Подробный гайд: Инструкция по настройке единого входа (SSO) в ViPNet SafeBoot
Представлено подробное руководство по архитектуре, настройке и использованию технологии Single Sign-On (SSO / Единый вход) при совместной работе программного модуля доверенной загрузки ViPNet SafeBoot и операционной системы Windows (как правило, в связке с системой защиты ViPNet SafePoint).
1. Концепция Single Sign-On (SSO) в ViPNet SafeBoot
Технология единого входа (SSO) позволяет пользователю пройти процедуру аутентификации только один раз на этапе доверенной загрузки (Pre-Boot Authentication, PBA) в среде UEFI. В случае использования ViPNet SafeBoot пользователю доступен режим SSO, при котором он выполняет аутентификацию только в самом модуле SafeBoot, а вход в операционную систему (и в СЗИ ViPNet SafePoint) происходит автоматически без повторного ввода пароля или ПИН-кода.
2. Требования и совместимость
Для корректной работы сквозной аутентификации необходимо соблюдение следующих условий:
* Версии ПО:
Технология SSO поддерживается в ViPNet SafeBoot версий 2.1, 3.0, 3.2 и выше. Для комплексной защиты на уровне ядра ОС обычно используется связка с ViPNet SafePoint (версии 1.2, 1.7 и новее)].
* Среда загрузки:
Наличие UEFI BIOS, поддерживающего установку ПМДЗ (программного модуля доверенной загрузки) ViPNet SafeBoot.
* Средства аутентификации:
Поддерживается работа с паролями, ПИН-кодами, а также аппаратными токенами (например, Рутокен S и JaCarta LT).
* Интеграция с каталогами:
Начиная с версии 3.0, в SafeBoot реализована полноценная поддержка Single Sign-On для пользователей LDAP / Active Directory.
3. Принцип работы (Архитектура)
1. Этап 1 (Pre-Boot):
При включении ПК управление перехватывается ViPNet SafeBoot. Пользователь вводит учетные данные (или вставляет токен и вводит ПИН-код).
2. Этап 2 (Передача маркера):
После успешной проверки SafeBoot разблокирует доступ к загрузчику ОС. При этом в защищенную область памяти (или через механизмы WPBT — Windows Platform Binary Table) передается криптографический флаг успешной аутентификации.
3. Этап 3 (Загрузка ОС):
Windows начинает загрузку. На этапе отображения экрана приветствия (LogonUI) драйвер или провайдер учетных данных (Credential Provider) от ИнфоТеКС считывает переданный маркер.
4. Этап 4 (Автоматический вход):
Если флаг «Единый вход» установлен, система автоматически подставляет сохраненные хэши или эмулирует ввод корректных учетных данных, осуществляя бесшовный вход на рабочий стол.
4. Пошаговая инструкция по настройке
Шаг 1. Синхронизация учетных записей
Главное условие работы SSO — полное совпадение идентификаторов.
- Имя пользователя (логин), зарегистрированное в ViPNet SafeBoot, должно в точности совпадать с именем пользователя (SAMAccountName) в локальной базе SAM Windows или в Active Directory.
- Если используется доменная среда, убедитесь, что SafeBoot настроен на работу с LDAP/AD, чтобы пользователи проходили единую политику паролей.
Шаг 2. Настройка политик и флага SSO
Включение режима единого входа производится через консоль администрирования (ViPNet SafePoint / Сервер администрирования).
- Откройте консоль управления и перейдите в раздел управления пользователями или политиками безопасности.
- Найдите нужного пользователя или группу. Обратите внимание: флаг включения SSO является индивидуальным для каждого пользователя.
- Установите галочку (активируйте флаг) «Разрешить единый вход (SSO)» или «Автоматический вход в ОС» в профиле пользователя.
- Сохраните и примените политики на конечные рабочие станции.
Шаг 3. Настройка провайдера учетных данных в Windows
Для того чтобы Windows «подхватила» авторизацию из BIOS, в системе должен быть корректно зарегистрирован Credential Provider от ИнфоТеКС:
- Убедитесь, что клиентская часть ViPNet SafePoint / SafeBoot установлена в ОС.
- В реестре Windows (ветка
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers) должны присутствовать GUID-ы, относящиеся к компонентам ИнфоТеКС. Обычно это происходит автоматически при установке клиента SafePoint.
Шаг 4. Особенности использования аппаратных токенов (2FA)
Если в качестве первого фактора аутентификации в SafeBoot используется USB-токен (Рутокен / JaCarta):
- Пользователь вставляет токен в USB-порт на этапе BIOS, вводит ПИН-код.
Важно:
Токен должен оставаться вставленным в порт во время загрузки Windows. Если пользователь вытащит токен сразу после прохождения экрана SafeBoot, Windows не сможет завершить процедуру SSO (или SafePoint заблокирует сессию сразу после входа, если настроен строгий контроль присутствия токена в ОС).
5. Возможные проблемы и их устранение (Troubleshooting)
| Проблема | Вероятная причина | Решение |
|---|---|---|
| SSO не срабатывает, Windows просит пароль | Рассинхронизация паролей. Пользователь сменил пароль в Windows (через Ctrl+Alt+Del), но SafeBoot об этом не узнал. | Синхронизируйте пароль. В политиках SafePoint/SafeBoot включите опцию обязательной синхронизации пароля ОС и модуля доверенной загрузки. |
| Синий экран (BSOD) или зависание на логотипе | Конфликт драйвера фильтра клавиатуры или провайдера Credential Provider с другими СЗИ. | Убедитесь, что на ПК не установлены конкурирующие СЗИ от НСД. Проверьте совместимость версий SafeBoot и ОС. |
| SSO работает только для локальных профилей | Ошибка настройки LDAP/AD на стороне сервера SafeBoot. | Проверьте настройки подключения к контроллеру домена в консоли администрирования и корректность маршрутизации на этапе Pre-Boot. |
| Ошибка при выходе из гибернации | Windows при выходе из гибернации (Modern Standby) минует этап полной перезагрузки BIOS. | Для станций с включенным ViPNet SafeBoot рекомендуется отключить режим «Быстрого запуска» (Fast Startup) в параметрах электропитания Windows. |
Примечание:
Так как продукты ИнфоТеКС являются сертифицированными средствами защиты информации (в том числе от ФСТЭК и ФСБ), любые глубокие изменения конфигурации реестра или политик рекомендуется проводить строго в соответствии с руководством администратора (РЭ) на конкретную версию используемого ПО, поставляемым в составе дистрибутива.
Надеюсь, данное руководство поможет вам успешно внедрить сквозную аутентификацию в вашей инфраструктуре!
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.