6.2.3 JaCarta PKI для Windows Server 2016

USB-токены и смарт-карты JaCartaИнтеграцииUSB-токены и смарт-карты JaCarta

Аннотация

Настоящий документ представляет собой руководство по внедрению и использованию электронных ключей JaCarta PKI в среде Windows для обеспечения безопасности в сетях, включающих серверы и клиентские рабочие станции. Электронные ключи JaCarta PKI можно использовать с операционными системами Windows XP/7/Vista/8/10 и Server 2003/2008/2012/2016.

Действия по внедрению электронных ключей JaCarta PKI представлены на примерах операционных систем Windows Server 2016 Standard и Windows 10.

Следование приведенным в настоящем документе инструкциям является верным, но не всегда единственно возможным способом установки/настройки и работы с данным решением. В этом смысле они носят рекомендательный характер. Рассмотрение всех возможных способов настройки и использования данного решения не входит в задачи настоящего документа.

Для эффективного внедрения и управления электронными ключами JaCarta в сетевой среде Windows требуется квалифицированный системный администратор, обладающий навыками администрирования вычислительных сетей, включающих серверы Windows Server 2016 Standard и рабочие станции Windows 10.

Введение

Применение смарт-карт и USB-токенов JaCarta PKI в инфраструктуре Windows Server позволяет полностью раскрыть потенциал инфраструктуры Windows как надежной платформы для ведения современного бизнеса. JaCarta в Windows может использоваться для аутентификации пользователей, доступа к внутрикорпоративным и интернет-ресурсам, шифрования данных, защиты данных и почтовой переписки.

Использование аутентификации на основе сертификатов X.509 в сетях на базе серверов Windows Server 2003/2008/2012/2016 позволяет полностью отказаться от парольной аутентификации. Внедрение данного решения — это кардинальное снижение влияния человеческого фактора на безопасность системы.

JaCarta в инфраструктуре Windows может быть использована в следующих сценариях:

• аутентификация в домене Windows;

• аутентификация на удалённом рабочем столе по протоколу RDP;

• аутентификация в VPN-соединениях;

• доступа к информационным ресурсам посредствам HTTPS (SSL);

• защита электронной почты (подпись и шифрование, доступ к Outlook Web Access);

• шифрования данных на жёстком диске (EFS, BitLocker);

• работа с любыми прикладными приложениями, поддерживающими смарт-карты и USB-токены.

Один и тот же электронный ключ JaCarta можно использовать для аутентификации в домене Windows и для работы с множеством приложений, использующих электронные ключи. Это позволяет уменьшить суммарную стоимость владения. При использовании российских сертифицированных СКЗИ, электронные ключи JaCarta могут использоваться как средство защищённого хранения ключевой информации. Решение может быть внедрено как на небольших предприятиях, так и в крупных корпорациях с инфраструктурой сети любой сложности.

О JaCarta

Для реализации двухфакторной аутентификации и подписи в среде Windows подойдёт вся линейка электронных ключей JaCarta PKI, в любом форм-факторе, включая и биометрические токены, и смарт-карты, где вместо ввода PIN-кода пользователь прикладывает к специальному считывателю свой палец. Для работы с ГОСТ алгоритмами (включая ГОСТ 2012 года) в прикладном ПО сторонних разработчиков можно использовать электронные ключи JaCarta2 ГОСТ.

JaCarta PKI — USB-токен или смарт-карта для строгой двухфакторной аутентификации пользователей при доступе к защищённым информационным ресурсам предприятия, безопасного хранения ключей, ключевых контейнеров программных СКЗИ с использованием инфраструктуры открытых ключей (PKI) на основе зарубежных криптоалгоритмов.

JaCarta ГОСТ — USB-токен или смарт-карта для строгой двухфакторной аутентификации пользователей при доступе к защищённым информационным ресурсам предприятия, безопасного хранения ключей, ключевых контейнеров программных СКЗИ с использованием инфраструктуры открытых ключей (PKI) на основе отечественных криптоалгоритмов.

Системные требования и описание демо-стенда

Требования к серверам

Операционная система

Решение предполагает использование серверов с установленной операционной системой Windows Server. Все примеры в настоящем документе даны на основе инфраструктуры Windows Server 2016 Standard. Сами же решения, описанные в настоящем документе, поддерживают и более старые версии Windows Server — 2003/2008/2012.

Драйвер устройства чтения смарт-карт

В случае использования устройства чтения смарт-карт на компьютере должен быть установлен драйвер этого устройства.

Единый клиент JaCarta

На каждом компьютере, на котором используются электронные ключи JaCarta, должно быть установлено ПО Единый клиент JaCarta.

Информация, касающаяся установки и настройки Единого клиента JaCarta, представлена в разделе “4. Установка”.*.

Сервер должен удовлетворять требованиям к аппаратному обеспечению, изложенным в документации к соответствующей редакции Windows Server.

Каждый компьютер, на котором используются смарт-карты JaCarta, должен быть оборудован устройством чтения смарт-карт.

На каждом компьютере, на котором используются USB-токены JaCarta, должен быть доступен хотя бы один свободный порт USB.

Требования к рабочим станциям

Решение предполагает использование рабочих станций с установленной операционной системой Windows. Все примеры в настоящем документе даны на основе Windows 10 Pro. Сами же решения, описанные в настоящем документе, поддерживают и более старые версии Windows — XP/Vista/7/8/8.1.

Драйвер устройства чтения смарт-карт

В случае использования устройства чтения смарт-карт на компьютере должен быть установлен драйвер этого устройства.

Единый клиент JaCarta

На каждом компьютере, на котором используются электронные ключи JaCarta, должно быть установлено ПО Единый клиент JaCarta.

Информация, касающаяся установки и настройки Единого клиента JaCarta, представлена в разделе “4. Установка”.

Требования к аппаратному обеспечению

Рабочие станции должны удовлетворять требованиям к аппаратному обеспечению, изложенным в документации к соответствующей версии Windows.

Каждый компьютер, на котором используются смарт-карты JaCarta, должен быть оборудован устройством чтения смарт-карт.

На каждом компьютере, на котором используются USB-токены JaCarta, должен быть доступен хотя бы один свободный порт USB.

Описание демо-стенда

Демо-стенд состоит из следующих компонентов.

Сервер

Windows Server 2016 Standard с установленной и настроенной ролью Active Directory и установленным программным обеспечением Единый Клиент JaCarta.

Предполагается, что Active Directory уже создана, в настоящем документе этот процесс не описывается. За помощью в настройке Active Directory, обратитесь к справочному руководству по Windows Server, соответствующему версии вашего Windows Server.

Далее на этот сервер будут установлены все необходимые роли и компоненты, необходимые для реализации сценариев, описанных в настоящем документе.

Клиент

Windows 10 Pro, введённая в домен с установленным программным обеспечением Единый Клиент JaCarta.

JaCarta. Использование цифровых сертификатов и полный отказ от паролей

Настройка доменной аутентификации в Windows Server 2016 по сертификатам, выпущенным на USB-токены и смарт-карты JaCarta PKI, при условии готового вышеописанного демо-стенда, сводится к следующим шагам:.

• установка роли центр сертификации Active Directory (Active Directory Certificate Services);
• настройка шаблонов выдачи сертификатов;
• выпуск сертификатов на электронные ключи JaCarta PKI;
• проверка аутентификации по электронному ключу в домене.

Опционально можно настроить автоматическую блокировку рабочей станции при отсоединении электронного ключа, а также совсем отключить парольную аутентификацию.

Установка центра сертификации

1. Необходимо добавить роль центра сертификации Active Directory с помощью мастера добавления ролей и компонентов сервера и сконфигурировать её. Для этого выполните следующие действия.

2. Нажмите Пуск -> Диспетчер серверов.

3. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

4. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

5. Убедитесь, что учётная запись доменного администратора имеет надёжный пароль, вы находитесь под учётной записью доменного администратора, и вход в домен выполнен.

6. В следующем окне выберите Установка ролей и компонентов.

   

7. Выберите сервер, на который будет установлена роль, и нажмите Установить.

   

8. В следующем окне отметьте службу сертификатов Active Directory и нажмите Далее.

   

9. Мастер предложит установить зависимые компоненты, нажмите Добавить компоненты.

   

10. Обратите внимание на предупреждение, нажмите Далее.

11. После установки роли центра сертификации изменить имя и параметры домена будет невозможно.

12. В следующем окне отметьте необходимые службы ролей и нажмите Далее, минимально необходимая роль — центр сертификации.

13. Начнется процесс установки роли.

14. По завершении установки нажмите Настроить службу сертификатов Active Directory на сервере.

В следующем окне, если вы находитесь под доменным администратором и в учётных данных всё верно отображено, нажмите Далее.

15. Выберите роли для настройки и нажмите Далее, минимально необходимая роль — центр сертификации.

16. В следующем окне выберите вариант установки ЦС — Enterprise (ЦС предприятия) или Standalone (Автономный ЦС). В настоящем примере выберите ЦС предприятия.

17. В следующем окне установите тип центра сертификации, Подчинённый или Корневой, так как в настоящем примере новая настройка, выберите Корневой. После выбора типа ЦС нажмите Далее.

В следующем окне для нового центра сертификации выберите Создать новый закрытый ключ.

18. В следующем окне укажите параметры шифрования и нажмите Далее. В настоящем примере в качестве криптопровайдера указан Microsoft KeyStorage Provider с длинного ключа 2048 бит и алгоритмом хэширования SHA-256.

19. В следующем окне нажмите Далее.

20. В следующем окне укажите срок действия корневого сертификата, в настоящем примере - 5 лет. Нажмите Далее.

21. На следующем окне нажмите Далее.

Следующее окно отобразит дайджест конфигурации, проверьте и нажмите Настроить.

Если всё сделано верно, отобразятся сообщения об успешном выполнении.

22. Нажмите Закрыть.

23. Установка и конфигурация службы сертификации Active Directory на этом завершена.

Настройка шаблона выдачи сертификата

1. После установки и настройки роли центра сертификации Active Directory, необходимо создать шаблоны выдачи сертификатов на электронные ключи JaCarta.

Управление шаблонами происходит через консоль Центр сертификации.

2. Для открытия консоли выполните следующие действия.

3. Нажмите правой кнопкой меню Пуск выберите Выполнить -> mmc.

4. Нажмите ОК.

   

5. В отобразившемся окне выберите Добавить или удалить оснастку.

   

6. В следующем окне выберите Центр сертификации, нажмите Добавить, нажмите ОК.

   

7. В следующем окне выберите локальным компьютером и нажмите Готово.

   

   

Для удобства дальнейшего использования сохраните данную консоль, выбрав Файл -> Сохранить.

8. Укажите имя (например, Центр Сертификации) и место расположения (например, Рабочий стол). Нажмите Сохранить.

   

9. Теперь запустить консоль Центр Сертификации можно по созданному ярлыку, который находится на рабочем столе.

   

10. Щёлкните правой кнопкой по папке Шаблоны сертификатов и нажмите Управление.

11. Отобразится консоль шаблонов, щёлкните правой кнопкой по Пользователь со смарт-картой и нажмите Скопировать шаблон.

12. Откроются свойства шаблона, содержащие 11 вкладок. На вкладке Совместимость можно указать совместимость с сервером центра сертификации и пользовательским рабочим местом, в настоящем примере оставлено без изменений - минимальная конфигурация.

13. Перейдите во вкладку Общее. Здесь можно задать имя шаблона, период действия и срок обновления. Задайте Отображаемое имя шаблона, в настоящем примере JaCarta user.

14. Во вкладке Обработка запроса укажите цель и действие при подаче заявки, как показано на экране ниже.

15. Во вкладке Требования выдачи укажите Политику применения и Агент запроса сертификата.

Это не единственный возможный способ выпуска сертификата, но в настоящем примере рассматривается выпуск сертификатов Администратором от имени пользователя через агента регистрации.

16. Перейдите на вкладку Шифрование и в качестве поставщика служб шифрования (криптопровайдер) установите Athena ASECard Crypto CSP.

JaCarta PKI также поддерживает работу с криптопровайдером Microsoft Base Smard Card Crypto Provider. В этом случае для работы JaCarta PKI потребуется только minidriver.

17. Перейдите во вкладку Имя субъекта, выберите Строится на основе данных Active Directory. Формат имени субъекта отметьте Полное различающиеся имя.

Для применения всех заданных свойств шаблона нажмите Применить. Далее нажмите ОК для выхода из свойств шаблона.

Новый шаблон отобразится в списке всех шаблонов.

Далее этот шаблон необходимо разрешить к выдаче. Для этого в консоли Центр сертификации щёлкните правой кнопкой по Шаблоны сертификатов и выберите Создать -> Выдаваемый шаблон сертификата.

18. В отобразившемся окне выберите шаблон JaCarta user (ранее созданный) и Агент регистрации (существовал по умолчанию, но не был разрешён к выдаче) нажмите ОК.

Разрешённые шаблоны должны появиться в разделе Шаблоны сертификатов в консоли Центра сертификации.

Подготовка шаблонов завершена.

19. Можно создать и разрешить к выдаче несколько шаблонов, если это требуется, например, с разными криптопровайдерами или разным сроком действия сертификата.

Выдача сертификатов

1. После настройки шаблонов можно перейти к непосредственному выпуску сертификата и записи его в память USB-токена или смарт-карты JaCarta PKI. Для этого необходимо, по аналогии с Центром Сертификации, открыть консоль Сертификаты.

2. Для этого выполните следующие действия.

3. Нажмите правой кнопкой меню Пуск выберите Выполнить -> mmc.

4. В отобразившемся окне выберите Добавить или удалить оснастку.

   

5. В следующем окне выберите Сертификаты, нажмите Добавить, нажмите ОК.

   

6. В следующем окне выберите моей учетной записи пользователя и нажмите Готово.

   

   

Для удобства дальнейшего использования консоль можно сохранить по аналогии с консолью Центр сертификации.

7. Откройте консоль C ертификаты, которую сохранили ранее, щёлкните правой кнопкой по папке Личное, далее выберите Все задачи -> Запросить новый сертификат.

8. Нажмите Далее.

   

9. Выберете Агент регистрации и нажмите Заявка.

   

10. Нажмите Далее.

11. Нажмите Готово.

Сертификат Агента регистрации выпускается 1 раз. На том месте, где будут в дальнейшем выпускаться сертификаты, если мест (рабочих станций) будет несколько, на каждой необходимо выпустить сертификат Агента регистрации.

12. Откройте консоль сертификатов, которую сохранили ранее, щёлкните правой кнопкой по папке Личное, далее выберите Все задачи -> Дополнительные операции -> Зарегистрироваться от имени.

13. Нажмите Далее.

14. Нажмите Далее.

15. В следующем окне нажмите Обзор.

16. Выберите сертификат Агента регистрации, нажмите ОК.

17. Выберите шаблон, который ранее создали и разрешили к выдаче.

18. Укажите пользователя, для которого сертификат будет выпущен и записан на электронный ключ. Для этого нажмите Обзор.

19. В поле Введите имена выбираемых объектов укажите имя или часть имени пользователя, после чего нажмите Проверить имена.

Если есть совпадения, система подставит полное имя пользователя, нажмите ОК.

20. В следующем окне нажмите Заявка.

21. Далее система запросит вставить электронный ключ и ввести PIN-код. Введите PIN-код пользователя и нажмите Подтвердить.

Если всё сделано верно, система отобразит Состояние: Успешно.

Сразу же можно выпустить сертификат следующему пользователю на следующий электронный ключ.

Заводить таким образом тысячи и даже сотни сотрудников крайне неудобно, для решения этой задачи компания “Аладдин РД” разработала специальное программное обеспечение — систему управления USB-токенами и смарт-картами JMS (JaCarta Management System) — сертифицированная корпоративная система управления жизненным циклом средств аутентификации и электронной подписи. Подробная информация и документация доступна на сайте компании https://www.aladdin-rd.ru/catalog/jms/index

Проверка работоспособности

1. В качестве проверки выполните просмотр содержимого электронного ключа и совершите вход в домен по сертификату на электронном ключе.

2. Запустите Единый Клиент JaCarta, подсоедините смарт-карту или USB-токен с сертификатом, введите PIN-код и убедитесь, что сертификат и закрытый ключ успешно выпущены и находятся на электронном ключе JaCarta.

3. Дважды щёлкнув по сертификату, можно получить его общие свойства (для чего предназначен, срок действия), состав (серийный номер, используемые алгоритмы и т.д.), путь сертификации (строится ли цепочка доверия) и статус (действителен или не действителен).

   

   

4. Перейдите на пользовательскую рабочую станцию под управлением операционной системы Windows 10, подключите USB-токен или смарт-карту и загрузите ОС. Далее выберите Параметры входа (Sign-in options) вход по смарт-карте и введите PIN-код.

Данная клиентская рабочая станция должна входить в домен, согласно описанию демо-стенда.

По завершении аутентификации вы попадёте в операционную систему, используя только смарт-карту и зная её PIN-код.

5. Парольная аутентификация в настоящем примере не используется, более того её можно вообще отключить, оставив только один вариант аутентификации — аутентификация по смарт-карте.

6. На этом настройка двухфакторной аутентификации в домен Windows завершена.

   

   

После аутентификации в домен смарт-карты или USB-токены можно использовать внутри операционной системы в различных сценариях с различным программным обеспечением которое поддерживает работу с электронными ключами. На сайте “Аладдин Р.Д.” есть серия интеграционных

инструкций по взаимодействию электронных ключей с различным прикладным ПО.

Дополнительные возможности

Опционально, для повышения общего уровня безопасности, можно полностью или выборочно (для конкретного пользователя) отключить аутентификацию в домене по паролям, а также настроить автоматическую блокировку рабочей станции или выход из операционной системы при отсоединении электронного ключа JaCarta PKI.

1. Отключение аутентификации по паролям может быть произведено в рамках конкретного пользователя или всех машин в домене.

2. После выполнения данных настроек войти в систему можно будет только с использованием сертификата, выпущенного на электронный ключ JaCarta PKI.

3. Запустите консоль управления Пользователи и компьютеры Active Directory.

4. Для этого нажмите Пуск -> Средства администрирования.

5. Откройте Пользователи и компьютеры Active Directory.

   

6. Находясь в лесу домена, откройте Users, выберите пользователя, щёлкнув на нём правой кнопкой.

   

7. Откройте вкладку Учётная запись и в параметрах учётной записи отметьте Для интерактивного входа в сеть нужна смарт-карта, нажмите Применить, нажмите ОК.

   

Теперь вход по паролю для этого пользователя будет невозможен, всегда будет требоваться смарт-карта или USB-токен.

8. Для выполнения этой настройки необходимо отредактировать групповые политики домена. Для этого откройте консоль Редактор управления групповыми политиками.

9. Нажмите правой кнопкой меню Пуск, выберите Выполнить -> mmc.

10. Нажмите ОК.

11. В отобразившемся окне выберите Добавить или удалить оснастку….

12. В следующем окне выберите Редактор управления групповыми политиками, нажмите Добавить, нажмите ОК.

13. Нажмите Обзор и выберите объект групповой политики.

14. Укажите Default Domain Policy и нажмите ОК.

Если указать Domain Controller, изменения отработают только для контроллера домена.

15. Нажмите Готово.

16. Нажмите OK.

17. Открывшуюся консоль можно сохранить. Нажав Файл -> Сохранить как. В качестве имени укажите Default Domain Policy.

18. Далее разверните политику и перейдите в параметры безопасности:.

Политика Default Domain Policy -> Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности

19. Дважды щёлкните по Интерактивный вход в систему: Требовать смарт-карту.

20. В отобразившемся окне отметьте Определить следующий параметр политики, укажите Включён. Нажмите Ок.

21. Для того, чтобы обновлённая политика начала действовать немедленно, необходимо её обновить.

22. Для этого выполните следующее.

23. Откройте командную строку. Пуск -> Выполнить -> cmd.

24. В открывшемся окне введите gpupdate /force.

Командную строку можно закрыть.

25. Перейдите на рабочую станцию и проверьте статус службы Политика удаления смарт-карт (ScPolicySvc).

Пуск -> Панель управления -> Администрирование -> Службы

Служба должна быть в статусе Автоматически.

26. Если всё настроено верно, и политика уже обновлена, вход по паролю будет невозможен, всегда будет требоваться смарт-карта или USB-токен.

27. Существует возможность настроить автоматическое блокирование рабочей станции или автоматический выход из системы при отсоединении JaCarta PKI. То есть, отходя от рабочего места и забирая с собой токен или смарт-карту, пользователь автоматически заблокирует систему или вообще выйдет из системы.

28. Для настройки этой политике выполните следующее.

29. Откройте ранее сохранённую консоль (Default Domain Policy).

30. Далее разверните политику и перейдите в параметры безопасности:.

Политика Default Domain Policy -> Конфигурация компьютера -> Политики -> Конфигурация Windows -> Параметры безопасности -> Локальные политики -> Параметры безопасности

31. Дважды щёлкните по Интерактивный вход в систему: поведение при извлечении смарт-карты.

32. В отобразившихся свойствах выберите Блокировка рабочей станции или Принудительный выход из системы, в зависимости от желаемого сценария. Далее нажмите Применить, нажмите ОК.

33. Для того, чтобы обновлённая политика начала действовать немедленно, необходимо её обновить.

34. Для этого выполните следующее.

35. Откройте командную строку. Пуск -> Выполнить -> cmd.

36. В открывшемся окне введите gpupdate /force.

Командную строку можно закрыть.

37. Перейдите на рабочую станцию и проверьте статус службы Политика удаления смарт-карт (ScPolicySvc).

Пуск -> Панель управления -> Администрирование -> Службы

Служба должна быть в статусе Автоматически.

38. Если всё настроено верно, и политика уже обновлена, при отсоединении JaCarta PKI от рабочей станции произойдет автоматическая блокировка или выход из системы (в зависимости от настройки политики).

Организация VPN-соединения для доступа к информационным ресурсам

VPN (Virtual Private Network) — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет). Несмотря на то, что коммуникации осуществляются по сетям с меньшим или неизвестным уровнем доверия (например, по публичным сетям), уровень доверия к построенной логической сети не зависит от уровня доверия к базовым сетям благодаря использованию средств криптографии (шифрования, аутентификации, инфраструктуры открытых ключей, средств для защиты от повторов и изменений, передаваемых по логической сети сообщений).

Компания Microsoft имеет свою реализацию VPN-технологии в рамках Windows Server, а компания “Аладдин Р.Д.” предоставляет реализацию двухфакторной аутентификации на VPN-шлюзе. Это обеспечивает дополнительную безопасность пользователей, работающих в виртуальной сети.

Сотрудники, желающие использовать личные устройства (такие как ноутбуки, портативные ПК и планшеты) для подключения к корпоративным сетям, когда они не присоединены к домену, представляют высокий интерес для современного бизнеса. Возможность подключения к виртуальной частной сети (VPN), открывающей удалённый доступ к корпоративной сети, предусмотрена для всех устройств на базе Windows. Настоящий документ в полном объёме описывает настройку VPN-шлюза и доступа в защищённую сеть с использованием электронного ключа JaCarta PKI.

Описание демо-стенда

Демо-стенд состоит из следующих компонентов.

Сервер

Windows Server 2016 Datacenter с установленным программным обеспечением Единый Клиент JaCarta и настроенными ролями серверов Active Directory и Active Directory Certificate Services.

Клиент

Не входящая в домен рабочая станция — Windows 10 с установленным программным обеспечением Единый Клиент JaCarta.

Роль шлюза VPN будет настроена на этом же сервере в рамках настоящего документа. Опционально можно установить на отдельный от AD и CS сервер.

Подробное руководство об установке и настройке Active Directory Certificate Services доступно в документе “JaCarta PKI для домена Windows Server 2016 (AD CS)”.

Ход настройки

Настройка происходит на сервере и клиенте, делится на следующие этапы.

На сервере:

• установка роли IIS (Web-сервер);
• запрос сертификата для IIS сервера;
• установка и настройка компонента Удалённый доступ, Маршрутизация;
• назначение прав на удалённый доступ для пользователей.

На клиенте:

• создание VPN-подключения;
• проверка работоспособности.

Установка роли IIS (Web-сервер) и запрос сертификата для IIS сервера

Для организации VPN-соединения с аутентификацией по смарт-картам необходима роль Web-сервера и сертификат для этого сервера.

Важно, чтобы сертификат был выпущен до установки и настройки

маршрутизации, политик сети и доступа.

Если ранее на сервере была установлена роль IIS, перейдите к следующему разделу. В противном случае, установите компонент. Для этого выполните следующие действия.

1. Нажмите Пуск -> Диспетчер серверов.

2. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

3. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

4. В следующем окне выберите Установка ролей и компонентов.

   

5. Отобразится окно добавления новых ролей, выберите B еб-сервер (IIS) и нажмите Далее.

   

6. В отобразившемся окне нажмите Добавить компоненты.

   

7. В отобразившемся окне нажмите Далее.

   

   

В отобразившемся окне Службы ролей выбранные параметры можно оставить по умолчанию. Нажмите Далее.

8. Отметьте Автоматический перезапуск конечного сервера и нажмите Установить.

   

   

Окно мастера теперь можно закрыть.

9. Откройте диспетчер служб IIS, через Пуск -> Средства администрирования. В основном меню, в центре, выберите Сертификаты сервера.

10. В меню Действия, справа, выберите Создать сертификат домена.

11. В полном имени укажите имя будущего VPN-соединения и заполните остальные поля так, как это требуется.

12. В поле центр сертификации нажмите Выбрать и укажите центр сертификации. В поле Понятное имя укажите короткое имя сертификата, которое будет отображаться в поле имя в диспетчере IIS. В настоящем примере имя — VPN.

13. Убедитесь, что сертификат создан.

Установка и настройка компонентов Удалённый доступ и Маршрутизация

1. Нажмите Пуск -> Диспетчер серверов.

   

2. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

3. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

4. В следующем окне выберите Установка ролей и компонентов.

   

5. Отобразится окно добавления новых ролей, выберите Удаленный доступ и Службы политики сети и доступа (если не установлено ранее) и нажмите Далее.

   

6. В отобразившемся окне нажмите Далее.

   

7. В отобразившихся службах ролей выберите DirectAccess VPN и Маршрутизация, нажмите Далее.

   

8. Отметьте Автоматический перезапуск конечного сервера и нажмите Установить.

   

9. На этом мастер добавления ролей можно закрыть.

   

10. Откройте оснастку Маршрутизация и удаленный доступ, через Пуск -> Средства администрирования.

В отобразившейся оснастке в левом меню кликните правой кнопкой нужный сервер и нажмите Настроить и включить маршрутизацию и удалённый доступ.

11. Отобразится мастер установки сервера маршрутизации и удалённого доступа. Нажмите Далее.

12. Выберите Доступ к виртуальной частной сети (VPN) и NAT.

13. Выберите интерфейс сети, который подключает данный шлюз к сети.

Для реализации VPN на сервере должно быть, как минимум, 2 сетевых интерфейса.

14. В следующем окне выберите способ назначения IP-адресов — автоматически или из заданного диапазона.

15. В настоящем примере используется заданный диапазон.

16. Выберите, требуется ли данному серверу работать с RADIUS. В настоящем примере это не требуется -выберите Нет.

17. По завершении нажмите Готово.

18. Перейдите в оснастку Маршрутизация и удалённый доступ, откройте свойства сервера.

19. Перейдите во вкладку Безопасность -> методы проверки подлинности, отметьте Протокол EAP, остальное оставьте пустым. Нажмите ОК, нажмите Применить.

В оснастке Маршрутизация и удалённый доступ выберите Сервер-> IPv4 -> Преобразование сетевых адресов (NAT). В отобразившемся окне откройте свойства сетевого интерфейса, который ранее указывался в мастере настройки маршрутизации.

20. В отобразившемся окне перейдите во вкладку Службы и порты, отметьте Безопасный веб-сервер (HTTPS), нажмите Применить, нажмите ОК.

21. Подключаться к сети через VPN-соединения могут только те пользователи, учётные записи которых настроены для таких подключений. Для назначения пользователю таких прав выполните следующие действия.

22. Откройте оснастку Active Directory — Пользователи и компьютеры. Откройте свойства пользователя, которому необходимо назначить права на VPN-соединения. Во вкладке Входящие звонки выберите Разрешить доступ, нажмите Применить, нажмите OK.

Проверка работоспособности

1. Для того чтобы подключаться к сети через VPN-соединение, необходимо настроить соответствующее подключение на рабочей станции и осуществить это подключение с использованием электронного ключа JaCarta.

   

2. Перейдите на клиентскую рабочую станцию.

3. Откройте Центр управления сетями и общим доступом, выберите Создание и настройка нового подключения к сети.

4. В отобразившемся окне выберите Подключение к рабочему месту.

   

5. Выберите Использовать моё подключение к Интернету (VPN).

   

6. Отобразится следующее окно, выберите Настроить.

   

7. В следующем окне укажите адрес, имя подключения. Отметьте пункт использовать смарт-карту.

   

8. Нажмите Создать.

9. Щёлкните вновь созданное соединение.

   

10. Введите PIN-код.

11. Если всё настроено верно, соединение произойдет успешно. Статус Connected.

12. Также и в свойствах подключения отображено успешное подключение.

13. На этом настройка и проверка окончена.

Подключение к удалённому рабочему столу ( RDP )

RDP (Remote Desktop Protocol) — протокол Remote Desktop создан компанией Microsoft для обеспечения удалённого доступа к серверам и рабочим станциям Windows. Протокол RDP может использоваться как для администрирования, так и для повседневной работы на удалённой рабочей станции. В настоящее время RDP является основным протоколом удалённого доступа для систем семейства Windows, а клиентские приложения существуют как для OC от Microsoft, так и для Linux, FreeBSD, MAC OS X и различных тонких клиентов для терминального доступа.

Описание демо-стенда

Демо-стенд состоит из следующих компонентов.

Сервер

Windows Server 2016 Datacenter с установленным программным обеспечением Единый Клиент JaCarta и настроенными ролями серверов Active Directory и Active Directory Certificate Services.

1. Настройка удалённого доступа, в рамках настоящего документа, будет настроена на этот же сервер. Можно реализовать на любой сервер или клиентскую редакцию Windows.

2. Настоящий пример показывается простое RDP-соединение клиент-сервер, без участия сервиса терминалов Remote Desktop Services.

3. Подробное руководство об установке и настройке Active Directory Certificate Services доступно в документе “JaCarta PKI для домена Windows Server 2016 (AD CS)”.

Клиент

Рабочая станция — Windows 10 с установленным программным обеспечением Единый Клиент JaCarta.

Ход настройки

Настройка происходит на сервере и клиенте, делится на следующие этапы.

На сервере:

• включение удалённого доступа;
• назначение прав пользователей для удалённого доступа;

В качестве “сервера” может выступать любая ОС Windows, не обязательно серверная редакция.

На клиенте:

• создание RDP-подключения;
• проверка работоспособности.

Подключение к удалённому рабочему столу

Электронные ключи JaCarta PKI могут использоваться для двухфакторной аутентификации в сессию удалённого рабочего стола (RDP). Также с ключом можно работать после установки сессии с прикладным ПО, поддерживающим работу со смарт-картами.

Для того чтобы к рабочему столу компьютера можно было подключаться удалённо, выполните следующее.

1. Выберите Пуск, щёлкните правой кнопкой на Компьютер и выберите Свойства.

2. В открывшемся окне Система щёлкните на ссылке Настройка удалённого доступа.

   

Отобразится окно Свойства системы. В секции Удалённый рабочий стол выберите Разрешить удалённое подключение к этому компьютеру.

3. Опционально выбор Разрешить подключаться только с компьютеров, на которых работает удалённый рабочий стол с проверкой подлинности на уровне сети (NLA). Зависит от требований, решение будет работать и без NLA.

   

Если вы хотите, чтобы к компьютеру могли подключаться пользователи, не имеющие полномочий локального администратора, нажмите Выбрать пользователей и выберите этих пользователей или (и) группы.

4. Далее окна настройки можно закрыть, нажав OK.

   

5. Для того чтобы подключиться к удалённому рабочему столу, выполните следующее.

6. Убедитесь в том, что электронный ключ JaCarta PKI с сертификатом пользователя, имеющего право на подключение к удалённому рабочему столу подключён к рабочей станции, на которой будет настроено подключение.

7. Щёлкните Пуск > Все программы > Стандартные > Подключение к удалённому рабочему столу.

8. В окне Подключение к удалённому рабочему столу в поле Компьютер введите имя или IP-адрес компьютера, к рабочему столу которого вы хотите подключиться.

   

9. Нажмите Параметры.

10. Откройте вкладку Локальные ресурсы.

В секции Локальные устройства и ресурсы нажмите Подробнее.

11. Убедитесь, что флажок Смарт-карты установлен, и нажмите OK.

12. Нажмите Подключить.

Если система сразу не определила смарт-карту и не предложила ввести PIN-код, нажмите Больше вариантов и выберите смарт-карту. После чего откроется окно ввода PIN-кода.

13. Нажмите ОК, после чего произойдет подключение к удалённому рабочему столу и аутентификация в сессию RDP.

Доступ к информационным ресурсам по HTTPS Общие сведения

Существует возможность аутентифицироваться с использованием электронного ключа JaCarta при получении доступа к информационным ресурсам по протоколу HTTPS. Аутентификация по протоколу HTTPS может использоваться не только для доступа к защищённому Web-сайту, но и в следующих технологиях доступа к различным службам, например, Outlook Web Access, Microsoft Exchange, Шлюз служб терминалов. А также к Web-сервисам других вендоров, например, Citrix XenApp/XenDesktop.

Подробное руководство об установке и настройке Citrix Xen Desktop доступно в документе “Citrix XenDesktop 7.x” Внедрение аутентификации пользователя с использованием сертификата в памяти JaCarta позволит усилить защищённость указанных служб и предотвратить несанкционированный доступ.

Примечание

В качестве примера в настоящем документе рассматривается доступ к защищённому сайту.

Общие рекомендации и последовательность действий

1При настройке Web-сервера для исключения несанкционированного доступа к нему рекомендуется максимально ограничить возможности аутентификации пользователя, исключив анонимную аутентификацию, а также другие стандартные способы аутентификации.

В целях безопасности развёртывать центр сертификации на Web-сервере не рекомендуется.

Общие настройки сервера

Для того чтобы настроить Web-сервер, выполните следующую последовательность действий.

1. Убедитесь в том, что сервер удовлетворяет системным требованиям. В частности, на нём должна быть установлена роль Веб-сервер (IIS).

2. Запустите Диспетчер служб IIS.

3. В дереве консоли выберите имя сервера – в центральной части окна отобразятся доступные возможности.

   

4. В секции IIS сделайте двойной щелчок на Сертификаты сервера.

Центральная область окна будет выглядеть следующим образом.

5. В колонке Действия справа щёлкните на ссылке Создать сертификат домена.

   

6. Отобразится окно мастера создания сертификата.

7. В окне мастера создания сертификата заполните необходимые поля и нажмите Далее.

Примечание

Значение в поле Полное имя должно совпадать с адресом сайта, который пользователь будет вводить в браузере.

8. На следующей странице мастера создания сертификата в поле Локальный центр сертификации выберите используемый центр сертификации (при необходимости воспользуйтесь кнопкой Обзор), в поле Понятное имя введите дополнительное имя сертификата.

9. Нажмите Готово, чтобы закрыть окно мастера создания сертификата.

10. Снова выберите Web-сервер, щёлкнув на его имени в окне диспетчера служб IIS.

В центральной части окна в секции IIS сделайте двойной щелчок на значке Проверка подлинности.

11. Отключите все способы проверки подлинности, кроме Проверка подлинности клиента Active Directory с помощью сертификата. Для этого, выбрав способ проверки подлинности, в колонке Действия щёлкните на ссылке Отключить или Включить.

Настройка сайта

В окне диспетчера служб IIS разверните ветвь с именем сервера и выберите сайты > Default Web Site.

1. В правой части окна щёлкните на ссылке Привязка.

Отобразится следующее окно.

2. Нажмите Добавить.

   

Отобразится следующее окно.

3. В списке Тип выберите https, и в списке Сертификаты SSL выберите сертификат сервера.

   

4. Нажмите OK.

В окне диспетчера служб IIS щёлкните на сайте или виртуальном каталоге, доступ к которому вы хотите сделать защищённым (например, сайты > Default Web Site > site).

В центральной части окна станут доступны настройки данного сайта.

Сделайте двойной щелчок на иконке Параметры SSL.

Страница примет следующий вид.

5. Установите флажок Требовать SSL, и в секции Сертификаты клиента выберите Требовать.

   

6. В колонке Действия нажмите Применить.

Действия пользователя

Для получения доступа к защищённому сайту выполните следующее.

1. Запустите Microsoft Internet Explorer.

2. Убедитесь в том, что ваш электронный ключ JaCarta с сертификатом, дающим право на доступ к сайту, подсоединён к компьютеру.

3. Введите адрес защищённого сайта, начинающийся с https.

4. В окне Безопасность Windows выберите сертификат пользователя и нажмите OK.

5. При необходимости введите PIN-код пользователя JaCarta.

6. Признаком установления защищённого соединения служит появление значка.

рядом с адресной строкой Internet Explorer.

Настройка Mozilla Firefox и проверка входа на защищенный Web-сайт

Помимо браузера Internet Explorer, для доступа к защищённому Web-сайту существует возможность использовать браузер Mozilla Firefox, для этого потребуется небольшая настройка.

Чтобы использовать электронные ключи JaCarta с Mozilla Firefox, в настройках браузера необходимо указать путь к библиотеке PKCS11 из состава Единый клиент JaCarta. Если браузер Mozilla Firefox был установлен на компьютер до установки Единый клиент JaCarta и, если при установке Единый клиент JaCarta была отмечена соответствующая опция, путь к библиотеке прописывается в настройках Mozilla Firefox автоматически.

Чтобы указать путь к PKCS11 из состава Единый клиент JaCarta вручную, выполните следующие действия.

1. Запустите Mozilla Firefox, щёлкните на значке.

2. и выберите Настройки > Настройки, как показано на изображении ниже.

3. В отобразившемся окне щёлкните на значке.

   

4. (Дополнительные), выберите вкладку Шифрование и нажмите Устройства защиты.

Отобразится следующее окно.

Если путь к библиотеке PKCS11 был прописан автоматически в процессе установки Единый клиент JaCarta, в списке Модули и устройства защиты будет значиться Athena PKCS#11 Module. В противном случае нажмите Загрузить.

Отобразится следующее окно.

5. В поле Имя модуля введите имя нового модуля (например, JaCarta), в поле Имя файла модуля укажите путь к библиотеке PKCS11 из состава Единый клиент JaCarta (при необходимости воспользуйтесь кнопкой Обзор).

   

Файл библиотеки PKCS11 из состава Единый клиент JaCarta находится по следующему пути:

C:\Windows\System32\asepkcs.dll

6. Нажмите OK.

7. Добавленная библиотека отобразится в списке Модули и устройства защиты.

Настройка конфигурации Mozilla Firefox

Чтобы обеспечить SSL-доступ к защищённому сайту с использованием цифрового сертификата в памяти JaCarta, необходимо включить соответствующую настройку в конфигурации Mozilla Firefox. Для этого выполните следующие действия.

Примечание

Данные действия необязательны для Firefox версий до 4.0.

1. Запустите Mozilla Firefox.

В адресной строке наберите about:config и нажмите клавишу Enter.

В окне браузера отобразится предупреждающее сообщение.

2. Нажмите Я обещаю, что буду осторожен.

Окно браузера примет следующий вид:

3. Двойным щелчком измените значение настройки.

   

security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref

на true (истина).

4. (Для быстрого поиска настройки введите или скопируйте ее в поле Фильтр).

Действия пользователя

Чтобы получить доступ к защищённому сайту с использованием браузера Mozilla Firefox и электронного ключа JaCarta, выполните следующие действия.

1. Убедитесь в том, что к компьютеру подключён электронный ключ JaCarta. На USB-токене JaCarta должен гореть световой индикатор.

2. Запустите браузер Mozilla Firefox, в адресной строке введите адрес защёщенного сайта (адрес должен начинаться с https://) и нажмите клавишу ВВОД.

Отобразится следующее окно.

3. Введите пароль пользователя JaCarta и нажмите OK.

   

После этого вы попадёте на защищённый сайт.

Защита документов Microsoft Office

Пакет программ Microsoft Office является наиболее популярным в мире офисным и домашним инструментом для работы с различными типами документов (текстами, электронными таблицами, базами данных и др.).

Используя цифровой сертификат, записанный на USB-токен или смарт-карту JaCarta PKI, пользователь может с лёгкостью подписать документ электронной подписью, тем самым обеспечив защиту документа.

Для чего нужна электронная подпись в MS Office ?

Электронная подпись — это цифровая зашифрованная печать, удостоверяющая подлинность цифровых данных, таких как сообщения электронной почты, макросы или электронные документы. Подпись подтверждает, что сведения предоставлены подписавшим их создателем и не были изменены.

Электронная подпись позволяют организациям снизить риск при обмене данными в электронном виде, а также оптимизировать обработку контрактов и других соглашений. Цифровые подписи предоставляют сведения о том, что именно было подписано, и могут быть проверены в будущем.

Одновременно с видимой подписью в документ добавляется и цифровая подпись для удостоверения личности подписавшего. После того как в документе появилась цифровая подпись, он становится доступен только для чтения.

Сертификат подписи и центр сертификации Сертификат подписи

1. Для создания цифровой подписи необходим сертификат подписи, удостоверяющий личность. При отправке макроса или документа, подписанного цифровой подписью, также отправляется сертификат и открытый ключ. Сертификаты выпускаются Центром сертификации и могут быть отозваны.

Центр сертификации выпускает цифровые сертификаты, подтверждает их достоверность с помощью подписей, а также отслеживает сертификаты, которые истекли или были отозваны.

Что подтверждает цифровая подпись?

• Подлинность.

• Цифровая подпись подтверждает личность подписавшего.

• Целостность.

• Цифровая подпись подтверждает, что содержимое документа не было изменено или подделано после заверения.

• Неотрекаемость.

• Цифровая подпись подтверждает происхождение заверенного содержимого. Подписавший не может отрицать свою связь с подписанным содержимым.

Независимо от времени получения сертификата подписи и состояния его отзыва считается, что подписанные документы с действующей отметкой времени содержат действительные подписи.

Какие приложения Microsoft Office поддерживают ЭП?

• документы Word;

• книги Excel;

• презентации PowerPoint.

Хранение цифрового сертификата на электронном ключе

Электронный ключ, в отличии от других известных способов хранения, обеспечивает неизвлекаемость ключевой информации на USB-токене или смарт-карте. Неизвлекаемое хранение подразумевает, что ключ из токена или карты не попадает никуда извне, например, на жёсткий диск компьютера или в оперативную память. А при обращении к информации на электронном ключе требуется знание PIN-кода, неправильный ввод которого приведёт к блокировке. Это в свою очередь защищает от подбора комбинации PIN-кода, сводя количество попыток к определённому значению, например, 3.

Добавление подписи к документу Microsoft Word 2016

1. Для подписания документа откройте необходимый документ.

2. Перейдите в меню Файл -> Сведения и в отобразившемся окне нажмите Защита документа.

   

3. В отобразившемся меню выберите Добавить цифровую подпись.

   

   

Если документ ещё не сохранён, Microsoft Office предложит его сохранить. Нажмите Да.

4. Укажите Имя файла, Тип файла и путь, куда необходимо сохранить документ.

   

   

Для формирования ЭП в MS Office 2016 по средствам JaCarta PKI, на компьютере должны быть установлены драйверы и утилиты для работы с JaCarta PKI, сама JaCarta PKI должна иметь цифровой сертификат и быть подсоединена к компьютеру.

На экране появится окно Подписание. Выберите необходимый Тип подтверждения и Цель подписания, нажмите Подписать.

5. В настоящем примере используется тип “Создал и утвердил документ”, а Цель подписания не указывается. В поле Тема сертификата указывает, кому выдан сертификат, которым будет осуществлена подпись.

   

6. В следующим окне введите PIN-код от подключённого токена или смарт-карты, нажмите ОК.

   

   

Далее произойдёт выработка ЭП и появится сообщение об удачном завершении операции.

Документ подписан.

7. Существует возможность проверить подпись, для этого перейдите в меню Файл -> Сведения и в отобразившемся окне нажмите Просмотр подписей.

   

В следующем окне, справа, отобразятся все подписи, которыми подписан документ. В настоящем примере используется одна подпись.

8. Щёлкните по нужной подписи, далее в отобразившемся меню выберите Состав подписи….

   

   

Чтобы просмотреть сертификат пользователя, подписавшего документ, и убедиться в его достоверности, нажмите Просмотр…

Отобразится окно свойств сертификата.

Так же можно посмотреть Состав сертификата (используемые алгоритмы, серийный номер, срок действия) и Путь сертификации.

9. На этом проверка окончена.

Добавление подписи к документу Microsoft Excel 2016

1. Для подписания документа откройте необходимый документ.

2. Перейдите в меню Файл -> Сведения и в отобразившемся окне нажмите Защита книги. Далее в отобразившемся меню выберите Добавить цифровую подпись.

   

Дальнейшие шаги полностью совпадают с подписанием документа Word, описанном выше.

Добавление подписи к документу Microsoft Power Point 2016

1. Для подписания документа откройте необходимый документ.

2. Перейдите в меню Файл -> Сведения и в отобразившемся окне нажмите Защита презентации. Далее в отобразившемся меню выберите Добавить цифровую подпись.

   

Дальнейшие шаги полностью совпадают с подписанием документа Word, описанном выше.

Защита электронной почты Outlook

Программное обеспечение Microsoft Outlook на протяжении многих лет является наиболее популярным офисным и домашним инструментом в мире для работы с электронной почтой. По сути является полноценным органайзером, предоставляющим функции календаря, планировщика задач, записной книжки и менеджера контактов. Кроме того, MS Outlook позволяет отслеживать работу с документами пакета Microsoft Office.

В настоящем документе показаны примеры на базе Outlook 2016, но его можно использовать и для других более старых версий.

Используя цифровой сертификат, записанный на электронный ключ JaCarta PKI, пользователь может с лёгкостью подписать и зашифровать электронное сообщение, тем самым обеспечить защиту сообщения и вложения.

Требования к инфраструктуре Серверная часть

Windows Server c ролью контроллера домена (AD DC).

Windows Server c ролью центра сертификации (AD CA).

Windows Server c ролью почтового сервера Microsoft Exchange.

Указанные роли могут быть развёрнуты в рамках одного физического или виртуального сервера Windows. Настоящий документ не рассматривает настройку указанных серверных ролей.

Любая клиентская версия Windows с установленным ПО Microsoft Outlook и Единый Клиент JaCarta.

П ринцип работы

Шифрование электронных писем и выработка\проверка электронной подписи играют важную роль при обеспечении информационной безопасности. У пользователей есть электронный ключ JaCarta PKI с цифровым сертификатом и ключевой парой (открытый и закрытый ключ). Третья сторона (Центр сертификации или Удостоверяющий центр) удостоверяет по цифровому сертификату его законного владельца.

Электронная подпись почтовых сообщений производится отправителем почтового сообщения с использованием своего закрытого ключа. При помощи открытого ключа можно проверить правильность цифровой подписи, а также посмотреть информацию об отправителе.

Для шифрования почтовых сообщений два пользователя сначала должны обменяться подписанными сообщениями. Почтовое сообщение шифруется отправителем при помощи открытого ключа получателя. Таким образом, любой может зашифровать сообщение для пользователя при помощи открытого ключа, но только владелец закрытого ключа может расшифровать сообщение.

Для надёжной сохранности сертификат и ключ необходимо хранить на USB-токене или смарт-карте JaCarta PKI. При использовании JaCarta PKI только легальный пользователь сможет прочесть зашифрованное для него сообщение. Центр сертификации и почтовый сервер необходимы в инфраструктуре, но настройка электронной подписи и шифрования почтовых сообщений не зависит от них. Настройка ЭП и шифрования почтовых сообщений сводится к настройке программы почтового клиента.

Электронный ключ JaCarta PKI, в отличии от других известных способов хранения, обеспечивает неизвлекаемость ключевой информации на USB-токене или смарт-карте. Неизвлекаемое хранение подразумевает, что ключ из токена или карты не попадает никуда извне, например, на жёсткий диск компьютера или в оперативную память. А при обращении к информации на электронном ключе требуется знание PIN-кода, неправильный ввод которого приведёт к блокировке. Это в свою очередь защищает от подбора комбинации PIN-кода, сводя количество попыток к определённому значению, например, 3.

Для чего нужно шифровать сообщения?

Если вам нужно защитить конфиденциальность сообщения электронной почты, защитить сам текст письма и все вложения, то можно зашифровать это письмо. Шифрование сообщения в Outlook означает, что читаемый обычный текст преобразуется в зашифрованные данные. Расшифровать сообщение для прочтения может только получатель, у которого есть закрытый ключ, соответствующий открытому ключу, использованному для его шифрования. Для получателей, которые не имеют соответствующего закрытого ключа, будет отображаться искажённый текст.

Что подтверждает цифровая подпись?

• Подлинность.

• Цифровая подпись подтверждает личность подписавшего.

• Целостность.

• Цифровая подпись подтверждает, что содержимое документа не было изменено или подделано после заверения.

• Неотрекаемость.

• Цифровая подпись подтверждает происхождение заверенного содержимого. Подписавший не может отрицать свою связь с подписанным содержимым.

Независимо от времени получения сертификата подписи и состояния его отзыва считается, что подписанные документы с действующей отметкой времени содержат действительные подписи.

Настройка и проверка шифрования и подписи Настройка параметров безопасности

В главном окне Outlook 2016 выберите Файл -> Параметры.

В отобразившемся окне, в левом меню выберите Центр управления безопасностью и справа нажмите Параметры центра управления безопасностью.

В окне Центр управления безопасностью выберите Защита электронных писем, отметьте пункт Добавлять цифровую подпись к исходящим сообщениям.

1. Нажмите Параметры.

   

2. В отобразившемся окне выберите сертификат подписи и алгоритм хэширования. В случае если необходимо выполнить еще и шифрование, то укажите сертификат шифрования и алгоритм шифрования. В настоящем примере для подписи и шифрования используется один сертификат пользователя, находящийся на USB-токене JaCarta PKI.

   

3. В открывшемся окне можно выбрать нужный сертификат и посмотреть его свойства.

   

Нажмите ОК.

4. Перейдите в главное меню Outlook 2016 и создайте новое письмо для произвольного получателя.

5. Заполните необходимые поля для отправки, выберите Параметры -> Подпись.

6. Нажмите Подпись.

Кнопки Подписать и Шифровать доступны только после настроек параметров электронной цифровой подписи и шифрования почтовых сообщений. При нажатии кнопки Подписать или Шифровать не происходит подписи или шифрования сообщения, подпись и шифрование происходит непосредственно перед отправкой сообщения, после ввода PIN-кода.

7. В предыдущем окне нажмите Отправить, отобразится окно ввода PIN-кода.

   

8. Введите PIN-код и нажмите OK.

   

Полученное письмо с подписью будет иметь специальную пометку в виде печати

и дополнительное поле Подписано.

Полученное письмо с подписью будет иметь специальную пометку в виде печати и

9. Для просмотра свойств подписи щелкните значок.

   

10. Для просмотра свойств подписи щелкните значок.

11. Перейдите в главное меню Outlook 2016 и создайте новое письмо для произвольного получателя.

12. Заполните необходимые поля для отправки, выберите Параметры -> Подпись.

13. Нажмите Подпись, нажмите Шифрование.

В письмо вложите произвольный документ, например .txt файл.

Кнопки Подписать и Шифровать доступны только после настроек параметров электронной цифровой подписи и шифрования почтовых сообщений. При нажатии кнопки Подписать или Шифровать не происходит подписи или шифрования сообщения, подпись и шифрование происходит непосредственно перед отправкой сообщения, после ввода PIN-кода.

Полученное зашифрованное письмо будет иметь специальную пометку в виде замка

,нажав на который, можно посмотреть свойства безопасности сообщения, в том числе алгоритм шифрования.

Если это письмо будет перехвачено злоумышленником или даже сам легитимный пользователь откроет его из стороннего места, без сертификата, то ничего кроме темы ему доступно не будет, так как письмо надёжно зашифровано алгоритмом 3DES.

14. На этом настройка и проверка шифрования и подписи электронных писем в Microsoft Outlook 2016 завершена.

Шифрование данных EFS

Во всех операционных системах Microsoft, семейства NT, начиная с Windows 2000 и выше (кроме домашних (home) версий) существует встроенная технология шифрования данных EFS (Encrypting File System). EFS-шифрование основано на возможностях файловой системы NTFS и архитектуре CryptoAPI и предназначено для быстрого шифрования файлов на жёстком диске компьютера.

Система EFS использует шифрование с открытым и закрытым ключом. Для шифрования в EFS используется личный и публичный ключи пользователя, которые генерируются при первом использовании пользователем функции шифрования. Данные ключи остаются неизменными всё время, пока существует его учётная запись. При шифровании файла EFS случайным образом генерирует уникальный номер, так называемый File Encryption Key (FEK) длиной 128 бит, с помощью которого и шифруются файлы. Ключи FEK зашифрованы мастер-ключом, который зашифрован ключом пользователей системы, имеющего доступ к файлу. Закрытый ключ пользователя защищается хэшем пароля этого самого пользователя.

Данные, зашифрованные с помощью EFS, могут быть расшифрованы только с помощью той же самой учётной записи Windows с тем же паролем, из-под которой было выполнено шифрование. А если хранить сертификат шифрования и закрытый ключ на USB-токене или смарт-карте, то для доступа к зашифрованным файлам потребуется еще и этот USB-токен или смарт-карта, что решает проблему компрометации пароля, так как будет необходимо наличие и дополнительного устройства в виде электронного ключа.

Одна из важных отличительных особенностей EFS от других средств шифрования в Windows - это возможность локальной (stand alone) работы. То есть пользователь создает новый самозаверенный сертификат, записывает его на JaCarta PKI, настраивает EFS и в дальнейшем получает доступ к необходимым каталогам или файлам только при наличии электронного ключа и знания его PIN-кода.

Ход настройки

Ход настройки делится на 3 этапа.

• выпуск сертификата шифрования;
• настройка директорий шифрования;
• проверка работоспособности.

Вначале необходимо выпустить и записать сертификат и закрытый ключ в память JaCarta PKI, для этого выполните следующие действия.

Для ОС Windows 8 и выше:

1. Щёлкните правой кнопкой меню Пуск,.

2. выберите Панель управления.

   

   

Для ОС Windows 7 и ниже:

3. Нажмите Пуск, выберите Панель управления.

4. Далее настройка идентична для всех версий ОС Windows.

   

5. В открывшемся окне выберите Учётные записи пользователей.

6. В открывшемся окне выберите Управление сертификатами шифрования файлов.

   

7. Нажмите Далее.

   

8. Выберите самозаверяемый сертификат с сохранением его на смарт-карте и нажмите Далее.

   

9. Перед продолжением убедитесь, что JaCarta PKI подсоединена к компьютеру, а на компьютере установлено ПО Единый Клиент.

10. Введите PIN-код вставленной карты.

11. На следующем шаге укажите директории, которые будут связаны с новым сертификатом, при необходимости можно указать все логические диски.

12. Введите PIN-код ещё раз.

Сертификат выдан и записан на JaCarta PKI. Нажмите Закрыть.

Далее необходимо указать директорию, которая будет зашифрована со всем содержимым, можно зашифровать весь диск со всеми вложенными директориями. В настоящем примере используется директория encrypted, находящаяся на диске C. Щёлкните правой кнопкой по директории и выберите Свойства.

13. Нажмите Другие.

14. Отметьте флаг Шифровать содержимое для защиты данных.

15. Нажмите ОК, нажмите Применить.

16. В отобразившемся окне выберите К данной папке и ко всем вложенным папкам и файлам. И нажмите ОК.

Выбор пункта Применение только к этой папке не зашифрует все вложенные ниже директории и файлы в них.

17. Нажмите ОК.

После завершения процесса шифрования зашифрованная директория будет подсвечена другим цветом.

18. Сразу после завершения настройки отключите JaCarta PKI, выполните выход из системы или перезагрузку ПК, далее снова войдите в систему без JaCarta PKI.

19. Перейдите в папку encrypted и попробуйте открыть какой-либо файл из неё. Если все настройки сделаны верно, отобразится предложение вставить смарт-карту.

20. Вставьте смарт-карту, щёлкните по документу ещё раз и введите PIN-код.

Если всё сделано верно, документ откроется и доступ будет получен.

21. На этом настройка EFS-шифрования закончена, доступ к файлам теперь возможен только при наличии JaCarta PKI и PIN-кода.

Шифрование данных BitLocker

Во всех операционных системах Microsoft, начиная с Windows Vista и выше, существует встроенная технология шифрования разделов жёстких дисков — BitLocker (BitLocker Drive Encryption). Позже в Windows 7 появилась возможность шифровать ещё и внешние носители (внешние жёсткие диски или USB-накопители).

Шифрование осуществляется симметричным алгоритмом AES (Advanced Encryption Standard). При этом шифруется не весь диск, а размеченные разделы (тома) по отдельности. Ключ шифрования должен безопасно храниться на защищённом носителе. Это может быть TPM (Trusted Platform Module) — специальная микросхема для реализации функций безопасности встроенная, например, в материнскую плату ПК. Другой вариант — хранение ключа на смарт-карте или USB-токене JaCarta PKI, именно этот сценарий рассматривается в настоящем документе. Этот способ один из самых безопасных, пользователю для доступа потребуется наличие смарт-карты и знание PIN-кода. Еще есть возможность получать доступ по паролю и каждый раз ключ будет вырабатываться из пароля, но это и самый небезопасный способ, так как если кто-то узнает ваш пароль, то узнает и ключ.

В случае утери, безвозвратной блокировки или физической поломки смарт-карты, существует механизм восстановления. Для этого создается специальный 48-значный ключ восстановления,

который необходимо хранить отдельно от защищённого ПК, например, в сейфе в виде распечатанного документа.

BitLocker в отличии от EFS-шифрования работает по клиент-серверной модели. Требуется наличие сервера и локальная работа технологии невозможна.

EFS-шифрование и доступ к защищённым данным с использованием электронных ключей JaCarta PKI рассмотрен в документе — “JaCarta PKI и EFS-шифрование в Microsoft Windows»”.

Описание демо-стенда

Демо-стенд состоит из следующих компонентов.

Сервер

Windows Server 2016 Datacenter с установленным программным обеспечением Единый Клиент JaCarta и настроенными ролями сервера Active Directory и Active Directory Certificate Services.

Компонент шифрование BitLocker в рамках настоящего документа будет установлена на этот же сервер.

Подробное руководство об установке и настройке Active Directory Certificate Services доступно в документе — “JaCarta PKI для аутентификации в домене Windows Server 2016”.

Клиент

Windows 10, введённый в домен с установленным программным обеспечением Единый Клиент JaCarta.

Логический диск этой рабочей станции будет защищён шифрованием BitLocker в рамках настоящего документа.

Ход настройки

Настройка происходит на сервере и клиенте, делится на следующие этапы.

На сервере:

• установка компонента шифрования BitLocker;
• редактирование шаблона сертификата пользователя;
• настройка групповых политик для BitLocker на взаимодействие со смарт-картой.

На клиенте:

• включение шифрования\защиты диска на клиенте;
• проверка работоспособности.

Если ранее на сервере был установлен компонент шифрования BitLocker, перейдите к следующему разделу. Если ранее установлен не был, установите компонент. Для этого выполните следующие действия.

1. Нажмите Пуск -> Диспетчер серверов.

2. В отобразившемся окне выберите Управление -> Добавить роли и компоненты.

   

3. Отобразится окно мастера добавления ролей и компонентов, для продолжения нажмите Далее.

   

4. В следующем окне выберите Установка ролей и компонентов.

   

5. Отобразится окно добавление новых ролей, нажмите Далее.

   

   

В отобразившемся окне выбора компонентов отметьте Шифрование диска BitLocker.

6. В следующем окне нажмите Добавить компоненты.

   

7. Далее нажмите Установить.

   

8. По завершении установки компонента нажмите Закрыть.

   

   

Чтобы сертификат пользователя MSCA мог работать с BitLocker, ему необходимо добавить новую политику применения, которой в нём нет по умолчанию.

9. В рамках настоящего документа будет отредактирован шаблон JaCarta user, созданный в рамках документа — “JaCarta PKI для аутентификации в домене Windows Server 2016”.

10. Для редактирования шаблона откройте оснастку Центр сертификации (которая была создана в рамках ранее упомянутого документа “JaCarta PKI для аутентификации в домене Windows Server 2016”), далее щёлкните Шаблоны сертификатов и выберите Управление.

11. В открывшемся окне найдите JaCarta user, щёлкните по нему правой кнопкой и откройте его Свойства.

12. Перейдите во вкладку Расширения, нажмите Изменить.

13. В открывшемся окне нажмите Добавить.

14. Выберите Шифрование диска BitLocker, нажмите ОК.

15. Далее нажмите ОК.

Шифрование диска BitLocker появится в описании политики применения.

16. Нажмите Применить, нажмите ОК.

17. Далее необходимо настроить политики шифрования BitLocker для взаимодействия со смарт-картами.

18. Для этого откройте Диспетчер серверов -> Средства -> Управления групповой политикой. Далее правой кнопкой щёлкните Default Domain Policy и нажмите Изменить.

19. Откроется окно редактора групповой политики.

20. Выберите Конфигурация компьютера -> Политики -> Административные шаблоны -> Компоненты Windows -> Шифрование диска BitLocker.

21. Выберите параметр проверки согласованности правил использования смарт-карт.

22. В отобразившемся окне отметьте Включено, нажмите Применить и ОК.

23. Проверьте значение идентификатора, должно быть так, как показано ниже 1.3.6.1.4.1.311.67.1.1.

24. Перейдите в раздел Несъёмные диски с данными и откройте параметр настройки использования смарт-карт на несъемных дисках с данными.

25. В отобразившемся окне отметьте Включено, нажмите Применить и ОК.

26. Перейдите в раздел Cъёмные носители с данными и откройте параметр настройки использования смарт-карт на съёмных носителях с данными.

27. В отобразившемся окне отметьте Включено, нажмите Применить и ОК.

Теперь пользователь может активировать BitLocker для своего физического диска или съёмного носителя с данными. Для этого выполните следующее.

28. Перейдите на пользовательскую рабочую станцию.

29. Откройте Проводник. Выберите диск, который необходимо зашифровать. В настоящем примере это диск Е:.

30. Откройте его содержимое, чтобы убедиться, что он не пуст.

31. Нажмите назад.

32. . В открывшемся окне щёлкните правой кнопкой диск Е:, в отобразившемся меню выберите Включить BitLocker.

33. Отметьте Использовать смарт-карту для снятия блокировки диска, нажмите Далее.

34. В отобразившемся окне выберите способ сохранить ключ восстановления, в файл или отправить на печать. В настоящем примере используется сохранение ключа в файл, выберите Сохранить в файл. Сохранённый файл будет содержать ключ в виде открытого текста, его можно распечатать позже. Этот ключ можно будет использовать для разблокировки диска в случае утери смарт-карты.

Не следует хранить ключ разблокировки на рабочей станции, которая содержит объекты,защищённые этим ключом.

35. Далее укажите директорию, в которую будет сохранён файл и его имя.

36. В следующем окне нажмите Да.

37. В настоящем документе ключ сохраняется на этот же ПК только в качестве примера. Не следует хранить ключ разблокировки на рабочей станции, которая содержит объекты, защищённые этим ключом. Полученный файл вы можете скопировать на несколько носителей или распечатать ключ.

38. Следующим шагом укажите, какую часть диска требуется зашифровать. Шифровать только занятое место на диске или весь диск. В настоящем примере шифруется весь диск, выберите Шифровать весь диск и нажмите Далее.

39. Нажмите Начать шифрование.

Строка состояния отобразит процесс завершения в процентах. Длительность процесса зависит от размера диска и может занимать продолжительное время.

40. По завершении процесса нажмите Закрыть.

41. Выполните перезагрузку рабочей станции.

42. На этом настройка BitLocker завершена.

43. После перезагрузки подключите JaCarta PKI и откройте проводник. Если ранее всё было верно настроено, около зашифрованного диска появится значок замка. Щёлкните локальный диск (E:) и выберите вариант разблокировки смарт-карта.

44. Введите PIN-код, нажмите ОК.

После ввода PIN-кода содержимое диска откроется автоматически.

В проводнике изображение диска сменится с закрытого замка на открытый.

В случае утери смарт-карты доступ можно восстановить с помощью сохранённого или распечатанного ранее ключа. Для этого откройте файл с ключом или достаньте его распечатку.

45. Далее щёлкните зашифрованный диск и выберите вариант разблокировки Введите ключ восстановления.

46. В отобразившемся окне введите 48-значный ключ восстановления и нажмите Разблокировать.

47. После ввода ключа откроется содержимое диска.

48. Для отключения BitLocker щёлкните правой кнопкой по зашифрованному диску и выберите Управление BitLocker.

49. В отобразившемся окне выберите отключить BitLocker напротив того диска, для которого нужно выполнить отключение.

50. В отобразившемся окне предупреждения нажмите Отключить BitLocker.

Расшифрование как и зашифрование может занимать продолжительное время, зависит от

объёма диска.

51. По завершении нажмите Закрыть.

52. Теперь BitLocker отключён.