6.2.34 HTTPS-доступ к веб-ресурсам

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Аннотация

Настоящий документ содержит сведения о настройке двухфакторной аутентификации по электронным ключам JaCarta PKI к информационным ресурсам на веб-сервере IIS.

Доступ к информационным ресурсам по HTTPS

Существует возможность аутентификации с использованием электронного ключа JaCarta при получении доступа к информационным ресурсам по протоколу HTTPS. Данный тип аутентификации может использоваться не только для доступа к защищённому веб-сайту, но и для доступа к различным службам, например, Outlook Web Access, Microsoft Exchange, Шлюз служб терминалов, или к веб-сервисам других вендоров, например, Citrix XenApp/XenDesktop.

Подробное руководство об установке и настройке Citrix Xen Desktop доступно в документе — “JaCarta для аутентификации в XenDesktop/XenApp 7.x. Руководство по настройке”, который размещён на официальном сайте “Аладдин Р.Д.”, в разделе “Интеграционные инструкции” — https://www.aladdin-rd.ru/support/guides.

Внедрение аутентификации пользователя с использованием сертификата в памяти JaCarta позволит усилить защищённость указанных служб и предотвратить несанкционированный доступ.

Примечание

В качестве примера в настоящем документе рассматривается доступ к защищённому сайту.

Настройка сервера

1. При настройке веб-сервера для исключения несанкционированного доступа к нему рекомендуется максимально ограничить возможности аутентификации пользователя, исключив анонимную аутентификацию, а также другие стандартные способы аутентификации.

В целях безопасности развертывать центр сертификации на веб-сервере не рекомендуется.

Общие настройки сервера

1. Для того чтобы настроить веб-сервер, выполните следующую последовательность действий.

2. Убедитесь в том, что сервер удовлетворяет системным требованиям. В частности, на нём должна быть установлена роль Веб-сервер (IIS).

3. Запустите Диспетчер служб IIS.

4. В дереве консоли выберите имя сервера – в центральной части окна отобразятся доступные возможности.

   

В секции IIS сделайте двойной щелчок на Сертификаты сервера.

Центральная область окна будет выглядеть следующим образом.

5. В колонке Действия справа щёлкните на ссылке Создать сертификат домена.

   

6. Отобразится окно мастера создания сертификата.

7. В окне мастера создания сертификата заполните необходимые поля и нажмите Далее.

Примечание

Значение в поле Полное имя должно совпадать с адресом сайта, который пользователь будет вводить в браузере.

8. На следующей странице мастера создания сертификата, в поле Локальный центр сертификации, выберите используемый центр сертификации (при необходимости воспользуйтесь кнопкой Обзор), в поле Понятное имя введите дополнительное имя сертификата.

9. Нажмите Готово, чтобы закрыть окно мастера создания сертификата.

10. Снова выберите веб-сервер, щёлкнув на его имени в окне диспетчера служб IIS.

В центральной части окна в секции IIS сделайте двойной щелчок на значке Проверка подлинности.

11. Отключите все способы проверки подлинности, кроме Проверка подлинности клиента Active Directory с помощью сертификата. Для этого, выбрав способ проверки подлинности, в колонке Действия щёлкните на ссылке Отключить или Включить.

Настройка сайта

В окне диспетчера служб IIS разверните ветвь с именем сервера и выберите сайты > Default Web Site.

1. В правой части окна щёлкните на ссылке Привязка.

Отобразится следующее окно.

2. Нажмите Добавить.

   

Отобразится следующее окно.

3. В списке Тип выберите https, и в списке Сертификаты SSL – сертификат сервера.

   

4. Нажмите OK.

В окне диспетчера служб IIS щёлкните на сайте или виртуальном каталоге, доступ к которому нужно сделать защищённым (например, сайты > Default Web Site > site).

В центральной части окна станут доступны настройки данного сайта.

Сделайте двойной щелчок на иконке Параметры SSL.

Страница примет следующий вид.

5. Установите флажок Требовать SSL и в секции Сертификаты клиента, выберите Требовать.

   

6. В колонке Действия нажмите Применить.

Действия пользователя

Для получения доступа к защищённому сайту выполните следующее.

1. Запустите Microsoft Internet Explorer.

2. Убедитесь в том, что ваш электронный ключ JaCarta с сертификатом, дающим право на доступ к сайту, подсоединен к компьютеру.

3. Введите адрес защищённого сайта, начинающийся с https.

4. В окне Безопасность Windows выберите сертификат пользователя и нажмите OK.

5. При необходимости введите PIN-код пользователя JaCarta.

6. Признаком установления защищённого соединения служит появление значка рядом с адресной строкой Internet Explorer.

Настройка Mozilla Firefox и проверка входа на защищённый веб-сайт

Помимо браузера Internet Explorer, для доступа к защищённому веб-сайту существует возможность использовать браузер Mozilla Firefox, для этого потребуется небольшая настройка.

Чтобы использовать электронные ключи JaCarta с Mozilla Firefox, в настройках браузера необходимо указать путь к библиотеке PKCS11 из состава Единый клиент JaCarta. Если браузер Mozilla Firefox был установлен на компьютер до установки Единый клиент JaCarta, и если при установке Единый клиент JaCarta была отмечена соответствующая опция, путь к библиотеке прописывается в настройках Mozilla Firefox автоматически.

Чтобы указать путь к PKCS11 из состава Единый клиент JaCarta вручную, выполните следующие действия.

1. Запустите Mozilla Firefox, щёлкните на значке и выберите Настройки > Настройки, как показано на изображении ниже.

2. В отобразившемся окне щёлкните на значке (Дополнительные), выберите вкладку Шифрование и нажмите Устройства защиты.

   

Отобразится следующее окно.

Если путь к библиотеке PKCS11 был прописан автоматически в процессе установки Единый клиент JaCarta, в списке Модули и устройства защиты будет значиться Athena PKCS#11 Module. В противном случае нажмите Загрузить.

Отобразится следующее окно.

3. В поле Имя модуля введите имя нового модуля (например, JaCarta), в поле Имя файла модуля укажите путь к библиотеке PKCS11 из состава Единый клиент JaCarta (при необходимости воспользуйтесь кнопкой Обзор).

   

Файл библиотеки PKCS11 из состава Единый клиент JaCarta находится по следующему пути:

C:\Windows\System32\asepkcs.dll

4. Нажмите OK.

5. Добавленная библиотека отобразится в списке Модули и устройства защиты.

Настройка конфигурации Mozilla Firefox

Чтобы обеспечить SSL-доступ к защищённому сайту с использованием цифрового сертификата в памяти JaCarta, необходимо включить соответствующую настройку в конфигурации Mozilla Firefox. Для этого выполните следующие действия.

Примечание

Данные действия необязательны для Firefox версий до 4.0.

1. Запустите Mozilla Firefox.

В адресной строке наберите about:config и нажмите клавишу Enter.

В окне браузера отобразится предупреждающее сообщение.

2. Нажмите Я обещаю, что буду осторожен.

Окно браузера примет следующий вид:

3. Двойным щелчком измените значение настройки.

   

security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref

на true (истина).

4. Для быстрого поиска настройки введите или скопируйте ее в поле Фильтр.

Действия пользователя

Чтобы получить доступ к защищённому сайту с использованием браузера Mozilla Firefox и электронного ключа JaCarta, выполните следующие действия.

1. Убедитесь в том, что к компьютеру подключен электронный ключ JaCarta. На USB-токене JaCarta должен гореть световой индикатор.

2. Запустите браузер Mozilla Firefox, в адресной строке введите адрес защищённого сайта (адрес должен начинаться с https://) и нажмите клавишу ВВОД.

Отобразится следующее окно.

3. Введите пароль пользователя JaCarta и нажмите OK.

   

После этого вы попадете на защищённый сайт.