ორფაქტორიანი ავთენტიფიკაცია საიტზე USB ტოკენის გამოყენებით. როგორ გავხადო სერვის პორტალში შესვლა უსაფრთხო?

ჰაკერებმა საერთაშორისო კომპანია Deloitte-ის მთავარ ფოსტის სერვერზე წვდომა მიიღეს. ამ სერვერის ადმინისტრატორის ანგარიში დაცული იყო მხოლოდ პაროლით.

დამოუკიდებელმა ავსტრიელმა მკვლევარმა დევიდ ვინდმა მიიღო ჯილდო 5 აშშ დოლარით Google-ის ინტრანეტის შესვლის გვერდზე დაუცველობის აღმოჩენისთვის.

რუსული კომპანიების 91% მალავს მონაცემთა გაჟონვას.

ასეთი ამბების ნახვა თითქმის ყოველდღე შეგიძლიათ ინტერნეტის ახალი ამბების არხებში. ეს არის პირდაპირი მტკიცებულება იმისა, რომ კომპანიის შიდა სერვისები დაცული უნდა იყოს.

და რაც უფრო დიდია კომპანია, რაც უფრო მეტი თანამშრომელი ჰყავს და რაც უფრო რთულია მისი შიდა IT ინფრასტრუქტურა, მით უფრო აქტუალურია მისთვის ინფორმაციის გაჟონვის პრობლემა. რა ინფორმაციაა საინტერესო თავდამსხმელებისთვის და როგორ დავიცვათ იგი?

რა სახის ინფორმაციის გაჟონვამ შეიძლება ზიანი მიაყენოს კომპანიას?

• ინფორმაცია კლიენტებისა და ტრანზაქციების შესახებ;
• ტექნიკური პროდუქტის ინფორმაცია და ნოუ-ჰაუ;
• ინფორმაცია პარტნიორებისა და სპეციალური შეთავაზებების შესახებ;
• პერსონალური მონაცემები და ბუღალტერია.

და თუ გესმით, რომ ზემოაღნიშნული სიიდან ზოგიერთი ინფორმაცია ხელმისაწვდომია თქვენი ქსელის ნებისმიერი სეგმენტიდან მხოლოდ შესვლისა და პაროლის წარდგენის შემდეგ, მაშინ უნდა იფიქროთ მონაცემთა უსაფრთხოების დონის ამაღლებაზე და მის დაცვაზე არასანქცირებული წვდომისგან.

ორფაქტორიანმა ავთენტიფიკაციამ აპარატურის კრიპტოგრაფიული მედიის (ჟეტონები ან სმარტ ბარათები) გამოყენებით მოიპოვა რეპუტაცია, როგორც ძალიან საიმედო და ამავე დროს საკმაოდ მარტივი გამოსაყენებელი.

ჩვენ ვწერთ ორფაქტორიანი ავთენტიფიკაციის უპირატესობებზე თითქმის ყველა სტატიაში. ამის შესახებ მეტი შეგიძლიათ წაიკითხოთ სტატიებში როგორ დავიცვათ ანგარიში Windows დომენში и ელ.

ამ სტატიაში ჩვენ გაჩვენებთ, თუ როგორ გამოიყენოთ ორფაქტორიანი ავთენტიფიკაცია თქვენი ორგანიზაციის შიდა პორტალებში შესასვლელად.

მაგალითად, ავიღოთ კორპორატიული გამოყენებისთვის ყველაზე შესაფერისი მოდელი, Rutoken - კრიპტოგრაფიული USB ჟეტონი. რუტოკენი EDS PKI.

დავიწყოთ დაყენება.

ნაბიჯი 1 - სერვერის დაყენება

ნებისმიერი სერვერის საფუძველი არის ოპერაციული სისტემა. ჩვენს შემთხვევაში ეს არის Windows Server 2016. და მასთან და Windows ოჯახის სხვა ოპერაციულ სისტემებთან ერთად ვრცელდება IIS (Internet Information Services).

IIS არის ინტერნეტ სერვერების ჯგუფი, მათ შორის ვებ სერვერი და FTP სერვერი. IIS მოიცავს აპლიკაციებს ვებსაიტების შესაქმნელად და მართვისთვის.

IIS შექმნილია ვებ სერვისების შესაქმნელად დომენის ან Active Directory-ის მიერ მოწოდებული მომხმარებლის ანგარიშების გამოყენებით. ეს საშუალებას გაძლევთ გამოიყენოთ არსებული მომხმარებლის მონაცემთა ბაზები.

В პირველი სტატია ჩვენ დეტალურად აღვწერეთ, როგორ დააინსტალიროთ და დააკონფიგურიროთ სერტიფიცირების ორგანო თქვენს სერვერზე. ახლა ამაზე დეტალურად არ ვისაუბრებთ, მაგრამ ვივარაუდებთ, რომ ყველაფერი უკვე კონფიგურირებულია. ვებ სერვერისთვის HTTPS სერთიფიკატი სწორად უნდა იყოს გაცემული. უმჯობესია ამის შემოწმება დაუყოვნებლივ.

Windows Server 2016-ს გააჩნია ჩაშენებული IIS ვერსია 10.0.

თუ IIS დაინსტალირებულია, მაშინ რჩება მხოლოდ მისი სწორად კონფიგურაცია.

როლური სერვისების არჩევის ეტაპზე ჩვენ შევამოწმეთ ველი ძირითადი ავთენტიფიკაცია.

შემდეგ შიგნით ინტერნეტ საინფორმაციო სერვისების მენეჯერი შედის ძირითადი ავთენტიფიკაცია.

და მითითებულია დომენი, რომელშიც მდებარეობს ვებ სერვერი.

შემდეგ დავამატეთ საიტის ბმული.

და აირჩიეთ SSL პარამეტრები.

ეს ასრულებს სერვერის დაყენებას.

ამ ნაბიჯების დასრულების შემდეგ საიტზე წვდომა მხოლოდ მომხმარებელს, რომელსაც აქვს ჟეტონი სერტიფიკატით და ტოკენის PIN-ით, შეძლებს.

კიდევ ერთხელ შეგახსენებთ, რომ შესაბამისად პირველი სტატია, მომხმარებელს ადრე გაცემული ჰქონდა ჟეტონი გასაღებებით და სერთიფიკატი გაცემული შაბლონის მიხედვით მომხმარებელი ჭკვიანი ბარათით.

ახლა მოდით გადავიდეთ მომხმარებლის კომპიუტერის დაყენებაზე. მან უნდა დააკონფიგურიროს ბრაუზერები, რომლებსაც გამოიყენებს დაცულ ვებსაიტებთან დასაკავშირებლად.

ნაბიჯი 2 - მომხმარებლის კომპიუტერის დაყენება

სიმარტივისთვის, დავუშვათ, რომ ჩვენს მომხმარებელს აქვს Windows 10.

ასევე დავუშვათ, რომ მას აქვს ნაკრები დაყენებული Rutoken დრაივერები Windows-ისთვის.

დრაივერების ნაკრების დაყენება არჩევითია, რადგან, სავარაუდოდ, ტოკენის მხარდაჭერა შემოვა Windows Update-ის მეშვეობით.

მაგრამ თუ ეს მოულოდნელად არ მოხდა, მაშინ Windows-ისთვის Rutoken დრაივერების ნაკრების დაყენება ყველა პრობლემას მოაგვარებს.

მოდით დავუკავშიროთ ჟეტონი მომხმარებლის კომპიუტერს და გავხსნათ Rutoken Control Panel.

ჩანართში სერტიფიკატი მონიშნეთ ველი საჭირო სერტიფიკატის გვერდით, თუ ის არ არის მონიშნული.

ამრიგად, ჩვენ დავადასტურეთ, რომ ჟეტონი მუშაობს და შეიცავს საჭირო სერტიფიკატს.

ყველა ბრაუზერი Firefox-ის გარდა კონფიგურირებულია ავტომატურად.

 

თქვენ არ გჭირდებათ რაიმე განსაკუთრებული გააკეთოთ მათთან.

ახლა გახსენით ნებისმიერი ბრაუზერი და შეიყვანეთ რესურსის მისამართი.

საიტის ჩატვირთვამდე გაიხსნება ფანჯარა სერტიფიკატის შესარჩევად, შემდეგ კი ფანჯარა ტოკენის PIN კოდის შესაყვანად.

თუ Aktiv ruToken CSP არჩეულია მოწყობილობის ნაგულისხმევ კრიპტოპროვაიდერად, მაშინ გაიხსნება სხვა ფანჯარა PIN კოდის შესაყვანად.

და მხოლოდ ბრაუზერში მისი წარმატებით შეყვანის შემდეგ გაიხსნება ჩვენი ვებ გვერდი.

Firefox ბრაუზერისთვის დამატებითი პარამეტრები უნდა გაკეთდეს.

თქვენი ბრაუზერის პარამეტრებში აირჩიეთ კონფიდენციალურობა და უსაფრთხოება... თავში სერტიფიკატი დააყენებს დამცავი მოწყობილობა... გაიხსნება ფანჯარა მოწყობილობის მართვა.

დაწკაპეთ გადმოწერა, მიუთითეთ სახელი Rutoken EDS და გზა C:windowssystem32rtpkcs11ecp.dll.

ეს ასეა, Firefox-მა ახლა იცის, თუ როგორ უნდა მართოს ტოკენი და გაძლევთ საშუალებას შეხვიდეთ საიტზე მისი გამოყენებით.

სხვათა შორის, ვებსაიტებზე ტოკენის გამოყენებით შესვლა ასევე მუშაობს Mac-ებზე Safari, Chrome და Firefox ბრაუზერში.

თქვენ უბრალოდ უნდა დააინსტალიროთ Rutoken საიტიდან Keychain მხარდაჭერის მოდული და იხილეთ სერტიფიკატი მასში არსებულ ჟეტონზე.

არ არის საჭირო Safari, Chrome, Yandex და სხვა ბრაუზერების კონფიგურაცია, თქვენ უბრალოდ უნდა გახსნათ საიტი რომელიმე ამ ბრაუზერში.

Firefox ბრაუზერი კონფიგურირებულია თითქმის ისევე, როგორც Windows-ში (პარამეტრები - გაფართოებული - სერთიფიკატები - უსაფრთხოების მოწყობილობები). მხოლოდ ბიბლიოთეკისკენ მიმავალი გზა ოდნავ განსხვავებულია /Library/Akitv Co/Rutoken ECP/lib/librtpkcs11ecp.dylib.

დასკვნები

ჩვენ გაჩვენეთ, თუ როგორ უნდა დააყენოთ ორფაქტორიანი ავთენტიფიკაცია ვებსაიტებზე კრიპტოგრაფიული ნიშნების გამოყენებით. როგორც ყოველთვის, ამისთვის არ დაგვჭირდა დამატებითი პროგრამული უზრუნველყოფა, გარდა Rutoken სისტემის ბიბლიოთეკებისა.

თქვენ შეგიძლიათ გააკეთოთ ეს პროცედურა თქვენი ნებისმიერი შიდა რესურსით და ასევე შეგიძლიათ მოქნილად დააკონფიგურიროთ მომხმარებელთა ჯგუფები, რომლებსაც ექნებათ წვდომა საიტზე, ისევე როგორც ნებისმიერ სხვაგან Windows Server-ში.

იყენებთ სხვა OS-ს სერვერისთვის?

თუ გსურთ, რომ დავწეროთ სხვა ოპერაციული სისტემების დაყენების შესახებ, დაწერეთ ამის შესახებ სტატიის კომენტარებში.

წყარო: www.habr.com