6.2.14 JaCarta для Microsoft Windows (v2.0)

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Не актуализировано

Документ не актуализирован: описывает версии продуктов, снятые с поддержки. Приведён в справочных целях; для актуальных сценариев см. другие инструкции раздела.

Аннотация

Настоящий документ представляет собой руководство по внедрению и использованию электронных ключей JaCarta в среде Windows для обеспечения безопасности в сетях, включающих серверы и клиентские рабочие станции. Электронные ключи JaCarta можно использовать с операционными системами Windows XP/Server 2003/Vista/Server 2008/7.

1. Введение

Применение смарт-карт и USB-токенов JaCarta для аутентификации пользователей, доступа к внутрикорпоративным и интернет-ресурсам, защиты документов и почтовой переписки позволяет полностью раскрыть потенциал Windows Server 2008 R2 Enterprise как надёжной платформы для ведения современного бизнеса.

Использование аутентификации на основе сертификатов X.509 в сетях на базе серверов Windows Server 2008 R2 Enterprise позволяет полностью отказаться от парольной аутентификации. Внедрение решения — это кардинальное снижение влияния человеческого фактора на безопасность системы.

Использование электронных ключей JaCarta позволяет извлекать наибольшую пользу из новых возможностей Windows Server 2008 R2 Enterprise.

• Пользовательские шаблоны сертификатов: единожды настроенный шаблон сертификата

пользователя делает процедуру запроса сертификата наглядной и удобной.

• Аутентификация с использованием смарт-карт при подключении к удалённому рабочему

столу: администратор может управлять сервером удалённо, аутентифицируясь с помощью своего электронного ключа JaCarta. При использовании Windows Server 2008 R2 Enterprise в качестве сервера приложений аутентификация пользователей на сервере также осуществляется с помощью электронного ключа JaCarta.

Помимо регистрации пользователя в домене Windows и использования подключения к удалённому рабочему столу (RDP), возможности электронных ключей JaCarta могут использоваться для дополнительной защиты:

• VPN-соединений;

• доступа к информационным ресурсам посредством HTTPS (SSL);

• электронной почты;

• шифрования данных на жёстком диске (EFS).

Один и тот же электронный ключ JaCarta можно использовать для аутентификации в домене Windows и для работы с множеством приложений, использующих электронные ключи JaCarta. Это позволяет уменьшить суммарную стоимость владения. При использовании российских сертифицированных СКЗИ электронные ключи JaCarta могут использоваться как средство защищённого хранения ключевой информации. Решение может быть внедрено как на небольших предприятиях, так и в крупных корпорациях с инфраструктурой сети любой ложности.

В данном документе в качестве примера используется следующая конфигурация JC-Client и дополнительного ПО:

Параметр	Значение
Серверная операционная система	Windows Server 2008 R2 Enterprise
Клиентская операционная система	Windows 7 (64-бит)
Режим работы центра сертификации	ЦС Предприятия
Версия используемых шаблонов сертификатов	Шаблоны версии 2 (доступны начиная с версии ОС Windows Server 2003 и выше)
Версия MS Outlook	2010
Используемый браузер	Internet Explorer 8
Режим установки JC-Client	CSP (поставщик служб шифрования: Athena ASECard Crypto CSP)

Системные требования Требования к серверам Требования к программному обеспечению Операционная система

Решение предполагает использование серверов с установленной операционной системой Windows Server 2008 R2 Enterprise. По меньшей мере, один из серверов должен являться контроллером домена, а другие серверы должны входить в лес доменов Windows в качестве контроллеров домена (доменов) или рядовых серверов.

Internet

In formation

Services

На сервере, на котором будет развёрнут центр сертификации, должна быть установлена роль Веб-сервер (IIS). Это необходимо для корректной работы Web-узла центра сертификации. (Если данная роль не установлена, необходимые компоненты будут установлены во время установки служб сертификации Active Directory.) Информацию по установке IIS см. в документации Windows Server 2008 R2 Enterprise.

Центр сертификации

Для работы с сертификатами необходимо иметь предустановленный корневой или подчинённый центр сертификации предприятия. Об установке центра сертификации см. документацию Windows Server 2008 R2 Enterprise.

Драйвер устройства чтения смарт

• карт

В случае использования устройства чтения смарт-карт на компьютере должен быть установлен драйвер этого устройства.

JC-Client

На каждом компьютере, на котором используются электронные ключи JaCarta, должен быть установлено ПО JC-Client версии 6.0 или выше. (Информация, касающаяся установки и настройки JC- Client, представлена в документе “JC-Client. Руководство администратора”.)

Требования к аппаратному обеспечению

Требования к

Сервер должен удовлетворять требованиям к аппаратному обеспечению, изложенным в документации соответствующей редакции Windows Server 2008 R2 Enterprise.

Каждый компьютер, на котором используются смарт-карты JaCarta, должен быть оборудован устройством чтения смарт-карт.

На каждом компьютере, на котором используются USB-токены JaCarta, должен быть доступен хотя бы один свободный порт USB.

Требования к программному обеспечению Операционная

система

На каждой рабочей станции должна быть установлена операционная система Windows 7. Каждая рабочая станция должна входить в домен (функциональный уровень домена Windows Server 2003 или Windows Server 2008).

Драйвер устройства чтения смарт

• карт

В случае использования устройства чтения смарт-карт на компьютере должен быть установлен драйвер этого устройства.

На каждом компьютере, на котором используются электронные ключи JaCarta, должен быть установлено ПО JC-Client версии 6.0 или выше. (Информация, касающаяся установки и настройки JC- Client, представлена в документе “JC-Client. Руководство администратора”.)

Рабочие станции должны удовлетворять требованиям к аппаратному обеспечению, изложенным в документации к Windows 7.

Каждый компьютер, на котором используются смарт-карты JaCarta, должен быть оборудован устройством чтения смарт-карт.

На каждом компьютере, на котором используются USB-токены JaCarta, должен быть доступен хотя бы один свободный порт USB.

3. Технологии безопасности Использование цифровых сертификатов и полный отказ от паролей Общие сведения

Применение электронных ключей JaCarta снимает необходимость в использовании паролей для регистрации в сети, а также обеспечивает пользователям удобство работы и мобильность. При этом аутентификация пользователя производится при помощи сертификата открытого ключа (расширение PKINIT спецификации протокола Kerberos), который хранится в памяти электронного ключа JaCarta и привязывается к учётной записи пользователя в Active Directory.

Примечание

Разные версии ОС Windows Server 2008 различаются в том, что касается управления службами сертификации. Информация о доступности компонентов и возможностей представлена в приложении “Поддержка функций центра сертификации в различных версиях Windows Server 2008” в конце данного документа.

В зависимости от правил, принятых в вашей организации, вы можете избрать одну из трёх процедур выдачи сертификатов:

• автоматическая выдача сертификатов (пользователю автоматически предлагается получить

сертификат при входе в систему);

• децентрализованная выдача сертификатов (каждый пользователь составляет запрос и

записывает сертификат в память своего электронного ключа JaCarta самостоятельно);

• централизованная выдача сертификатов (для получения сертификата необходимо участие

агента подачи заявок).

Для разных групп и пользователей вы можете использовать разные процедуры выдачи сертификатов. Процедуры выдачи сертификатов, доступные для данного пользователя, определяются настройками центра сертификации.

Для удобства работы с электронными ключами JaCarta и для максимально эффективного применения новых возможностей Windows Server 2008 R2 Enterprise при настройке центра сертификации будут созданы два шаблона сертификата пользователя, которые будут использоваться при издании сертификатов для пользователей электронных ключей JaCarta:

• Пользователь JaCarta — шаблон для автоматической и децентрализованной выдачи

сертификатов;

• Пользователь JaCarta (централизованная процедура) — шаблон для централизованной

выдачи сертификатов.

Если вы не планируете использовать централизованную процедуру выдачи сертификатов, то можете не создавать шаблон Пользователь JaCarta (централизованная процедура) или не включать его. Если вы планируете использовать только централизованную процедуру, то можете не создавать шаблон Пользователь JaCarta или не включать его.

По желанию вы можете выбрать для шаблонов другие имена. Указанные имена используются в настоящем документе для наглядности.

1. Настроить центр сертификации для работы с электронными ключами JaCarta вы можете как на самом сервере, так и с любого компьютера, входящего в домен. Компьютер, с которого осуществляется настройка центра сертификации, должен работать под управлением операционной системы Windows Server 2008 R2 Enterprise или Windows 7.

В последнем случае на клиентском компьютере необходимо установить средства удалённого администрирования сервера (обновление KB958830, доступно для загрузки на сайте Microsoft).

2. Настройка центра сертификации предприятия состоит из трёх этапов:.

1 Подготовка консоли. Этот этап необходим, если на вашем компьютере нет готовой консоли для управления центром сертификации. 2 Создание шаблонов сертификатов. В зависимости от процедур получения сертификатов, которые вы собираетесь использовать, создайте шаблоны сертификатов, соответствующие этим процедурам. Внимательно отнеситесь к выбору параметров создаваемых шаблонов. Все сертификаты, созданные по шаблону, будут иметь срок действия, указанный в соответствующем шаблоне. 3 Включение шаблонов сертификатов. Для того чтобы начать использование созданных вами шаблонов сертификатов, необходимо включить их. Для централизованной процедуры выдачи сертификатов необходимо также, чтобы был включен стандартный шаблон Агент регистрации.

Подготовка консоли

Если на вашем компьютере нет готовой консоли для управления центром сертификации, подготовьте ее, выполнив следующие шаги.

3. Загрузите с сайта Microsoft и установите средства удалённого администрирования сервера (обновление KB958830).
4. После установки средств удалённого администрирования сервера на клиентском компьютере необходимо включить соответствующий компонент управления центром сертификации. Для этого Выберите Пуск > Все программы > Панель управления > Программы и компоненты.

Отобразится следующее окно.

5. В левой части окна щёлкните на ссылке Включение или отключение компонентов Windows.

Отобразится следующее окно.

6. Разверните ветвь Средства удалённого администрирования сервера > Средства администрирования ролей > Средства служб сертификации Active Directory и отметьте Средства центра сертификации.
7. После включения компонента нажмите OK и закройте окно компонентов Windows.
8. Добавьте оснастку управления центром сертификации в консоль управления. Для этого выберите Пуск > Все программы > Стандартные щёлкните правой кнопкой на пункте Командная строка и выберите Запуск от имени администратора.
9. В окне командной строки введите mmc и нажмите клавишу ВВОД.

Отобразится следующее окно.

10. В панели управления выберите Файл > Добавить или удалить оснастку.
11. В отобразившемся окне из списка доступных оснасток выберите Центр сертификации и нажмите Добавить.

Отобразится следующее окно.

12. Выберите другим компьютером и в соответствующем поле введите имя компьютера, на котором находится центр сертификации. (При необходимости воспользуйтесь кнопкой Обзор.) 11 Нажмите Готово.
13. В окне добавления и удаления оснасток нажмите OK.
14. Элементы управления центром сертификации отобразятся в окне консоли управления (см. изображение ниже).

15. Сохраните консоль с добавленной оснасткой. Для этого в панели управления выберите Файл > Сохранить как.
16. В окне сохранения укажите имя (например, “Центр сертификации”), путь сохранения (например, Рабочий стол) и нажмите Сохранить.
17. Консоль сохранена и впоследствии может быть запущена двойным щелчком мыши.

Чтобы получить доступ к управлению центром сертификации.

• Непосредственно на сервере (Windows Server 2008 R2 Enterprise).

• Выберите Пуск > Все программы > Администрирование > Центр сертификации (Start >All

Programs > Administrative Tools >Certification Authority).

• На клиентском компьютере (Windows 7).

18. Запустите сохранённую ранее консоль управления центром сертификации.

Отобразится окно следующего вида.

Если вы планируете использовать автоматическую или (и) децентрализованную процедуру выдачи сертификатов, создайте шаблон сертификата Пользователь JaCarta. Создание и последующее использование этого шаблона совершенно необходимо для автоматической процедуры выдачи сертификатов. Использование того же шаблона в децентрализованной процедуре даёт два основных преимущества:

• удобство;

• минимизация возможных ошибок пользователя при составлении запроса на получение

сертификата.

Если планируется использовать электронные ключи JaCarta в режиме CSP, на компьютере, с которого осуществляется создание данного шаблона, должен быть установлено ПО JC-Client. Это необходимо для того, чтобы был доступен поставщик служб шифрования (CSP) Athena ASECard Crypto CSP.

19. Для того чтобы создать шаблон сертификата Пользователь JaCarta, выполните следующее.

20. В дереве консоли центра сертификации разверните Центр сертификации (Certification Authority).

21. Выберите центр сертификации, который вы хотите настроить.

22. Щёлкните правой кнопкой мыши на пункте Шаблоны сертификатов (Certificate Templates) и выберите Управление (Manage).

23. В открывшемся окне щёлкните правой кнопкой на пункте Пользователь со смарт-картой (Smartcard User) и выберите Скопировать шаблон (Duplicate Template).

Отобразится следующее окно.

24. Выберите версию шаблона сертификата (в данном примере Windows Server 2003, что соответствует шаблону версии 2) и нажмите OK.
25. Убедитесь в том, что в окне Свойства нового шаблона (Properties of New Template) открыта вкладка Общие (General).

26. В поле Отображаемое имя шаблона (Template Display Name) введите Пользователь JaCarta (JaCarta User).
27. В поле Период действия (Validity Period) введите срок действия сертификата. В поле Период обновления (Renewal Period) — срок перед окончанием действия сертификата, в течение которого пользователь может обновить сертификат.
28. Откройте вкладку Обработка запроса (Request Handling).
29. Выберите Запрашивать пользователя и требовать ответа при использовании закрытого ключа (Prompt the user during enrollment and require user input when the private key is used).
30. Нажмите Поставщики (CSPs).
31. В окне Выбор CSP выберите Запросы должны использовать одного из следующих поставщиков (Requests must use one CSP of the following CSPs).

32. В списке Поставщики служб криптографии (CSPs) выберите Athena ASECard Crypto CSP.

Примечание

Этот поставщик присутствует в списке только если на компьютере, с которого осуществляется настройка создаваемого шаблона, установлен JC-Client в режиме CSP. Если JC-Client установлен в режиме Minidriver, следует отметить Microsoft Base Smart Card Crypto Provider.

33. В окне Выбор CSP нажмите OK.
34. В окне Свойства нового шаблона (Properties of New Template) откройте вкладку Безопасность (Security).

Назначьте группам и пользователям разрешения в зависимости от желаемых процедур выдачи сертификатов:

• для автоматической выдачи сертификатов назначьте разрешение Заявка (Enroll) и

Автоматическая подача заявок (Autoenroll).

• для децентрализованной выдачи сертификатов назначьте разрешение Заявка (Enroll).

35. При необходимости нажмите кнопку Добавить (Add) и воспользуйтесь стандартным диалогом для выбора объектов.

36. В окне Свойства нового шаблона (Properties of New Template) нажмите OK.
37. Убедитесь в том, что шаблон Пользователь JaCarta (JaCarta User) появился в списке Шаблоны сертификатов (Certificate Templates).

Для централизованной процедуры выдачи сертификатов, создайте шаблон сертификата Пользователь JaCarta (централизованная процедура). Создание и последующее использование этого шаблона дает два основных преимущества:

• удобство;

• минимизация возможных ошибок агентов подачи заявок.

Если планируется использовать электронные ключи JaCarta в режиме CSP, на компьютере, с которого осуществляется создание данного шаблона, должен быть установлено ПО JC-Client. Это необходимо для того, чтобы был доступен поставщик служб шифрования (CSP) Athena ASECard Crypto CSP.

38. Для того чтобы создать шаблон сертификата Пользователь JaCarta (централизованная процедура), выполните следующее.

39. В дереве консоли центра сертификации разверните Центр сертификации.

40. Выберите центр сертификации, который вы хотите настроить.

41. Щёлкните правой кнопкой мыши Шаблоны сертификатов и выберите Управление.

42. В открывшемся окне щёлкните правой кнопкой на Пользователь со смарт-картой и выберите Скопировать шаблон.

Отобразится следующее окно.

43. Выберите версию шаблона сертификата (в данном примере Windows Server 2003, что соответствует шаблону версии 2) и нажмите OK.
44. Убедитесь в том, что в окне Свойства нового шаблона открыта вкладка Общие.
45. В поле Отображаемое имя шаблона введите Пользователь JaCarta (централизованная процедура).
46. В поле Период действия введите срок действия сертификата.
47. Откройте вкладку Обработка запроса.
48. Нажмите Поставщики.
49. В окне Выбор CSP выберите Запросы должны использовать одного из следующих поставщиков.
50. В списке Поставщики служб криптографии выберите Athena ASECard Crypto CSP.

Примечание

Этот поставщик присутствует в списке только если на компьютере, с которого осуществляется настройка создаваемого шаблона, установлен JC-Client в режиме CSP. Если JC-Client установлен в режиме Minidriver, следует отметить Microsoft Base Smart Card Crypto Provider.

51. В окне Выбор CSP нажмите OK.

52. В окне Свойства нового шаблона откройте вкладку Требования выдачи.

53. Поставьте флажок Указанного числа авторизованных пользователей и убедитесь, что этот параметр принимает значение 1.

54. Убедитесь, что параметр В подписи требуется указать тип политики принимает значение Политика применения.

55. Из списка Политика применения выберите Агент запроса сертификата.

56. Откройте вкладку Безопасность.

57. Назначьте себе, а также группам и пользователям, которые будут выступать в качестве агентов подачи заявок, разрешение Заявка, Чтение и Запись. При необходимости нажмите кнопку Добавить и воспользуйтесь стандартным диалогом для выбора объектов.

58. В окне Свойства нового шаблона нажмите OK.

59. Убедитесь в том, что шаблон Пользователь JaCarta (централизованная процедура) появился в списке Шаблоны сертификатов.

60. Назначьте себе, а также группам и пользователям, которые будут выступать в качестве агентов подачи заявок, разрешение Заявка, Чтение и Запись на шаблон Агент регистрации.

61. Закройте окно со списком шаблонов сертификатов.

62. Для того чтобы включить необходимые шаблоны сертификатов, выполните следующее.

63. В дереве консоли центра сертификации разверните Центр сертификации.

64. Выберите центр сертификации, который вы настраиваете.

65. В дереве консоли щёлкните правой кнопкой мыши Шаблоны сертификатов и выберите Создать.

66. Щёлкните Выдаваемый шаблон сертификата.

67. В окне Включение шаблонов сертификатов выберите шаблоны:.

• Пользователь JaCarta — для децентрализованной процедур выдачи сертификатов;

• Пользователь JaCarta (централизованная процедура) — для централизованной процедуры

выдачи сертификатов;

• Агент регистрации — для централизованной процедуры (если этот шаблон присутствует в

списке).

Отсутствие стандартного шаблона Агент регистрации в списке означает то, что этот шаблон уже включен.

68. Нажмите OK.
69. Для автоматической и децентрализованной процедуры выдачи сертификатов убедитесь в том, что шаблон Пользователь JaCarta появился в списке Шаблоны сертификатов. Для централизованной процедуры в этом списке должны присутствовать шаблоны Агент регистрации и Пользователь JaCarta (централизованная процедура).

Для того чтобы пользователи могли получать сертификаты автоматически, кроме настроек центра сертификации отредактируйте соответствующий объект групповой политики (Конфигурация пользователя > Конфигурация Windows > Параметры безопасности > Клиент служб сертификации: автоматическая регистрация.)

70. В списке Модель конфигурации выберите Включено.

Окно примет следующий вид.

71. Чтобы обеспечить автоматическую регистрацию по настроенному шаблону сертификата, установите флажок Обновлять сертификаты, использующие шаблоны сертификатов. Эта настройка будет действовать даже в том случае, если у пользователя ещё нет сертификатов.

72. При необходимости установите остальные настройки и нажмите OK.

Примечание

После внесения изменений в настройки групповых политик необходимо в командной строке ввести команду gpupdate /force*. Может потребоваться перезагрузка клиентских компьютеров.*

Данный объект можно использовать как в доменных политиках, так и в политиках, применяемых к отдельным подразделениям.

Централизованная выдача сертификата проходит в отсутствие пользователя. Процедуру осуществляет агент регистрации. Для этого необходимо, чтобы на компьютере был установлен сертификат агента регистрации. Правом на установку такого сертификата обладают группы и пользователи, указанные в параметрах безопасности шаблона сертификатов Агент регистрации.

Для успешного получения сертификата агента регистрации необходимо, чтобы в центре сертификации шаблон Агент регистрации был включен.

73. Для того чтобы установить сертификат агента регистрации с помощью мастера запроса сертификата, выполните следующую последовательность действий.

74. Выберите Пуск > Все программы > Стандартные (Start > All Programs > Accessories), щёлкните правой кнопкой на пункте Командная строка (Command Prompt) и выберите Запуск от имени администратора (Run as administrator).

75. В окне командной строки ведите mmc и нажмите клавишу ВВОД (Enter).

76. В панели управления открывшегося окна выберите Файл > Добавить или удалить оснастку (File -> Add/Remove Snap-In).

77. В окне Добавление и удаление оснасток (Add/Remove Snap-In) выберите Сертификаты (Certificates) и нажмите Добавить (Add).

Отобразится следующее окно.

78. Выберите моей учётной записи пользователя (my user account) и нажмите Готово (Finish).
79. В окне Добавление и удаление оснасток (Add/Remove Snap-In) нажмите OK.
80. В дереве консоли разверните Сертификаты – текущий пользователь (Certificates – Current User).
81. Щёлкните правой кнопкой мыши на пункте Личное (Personal), выберите Все задачи (All Tasks) и щёлкните Запросить новый сертификат (Request New Certificate).
82. На первой странице мастера запроса сертификатов нажмите Далее (Next).
83. На странице Выбор политики регистрации сертификатов (Select Certificate Enrollment Policy) нажмите Далее (Next).
84. На странице Выбор политики регистрации сертификатов нажмите Далее (Next).

Отобразится страница Запрос сертификатов.

85. Установите флажок напротив Агент регистрации и нажмите Заявка (Enroll).

При успешной записи сертификата в хранилище пользователя на компьютере отобразится следующее сообщение.

Получение сертификата

пользователя и запись его в память

электронного ключа JaCarta Параметры уч

ётной записи пользователя

Для успешного получения сертификата необходимо выполнение условий:

86. Ключ JaCarta пользователя должен быть предварительно персонализирован администратором (см. документ “JC-Client. Руководство администратора”); 2 Учётная запись пользователя должна содержать адрес электронной почты.

Автоматическая выдача сертификатов

87. Если настройки шаблона сертификата Пользователь JaCarta предполагают для вас автоматическую выдачу сертификатов, при необходимости установить или обновить сертификат в области уведомлений появится значок Регистрация сертификатов.

Для получения сертификата:

88. Убедитесь в том, что к компьютеру подключен электронный ключ JaCarta. На USB-токене JaCarta должен гореть световой индикатор.

89. Щёлкните на значке в области уведомлений.

Отобразится следующее окно.

90. Нажмите Далее.

Отобразится следующее окно.

91. Нажмите Заявка.
92. Отобразится окно подтверждения доступа пользователя к электронному ключу JaCarta.
93. В зависимости от установленных настроек введите пароль пользователя или (и) приложите палец к сканеру отпечатков. Процедура генерации ключевой пары займет некоторое время.
94. При успешном завершении процедуры отобразится следующее сообщение.

95. Нажмите Готово для завершения процедуры.

96. Если настройки шаблона сертификата Пользователь JaCarta предполагают для вас децентрализованную выдачу сертификатов, для получения сертификата и записи его в память электронного ключа JaCarta вы можете воспользоваться мастером запроса сертификата.

Внимание!

Предварительно электронный ключ JaCarta должен быть персонализирован с использованием одного из стандартных профилей. При этом устанавливаются пароли пользователя и администратора, соответствующие профилю.

97. Изменение установленного при персонализации стандартного пароля пользователя может привести к блокированию электронного ключа при выполнении действий, приведённых далее в этом пункте!.

Для того чтобы получить сертификат с помощью мастера запроса сертификата, войдя с учётной записью пользователя, выполните следующую последовательность действий.

98. Щёлкните Пуск > Все программы > Стандартные (Start > All Programs > Accessories), щёлкните правой кнопкой на пункте Командная строка (Command Prompt) и выберите Запуск от имени администратора (Run as administrator).
99. В окне командной строки введите mmc и нажмите клавишу ВВОД (Enter).
100. В панели управления открывшегося окна выберите Файл > Добавить или удалить оснастку (File -> Add/Remove Snap-In).
101. В окне Добавление и удаление оснасток (Add/Remove Snap-In) выберите Сертификаты (Certificates) и нажмите Добавить (Add).

Отобразится следующее окно.

102. Выберите пункт моей учётной записи пользователя (my user account) и нажмите Готово (Finish).
103. В окне Добавление и удаление оснасток (Add/Remove Snap-In) нажмите OK.
104. Убедитесь в том, что к компьютеру подсоединен электронный ключ JaCarta. На USB-токене JaCarta должен гореть световой индикатор.
105. В дереве консоли разверните узел Сертификаты – текущий пользователь (Certificates – Current User).
106. Щёлкните правой кнопкой мыши на пункте Личное (Personal), выберите Все задачи (All Tasks) и щёлкните Запросить новый сертификат (Request New Certificate).

107. На первой странице мастера запроса сертификатов нажмите Далее (Next).
108. На странице Выбор политики регистрации сертификатов (Select Certificate Enrollment Policy) нажмите Далее (Next).

Отобразится следующее окно.

109. Установите флажок напротив Пользователь JaCarta (User JaCarta) и нажмите Заявка (Enroll).
110. Отобразится окно подтверждения данных доступа пользователя.
111. Подтвердите доступ пользователя к электронному ключу JaCarta (введя пароль пользователя JaCarta или приложив палец к сканеру отпечатков).
112. Нажмите Подтвердить.

Операция генерации ключевой пары займёт некоторое время.

При успешной записи сертификата Пользователь JaCarta (User JaCarta) в память электронного ключа JaCarta отобразится следующее сообщение.

113. Нажмите Готово (Finish) для завершения процедуры.

Если вы являетесь агентом регистрации (в хранилище пользователей на вашем компьютере установлен соответствующий сертификат), вы можете подавать заявки на сертификат пользователя и записывать эти сертификаты в память электронных ключей JaCarta.

Внимание!

Предварительно электронный ключ JaCarta должен быть персонализирован с использованием одного из стандартных профилей. При этом устанавливаются пароли пользователя и администратора, соответствующие профилю.

114. Изменение установленного при персонализации стандартного пароля пользователя может привести к блокированию электронного ключа при выполнении действий, приведённых далее в этом пункте!.

Для того чтобы подать заявку на сертификат пользователя, получить сертификат и записать его в память электронного ключа JaCarta, следуйте приведённой ниже инструкции.

115. Выберите Пуск > Все программы > Стандартные (Start > All Programs > Accessories), щёлкните правой кнопкой на пункте Командная строка (Command Prompt) и выберите Запуск от имени администратора (Run as administrator).
116. В окне командной строке введите certmgr и нажмите клавишу ВВОД (Enter).

Отобразится следующее окно.

117. Щёлкните правой кнопкой на Личное, выберите Все задачи > Дополнительные операции > Зарегистрироваться от имени.
118. Отобразится окно мастера запросов сертификата.
119. На первой странице мастера запроса сертификатов нажмите Далее.
120. На странице Выбор политики регистрации сертификатов нажмите Далее.

Отобразится страница выбора сертификата агента регистрации.

121. Воспользуйтесь кнопкой Обзор, чтобы выбрать свой сертификат агента регистрации.
122. После того как сертификат агента регистрации выбран, в окне мастера запроса сертификата будет доступна кнопка Далее. Нажмите на неё.

Отобразится окно запроса сертификатов.

123. Выберите Пользователь JaCarta (централизованная процедура) и нажмите Далее.

Отобразится окно выбора пользователя, от имени которого запрашивается сертификат.

124. Воспользуйтесь кнопкой Обзор, чтобы выбрать нужного пользователя.
125. После того как пользователь, от чьего имени будет запрошен сертификат, выбран, станет доступной кнопка Заявка. Нажмите на эту кнопку.

Отобразится следующее окно.

126. Подсоедините электронный ключ JaCarta к компьютеру. Если он подсоединён, отсоедините его и подсоедините вновь.

Отобразится окно ввода пароля пользователя JaCarta.

127. Подтвердите доступ уровня пользователя к электронному ключу JaCarta и установите флажок В следующий раз сменить пароль (установка флажка нужна для того, чтобы пользователь сменил пароль после получения электронного ключа JaCarta на руки).
128. Нажмите Подтвердить.

Процесс генерации ключевой пары займёт некоторое время.

В случае успешной записи сертификата в память электронного ключа JaCarta отобразится следующее окно.

Чтобы войти в домен с помощью электронного ключа JaCarta.

129. После загрузки экрана приветствия Windows подсоедините электронный ключ JaCarta к компьютеру.

Отобразится экран ввода пароля пользователя JaCarta.

130. (Если экран не отобразился, щёлкните на значке на экране приветствия Windows.).

131. В отобразившемся поле для ввода пароля введите пароль пользователя JaCarta и нажмите клавишу ВВОД.

132. Если вы успешно настроили возможность регистрации пользователя с помощью электронного ключа JaCarta, вы можете в целях безопасности запретить пользователю регистрацию в домене с использованием пароля.

Для того чтобы применить это требование к пользователю, выполните следующее.

133. Откройте оснастку Active Directory – пользователи и компьютеры.
134. В дереве консоли, в узле с именем домена откройте Users (Пользователи).
135. Дважды щёлкните по учётной записи пользователя в списке, чтобы открыть окно свойств учётной записи.
136. Откройте вкладку Учётная запись.

137. В списке Параметры учётной записи установите флажок Для интерактивного входа в сеть нужна смарт-карта.
138. Нажмите OK.

Для того чтобы запретить группе пользователей вход в домен с использованием пароля, отредактируйте соответствующий объект групповой политики (Конфигурация компьютера > Политики > Конфигурация Windows > Параметры безопасности > Локальные политики > Параметры безопасности > Интерактивный вход в систему: Требовать смарт-карту):

139. Установите флажок Определить следующий параметр политики.

140. Выберите Включен.

141. Если вы хотите, чтобы обновлённая политика начала действовать немедленно, введите на контроллере домена команду gpupdate /force.

Существует возможность в целях безопасности автоматически блокировать компьютер или осуществлять принудительный выход пользователя из системы при отсоединении электронного ключа JaCarta от компьютера.

142. Для этого выполните следующие действия.

143. Отредактируйте соответствующий объект групповой политики (Конфигурация компьютера > Политики > Конфигурация Windows > Параметры безопасности > Локальные политики > Параметры безопасности > Интерактивный вход в систему: поведение при извлечении смарт-карты):.

• Нет действия;
• Блокировка рабочей станции;
• Принудительный выход из системы;
• Отключение в случае удалённого сеанса служб удаленных рабочих столов.

Данный объект можно использовать как в доменных политиках, так и в политиках, применяемых к отдельным подразделениям. Если вы хотите, чтобы обновлённая политика начала действовать немедленно, введите на контроллере домена команду gpupdate /force.

144. На каждом компьютере, к которому пользователи будут подключаться с использованием электронного ключа JaCarta, запустите службу ScPolicySvc и настройте её последующий автоматический запуск. Для этого из командной строки последовательно выполните следующие команды.

• net start ScPolicySvc
• sc config scpolicysvc start= auto

Если вы отсоединили электронный ключ JaCarta от компьютера, и произошёл принудительный выход, для возобновления работы повторно войдите в домен. Если при отсоединении электронного ключа JaCarta компьютер заблокировался, разблокируйте его. Процедура разблокирования полностью аналогична процедуре входа.

Существует возможность использовать авторизацию с использованием электронного ключа JaCarta при запуске приложений от имени другого пользователя.

145. Для того чтобы запустить программу от имени другого пользователя, выполните следующую последовательность действий.

146. Убедитесь в том, что электронный ключ пользователя, от имени которого вы хотите запустить приложение, подключен к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.

147. Зажмите клавишу SHIFT, щёлкните правой кнопкой мыши на ярлыке или значке исполняемого файла и выберите Запуск от имени другого пользователя.

148. В окне Запуск от имени другого пользователя выберите Учётные данные смарт-карты, введите пароль пользователя JaCarta, как показано на изображении ниже.

149. Нажмите OK.

Вы можете также запускать приложения и консольные утилиты от имени другого пользователя из командной строки. Для этого выполните следующее.

150. Убедитесь в том, что электронный ключ пользователя, от имени которого вы хотите запустить приложение, подключен к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.

151. В командной строке введите runas /sm <программа>, где <программа> — путь к.

152. исполняемому файлу или имя утилиты.

153. Windows начнет перебор виртуальных и физических устройств чтения смарт-карт. Для каждого устройства, в котором Windows не обнаружит смарт-карту (электронный ключ JaCarta), будет выведено сообщение об ошибке Нет карты в устройстве чтения N/No card on reader N, где N – порядковый номер устройства. Для каждого устройства, в котором Windows.

обнаружит смарт-карту (электронный ключ JaCarta) без сертификата пользователя, будет выведено сообщение Ошибка при чтении смарт-карты в устройстве чтения N/Error reading smart card on reader N. В случае если Windows найдет несколько смарт-карт

(электронных ключей JaCarta) с сертификатами пользователей, будет выведен список соответствующих устройств с указанием имён пользователя. Введите номер устройства, в котором хранится сертификат пользователя, от имени которого вы хотите запустить приложение.

Отобразится следующее сообщение.

154. Введите пароль пользователя соответствующего электронного ключа JaCarta и нажмите клавишу ВВОД.

Существует возможность использовать электронные ключи JaCarta для подключения по VPN. Процедура настройки состоит из двух этапов

155. Настройка сервера маршрутизации и удалённого доступа 2 Настройка рабочих станций.

156. Настройка сервера маршрутизации и.

удалённого

доступа

Необходимые действия приведены в подразделах ниже.

Для организации VPN-соединения необходим сервер маршрутизации и удалённого доступа. Перед тем как приступить к настройке, для сервера необходимо запросить сертификат.

Внимание:

157. Сертификат необходимо установить до того, как будет установлена роль Службы политики сети и доступа..

158. Запустите консоль диспетчера служб IIS, выберите сервер и в центральной части окна сделайте двойной щелчок на иконке Сертификаты сервера (см. изображение ниже).

159. В колонке Действия справа щёлкните на ссылке Создать сертификат домена.

Отобразится следующая форма.

160. Заполните необходимые поля и нажмите Далее.

Внимание

Значение в поле Полное имя будет использоваться клиентом для соединения с VPN-сервером, рекомендуется использовать в данном поле полное имя сервера.

Отобразится следующее окно.

161. Воспользуйтесь кнопкой Обзор, чтобы выбрать используемый центр сертификации. При необходимости в поле Понятное имя введите понятное имя для сертификата и нажмите Далее.

Сертификат появится в списке сертификатов сервера.

162. Чтобы установить роль Службы политики сети и доступа, выполните следующие действия.

163. Запустите диспетчер сервера, выберите Роли и в правой части окна щёлкните на ссылке Добавить роли.

164. В окне Выбор ролей сервера отметьте к установке Службы политики сети и доступа и нажмите Далее.

165. В следующем окне отобразится информация об устанавливаемой роли. Нажмите Далее.

Отобразится следующее окно.

166. Отметьте к установке Служба удалённого доступа и Маршрутизация и нажмите Далее.

167. В окне подтверждения выбранных элементов для установки нажмите Установить.

168. После установки переходите к настройке установленных служб.

169. В диспетчере сервера разверните узел Службы политики сети и доступа, щёлкните правой кнопкой на Маршрутизация и удалённый доступ и выберите Настроить и включить маршрутизацию и удалённый доступ.

170. В окне приветствия мастера настройки маршрутизация и удалённого доступа нажмите Далее.

Отобразится следующее окно.

171. Выберите Доступ к виртуальной частной сети (VPN) и NAT и нажмите Далее.

Отобразится окно выбора сетевого адаптера.

172. Выберите внешний (не доменный) сетевой адаптер и нажмите Далее.

Отобразится следующее окно.

173. Выберите Из заданного диапазона адресов и нажмите Далее.

Отобразится следующее окно.

174. Нажмите Создать и укажите диапазон адресов, которые сервер будет назначать подключающимся пользователям. После назначения диапазона адресов нажмите Далее.

Отобразится следующее окно.

175. Оставьте отмеченным пункт Нет, использовать службу маршрутизации и удалённого доступа для проверки подлинности запросов на подключение и нажмите Далее.
176. В следующем окне нажмите Готово.

Конфигурирование сервера маршрутизации и удалённого доступа займёт некоторое время.

177. По завершении конфигурирования в консоли диспетчера сервера щёлкните правой кнопкой на Маршрутизация и удалённый доступ и нажмите Свойства.

178. В отобразившемся окне выберите вкладку Безопасность.

179. Нажмите Методы проверки подлинности и в открывшемся окне проверки подлинности оставьте отмеченным только пункт Протокол EAP, после чего нажмите OK (см. изображение ниже).

180. Нажмите OK, чтобы закрыть окно свойств маршрутизации и удалённого доступа.

181. В консоли диспетчера сервера выберите Роли > Службы политики сети и доступа > Маршрутизация и удалённый доступ > IPv4 > Преобразование сетевых адресов (NAT).

Примечание

В данном руководстве подразумевается, что используются IP-адреса версии 4.

182. В центральной части окна щёлкните правой кнопкой на иконке внешнего соединения, выберите Свойства и в открывшемся окне выберите вкладку Службы и порты.

Окно примет следующий вид.

183. Установите флажок Веб-сервер (HTTP).

Отобразится следующее окно.

184. В поле Адрес в частной сети укажите IP-адрес вашего Web-сервера и нажмите OK.

185. Подключаться к сети через VPN-соединения могут только те пользователи, учётные записи которых настроены для таких подключений. Для того чтобы настроить учётную запись пользователя, выполните следующие действия.

186. В окне свойств учётной записи откройте вкладку Входящие звонки.

187. Выберите Разрешить доступ.

188. Нажмите OK.

189. Для того чтобы настроить большое количество пользователей на подключение к виртуальной частной сети, рекомендуется использовать политики удалённого доступа, регулирующие доступ в зависимости от времени, дня недели, принадлежности пользователя к группам безопасности Windows Server 2008 R2 Enterprise или от типа подключения.

Для того чтобы подключаться к сети через VPN-соединение, необходимо настроить соответствующее подключение на рабочей станции. Для VPN-подключения с использованием электронного ключа JaCarta на рабочей станции должен быть установлен JC-Client. Кроме того, в хранилище доверенных корневых центров сертификации данного пользователя должен содержаться сертификат центра сертификации, присутствующего в пути сертификации сертификата VPN-сервера. Для того чтобы настроить VPN-соединение на рабочей станции, выполните следующее.

190. Убедитесь в том, что на компьютере установлен JC-Client.
191. Убедитесь в том, что в хранилище доверенных корневых центров сертификации данного пользователя содержится сертификат центра сертификации, присутствующего в пути сертификации сертификата VPN-сервера.
192. Выберите Пуск > Панель управления > Центр управления сетями и общим доступом.

Отобразится следующее окно.

193. Щёлкните на ссылке Настройка нового подключения или сети.

Отобразится следующее окно.

194. Выберите Подключение к рабочему месту и нажмите Далее.

Отобразится следующее окно.

195. В поле Интернет адрес введите IP-адрес VPN-сервера, через который будет осуществляться VPN-соединение и установите флажок Использовать смарт-карту. (При необходимости введите свое значение в поле Имя местоназначения.).

196. Нажмите Создать.

197. После того как подключение будет создано, нажмите Закрыть.

198. В окне центра управления сетями и общим доступом щёлкните на ссылке Изменение параметров адаптера.

Отобразится окно следующего вида.

199. Щёлкните правой кнопкой на созданном VPN-соединении и выберите Свойства.

200. В отобразившемся окне выберите вкладку Безопасность.
201. Выберите пункт Протокол расширенной проверки подлинности и в соответствующем списке выберите Microsoft: Смарт-карта или иной сертификат (шифрование включено).
202. Нажмите Свойства.

Отобразится окно Свойства смарт-карты или другого сертификата.

203. В поле Подключение к серверам введите имя сервера, на котором установлены службы политики сети и доступа (оно должно совпадать с полным именем, указанным в сертификате сервера/домена).
204. В списке Доверенные корневые центры сертификации установите флажок напротив центра сертификации вашей организации.
205. Последовательно нажмите OK, чтобы закрыть данное окно и окно свойств VPN-подключения.

Электронные ключи JaCarta позволяют использовать аутентификацию при подключении к удалённому рабочему столу.

206. Для соответствующей настройки компьютера необходимы полномочия локального администратора.

Для того чтобы к рабочему столу компьютера можно было подключаться удалённо, выполните следующее.

207. Выберите Пуск, щёлкните правой кнопкой на Компьютер и выберите Свойства.
208. В окне Система щёлкните на ссылке Настройка удалённого доступа.

Отобразится окно Свойства системы.

209. В секции Удалённый рабочий стол выберите один из двух пунктов.

• Разрешать подключения от компьютеров с любой версией удалённого рабочего стола
• Разрешить подключаться только с компьютеров, на которых работает удалённый рабочий стол с

210. проверкой подлинности на уровне сети.

211. Если вы хотите, чтобы к компьютеру могли подключаться пользователи, не имеющие полномочий локального администратора, нажмите Выбрать пользователей и выберите этих пользователей или (и) группы.

212. Закройте все окна нажатием на кнопки OK.

213. Для того чтобы подключиться к удалённому рабочему столу, выполните следующее.

214. Убедитесь в том, что вы располагаете электронным ключом JaCarta с сертификатом пользователя, имеющего право на подключение к удалённому рабочему столу соответствующего компьютера.

215. Щёлкните Пуск > Все программы > Стандартные > Подключение к удалённому рабочему столу.

216. В окне Подключение к удалённому рабочему столу в поле Компьютер введите имя или IP-адрес компьютера, к рабочему столу которого вы хотите подключиться.

217. Нажмите Параметры.

218. Откройте вкладку Локальные ресурсы.

219. В секции Локальные устройства и ресурсы нажмите Подробнее.

220. Убедитесь, что флажок Смарт-карты установлен, и нажмите OK.

221. Убедитесь в том, что ваш электронный ключ JaCarta подсоединен к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.

222. Нажмите Подключить.

223. В окне Безопасность Windows выберите Учётные данные смарт-карты и введите пароль пользователя JaCarta.

224. Нажмите OK.

Существует возможность аутентифицироваться с использованием электронного ключа JaCarta при получении доступа к информационным ресурсам по протоколу HTTPS. Аутентификация по протоколу HTTPS может использоваться не только для доступа к защищённому Web-сайту, но и в следующих технологиях доступа к различным службам.

Outlook Web Access / Outlook Web App (OWA)

OWA представляет собой Web-приложение, которое даёт пользователям доступ к службам Exchange с использованием соединения Web-браузера по протоколу HTTPS.

Microsoft Exchange Microsoft Outlook в сети предприятия при обращении к серверу Microsoft Exchange использует вызовы MAPI, которые основаны на технологии RPC (Вызов удалённой процедуры). Если пользователь находится за пределами интрасети предприятия, существует возможность передавать вызовы RPC через Интернет. В этом случае RPC-вызовы инкапсулированы в HTTP-туннеле и могут быть зашифрованы с помощью протокола SSL (HTTPS).

225. Вместо того чтобы включить полный сетевой доступ для разрешения удалённого Шлюз служб терминалов доступа к серверу терминалов или операционной системе компьютера в корпоративной сети, вы можете воспользоваться преимуществами шлюза служб терминалов, которые позволяют инкапсулировать соединения RDP в HTTP-туннеле, а затем зашифровать его с помощью протокола SSL (HTTPS).

Внедрение аутентификации пользователя с использованием сертификата в памяти JaCarta позволит усилить защищённость указанных служб и предотвратить несанкционированный доступ.

Примечание

В качестве примера в настоящем документе рассматривается доступ к защищённому сайту.

226. При настройке Web-сервера для исключения несанкционированного доступа к нему рекомендуется максимально ограничить возможности аутентификации пользователя, исключив анонимную аутентификацию, а также другие стандартные способы аутентификации. В целях безопасности развертывать центр сертификации на Web-сервере не рекомендуется.

227. Для того чтобы настроить Web-сервер, выполните следующую последовательность действий.

228. Убедитесь в том, что сервер удовлетворяет системным требованиям. В частности, на нём должна быть установлена роль Веб-сервер (IIS).

229. Запустите Диспетчер служб IIS.

230. В дереве консоли выберите имя сервера – в центральной части окна отобразятся доступные возможности.

231. В секции IIS сделайте двойной щелчок на Сертификаты сервера.

Центральная область окна будет выглядеть следующим образом.

232. В колонке Действия справа щёлкните на ссылке Создать сертификат домена.

233. Отобразится окно мастера создания сертификата.

234. В окне мастера создания сертификата заполните необходимые поля и нажмите Далее.

Примечание

Значение в поле Полное имя должно совпадать с адресом сайта, который пользователь будет вводить в браузере.

235. На следующей странице мастера создания сертификата в поле Локальный центр сертификации выберите используемый центр сертификации (при необходимости воспользуйтесь кнопкой Обзор), в поле Понятное имя введите дополнительное имя сертификата.
236. Нажмите Готово, чтобы закрыть окно мастера создания сертификата.
237. Снова выберите Web-сервер, щёлкнув на его имени в окне диспетчера служб IIS.

В центральной части окна в секции IIS сделайте двойной щелчок на значке Проверка подлинности.

Окно примет следующий вид.

238. Отключите все способы проверки подлинности, кроме Проверка подлинности клиента Active Directory с помощью сертификата. Для этого, выбрав способ проверки подлинности, в колонке Действия щёлкните на ссылке Отключить или Включить соответственно.

239. В окне диспетчера служб IIS разверните ветвь с именем сервера и выберите сайты > Default Web Site.

240. В правой части окна щёлкните на ссылке Привязка.

Отобразится следующее окно.

241. Нажмите Добавить.

Отобразится следующее окно.

242. В списке Тип выберите https, и в списке Сертификаты SSL выберите сертификат сервера.
243. Нажмите OK.
244. В окне диспетчера служб IIS щёлкните на сайте или виртуальном каталоге, доступ к которому вы хотите сделать защищённым (например, сайты > Default Web Site > site).

В центральной части окна станут доступны настройки данного сайта.

245. Сделайте двойной щелчок на иконке Параметры SSL.

Страница примет следующий вид.

246. Установите флажок Требовать SSL, и в секции Сертификаты клиента выберите Требовать.
247. В колонке Действия нажмите Применить.

Примечание

Существует возможность использовать для доступа к защищённому сайту с электронным ключом JaCarta браузер Mozilla Firefox. Необходимые действия представлены в приложении “Настройка Mozilla Firefox” в конце данного документа.

Настройка

Существует возможность использовать электронные ключи JaCarta для доступа к Outlook Web Access / Outlook Web App (OWA) из внешней сети. Для этого необходимо включить для виртуального каталога OWA проверку подлинности с сопоставлением SSL-сертификатов клиентов. Чтобы обеспечить возможность использования электронных ключей JaCarta для доступа к OWA, выполните следующие действия.

248. В диспетчере IIS установите требование на использование SSL-сертификатов для виртуального каталога OWA (Имя сервера > сайты > Default Web Site > owa.) 2 Данная процедура аналогична процедуре, описанной в предыдущем разделе (“Общие настройки сервера”).
249. Используйте утилиту командной строки AppCmd.exe, чтобы включить проверку подлинности с сопоставлением SSL-сертификатов клиентов (данная утилита находится в папке C:\Windows\System32\inetsrv). Для этого.

• Выберите Пуск > Все программы > Стандартные, щёлкните правой кнопкой на Командная строка и выберите Запуск от имени администратора.

• Из командной строки выполните последовательно следующие команды:

C:\Windows\System32\inetsrv\appcmd unlock config /section:clientCertificateMappingAuthentication

C:\Windows\System32\inetsrv\appcmd set config “Default Web Site/OWA”

-section:clientCertificateMappingAuthentication /enabled:true

250. В диспетчере IIS выберите Имя сервера > сайты > Default Web Site > owa.

Отобразится следующее окно.

251. Сделайте двойной щелчок на иконке Проверка подлинности.

252. В отобразившемся окне отключите все включенные способы проверки подлинности.

Примечание

Данный шаг нужен для того, чтобы пользователь автоматически попадал в свой почтовый ящик после ввода пароля пользователя JaCarta. В противном случае пользователь будет должен также вводить своё имя пользователя и пароль учётной записи.

Действия пользовате

ля

Для получения доступа к защищённому сайту выполните следующее.

253. Запустите Microsoft Internet Explorer.

254. Убедитесь в том, что ваш электронный ключ JaCarta с сертификатом, дающим право на доступ к сайту, подсоединён к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.

255. Введите адрес защищённого сайта, начинающийся с https: (например, https://test.com).

256. В окне Безопасность Windows выберите сертификат пользователя и нажмите OK.

257. При необходимости введите пароль пользователя JaCarta.

258. Признаком установления защищённого соединения служит появление значка рядом с адресной строкой Internet Explorer.

по защите электронной

корреспонденции

Существует возможность использовать сертификаты, хранящиеся в памяти электронного ключа JaCarta для электронных подписей и шифрования электронных писем. В иллюстрациях к настоящему разделу фигурируют сертификаты, получение которых описано в разделе “Использование цифровых сертификатов и полный отказ от паролей” настоящего документа.

Microsoft Outlook 2010 (

из пакета

Microsoft

Office 2010)

Настройка

Microsoft

Outlook

2010

259. Для того чтобы настроить Microsoft Outlook 2010 для работы с электронным ключом JaCarta, выполните следующую последовательность действий.

260. Запустите Microsoft Outlook.

261. В меню Файл выберите Параметры.

262. В открывшемся окне Параметры Outlook выберите Центр управления безопасностью.

263. В правой части окна нажмите Параметры центра управления безопасностью.

264. Откроется окно Центр управления безопасностью.

265. Убедитесь в том, что ваш электронный ключ JaCarta подсоединён к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.

266. В окне Центр управления безопасностью в меню слева выберите Защита электронной почты и в секции Шифрованная электронная почта нажмите Параметры.

267. Отобразится окно Изменение настройки безопасности, необходимые данные подставятся автоматически.

268. При необходимости можно выбрать другие учётные данные, нажав кнопку Выбрать напротив поля Сертификат подписи и (или) Сертификат шифрования.
269. Нажмите OK.
270. В окне Центр управления безопасностью установите флажки.

• Шифровать содержимое и вложения исходящих сообщений - для шифрования сообщений

• Добавлять цифровую подпись к исходящим сообщениям – для использования цифровой подписи

Использование

Microsoft

Outlook 2010 для отправки подписанных и зашифрованных

сообщений

271. Чтобы удостовериться в том, что исходящие письмо будет зашифровано и (или) к нему будет присоединена цифровая подпись, в окне сообщения выберите вкладку Параметры.
272. На вкладке Параметры в секции Разрешение отметьте пункты.

• Шифровать (для шифрования сообщения)

• Подписать (для присоединения цифровой подписи)

Цифровая подпись и шифрования при использовании

OWA

Чтобы отправить зашифрованное электронное сообщение и (или) сообщение с цифровой подписью, используя сайт Outlook Web Access / Outlook Web App, выполните следующую последовательность действий.

Примечание

Возможность шифрования и использования цифровой подписи в OWA доступна только в том случае, если вы используете браузер Internet Explorer 7 или более поздней версии под управлением операционной системы Microsoft Windows.

273. Запустите Microsoft Internet Explorer.

274. Убедитесь в том, что ваш электронный ключ JaCarta с сертификатом, дающим право на доступ к сайту, подсоединён к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.

275. Зайдите на сайт OWA с использованием электронного ключа JaCarta.

276. В правом верхнем углу страницы выберите Параметры (см. изображение ниже).

277. На отобразившейся странице снова выберите Параметры (см. изображение ниже).

278. Щёлкните на иконке.

Отобразится следующая страница.

279. Щёлкните на ссылке Загрузить элемент управления S/MIME, сохраните установочный файл на локальном компьютере и установите элемент управления S/MIME.

280. После установки элемента управления S/MIME страница на сайте OWA будет выглядеть следующим образом.

281. Установите необходимые флажки.

• Шифровать содержимое и вложения всех исходящих сообщений

• Добавлять цифровую подпись ко всем исходящим сообщениям

282. Нажмите Сохранить в правом нижнем углу страницы, чтобы сохранить сделанные настройки.

После этого при отправке электронных сообщений с использованием сайта OWA будут автоматически отмечены соответствующие иконки (см. изображение ниже).

• означает, что к отправленному сообщению будет присоединена цифровая подпись.

• означает, что отправленное сообщение и содержащиеся в нём вложения будут зашифрованы.

При отправке электронного сообщения в зависимости от установленных настроек кэширования может потребоваться ввести пароль пользователя JaCarta.

Общие сведения

Существует возможность записывать в память электронных ключей JaCarta сертификаты, позволяющие шифровать данные на жёстком диске. В данном документе рассматривается вариант создания и записи в память электронного ключа JaCarta самозаверяющего сертификата шифрования.

Запись сертификата

EFS в память электронного ключа

JaCarta

Чтобы записать сертификат EFS в память электронного ключа JaCarta, выполните следующую последовательность действий.

283. Выберите Пуск > Панель управления > Учётные записи пользователей.

Окно должно выглядеть следующим образом.

284. Щёлкните на ссылке Управление сертификатами шифрования файлов.
285. В окне приветствия мастера управления сертификатами EFS нажмите Далее.
286. В следующем окне выберите Создать новый сертификат и нажмите Далее.

Отобразится следующее окно.

287. Выберите Самозаверяющий сертификат на смарт-карте.
288. Убедитесь в том, что ваш электронный ключ JaCarta подсоединён к компьютеру. На USB-токене JaCarta должен гореть световой индикатор.
289. Нажмите Далее.
290. Когда появится соответствующее окно, введите пароль пользователя JaCarta и нажмите клавишу ВВОД.

Через некоторое время отобразится следующее окно.

291. Установите флажок напротив папок, которые можно будет расшифровать созданным сертификатом (также можно выбрать папки, которые были зашифрованы ранее), и нажмите Далее.

Примечание

Собственно зашифрования данных, если они не были до этого зашифрованы, на данном этапе не происходит.

292. Появится окно ввода учётных данных смарт-карты. Введите необходимые данные и нажмите ВВОД.
293. В окне окончания создания сертификата шифрования нажмите Закрыть.

294. Чтобы зашифровать данные, выполните следующую последовательность действий.

295. Щёлкните правой кнопкой на папке, содержимое которой необходимо зашифровать, и выберите Свойства.

296. Убедитесь в том, что в окне свойств папки открытка вкладка Общие.

297. Нажмите Другие.

Отобразится следующее окно.

298. Установите флажок Шифровать содержимое для защиты данных и нажмите OK.
299. В окне свойств выбранной папки нажмите OK.

Отобразится следующее окно.

300. Чтобы зашифровать папку и все вложенные папки и файлы, выберите К данной папке и ко всем вложенным папкам и файлам и нажмите OK.
301. После того как папка будет зашифрована, её можно будет расшифровать только с использованием сертификата, хранящегося в памяти электронного ключа JaCarta.

Средство шифрования диска BitLocker входит в состав некоторых редакций ОС Windows и позволяет защитить данные, хранящиеся на дисках компьютера. BitLocker противостоит атакам с выключением, которые проводятся путём отключения или обхода установленной ОС либо путём физического удаления жёсткого диска с компьютера для автономного взлома данных.

Технология BitLocker основана на использовании криптографических преобразований с ключевой парой и сертификатом открытого ключа. Этот сертификат может быть как самоподписанным, так и выпущенным центром сертификации.

Примечание

Использование самоподписанных сертификатов не рекомендовано Microsoft, за исключением случаев тестирования. Если использовать самоподписанные сертификаты при шифровании BitLocker всё же необходимо, обратитесь к статье “Руководство по настройке BitLocker для работы с использованием самоподписанных сертификатов” (см. *http://technet.microsoft.com/ru-ru/library/ee424307)**.*Системные требования Требования

к центру серти

фикации

Центр сертификации должен работать под управлением ОС Windows Server 2008 R2 Enterprise и быть настроен согласно п. 0 настоящего документа.

Требования к компьютеру пользователя

Требования

Компьютер пользователя должен работать под управлением одной из следующих ОС:

• Windows 7 Enterprise/Ultimate;

• Windows Server 2008 R2.

Примечание

Технология шифрования диска BitLocker входит в состав Windows Server 2008 R2 в качестве дополнительного компонента.

Кроме того, на компьютере пользователя должен быть установлен поставщик службы криптографии Athena ASECard Crypto CSP.

к JaCarta

Для работы с BitLocker используется устройство JaCarta с апплетом Laser.

Ограничение

При использовании устройства JaCarta с апплетом Laser защита BitLocker не может быть установлена на системный раздел.

Шаблон сертификата (в нашем примере – User JaCarta) должен быть предварительно создан и включён (см. пп. 0 – 0) при настройке ЦС. При этом расширение сертификата “использование ключа” может задавать любой из способов шифрования — согласование ключей (key agreement), шифрование ключей (key encipherment) и шифрование данных пользователя.

302. В приведённом в настоящем документе примере используется шаблон сертификата, задающий в расширении сертификата “использование ключа” в качестве способа шифрования (key encipherment).

Для использования сертификатов с BitLocker необходима дополнительная настройка шаблона, для чего на компьютере с установленным центром сертификации от имени учётной записи пользователя, обладающего правами администратора, выполните следующие действия.

303. Откройте оснастку управления шаблонами сертификатов (Certificate Templates). Для этого:.

Выполните команду mmc. В открывшемся окне последовательно выберите Файл -> Добавить или удалить оснастку (File -> Add/Remove Snap-In). Далее в левой панели открывшегося окна Добавление и удаление оснасток (Add or Remove Snap-ins), содержащей список доступных оснасток, выберите Шаблоны сертификатов (Certificate Templates) и нажмите кнопку Добавить (Add), расположенную в центре окна.После этого оснастка Шаблоны сертификатов (Certificate Templates) появится в правой панели окна.

304. Нажмите кнопку ОК и закройте окно.

305. Добавленная оснастка управления шаблонами сертификатов (Certificate Templates) появится в дереве консоли.

306. В дереве консоли разверните узел Certificate Templates (Шаблоны сертификатов) и выберите в правой панели в списке шаблон, созданный и включённый в соответствии с п. 0 – 0. На рисунке выделен созданный для примера шаблон User JaCarta.

307. Дважды щёлкните по шаблону сертификата или выберите пункт Properties (Свойства) из контекстного меню, чтобы открыть окно свойств шаблона.

308. В открывшемся окне перейдите на вкладку Extensions (Расширения).

309. Выберите в списке Application Policies (Политики приложения) и нажмите кнопку Edit (Редактировать).

310. В открывшемся окне Edit Application Policies Extension (Редактирование расширений политик приложения) нажмите кнопку Add (Добавить).

311. В открывшемся окне Add Application Policy (Добавить политику приложения):.

• если политика BitLocker Drive Encryption (Шифрование диска BitLocker) находится в списке Application Policies (Политики приложения), выделите её, нажмите ОК и перейдите к шагу 11;

• если политика BitLocker Drive Encryption (Шифрование диска BitLocker) в списке отсутствует, нажмите кнопку New (Новая) и перейдите к шагу 9.

312. В открывшемся окне укажите в поле Name (Имя) название политики, например, BitLocker, а в поле Object identifier (Идентификатор объекта) укажите стандартный OID BitLocker – 1.3.6.1.4.1.311.67.1.1, как показано на рисунке ниже.

313. Нажмите кнопку ОК.

314. Убедитесь, что новая политика добавлена в список Description of Application Policies (Описание политик приложения) для Application Policies (Политики приложения).

315. Закройте окно свойств шаблона сертификата, нажав кнопку ОК.

Выпустите сертификат пользователя и запишите его в память электронного ключа JaCarta для использования при защите дисков средствами BitLocker. Описание действий см. в п. 0.

316. Чтобы установить защиту BitLocker на жёсткие и съёмные диски с использованием электронного ключа JaCarta, необходимо выполнить конфигурацию групповых политик. Для выполнения описанных ниже действий необходимо наличие полномочий администратора на компьютере пользователя.

317. Откройте консоль управления групповыми политиками. Для этого запустите утилиту командной строки с правами администратора системы и в её окне введите gpedit.msc. Откроется окно редактора групповых политик.

318. В дереве объектов окна редактора групповых политик разверните узлы Local Computer Policy -> Computer Configuration -> Administrative Templates -> Windows Components -> BitLocker Drive Encryption (Политика «Локальный компьютер», Конфигурация Компьютера, Административные шаблоны, Компоненты Windows, Шифрование диска BitLocker) и выделите узел BitLocker Drive Encryption (Шифрование диска BitLocker).

319. В правой панели окна Setting дважды щёлкните пункт Validate smart card certificate usage rule compliance (Проверить согласованность правил использования сертификатов смарт-карт).

320. Откроется одноимённое окно****.

321. Установите переключатель в значение Enable (Включить). Убедитесь, что в поле Object identifier (Идентификатор объекта) указано значение OID BitLocker (1.3.6.1.4.1.311.67.1.1). Если это не так, исправьте значение OID на указанное.
322. Нажмите ОК.

323. Перейдите в подраздел Fixed Data Drives (Жёсткие диски с данными) и дважды щёлкните Configure use of smart cards on fixed data drives (Настроить использование смарт-карт на фиксированных дисках данных).

324. В открывшемся окне выберите значение Enable (Включить).

325. Нажмите ОК.

326. Перейдите в узле BitLocker Drive Encryption в подраздел Removable Data Drives (Съёмные диски с данными) и дважды щёлкните пункт Configure use of smart cards on removable data drives (Настроить использование смарт-карт на съёмных дисках с данными).

327. В открывшемся окне Configure use of smart cards on removable data drives (Настроить использование смарт-карт на съемных дисках с данными) выберите значение Enable (Включить).

328. Нажмите ОК.

329. Закройте консоль управления групповыми политиками и для немедленного применения политики выполните команду gpupdate /force и дождитесь сообщения об успешном завершении обновления политики.

330. В результате выполненных действий настройка групповых политик для использования BitLocker на компьютере пользователя будет закончена.

331. Для включения BitLocker на фиксированных жёстких дисках с данными необходимо наличие полномочий администратора. Для включения BitLocker на съёмных дисках таких полномочий не требуется.

Чтобы зашифровать данные на дисках, расположенных на компьютере с установленной операционной системой Windows 7, выполните следующие действия.

332. Нажмите кнопку Start (Пуск), выберите Control Panel (Панель управления).

333. Если окно находится в режиме просмотра Мелкие значки, выберите пункт BitLocker Drive Encryption (Шифрование диска BitLocker) и перейдите к шагу 3.

Если окно находится в режиме просмотра Категория:

• щёлкните System and Security (Система и Безопасность);

• в открывшемся окне System and Security (Система и Безопасность) щёлкните BitLocker Drive Encryption (Шифрование диска BitLocker).

334. В открывшемся окне BitLocker Drive Encryption (Шифрование диска BitLocker) выберите диск и.

335. 4 справа от него щёлкните Turn On BitLocker (Включить BitLocker).

336. В открывшемся окне BitLocker Drive Encryption (Шифрование диска BitLocker) укажите способы разблокирования диска:.

• если хотите настроить пароль для разблокирования диска, выберите Use a password to unlock the drive (Использовать пароль для снятия блокировки диска) введите пароль и его подтверждение;

Примечание

Фиксированные диски можно настроить на автоматическую разблокировку при шифровании диска операционной системы, на разблокировку при предоставлении пароля или после вставки электронного ключа JaCarta.

Съёмные диски по умолчанию можно настроить на разблокировку после предоставления пароля или после вставки электронного ключа JaCarta.

Для того чтобы съёмный диск разблокировался автоматически, необходимо настроить эту возможность после шифрования. Для этого щёлкните элемент Управление BitLocker в окне панели управления Шифрование диска BitLocker или установите флажок В дальнейшем автоматически снимать блокировку с этого компьютера при разблокировке диска.

• щёлкните Use my smart card to unlock the drive (Использовать смарт-карту для снятия блокировки диска) и подключите JaCarta к компьютеру.

337. Нажмите Next (Далее).
338. Если вы отметили пункт Use my smart card to unlock the drive (Использовать смарт-карту для снятия блокировки диска) и в памяти вашего электронного ключа JaCarta содержится только один сертификат, перейдите к п. 7.

Если вы отметили пункт Use my smart card to unlock the drive (Использовать смарт-карту для снятия блокировки диска) и в памяти вашего электронного ключа JaCarta содержится несколько сертификатов, в открывшемся окне выбора сертификатов укажите сертификат, по которому будет предоставляться доступ к зашифрованному диску и нажмите кнопку ОК.

339. В окне BitLocker Drive Encryption (Шифрование диска BitLocker) нажмите кнопку Next (Далее).
340. Откроется окно выбора варианта для сохранения ключа восстановления:.

• сохранить ключ восстановления на флеш-накопителе USB (предусматривается, если такой накопитель подключён к компьютеру);

• сохранить ключ восстановления в файле;

• напечатать ключ восстановления.

Примечание

Ключ восстановления необходим при перемещении автоматически разблокируемого фиксированного диска с защитой BitLocker на другой компьютер или при недоступности пароля или электронного ключа JaCarta для разблокировки фиксированного или съёмного диска (например, при их утере).

Ключ восстановления необходим для разблокировки зашифрованных данных при переходе BitLocker в заблокированное состояние.

Ключ восстановления уникален для каждого диска и не подходит для восстановления зашифрованных данных с другого диска с защитой BitLocker.

Для обеспечения должного уровня безопасности необходимо хранить ключи восстановления отдельно от связанных с ними дисков.

341. Выберите вариант сохранения ключа восстановления.

При выборе варианта сохранения ключа восстановления в файле появится окно проводника, в котором необходимо выбрать расположение и указать имя файла.

342. После выбора варианта нажмите Next (Далее). При этом ключ будет сохранён или напечатан, о чём в нижней части страницы появится сообщение.

343. Для запуска процесса зашифрования выбранного диска в следующем окне нажмите кнопку Start Encrypting (Начать шифрование).

344. После выполненных действий появится окно с индикацией процесса шифрования и начнётся шифрование диска.

345. Дождитесь сообщения о завершении шифрования и в окне этого сообщения щёлкните Закрыть.

346. Диск с установленной защитой BitLocker будет отображаться в окне Шифрование диска BitLocker, как показано на рисунке ниже.

347. Для корректного проведения проверки предоставления доступа к зашифрованному BitLocker диску перезагрузите компьютер.

После завершения процесса зашифрования необходимо проверить корректность предоставления доступа к зашифрованному диску. Для этого выполните следующие действия.

348. Выполните одно из действий:.

• выберите Start -> Computer (Пуск -> Компьютер), щёлкните правой кнопкой мыши по изображению зашифрованного диска и из открывшегося контекстного меню выберите пункт Unlock Drive (Разблокировать диск);

• или откройте окно BitLocker Drive Encryption (Шифрование диска BitLocker), выполнив шаги 1 – 2 п. 0, и щёлкните рядом с нужным диском Разблокировать диск.

Появится окно BitLocker Drive Encryption (Шифрование диска BitLocker).

349. Подключите JaCarta и нажмите кнопку Unlock (Разблокировать).

350. В открывшемся окне JaCarta: проверка доступа введите пароль ключа JaCarta и нажмите Подтвердить.

351. Откроется окно проводника с файлами, записанными на защищённый диск.

352. Откройте любой из файлов.

353. Успешное подключение к защищённому диску и открытие файла означает, что доступ к диску получен.

Проблема 1:

354. При попытке установить на диск защиту BitLocker появилось сообщение об ошибке.

Возможная причина

В памяти JaCarta нет сертификата, выпущенного для использования с BitLocker.

Решение

355. Используйте при установке защиты BitLocker ключ JaCarta с подходящим сертификатом.

Проблема 2

356. При попытке установить защиту BitLocker диска появилось сообщение об ошибке.

Возможная причина

Вы указали некорректное расположение для сохранения ключа восстановления.

Решение

357. Укажите для этой цели доступное расположение. Для обеспечения должного уровня безопасности храните ключи восстановления отдельно от связанных с ними дисков.

Проблема 3

358. При попытке установить защиту BitLocker внутреннего жёсткого диска появилось сообщение об ошибке.

Возможная причина

У Вас нет прав администратора на этом компьютере.

Решение

359. При необходимости установки защиты жёстких дисков обратитесь к администратору для получения прав администратора на этом компьютере.

Проблема 4

При попытке расшифровать диск с установленной защитой BitLocker появилось сообщение об ошибке.

Возможная причина

360. В памяти устройства JaCarta, подключенного к компьютеру, нет сертификата, использованного при установке защиты BitLocker на указанный диск.

Решение

Используйте для расшифрования диска ключ JaCarta с тем сертификатом, который был использован при установке защиты BitLocker на указанный диск.

4. Установка служб сертификации (Windows Server

2008

В данном приложении представлена процедура установки роли Службы сертификации Active Directory на сервере Windows Server 2008 R2 Enterprise. Процедура представлена на примере установки корневого центра сертификации предприятия. Подразумевается, что роль Веб-сервер (IIS) на сервере не установлена.

1. Чтобы установить роль Службы сертификации Active Directory, выполните следующие действия.

2. Запустите Диспетчер сервера, в левой части окна выберите Роли, затем в центральной части окна щёлкните на ссылке Добавить роли.

3. В окне приветствия мастера добавления ролей нажмите Далее.

Отобразится следующее окно.

4. Установите флажок Службы сертификации Active Directory и нажмите Далее.

5. В окне Знакомство со службами сертификации Active Directory нажмите Далее.

   

Отобразится следующее окно.

6. Отметьте необходимые пункты и нажмите Далее.

Примечание

Чтобы обеспечить возможность записи сертификатов с использованием Web-интерфейса, необходимо отметить пункт Служба регистрации в центре сертификации через Интернет.

Если вы отметили пункт Служба регистрации в центре сертификации через Интернет и на сервере не установлена роль Веб-сервер (IIS), отобразится следующее окно.

7. В этом случае нажмите Добавить требуемые службы роли и в окне выбора служб ролей нажмите Далее.

Отобразится следующее окно.

8. Выберите один из двух вариантов (Предприятие или Автономный ЦС) и нажмите Далее. (В данном примере рассматривается установка центра сертификации предприятия.).

Отобразится следующее окно.

9. Выберите один из двух типов ЦС (Корневой ЦС или Подчиненный ЦС) и нажмите Далее. (В данном примере рассматривается установка корневого центра сертификации).

Примечание

Если это первый центр сертификации в вашей организации, необходимо выбрать пункт Корневой ЦС.

Отобразится следующее окно.

10. Выберите Создать новый закрытый ключ и нажмите Далее.

Отобразится следующее окно.

11. Выберите параметры формирования закрытого ключа.

Примечание

В поле Выберите поставщика служб шифрования (CSP) рекомендуется указывать CSP от компании Microsoft.

Если вы не уверены, какие настройки следует указать, оставьте настройки по умолчанию и нажмите Далее.

Отобразится следующее окно.

12. Введите необходимые данные и нажмите Далее.

Отобразится следующее окно.

13. Установите срок действия сертификата для создаваемого центра сертификации и нажмите Далее.
14. В окне Настройка базы данных сертификатов нажмите Далее.
15. Если вы отмечали службу роли Служба регистрации в центре сертификации через Интернет, отобразится окно установки службы Веб-сервер (IIS).
16. Нажмите Далее.

Отобразится окно выбора служб ролей веб-сервера (IIS).

17. Отметьте все пункты в секции Безопасность и нажмите Далее.
18. В окне подтверждения выбранных элементов для установки нажмите Установить.

19. Установка займёт некоторое время.

20. По окончании установки отобразится следующее окно.

21. Нажмите Закрыть для завершения процедуры.

22. При установке центра сертификации вы можете сделать его корневым или подчинённым, а также определить, будет ли он центром сертификации предприятия (интегрированным с Active Directory) -или автономным центром сертификации. Далее в таблице приведены основные различия между ЦС предприятия и автономным ЦС.

Особенность Автономный ЦС ЦС предприятия

Интеграция с Active Directory Не интегрирован Интегрирован

ЦС выдает сертификат по запросу пользователя через Web-сайт. Вы можете автоматически публиковать списки аннулированных сертификатов (CRL) и сертификаты в AD.

Зависит от шаблона сертификата — можно настроить автоматическую публикацию сертификата в профиль пользователя, публикацию в AD, либо и то, и другое.

Публикация сертификатов

Решение принимается автоматически или вручную. Вы можете настроить принятие решения на глобальном уровне (уровне CA), либо для каждого сертификата, используя шаблоны сертификатов.

Решение принимается автоматически или вручную. CA имеет единственную настройку, которая распространяется на все типы сертификатов.

Одобрение запроса на выдачу сертификата

Область применимости изданных Extranet и Intаrnet PKI. Intranet PKI.

сертификатов

Можно устанавливать на контроллер домена Windows 2003 и Windows 2008, сервер в составе домена, автономный сервер (не являющийся членом домена).

Можно устанавливать на контроллер домена Windows 2003 и Windows 2008, сервер в составе домена.

Требования к платформе

Поддерживаемые типы сертификатов

Может выпускать ограниченное количество типов сертификатов и сертификаты, требующие особые OID в расширении EKU.

Может выпускать все сертификаты Windows 2008, шаблоны которых определены в соответствующей оснастке (Шаблоны сертификатов).

Шаблоны сертификатов

Не поддерживает шаблоны сертификатов.

Поддерживает шаблоны сертификатов: версии 1 (Win2K PKI), версии 2 (Windows 2003 PKI) и версии 3 (Windows 2008 PKI)

Пользователь должен сам вводить идентификационную информацию во время запроса сертификата.

ЦС автоматически получает информацию о пользователе из AD.

Идентификация пользователя

23. Используется для выделения перекрестных ссылок.

Выпуск сертификатов пользователей осуществляется с помощью Web-интерфейса или оснастки Сертификаты. также можно использовать возможность автоматической выдачи сертификатов или утилиту certreq.exe в режиме командной строки.

Управление пользователями

При установке центра сертификации предприятия вы должны обладать правами администратора предприятия или правами администратора домена (корневого домена леса AD). Кроме того, сервер, на который устанавливается ЦС предприятия, должен быть членом домена, на котором развёрнута служба каталогов AD. При невыполнении этих условий возможность установки ЦС предприятия будет затенена в мастере установки CA и вы сможете установить только автономный ЦС.

Для установки автономного ЦС наличие Active Directory не требуется. Вы можете установить центр сертификации на автономный сервер, сервер в составе домена или на контроллер домена. При установке автономного ЦС наличие прав администратора предприятия или администратора домена не требуется — для этого достаточно прав локального администратора. Если же вы обладаете правами администратора предприятия, то в ЦС будут включены дополнительные возможности. Например, если администратор предприятия устанавливает автономный ЦС на сервер, который присоединён к домену, то ЦС будет публиковать в Active Directory сертификаты, которые он выпускает.

ЦС предприятия использует шаблоны предприятия, которые хранятся в Active Directory. Шаблоны сертификатов определяют их содержание и характеристики. Кроме того, шаблоны сертификатов также определяют:

• какие типы сертификатов может выпускать ЦС предприятия;

• какие пользователи могут запрашивать сертификаты (и какого типа).

Windows 2008 PKI поддерживает вторую и третью версию (version 2, version 3) шаблонов сертификатов. В отличие от первой версии (version 1) вторая является полностью настраиваемой, в третьей версии шаблонов также добавлена поддержка CNG. Настройку шаблонов сертификатов можно осуществлять с помощью оснастки консоли управления mmc — Шаблоны сертификатов.

• Автономный ЦС не может использовать шаблоны сертификатов. Как следствие, вы не можете управлять пользователями, запрашивающими сертификаты таких типов из ЦС. По умолчанию автономный ЦС может выпускать только сертификаты для:

• Web-аутентификации по протоколам SSL или TLS;

• защиты электронной почты (S/MIME);

• аутентификации серверов (server authentication);

• подписывания кода (code signing);

• подписывания штампов времени (timestamp signing);

• IPSec;

• других областей применения (используя значения OID, хранящихся в расширении сертификатов EKU X.509).

5. Настройка Mozilla Firefox

Для доступа к защищённому сайту с электронным ключом JaCarta можно использовать браузер Mozilla Firefox. Для этого необходимо выполнить следующие действия:

• установить сертификат (или цепочку сертификатов) центра сертификации в Mozilla Firefox;

• в настройках Mozilla Firefox указать путь к библиотеке PKCS11 из состава JC-Client (если путь не был указан автоматически в процессе установки JC-Client);

• включить настройку, позволяющую согласование SSL-соединения (требуется для Firefox, начиная с версии 4.0 и выше).

Примечание

Все настройки приведены на примере Mozilla Firefox 5.0

Чтобы при использовании JaCarta для доступа к защищённому сайту в браузере пользователя не отображалось предупреждение, необходимо установить сертификат или (и) цепочку сертификатов центра сертификации в Mozilla Firefox. Для этого выполните следующие действия.

1. Запустите Mozilla Firefox, щёлкните на значке и выберите Настройки > Настройки, как показано на изображении ниже.

2. В отобразившемся окне щёлкните на значке (Дополнительные), выберите вкладку Шифрование, нажмите Просмотр сертификатов и выберите вкладку Центры сертификации.

3. Окно настроек примет следующий вид.

   

   

4. Нажмите Импортировать и укажите путь к файлу сертификата или цепочки сертификатов центра сертификации.

Отобразится следующее окно.

5. Отметьте необходимые пункты и нажмите OK.

Чтобы использовать электронные ключи JaCarta с Mozilla Firefox, в настройках браузера необходимо указать путь к библиотеке PKCS11 из состава JC-Client. Если браузер Mozilla Firefox был установлен на компьютер до установки JC-Client и если при установке JC-Client была отмечена соответствующая опция, путь к библиотеке прописывается в настройках Mozilla Firefox автоматически.

Чтобы указать путь к PKCS11 из состава JC-Client вручную, выполните следующие действия.

6. Запустите Mozilla Firefox, щёлкните на значке и выберите Настройки > Настройки, как показано на изображении ниже.

7. В отобразившемся окне щёлкните на значке (Дополнительные), выберите вкладку Шифрование и нажмите Устройства защиты.

Отобразится следующее окно.

8. Если путь к библиотеке PKCS11 был прописан автоматически в процессе установки JC-Client, в списке Модули и устройства защиты будет значиться Athena PKCS#11 Module. В противном случае нажмите Загрузить.

Отобразится следующее окно.

9. В поле Имя модуля введите имя нового модуля (например, JaCarta), в поле Имя файла модуля укажите путь к библиотеке PKCS11 из состава JC-Client (при необходимости воспользуйтесь кнопкой Обзор).

Файл библиотеки PKCS11 из состава JC-Client находится по следующему пути: C:\Windows\System32\asepkcs.dll

10. Нажмите OK.
11. Добавленная библиотека отобразится в списке Модули и устройства защиты.

Чтобы обеспечить SSL-доступ к защищённому сайту с использованием цифрового сертификата в памяти JaCarta, необходимо включить соответствующую настройку в конфигурации Mozilla Firefox. Для этого выполните следующие действия.

Примечание

Данные действия необязательны для Firefox версий до 4.0.

12. Запустите Mozilla Firefox.
13. В адресной строке наберите about:config и нажмите клавишу ВВОД.

В окне браузера отобразится предупреждающее сообщение.

14. Нажмите Я обещаю, что буду осторожен.

Окно браузера примет следующий вид

15. Двойным щелчком измените значение настройки.

security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref

на true (истина).

16. (Для быстрого поиска настройки введите или скопируйте ее в поле Фильтр).

Чтобы получить доступ к защищённому сайту с использованием браузера Mozilla Firefox и электронного ключа JaCarta, выполните следующие действия.

17. Убедитесь в том, что к компьютеру подключен электронный ключ JaCarta. На USB-токене JaCarta должен гореть световой индикатор.
18. Запустите браузер Mozilla Firefox, в адресной строке введите адрес защищённого сайта (адрес должен начинаться с https://) и нажмите клавишу ВВОД.

Отобразится следующее окно.

19. Введите пароль пользователя JaCarta и нажмите OK.

Отобразится следующее окно.

20. Установите флажок Запомнить это решение и нажмите OK.

После этого вы попадете на защищённый сайт.

2.0

Регистрация изменений

Версия Изменения

2.0 Документ свёрстан в новом корпоративном шаблоне

1.3 Добавлен раздел Шифрование BitLocker

1.2 Добавлен раздел Шифрование электронной почты

1.1 Добавлен раздел Установка служб сертификации

1.0 Исходная версия документа

2.0

Коротко о компании

Основанная в апреле 1995 года компания “Аладдин Р. Д.” — российский разработчик (вендор) средств защиты информации.

Все основные продукты имеют необходимые сертификаты ФСТЭК, ФСБ и Министерства обороны (включая работу с гостайной до уровня секретности СС).

Компания является признанным экспертом и лидером российского рынка средств двухфакторной аутентификации пользователей, электронной подписи и защиты данных.

Лицензии:

• компания имеет все необходимые лицензии ФСТЭК России, ФСБ

Основные направления:

России и Министерства обороны России для проектирования, производства и поддержки СЗИ и СКЗИ, включая работу с гостайной и производство продукции в рамках гособоронзаказа;  система менеджмента качества продукции в компании с 2012 г.

• обеспечение безопасного доступа к информационным ресурсам

предприятия, Web-порталам и облачным сервисам (строгая двух- и трёхфакторная аутентификация);  электронная подпись (ЭП с неизвлекаемым закрытым ключом,

соответствует стандарту ГОСТ ISO 9001-2011 и имеет соответствующие сертификаты;  система проектирования, разработки, производства и поддержки

формируемая в защищённом чипе), PKI;  защита персональных данных, данных на дисках компьютеров,

продукции соответствует требованиям российского военного стандарта ГОСТ РВ 15.002-2012, необходимого для участия в реализации гособоронзаказа.

серверов, баз данных.

---

© ЗАО «Аладдин Р. Д.», 1995—2018