Трехфакторная авторизация пользователей в корпоративной сети

Решение предназначено для организации защищенного доступа пользователей к операционной системе и корпоративной сети с использованием носителей ключевой информации компании «АВТОР» и сетевого оборудования с поддержкой протоколов стандарта IEEE 802.1X, например программного обеспечения и оборудования компании «Cisco Systems».

Благодаря данному решению организуется возможность предоставления защищенного доступа к корпоративной сети и ее сервисам в зависимости от набора прав или группы, к которой принадлежит тот или иной пользователь. Таким образом, при подключении к беспроводной или проводной сети в любом месте корпоративной сети, пользователь будет автоматически помещен в тот сегмент сети, который определен политиками группы и к которому привязана его учетная запись в Active Directory.

Доступ к определенному сегменту корпоративной сети и ее сервисам предоставляется пользователю на основании следующих факторов:

1. наличие носителя ключевой информации;
2. проверка подлинности пользователя на сетевом оборудовании по протоколу EAP-TLS стандарта
3. знание ПИН-кода доступа к НКИ;

Общая схема решения представлена на рисунке ниже:

Для организации данного решения необходимо наличие следующих компонентов:

• носители ключевой информации (CryptoCard-337, SecureToken-337 или SecureToken-337 mini);
• сетевое оборудование с поддержкой протоколов стандарта IEEE 802.1X (например, оборудование компании «Cisco Systems»);
• клиентское программное обеспечение на рабочей станции пользователя реализующее протоколы стандарта IEEE 802.1X (например, Cisco AnyConnect Secure Mobility Client);
• сервер аутентификации (RADIUS сервер RADIUS сервер, например, система контроля доступа Cisco ISE);
• Active Directory;
• Центр сертификации ключей (Microsoft Windows Certification Authority, CryptoKDC и другие).

Для обеспечения максимального уровня безопасности в данном решении применяются НКИ компании «АВТОР». Процесс авторизации осуществляется на основании положительного результата проверки сертификата пользователя, который находится на защищенном НКИ. Данный сертификат формируется центром сертификации ключей Microsoft Windows Certification Authority в соответствии с международным криптографическим стандартом RSA.

Данный вариант обеспечивает высокий уровень защищённости доступа к корпоративной сети, так как НКИ работают в активном режиме с неизвлекаемым закрытым ключом, что исключает возможность хищения ключевой информации, используемой для авторизации пользователя.