Подробный гайд: Аутентификация пользователей по паролю или электронному ключу в ViPNet SafePoint
1. Обзор методов аутентификации
ViPNet SafePoint — это сертифицированная комплексная система защиты информации от несанкционированного доступа (НСД), работающая на уровне ядра операционной системы. Система обеспечивает двухфакторную аутентификацию пользователей при входе в операционную систему.
Поддерживаемые методы аутентификации:
- Аутентификация по паролю на электронном идентификаторе
- Комбинированная аутентификация (токен + пароль)
- Аутентификация по электронному ключу/токену (двухфакторная)
- SSO (Single Sign-On) с ViPNet SafeBoot версии 2.1 и выше
2. Поддерживаемые электронные ключи и токены
В качестве идентификаторов для двухфакторной аутентификации поддерживаются следующие USB-токены и смарт-карты:
Rutoken:
- Rutoken Lite
- Rutoken S
- Rutoken ЭЦП 2
JaCarta:
- JaCarta LT
- JaCarta PKI
- JaCarta PKI/ГОСТ
- JaCarta 2 PKI/ГОСТ
- JaCarta ГОСТ
- JaCarta-2 SE
- JaCarta-2 ГОСТ
- JaCarta-2 PRO/ГОСТ
eToken:
- eToken (совместимость подтверждена с ViPNet CSP)
3. Архитектура системы аутентификации
ViPNet SafePoint использует клиент-серверную архитектуру:
- Клиент ViPNet SafePoint — ПО, устанавливаемое на рабочие станции и сервера
- Сервер безопасности ViPNet SafePoint — для настройки политик безопасности и управления клиентской частью
- Консоль управления сервером безопасности — интерфейс для работы с сервером
4. Настройка двухфакторной аутентификации
Шаг 1: Подготовка окружения
- Проверка совместимости ОС: Убедитесь, что ваша версия Windows или Linux официально поддерживается выбранным билдом SafePoint
- Установка криптопровайдера: Убедитесь, что ViPNet CSP установлен и корректно работает с электронными ключами
- Установка драйверов токенов: Установите драйверы для используемых USB-токенов (Rutoken, JaCarta, eToken)
Шаг 2: Настройка сервера безопасности
- Запуск консоли управления: Откройте консоль управления ViPNet SafePoint сервера безопасности
- Создание узла: В консоли создайте новый защищаемый узел с указанием его IP-адреса и имени
- Настройка политик аутентификации:
- Перейдите в раздел управления пользователями
- Выберите метод аутентификации (пароль + токен)
- Настройте параметры двухфакторной аутентификации
Шаг 3: Настройка клиента
- Установка агента: Установите клиент ViPNet SafePoint на рабочую станцию
- Привязка лицензии: Активируйте лицензию с помощью аппаратного ключа или файла ключа
- Подключение к серверу: Инициируйте подключение к серверу управления для получения политик безопасности
Шаг 4: Регистрация пользователей и токенов
- Создание учетной записи: В консоли сервера безопасности создайте учетную запись пользователя
- Привязка токена: Свяжите конкретный USB-токен или смарт-карту с учетной записью пользователя
- Установка пароля: Задайте пароль для пользователя, который будет использоваться вместе с токеном
5. Настройка аутентификации по паролю
Для настройки аутентификации только по паролю (без токена):
- В консоли управления выберите метод аутентификации "Только пароль"
- Установите требования к сложности пароля (минимальная длина, использование специальных символов)
- Настройте политики блокировки после неудачных попыток входа
- Настройте принудительную смену пароля при первичной аутентификации
6. Настройка комбинированной аутентификации (токен + пароль)
Это наиболее безопасный метод, требующий наличия физического токена и знания пароля:
- Включите двухфакторную аутентификацию в политиках безопасности
- Настройте работу с токенами: Укажите поддерживаемые типы токенов
- Настройте обработку ошибок: Определите действия при потере токена или забытом пароле
Процесс входа для пользователя:
- Подключить USB-токен к компьютеру
- Ввести PIN-код или пароль от токена
- При успешной верификации токена ввести пароль учетной записи
7. Настройка SSO с ViPNet SafeBoot
Если используется ViPNet SafeBoot (доверенная загрузка и защита BIOS/UEFI), доступна функция Single Sign-On:
- Установите ViPNet SafeBoot версии 2.1 или выше на рабочую станцию
- Настройте аутентификацию в SafeBoot: Пользователь выполняет аутентификацию только на этапе загрузки
- Активируйте SSO: В политиках ViPNet SafePoint включите режим SSO
- Автоматический вход: После успешной аутентификации в SafeBoot вход в ViPNet SafePoint выполняется автоматически без повторного ввода пароля
8. Настройка аутентификации с помощью сертификатов x.509
ViPNet SafePoint поддерживает аутентификацию пользователя с помощью токена с сертификатом формата x.509:
- Получите сертификат: Запросите сертификат x.509 в удостоверяющем центре
- Запишите сертификат на токен: Запишите закрытый ключ и сертификат на поддерживаемый USB-токен
- Настройте проверку сертификатов: В политиках укажите доверенные корневые сертификаты
- Привяжите сертификат к пользователю: В консоли управления свяжите сертификат с учетной записью
9. Ограничение прав и повышение привилегий
Ограничение входа под root:
С помощью политик SafePoint заблокируйте возможность прямого входа под учетной записью root в графическом интерфейсе или по SSH.
Контроль повышения привилегий:
SafePoint позволяет перехватывать системные вызовы и блокировать попытки несанкционированного повышения привилегий через su или sudo, если это не разрешено явным образом в политике ИБ.
10. Тестирование настройки аутентификации
После завершения настройки выполните следующие проверки:
1. Тест двухфакторной аутентификации:
- Попробуйте войти без подключенного токена (должен быть отказ)
- Попробуйте войти с неправильным паролем (должен быть отказ)
- Успешный вход с токеном и правильным паролем
2. Тест SSO (если настроено):
- Перезагрузите компьютер
- Выполните аутентификацию в SafeBoot
- Убедитесь в автоматическом входе в SafePoint
3. Проверка аудита:
- Убедитесь, что все попытки входа (успешные и неудачные) регистрируются в журнале аудита
- Проверьте отправку событий в SIEM-систему (если настроено)
11. Рекомендации по безопасности
- Используйте сложные пароли: Минимальная длина 12 символов, смесь заглавных и строчных букв, цифр и специальных символов
- Регулярно меняйте пароли: Настройте принудительную смену паролей каждые 90 дней
- Защита токенов: При утере токена немедленно заблокируйте его в консоли управления
- Ведите журнал аудита: Настраивайте регистрацию всех событий аутентификации для последующего анализа
- Ограничьте количество попыток: Настройте блокировку учетной записи после 3-5 неудачных попыток входа
- Используйте комбинированную аутентификацию: Для критически важных систем всегда используйте метод "токен + пароль"
12. Устранение неполадок
Проблема: Токен не распознается системой
Решение:
- Проверьте установку драйверов для токена
- Убедитесь, что ViPNet CSP корректно обнаруживает токен
- Проверьте физическое подключение токена
Проблема: Ошибка аутентификации при правильном пароле
Решение:
- Проверьте срок действия сертификата на токене
- Убедитесь, что токен привязан к правильной учетной записи
- Проверьте логи аудита для получения информации об ошибке
Проблема: Не работает SSO с SafeBoot
Решение:
- Убедитесь, что версия SafeBoot 2.1 или выше
- Проверьте настройки интеграции между SafeBoot и SafePoint
- Убедитесь, что SSO включен в политиках безопасности
Важно
ViPNet SafePoint предоставляет гибкую и надежную систему аутентификации пользователей, поддерживающую различные методы от простой парольной аутентификации до сложной двухфакторной аутентификации с использованием аппаратных токенов. Правильная настройка системы аутентификации является ключевым элементом защиты информации от несанкционированного доступа и должна выполняться в соответствии с требованиями регуляторов (ФСТЭК, ФСБ) и внутренними политиками информационной безопасности организации.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.
Статью подготовил: Аверко Денис Сергеевич @Nymexis г. Омск (специалист по ЗИ)