גישה מרכזית לחתימה דיגיטלית ומפתחות אבטחה אלקטרוניים אחרים באמצעות חומרה USB over IP

ברצוני לחלוק את הניסיון רב השנים שלנו במציאת פתרון לארגון גישה מרוכזת ומאורגנת למפתחות אבטחה אלקטרוניים בארגון שלנו (מפתחות גישה לפלטפורמות מסחר, בנקאות, מפתחות אבטחה תוכנה וכו'). בשל נוכחותם של הסניפים שלנו, המופרדים מאוד זה מזה מבחינה גיאוגרפית, והימצאות בכל אחד מהם של מספר מפתחות אבטחה אלקטרוניים, מתעורר כל הזמן הצורך בהם, אך בסניפים שונים. לאחר התעסקות נוספת עם מפתח אבוד, ההנהלה הציבה משימה - לפתור את הבעיה הזו ולאסוף את כל התקני אבטחת ה-USB במקום אחד, ולהבטיח עבודה איתם ללא קשר למיקום העובד.

לכן, אנחנו צריכים לאסוף במשרד אחד את כל מפתחות הבנק של הלקוח, רישיונות 1c (hasp), אסימוני שורש, ESMART Token USB 64K וכו' הזמינים בחברה שלנו. לתפעול שלאחר מכן במכונות Hyper-V פיזיות ווירטואליות מרוחקות. מספר התקני ה-USB הוא 50-60 וזה בהחלט לא הגבול. מיקום שרתי וירטואליזציה מחוץ למשרד (מרכז הנתונים). מיקום כל התקני ה-USB במשרד.

למדנו טכנולוגיות קיימות לגישה מרכזית להתקני USB והחלטנו להתמקד בטכנולוגיית USB over IP. מסתבר שארגונים רבים משתמשים בפתרון הספציפי הזה. יש בשוק גם כלי חומרה וגם תוכנה להעברת USB על IP, אבל הם לא התאימו לנו. לכן, בהמשך נדבר רק על הבחירה של חומרה USB over IP, קודם כל, על הבחירה שלנו. הסרנו גם מכשירים מסין (ללא שם) מהשיקול.

פתרונות חומרת USB over IP המתוארים ביותר באינטרנט הם מכשירים מתוצרת ארה"ב וגרמניה. למחקר מפורט, רכשנו גרסת מתלה גדולה של USB over IP זה, המיועדת ל-14 יציאות USB, עם יכולת הרכבה במתלה של 19 אינץ', ו-USB גרמני מעל IP, המיועד ל-20 יציאות USB, גם עם יכולת הרכבה במתלה בגודל 19 אינץ'. לרוע המזל, ליצרנים אלה לא היו יותר יציאות USB over IP.

המכשיר הראשון מאוד יקר ומעניין (האינטרנט מלא בביקורות), אבל יש חיסרון גדול מאוד - אין מערכות הרשאה לחיבור התקני USB. לכל מי שמתקין את אפליקציית חיבור ה-USB יש גישה לכל המפתחות. בנוסף, כפי שהראה בפועל, התקן ה-USB "esmart token est64u-r1" אינו מתאים לשימוש עם המכשיר, ובמבט קדימה, עם ה"גרמני" במערכת ההפעלה Win7 - כאשר הוא מחובר אליו, יש BSOD קבוע .

מצאנו את מכשיר ה- USB over IP השני מעניין יותר. למכשיר יש סט גדול של הגדרות הקשורות לפונקציות הרשת. ממשק USB over IP מחולק באופן הגיוני למקטעים, כך שההגדרה הראשונית הייתה די פשוטה ומהירה. אבל, כפי שצוין קודם לכן, היו בעיות בחיבור מספר מפתחות.

למדנו עוד על חומרת USB על IP, נתקלנו ביצרנים מקומיים. ההרכב כולל גרסאות 16, 32, 48 ו-64 יציאות עם יכולת הרכבה במתלה בגודל 19 אינץ'. הפונקציונליות שתוארה על ידי היצרן הייתה אפילו עשירה יותר מזו של רכישות קודמות מסוג USB over IP. בתחילה, אהבתי שרכזת ה-USB המנוהלת המקומית מספקת הגנה דו-שלבית עבור התקני USB בעת שיתוף USB ברשת:

1. הפעלה וכיבוי פיזית מרחוק של התקני USB;
2. הרשאה לחיבור התקני USB באמצעות כניסה, סיסמה וכתובת IP.
3. הרשאה לחיבור יציאות USB באמצעות כניסה, סיסמה וכתובת IP.
4. רישום של כל ההפעלה והחיבורים של התקני USB על ידי לקוחות, כמו גם ניסיונות כאלה (הזנת סיסמה שגויה וכו').
5. הצפנת תנועה (מה שבאופן עקרוני, לא הייתה רעה בדגם הגרמני).
6. בנוסף, מתאים היה שהמכשיר, למרות שאינו זול, זול פי כמה מאלה שנרכשו בעבר (ההבדל הופך משמעותי במיוחד בהמרה ליציאה; שקלנו USB עם 64 יציאות מעל IP).

החלטנו לבדוק עם היצרן את המצב עם תמיכה בשני סוגים של אסימונים חכמים שבעבר היו להם בעיות חיבור. התבשרנו שהם לא מספקים תמיכה של 100% לחלוטין עבור כל התקני ה-USB, אבל עדיין לא מצאו מכשיר אחד שיש איתו בעיות. לא הסתפקנו בתשובה זו והצענו ליצרן להעביר את האסימונים לבדיקה (למרבה המזל, משלוח בחברת הובלה עלה רק 150 רובל, ויש לנו מספיק אסימונים ישנים). 4 ימים לאחר שליחת המפתחות, קיבלנו את נתוני החיבור והתחברנו פלאים לווינדוס 7, 10 ו-Windows Server 2008. הכל עבד כשורה, חיברנו את האסימונים שלנו בלי בעיות והצלחנו לעבוד איתם.
רכשנו רכזת USB מנוהלת על IP עם 64 יציאות USB. חיברנו את כל 18 היציאות מ-64 מחשבים בסניפים שונים (32 מפתחות והשאר - כונני פלאש, כוננים קשיחים ו-3 מצלמות USB) - כל המכשירים פעלו ללא בעיות. בסך הכל היינו מרוצים מהמכשיר.

אני לא מפרט את השמות והיצרנים של התקני USB over IP (כדי להימנע מפרסום), ניתן למצוא אותם בקלות באינטרנט.

מקור: www.habr.com