{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"Alternatywa dla centrum certyfikacji Microsoftu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nie mo\u017cna ufa\u0107 u\u017cytkownikom. W wi\u0119kszo\u015bci s\u0105 leniwi i zamiast bezpiecze\u0144stwa wybieraj\u0105 komfort. Wed\u0142ug statystyk, 21% zapisuje na papierze swoje has\u0142a do kont roboczych, a 50% u\u017cywa tych samych hase\u0142 do us\u0142ug roboczych i prywatnych.<\/p>\n

\u015arodowisko r\u00f3wnie\u017c jest wrogie. 74% organizacji pozwala przynosi\u0107 do pracy osobiste urz\u0105dzenia i pod\u0142\u0105cza\u0107 je do sieci korporacyjnej. 94% u\u017cytkownik\u00f3w nie potrafi odr\u00f3\u017cni\u0107 prawdziwej wiadomo\u015bci od phishingowej, a 11% klikn\u0119\u0142o w za\u0142\u0105czniki.<\/p>\n

Wszystkie te problemy rozwi\u0105zuje korporacyjna infrastruktura kluczy publicznych (PKI), kt\u00f3ra zapewnia szyfrowanie i uwierzytelnianie poczty, zast\u0119puj\u0105c has\u0142a cyfrowymi certyfikatami. T\u0119 infrastruktur\u0119 mo\u017cna uruchomi\u0107 na Windows Server. Zgodnie z opisami Microsoftu<\/a><\/noindex>, us\u0142uga Active Directory Certificate Services (AD CS) to serwer, kt\u00f3ry pozwala stworzy\u0107 w twojej organizacji PKI oraz wykorzysta\u0107 kryptografi\u0119 z kluczami publicznymi, cyfrowe certyfikaty i cyfrowe podpisy.<\/p>\n

Jednak rozwi\u0105zanie od Microsoftu jest do\u015b\u0107 kosztowne.
\n<\/a><\/noindex><\/p>\n

Ca\u0142kowity koszt posiadania prywatnego centrum certyfikacji od Microsoftu<\/h1>\n

\n\"Alternatywa
\nPor\u00f3wnanie kosztu posiadania Microsoft CA i GlobalSign AEG. \u0179r\u00f3d\u0142o<\/a><\/noindex><\/i><\/p>\n

W wielu sytuacjach korzystniej i taniej jest stworzy\u0107 takie same prywatne centrum certyfikacji, ale z zewn\u0119trznym zarz\u0105dzaniem. To w\u0142a\u015bnie ten problem rozwi\u0105zuje GlobalSign Auto Enrollment Gateway (AEG). Z ca\u0142kowitego kosztu posiadania mo\u017cna wykluczy\u0107 kilka pozycji wydatk\u00f3w (zakup sprz\u0119tu, koszty wsparcia, szkolenie personelu itp.). Oszcz\u0119dno\u015bci mog\u0105 przekracza\u0107 50% ca\u0142kowitego kosztu posiadania.<\/a><\/noindex>.<\/p>\n

Czym jest AEG<\/h1>\n

\n\"Alternatywa
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) to us\u0142uga oprogramowania, kt\u00f3ra dzia\u0142a jako brama mi\u0119dzy us\u0142ugami certyfikat\u00f3w SaaS GlobalSign a korporacyjnym \u015brodowiskiem Windows.<\/p>\n

AEG integruje si\u0119 z Active Directory, umo\u017cliwiaj\u0105c organizacjom automatyzacj\u0119 rejestracji, przygotowania i zarz\u0105dzania cyfrowymi certyfikatami GlobalSign w \u015brodowisku Windows. Zast\u0119puj\u0105c wewn\u0119trzne centra certyfikacji us\u0142ugami GlobalSign, przedsi\u0119biorstwa zwi\u0119kszaj\u0105 bezpiecze\u0144stwo i obni\u017caj\u0105 koszty zarz\u0105dzania skomplikowanym i kosztownym wewn\u0119trznym centrum certyfikacji Microsoftu.<\/p>\n

Us\u0142ugi certyfikacji GlobalSign SaaS to bardziej niezawodna opcja w por\u00f3wnaniu do s\u0142abych i niezarz\u0105dzanych certyfikat\u00f3w w w\u0142asnej infrastrukturze. Wyeliminowanie potrzeby zarz\u0105dzania zasobo\u017cernym wewn\u0119trznym CAs obni\u017ca ca\u0142kowity koszt posiadania PKI oraz ryzyko awarii systemu.<\/p>\n

Wsparcie protoko\u0142\u00f3w SCEP i ACME rozszerza mo\u017cliwo\u015bci wsparcia poza Windows, w tym automatyczne wydawanie certyfikat\u00f3w dla serwer\u00f3w Linux, urz\u0105dze\u0144 mobilnych, sieciowych i innych, a tak\u017ce komputer\u00f3w Apple OSX, zarejestrowanych w Active Directory.<\/p>\n

Zwi\u0119kszone bezpiecze\u0144stwo<\/h3>\n

\nOpr\u00f3cz oszcz\u0119dno\u015bci bud\u017cetowych, zewn\u0119trzne zarz\u0105dzanie PKI zwi\u0119ksza bezpiecze\u0144stwo systemu. Jak zauwa\u017ca badanie Aberdeen Group, certyfikaty coraz cz\u0119\u015bciej staj\u0105 si\u0119 celem agresor\u00f3w: udanie wykorzystuj\u0105 znane luki, takie jak niepewne certyfikaty samopodpisane, s\u0142abe szyfrowanie oraz niepor\u0119czne mechanizmy uniewa\u017cniania. Co wi\u0119cej, napastnicy opanowali bardziej skomplikowane eksploitacje, takie jak oszuka\u0144cze wydawanie certyfikat\u00f3w przez zaufane CA oraz fa\u0142szowanie certyfikat\u00f3w do podpisywania kodu.<\/p>\n

\u201eWi\u0119kszo\u015b\u0107 przedsi\u0119biorstw niewystarczaj\u0105co aktywnie zarz\u0105dza ryzykiem zwi\u0105zanym z tymi atakami i nie jest gotowa na szybk\u0105 reakcj\u0119 w przypadku kompromitacji \u2014 napisa\u0142<\/a><\/noindex> Derek E. Brink, wiceprezydent i naukowiec ds. bezpiecze\u0144stwa IT w Aberdeen Group. \u2014 Umo\u017cliwiaj\u0105c przedsi\u0119biorstwom przekazanie operacyjnych aspekt\u00f3w zarz\u0105dzania certyfikatami w r\u0119ce ekspert\u00f3w, zachowuj\u0105c jednocze\u015bnie kontrol\u0119 korporacyjn\u0105 nad politykami grupowymi w Active Directory, GlobalSign d\u0105\u017cy do zapewnienia przysz\u0142ego wzrostu wykorzystania certyfikat\u00f3w, rozwi\u0105zuj\u0105c praktyczne kwestie bezpiecze\u0144stwa i zaufania w efektywnej, ekonomicznej modelu wdro\u017cenia.\u201d<\/p>\n

Jak dzia\u0142a AEG<\/h1>\n

\n\"Alternatywa
\n
\nTypowy system z AEG sk\u0142ada si\u0119 z czterech kluczowych komponent\u00f3w, aby zapewni\u0107 przekazanie w\u0142a\u015bciwych certyfikat\u00f3w do w\u0142a\u015bciwych punkt\u00f3w dost\u0119pu:<\/p>\n

    \n
  1. Oprogramowanie AEG na serwerze Windows.\n<\/li>\n
  2. Serwery Active Directory lub kontrolery domen, kt\u00f3re umo\u017cliwiaj\u0105 administratorom zarz\u0105dzanie i przechowywanie informacji o zasobach.\n<\/li>\n
  3. Punkty ko\u0144cowe: u\u017cytkownicy, urz\u0105dzenia, serwery i stacje robocze \u2014 praktycznie ka\u017cdy obiekt, kt\u00f3ry jest \u201ekonsumentem\u201d cyfrowych certyfikat\u00f3w.\n<\/li>\n
  4. Centrum certyfikacji GlobalSign lub GCC, kt\u00f3re znajduje si\u0119 na szczycie niezawodnej platformy wydawania certyfikat\u00f3w i zarz\u0105dzania. Tutaj generowane s\u0105 certyfikaty.<\/li>\n<\/ol>\n

    \nTrzy z czterech pokazanych komponent\u00f3w znajduj\u0105 si\u0119 w lokalnym \u015brodowisku klienta, a czwarty \u2014 w chmurze.<\/p>\n

    Na pocz\u0105tku punkty ko\u0144cowe s\u0105 wst\u0119pnie konfigurowane za pomoc\u0105 grupowych zasad, na przyk\u0142ad poprzez weryfikacj\u0119 certyfikatu dla uwierzytelnienia u\u017cytkownika, \u017c\u0105danie S\/MIME dla certyfikatu i tak dalej \u2014 w celu p\u00f3\u017aniejszego po\u0142\u0105czenia z serwerem AEG. Po\u0142\u0105czenie odbywa si\u0119 bezpiecznie przez HTTPS.<\/p>\n

    Serwer AEG wysy\u0142a zapytanie do Active Directory przez LDAP, aby uzyska\u0107 list\u0119 szablon\u00f3w certyfikat\u00f3w dla tych punkt\u00f3w ko\u0144cowych, i wysy\u0142a t\u0119 list\u0119 klientom wraz z lokalizacj\u0105 centrum certyfikacji. Po otrzymaniu tych regu\u0142 punkty ko\u0144cowe ponownie \u0142\u0105cz\u0105 si\u0119 z serwerem AEG, tym razem w celu \u017c\u0105dania rzeczywistych certyfikat\u00f3w. AEG z kolei tworzy wywo\u0142anie API z okre\u015blonymi parametrami i wysy\u0142a je do Centrum Certyfikacji GlobalSign lub GCC w celu przetworzenia.<\/p>\n

    Na koniec, cz\u0119\u015b\u0107 serwerowa GCC przetwarza zapytania, zazwyczaj w ci\u0105gu kilku sekund, i wysy\u0142a odpowied\u017a API wraz z certyfikatem, kt\u00f3ry zostanie zainstalowany na punktach ko\u0144cowych na \u017c\u0105danie.<\/p>\n

    Ca\u0142y proces zajmuje kilka sekund i mo\u017ce by\u0107 ca\u0142kowicie zautomatyzowany poprzez skonfigurowanie punkt\u00f3w ko\u0144cowych do automatycznego uzyskiwania certyfikat\u00f3w za pomoc\u0105 grupowych zasad.<\/p>\n

    Unikalne cechy AEG<\/h4>\n

    <\/p>\n