Двофакторска аутентификација на сајту помоћу УСБ токена. Како учинити безбедним пријављивање на сервисни портал?

Хакери су добили приступ главном серверу поште међународне компаније Делоитте. Администраторски налог за овај сервер је био заштићен само лозинком.

Независни аустријски истраживач Давид Винд добио је награду од 5 долара за откривање рањивости на страници за пријаву на Гоогле интранет.

91% руских компанија крије цурење података.

Такве вести се скоро свакодневно могу наћи у интернет вестима. Ово је директан доказ да интерне службе компаније морају бити заштићене.

И што је компанија већа, што више запослених има и што је њена интерна ИТ инфраструктура сложенија, проблем цурења информација је за њу све важнији. Које информације су од интереса за нападаче и како их заштитити?

Каква врста цурења информација може наштетити компанији?

• информације о клијентима и трансакцијама;
• техничке информације о производу и кнов-хов;
• информације о партнерима и специјалним понудама;
• личних података и рачуноводства.

А ако разумете да су неке информације са горње листе доступне из било ког сегмента ваше мреже само уз уношење корисничког имена и лозинке, онда би требало размислити о повећању нивоа безбедности података и заштити их од неовлашћеног приступа.

Двофакторска аутентификација помоћу хардверских криптографских медија (жетони или паметне картице) је стекла репутацију веома поуздане и истовремено прилично једноставне за употребу.

Пишемо о предностима двофакторске аутентификације у скоро сваком чланку. Више о томе можете прочитати у чланцима о како заштитити налог у Виндовс домену и е-маил.

У овом чланку ћемо вам показати како да користите двофакторну аутентификацију за пријаву на интерне портале ваше организације.

Као пример, узећемо најпогоднији модел за корпоративну употребу, Рутокен - криптографски УСБ токен Рутокен ЕДС ПКИ.

Почнимо са подешавањем.

Корак 1 — Подешавање сервера

Основа сваког сервера је оперативни систем. У нашем случају, ово је Виндовс Сервер 2016. А уз њега и друге оперативне системе породице Виндовс дистрибуира се ИИС (Интернет Информатион Сервицес).

ИИС је група Интернет сервера, укључујући веб сервер и ФТП сервер. ИИС укључује апликације за креирање и управљање веб локацијама.

ИИС је дизајниран да прави веб услуге користећи корисничке налоге које обезбеђује домен или Ацтиве Дирецтори. Ово вам омогућава да користите постојеће корисничке базе података.

В први чланак Детаљно смо описали како да инсталирате и конфигуришете Ауторитет за сертификацију на вашем серверу. Сада се нећемо детаљније задржавати на томе, већ ћемо претпоставити да је све већ конфигурисано. ХТТПС сертификат за веб сервер мора бити исправно издат. Боље је то одмах проверити.

Виндовс Сервер 2016 долази са уграђеним ИИС верзијом 10.0.

Ако је ИИС инсталиран, остаје само да га правилно конфигуришете.

У фази избора услуга улога, означили смо поље Основна аутентификација.

Затим у Менаџер Интернет Информатион Сервицес укључен Основна аутентификација.

И назначио је домен у којем се налази веб сервер.

Затим смо додали везу до сајта.

И изабрао ССЛ опције.

Ово завршава подешавање сервера.

Након што завршите ове кораке, само корисник који има токен са сертификатом и ПИН токена моћи ће да приступи сајту.

Још једном подсећамо да према први чланак, кориснику је претходно издат токен са кључевима и сертификат издат по шаблону попут Корисник са паметном картицом.

Сада пређимо на подешавање рачунара корисника. Требало би да конфигурише претраживаче које ће користити за повезивање са заштићеним веб локацијама.

Корак 2 — Подешавање рачунара корисника

Ради једноставности, претпоставимо да наш корисник има Виндовс 10.

Претпоставимо и да има инсталиран комплет Рутокен драјвери за Виндовс.

Инсталирање сета драјвера је опционо, јер ће највероватније подршка за токен стићи преко Виндовс Упдате-а.

Али ако се то изненада не догоди, онда ће инсталација рутокен драјвера за Виндовс решити све проблеме.

Хајде да повежемо токен са рачунаром корисника и отворимо Рутокен Цонтрол Панел.

На картици Сертификати Означите поље поред потребног сертификата ако није означено.

Тако смо потврдили да токен ради и да садржи потребан сертификат.

Сви претраживачи осим Фирефок-а се конфигуришу аутоматски.

 

Не морате ништа посебно да радите са њима.

Сада отворите било који претраживач и унесите адресу ресурса.

Пре него што се сајт учита отвориће се прозор за избор сертификата, а затим прозор за унос ПИН кода токена.

Ако је Актив руТокен ЦСП изабран као подразумевани крипто провајдер за уређај, отвориће се други прозор за унос ПИН кода.

И тек након што га успешно унесете у претраживач, наша веб локација ће се отворити.

За претраживач Фирефок морају се извршити додатна подешавања.

У подешавањима претраживача изаберите Приватност и безбедност. У одељку Сертификати да притиснете Заштитни уређај... Отвориће се прозор Управљање уређајем.

Кликните Преузимање, наведите име Рутокен ЕДС и путању Ц:виндовссистем32ртпкцс11ецп.длл.

То је то, Фирефок сада зна како да рукује токеном и омогућава вам да се пријавите на сајт користећи га.

Иначе, пријављивање помоћу токена на веб локације такође функционише на Мац рачунарима у прегледачу Сафари, Цхроме и Фирефок.

Само треба да инсталирате Рутокен са веб локације Модул подршке за привезак за кључеве и погледајте сертификат на токену у њему.

Нема потребе да конфигуришете Сафари, Цхроме, Иандек и друге претраживаче; само треба да отворите сајт у било ком од ових прегледача.

Фирефок претраживач је конфигурисан на скоро исти начин као у Виндовс-у (Подешавања - Напредно - Сертификати - Сигурносни уређаји). Само је пут до библиотеке мало другачији /Либрари/Акитв Цо/Рутокен ЕЦП/либ/либртпкцс11ецп.дилиб.

Налази

Показали смо вам како да подесите двофакторску аутентификацију на веб локацијама користећи криптографске токене. Као и увек, за ово нам није био потребан никакав додатни софтвер, осим библиотека система Рутокен.

Ову процедуру можете да урадите са било којим од својих интерних ресурса, а такође можете флексибилно да конфигуришете корисничке групе које ће имати приступ сајту, као и било где другде у Виндовс Серверу.

Да ли користите други ОС за сервер?

Ако желите да пишемо о подешавању других оперативних система, пишите о томе у коментарима на чланак.

Извор: ввв.хабр.цом