{"id":38686,"date":"2019-10-31T22:25:18","date_gmt":"2019-10-31T19:25:18","guid":{"rendered":"https:\/\/prohoster.info\/blog\/alternativa-tsentru-sertifikatsii-ot-microsoft\/"},"modified":"2019-10-31T22:25:18","modified_gmt":"2019-10-31T19:25:18","slug":"alternativa-tsentru-sertifikatsii-ot-microsoft","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/alternativa-tsentru-sertifikatsii-ot-microsoft","title":{"rendered":"O alternativ\u0103 la centrul de certificare Microsoft","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Utilizatorii nu pot fi de \u00eencredere. \u00cen mare parte, ace\u0219tia sunt len\u021bi \u0219i prefer\u0103 confortul \u00een locul securit\u0103\u021bii. Conform statisticilor, 21% \u00ee\u0219i noteaz\u0103 pe h\u00e2rtie parolele conturilor de munc\u0103, iar 50% folosesc acelea\u0219i parole pentru serviciile de munc\u0103 \u0219i cele personale.<\/p>\n

Mediul este de asemenea ostil. 74% dintre organiza\u021bii permit aducerea de dispozitive personale la serviciu \u0219i conectarea lor la re\u021beaua corporativ\u0103. 94% dintre utilizatori nu pot distinge un e-mail adev\u0103rat de unul de tip phishing, iar 11% au f\u0103cut click pe ata\u0219amente.<\/p>\n

Toate aceste probleme sunt rezolvate de infrastructura corporativ\u0103 de chei publice (PKI), care asigur\u0103 criptarea \u0219i autentificarea e-mailurilor, \u00eenlocuind parolele cu certificate digitale. Aceast\u0103 infrastructur\u0103 poate fi implementat\u0103 pe Windows Server. Conform descrierii de la Microsoft<\/a><\/noindex>, serviciul Active Directory Certificate Services (AD CS) este un server care permite crearea unei PKI \u00een organiza\u021bia dumneavoastr\u0103 \u0219i utilizarea criptografiei cu chei publice, a certificatelor digitale \u0219i a semn\u0103turilor digitale.<\/p>\n

Dar solu\u021bia de la Microsoft este destul de costisitoare.
\n<\/a><\/noindex><\/p>\n

Costul total de proprietate pentru un centru de certificare privat de la Microsoft<\/h1>\n

\n\"O
\nCompararea costului de proprietate \u00eentre Microsoft CA \u0219i GlobalSign AEG. Sursa<\/a><\/noindex><\/i><\/p>\n

\u00cen multe situa\u021bii, este mai convenabil \u0219i mai ieftin s\u0103 se creeze un astfel de centru de certificare privat, dar cu gestionare extern\u0103. Aceast\u0103 problem\u0103 este rezolvat\u0103 de GlobalSign Auto Enrollment Gateway (AEG). Costul total de proprietate exclude imediat mai multe tipuri de cheltuieli (achizi\u021bionarea de echipamente, costuri de suport, formarea personalului etc.). Economia poate dep\u0103\u0219i 50% din costul total de proprietate<\/a><\/noindex>.<\/p>\n

Ce este AEG<\/h1>\n

\n\"O
\n
\nAuto Enrollment Gateway<\/a><\/noindex> (AEG) este un serviciu software care ac\u021bioneaz\u0103 ca un gateway \u00eentre serviciile de certificare SaaS GlobalSign \u0219i mediul corporativ Windows.<\/p>\n

AEG se integreaz\u0103 cu Active Directory, permi\u021b\u00e2nd organiza\u021biilor s\u0103 automatizeze \u00eenregistrarea, preg\u0103tirea \u0219i gestionarea certificatelor digitale GlobalSign \u00een mediul Windows. \u00cenlocuind centrele de certificare interne cu serviciile GlobalSign, companiile \u00eembun\u0103t\u0103\u021besc securitatea \u0219i reduc costurile de gestionare a unui centru de certificare intern complex \u0219i costisitor de la Microsoft.<\/p>\n

Serviciile de certificare GlobalSign SaaS sunt o op\u021biune mai fiabil\u0103 dec\u00e2t certificatele slabe \u0219i necontrolate de pe infrastructura proprie. Eliminarea necesit\u0103\u021bii de a gestiona un registrator intern consumator de resurse reduce costul total de proprietate al PKI, precum \u0219i riscul de defec\u021biuni ale sistemului.<\/p>\n

Suportul protocoalelor SCEP \u0219i ACME extinde capabilit\u0103\u021bile de suport dincolo de Windows, inclusiv emiterea automatizat\u0103 a certificatelor pentru servere Linux, dispozitive mobile, de re\u021bea \u0219i alte dispozitive, precum \u0219i computere Apple OSX, \u00eenregistrate \u00een Active Directory.<\/p>\n

Securitate \u00eembun\u0103t\u0103\u021bit\u0103<\/h3>\n

\nPe l\u00e2ng\u0103 economisirea bugetului, gestionarea extern\u0103 a PKI \u00eembun\u0103t\u0103\u021be\u0219te securitatea sistemului. A\u0219a cum men\u021bioneaz\u0103 un studiu realizat de Aberdeen Group, certificatele devin tot mai des \u021binte pentru atacatori: ace\u0219tia profit\u0103 de vulnerabilit\u0103\u021bi cunoscute, cum ar fi certificatele auto-semnatate nesigure, criptarea slab\u0103 \u0219i mecanismele proaste de revocare. \u00cen plus, atacatorii au st\u0103p\u00e2nit exploat\u0103rile mai sofisticate, cum ar fi emiterea frauduloas\u0103 de certificate din partea autorit\u0103\u021bilor de certificare de \u00eencredere \u0219i falsificarea certificatelor pentru semnarea codului.<\/p>\n

\u201eCele mai multe organiza\u021bii nu gestioneaz\u0103 suficient riscurile legate de aceste atacuri \u0219i nu sunt preg\u0103tite s\u0103 reac\u021bioneze rapid \u00een cazul unui compromis,\u201d Jurnalistul Bloomberg Jason Schreier<\/a><\/noindex> Derek E. Brink, vicepre\u0219edinte \u0219i cercet\u0103tor \u00een domeniul securit\u0103\u021bii IT la Aberdeen Group. \u201eOferind companiilor posibilitatea de a delega aspectele opera\u021bionale ale gestion\u0103rii certificatelor exper\u021bilor, men\u021bin\u00e2nd \u00een acela\u0219i timp controlul corporativ asupra politicilor de grup din Active Directory, GlobalSign \u00ee\u0219i propune s\u0103 asigure o cre\u0219tere viitoare a utiliz\u0103rii certificatelor, abord\u00e2nd \u00een mod eficient problemele practice de securitate \u0219i \u00eencredere \u00eentr-un model de desf\u0103\u0219urare economic.\u201d<\/p>\n

Cum func\u021bioneaz\u0103 AEG<\/h1>\n

\n\"O
\n
\nUn sistem tipic cu AEG include patru componente cheie pentru a garanta livrarea certificatelor corecte c\u0103tre punctele de acces corecte:<\/p>\n

    \n
  1. Software-ul AEG pe serverul Windows.\n<\/li>\n
  2. Servere Active Directory sau controlere de domeniu, care permit administratorilor s\u0103 gestioneze \u0219i s\u0103 stocheze informa\u021bii despre resurse.\n<\/li>\n
  3. Puncte finale: utilizatori, dispozitive, servere \u0219i sta\u021bii de lucru \u2014 practic orice obiect care este un \"consumator\" de certifica\u021bii digitale.\n<\/li>\n
  4. Centru de certificare GlobalSign sau GCC, care se afl\u0103 \u00een v\u00e2rful unei platforme fiabile de emitere \u0219i gestionare a certificatelor. Aici sunt generate certificatele.<\/li>\n<\/ol>\n

    \nTrei din cele patru componente afi\u0219ate se afl\u0103 \u00een mediu local la client, iar al patrulea \u00een cloud.<\/p>\n

    \u00cen primul r\u00e2nd, punctele finale sunt configurate anticipat prin politici de grup: de exemplu, prin verificarea certificatului pentru autentificarea utilizatorului, solicitarea S\/MIME pentru certificat \u0219i a\u0219a mai departe \u2013 pentru a se conecta ulterior la serverul AEG. Conexiunea se realizeaz\u0103 \u00een siguran\u021b\u0103 prin HTTPS.<\/p>\n

    Serverul AEG trimite o solicitare c\u0103tre Active Directory prin LDAP pentru a ob\u021bine o list\u0103 de modele de certificate pentru aceste puncte finale \u0219i trimite clien\u021bilor aceast\u0103 list\u0103 \u00eempreun\u0103 cu loca\u021bia centrului de certificare. Dup\u0103 primirea acestor reguli, punctele finale se reconecteaz\u0103 la serverul AEG, de data aceasta pentru a solicita certificatele efective. AEG, la r\u00e2ndul s\u0103u, creeaz\u0103 un apel API cu parametrii specifica\u021bi \u0219i \u00eel trimite Centrului de certificare GlobalSign sau GCC pentru procesare.<\/p>\n

    \u00cen cele din urm\u0103, partea de server GCC proceseaz\u0103 solicit\u0103rile, de obicei \u00een c\u00e2teva secunde, \u0219i trimite r\u0103spunsul API \u00eempreun\u0103 cu certificatul, care va fi instalat la cerere pe punctele finale.<\/p>\n

    \u00centregul proces dureaz\u0103 c\u00e2teva secunde \u0219i poate fi complet automatizat prin configurarea punctelor finale pentru a ob\u021bine automat certificate prin politici de grup.<\/p>\n

    Caracteristici unice ale AEG<\/h4>\n

    <\/p>\n