי של החברה הבינלאומית Deloitte. חשבון המנהל של שרת זה היה מוגן רק באמצעות סיסמה.

החוקר האוסטרי העצמאי דייוויד ווינד קיבל פרס של 5 דולר על גילוי פגיעות בדף ההתחברות של גוגל לאינטראנט.

91% מהחברות הרוסיות מסתירות דליפות נתונים.

חדשות כאלה ניתן למצוא כמעט כל יום בעדכוני חדשות באינטרנט. זוהי ראיה ישירה לכך שיש להגן על השירותים הפנימיים של החברה.

וככל שהחברה גדולה יותר, יש לה יותר עובדים ותשתית ה-IT הפנימית שלה מורכבת יותר, כך בעיית זליגת המידע דחופה יותר עבורה. איזה מידע מעניין את התוקפים וכיצד להגן עליו?

איזו דליפת מידע עלולה להזיק לחברה?

• מידע על לקוחות ועסקאות;
• מידע טכני על המוצר וידע;
• מידע על שותפים והצעות מיוחדות;
• נתונים אישיים וחשבונאות.

ואם אתה מבין שחלק מהמידע מהרשימה לעיל נגיש מכל פלח של הרשת שלך רק עם הצגת פרטי כניסה וסיסמה, אז אתה צריך לחשוב על הגדלת רמת אבטחת הנתונים והגנה עליו מפני גישה לא מורשית.

אימות דו-גורמי באמצעות מדיה קריפטוגרפית חומרה (אסימונים או כרטיסים חכמים) זכה למוניטין של אמין מאוד ובו בזמן די קל לשימוש.

אנו כותבים על היתרונות של אימות דו-גורמי כמעט בכל מאמר. אתה יכול לקרוא עוד על זה במאמרים על כיצד להגן על חשבון בדומיין של Windows и דוא"ל.

במאמר זה נראה לך כיצד להשתמש באימות דו-גורמי כדי להיכנס לפורטלים הפנימיים של הארגון שלך.

כדוגמה, ניקח את המודל המתאים ביותר לשימוש ארגוני, Rutoken - אסימון USB קריפטוגרפי Rutoken EDS PKI.

בואו נתחיל עם ההגדרה.

שלב 1 - הגדרת שרת

הבסיס של כל שרת הוא מערכת ההפעלה. במקרה שלנו מדובר ב-Windows Server 2016. ויחד איתו ועם מערכות הפעלה נוספות ממשפחת Windows מופץ IIS (Internet Information Services).

IIS היא קבוצה של שרתי אינטרנט, כולל שרת אינטרנט ושרת FTP. IIS כולל יישומים ליצירה וניהול אתרים.

IIS נועד לבנות שירותי אינטרנט באמצעות חשבונות משתמש המסופקים על ידי דומיין או Active Directory. זה מאפשר לך להשתמש בבסיסי נתונים קיימים של משתמשים.

В מאמר ראשון תיארנו בפירוט כיצד להתקין ולהגדיר את רשות האישורים בשרת שלך. כעת לא נתעכב על זה בפירוט, אלא נניח שהכל כבר מוגדר. יש להנפיק כראוי את אישור ה-HTTPS עבור שרת האינטרנט. עדיף לבדוק את זה מיד.

Windows Server 2016 מגיע עם IIS גרסה 10.0 מובנית.

אם IIS מותקן, כל מה שנותר הוא להגדיר אותו בצורה נכונה.

בשלב בחירת שירותי תפקיד, סמנו את התיבה אימות בסיסי.

ואז פנימה מנהל שירותי מידע באינטרנט נדלק אימות בסיסי.

וציין את הדומיין שבו נמצא שרת האינטרנט.

לאחר מכן הוספנו קישור לאתר.

ובחר באפשרויות SSL.

זה משלים את הגדרת השרת.

לאחר השלמת השלבים הללו, רק משתמש שיש לו אסימון עם תעודה וקוד PIN אסימון יוכל לגשת לאתר.

אנו מזכירים לכם שוב שעל פי מאמר ראשון, למשתמש הונפק בעבר אסימון עם מפתחות ותעודה שהונפקה לפי תבנית כמו משתמש עם כרטיס חכם.

כעת נעבור להגדרת המחשב של המשתמש. עליו להגדיר את הדפדפנים שבהם ישתמש כדי להתחבר לאתרים מוגנים.

שלב 2 — הגדרת המחשב של המשתמש

לשם הפשטות, נניח שלמשתמש שלנו יש Windows 10.

בואו נניח גם שהתקנת את הערכה מנהלי התקנים של Rutoken עבור Windows.

התקנת קבוצה של מנהלי התקנים היא אופציונלית, מכיוון שככל הנראה תמיכה באסימון תגיע דרך Windows Update.

אבל אם זה פתאום לא יקרה, אז התקנת קבוצה של Rutoken Drivers עבור Windows תפתור את כל הבעיות.

בואו נחבר את האסימון למחשב של המשתמש ונפתח את לוח הבקרה של Rutoken.

כרטיסייה תעודות סמן את התיבה שליד האישור הנדרש אם היא לא מסומנת.

לפיכך, אימתנו שהאסימון פועל ומכיל את האישור הנדרש.

כל הדפדפנים מלבד Firefox מוגדרים באופן אוטומטי.

 

אתה לא צריך לעשות איתם שום דבר מיוחד.

כעת פתחו כל דפדפן והזן את כתובת המשאב.

לפני טעינת האתר יפתח חלון לבחירת תעודה ולאחר מכן חלון להזנת קוד ה-PIN האסימון.

אם Aktiv ruToken CSP נבחר כספק ההצפנה המוגדר כברירת מחדל עבור המכשיר, ייפתח חלון נוסף להזנת קוד ה-PIN.

ורק לאחר הזנתו בהצלחה בדפדפן האתר שלנו ייפתח.

עבור דפדפן Firefox, יש לבצע הגדרות נוספות.

בהגדרות הדפדפן שלך בחר פרטיות ואבטחה. בקטע תעודות הקש מכשיר הגנה. חלון ייפתח ניהול מכשירים.

לחץ על הורד, ציין את השם Rutoken EDS ואת הנתיב C:windowssystem32rtpkcs11ecp.dll.

זהו, פיירפוקס יודע כעת לטפל בטוקן ומאפשר לכם להיכנס באמצעותו לאתר.

אגב, התחברות באמצעות אסימון לאתרים עובדת גם במחשבי Mac בדפדפן Safari, Chrome ו-Firefox.

אתה רק צריך להתקין את Rutoken מהאתר מודול תמיכה במחזיק מפתחות וראה את התעודה על האסימון שבו.

אין צורך להגדיר דפדפנים של Safari, Chrome, Yandex ואחרים; אתה רק צריך לפתוח את האתר בכל אחד מהדפדפנים האלה.

דפדפן Firefox מוגדר כמעט באותו אופן כמו ב-Windows (הגדרות - מתקדם - אישורים - התקני אבטחה). רק הנתיב לספרייה שונה במקצת /Library/Akitv Co/Rutoken ECP/lib/librtpkcs11ecp.dylib.

ממצאים

הראנו לך כיצד להגדיר אימות דו-גורמי באתרי אינטרנט באמצעות אסימונים קריפטוגרפיים. כמו תמיד, לא היינו צריכים שום תוכנה נוספת בשביל זה, מלבד ספריות מערכת Rutoken.

אתה יכול לעשות את ההליך הזה עם כל אחד מהמשאבים הפנימיים שלך, ואתה יכול גם להגדיר באופן גמיש קבוצות משתמשים שתהיה להם גישה לאתר, בדיוק כמו בכל מקום אחר ב-Windows Server.

האם אתה משתמש במערכת הפעלה אחרת עבור השרת?

אם אתה רוצה שנכתוב על הגדרת מערכות הפעלה אחרות, אז תכתוב על זה בתגובות למאמר.

מקור: www.habr.com