Двухфакторная аутентификация (2FA) — это дополнительный уровень безопасности, который требует не только пароль, но и второй фактор для подтверждения вашей личности. Это может быть код, отправленный на ваш телефон, биометрические данные, аппаратный или программный токен. С 2FA ваши данные защищены даже в случае компрометации пароля.
Почему двухфакторная аутентификация (2FA) критически важна для государственных информационных систем?
Защита конфиденциальных данных
Государственные информационные системы содержат чувствительную информацию, которая должна быть защищена от несанкционированного доступа
Соблюдение норм и стандартов
Использование 2FA помогает соответствовать законодательным требованиям по защите данных и кибербезопасности
Минимизация рисков
Защита от кибератак и взломов, которые могут привести к утечке данных или нарушению работы систем
Ключевые задачи, которые решает применение двухфакторной аутентификации (2 FA) в организации
Увеличение уровня безопасности
Основная задача 2 FA — это повышение уровня безопасности учетных записей пользователей. При добавлении второго фактора аутентификации значительно уменьшается вероятность несанкционированного доступа, так как злоумышленнику необходимо не только знать пароль, но и иметь доступ ко второму фактору (например, к мобильному устройству).
Защита от фишинга
Двухфакторная аутентификация значительно снижает риски, связанные с фишингом. Даже если злоумышленник получит пароль пользователя, он не сможет войти в систему без второго фактора, который будет ему недоступен.
Контроль доступа
Применение 2 FA позволяет более гибко управлять доступом к ресурсам компании. Например, можно настроить разные уровни защиты для различных групп пользователей или для разных систем, что способствует улучшению внутренней политики безопасности.
Соответствие нормативным требованиям
Многие стандарты и регуляторные требования, такие как GDPR, PCI DSS и, соответственно, российское законодательство (например, ФСТЭК), требуют внедрения многофакторной аутентификации для повышения защиты персональных данных. Применение 2 FA помогает организации соответствовать этим стандартам, минимизируя риски штрафов и репутационных потерь.
Улучшение оценки рисков
Внедрение двухфакторной аутентификации может помочь в оценке рисков при управлении идентичностями и доступом. Организации могут легче проводить аудит и мониторинг действий пользователей, что способствует выявлению подозрительной активности.
Повышение уровня доверия
Использование 2 FA помогает формировать у клиентов и партнеров уверенность в том, что организация серьезно относится к безопасности данных и защищает личную информацию своих пользователей.
Упрощение восстановления доступа
В случае утери доступа к первому фактору (например, к паролю), наличие второго фактора может облегчить процесс восстановления доступа, при условии, что он не потерян.
Требования ФСТЭК России к аутентификации в ГИС и иных ИС
В 2024 г. ФСТЭК России подготовил проект новых Требований к защите информации, содержащейся в государственных информационных системах (ГИС), иных информационных системах (ИС)
государственных органов, гос. унитарных предприятий, гос. учреждений.
Аутентификация оборудования. Она должна проводиться по цифровым сертификатам с использованием модуля безопасности (Secure Element) и неизвлекаемого закрытого ключа. Это необходимо для доверенной загрузки оборудования и его строгой аутентификации при подключении к сетевой инфраструктуре, а также для проверки цифровой подписи ПО (прошивки, UEFI, ядра ОС, обновлений).
Аутентификация пользователей. Для распределённых ГИС с доменной архитектурой требуется строгая двухфакторная (2FA) или трёхфакторная аутентификация(3FA) с использованием цифровых сертификатов и неизвлекаемых закрытых ключей. Для малых ГИС допускается усиленная двухфакторная (2FA) или трёхфакторная аутентификация (3FA), при этом обязателен физический носитель. Простая (парольная) аутентификация не допускается.
Аутентификация ПО. Программное обеспечение должно подписываться цифровой подписью разработчика и владельца ИС. Это обеспечивает возможность установки и использования только разрешённого ПО. При установке ПО и обновлений в ГИС должны проверяться их аутентичность и целостность с использованием цифровых сертификатов.
Согласно проекту приказа ФСТЭК России "Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений", который заменит приказ ФСТЭК России от 13 февраля 2013 г. № 17, в 2025 году будут утверждены требования о внедрении многофакторной аутентификации для пользователей информационных систем, а с 2026 года её использование станет обязательным.
Для кого необходима строгая аутентификация?
Государственные Информационные Системы (ГИС)
ИС гос. органов, гос. унитарных предприятий, гос. учреждений
Информационная система персональных данных (ИСПДн)
ИС значимых объектов КИИ
Иных ИС в случае обработки и хранения в них информации
Решения для двухфакторной аутентификации (2FA) в корпоративных сетях
JaCarta Management System
Корпоративная система централизованного управления от российской компании «Аладдин Р. Д.» для учёта и управления жизненным циклом аппаратных и программных средств аутентификации и электронной подписи, включая распространённые токены и смарт-карты различных поставщиков, "облачные" токены, хранящиеся на них объекты, считыватели смарт-карт, а также аппаратные и программные OTP-/U2F-аутентификаторы.
В состав системы входит производительный сервер усиленной аутентификации (2ФА) JaCarta Authentication Server (JAS) для предоставления второго фактора аутентификации компаниям, по той или иной причине не готовым к развёртыванию PKI-инфраструктуры или желающим обеспечить усиленную аутентификацию с использованием одноразовых паролей какой-то части своих сотрудников.
Преимущества JaCarta Management System
Учитывает аппаратные и программные средства аутентификации и электронной подписи, автоматизирует процесс поэкземплярного учёта СКЗИ
Полностью автоматизирует применение политик ИБ
Реализует сервис усиленной (2FA) аутентификации
Отслеживает действия пользователей и администраторов
Управляет жизненным циклом токенов и программных средств аутентификации
Предоставляет сервис самообслуживания
Обеспечивает высокую производительность, масштабируемость и отказоустойчивость
Входит в реестр отечественного ПО, соответствует требованиям регуляторов
Возможности JaCarta Management System
Учёт аппаратных и программных токенов
Полный контроль от выпуска до отзыва
Автоматическое исполнение политик безопасности
Удобный сервис самообслуживания пользователей
Сервис усиленной (2ФА) аутентификации
Неограниченные производительность, масштабируемость и отказоустойчивость
Автоматическое отслеживание действий пользователей и администраторов
Учёт аппаратных и программных токенов
Автоматизация учёта токенов JaCarta, Рутокен и ESMART, в том числе сертифицированных ФСБ России как СКЗИ или обладающих несколькими функциями. Учитываются владелец, номер, модель, а также объекты на токене и рабочие станции, использующие токены. Аналогичным образом учитываются "облачные токены" (КриптоПро DSS) и сертификаты, выпускаемые для личных хранилищ пользователей и рабочих станций. Также учитываются ридеры смарт-карт производства компании "Аладдин Р.Д."
Наряду с PKI-токенами JMS ведёт и учёт аппаратных OTP-\U2F- токенов, Messaging (SMS) аутентификаторов, а также программных OTP\PUSH аутентификаторов, реализованных с использованием разработанного "Аладдин Р.Д." мобильного приложения для двухфакторной аутентификации Aladdin 2FA или сторонних приложений Google Authenticator, Яндекс.Ключ и им подобных.
Для оформления бумажных документов, таких как отчёты и заявки на выдачу токена, реализована встроенная подсистема печати.
Полный контроль от выпуска до отзыва
Управлять токенами и программными средствами аутентификации на всех этапах их жизненного цикла, включая выдачу, перевыпуск и отзыв токенов и всех связанных с ними объектов (сертификатов, ключей, меток АПМДЗ и т.д.). Автоматическая синхронизация токенов и поддержка популярных удостоверяющих центров позволяют мгновенно приводить текущий парк токенов в актуальное состояние.
JMS поддерживает работу с популярными и распространёнными удостоверяющими центрами – Microsoft CA, КриптоПро 1.5 и 2.0, ViPNet 4.6 и Notary-Pro. В составе системы есть Офлайн-коннектор, позволяющий организовать работу с аттестованными удостоверяющими центрами, расположенными в изолированных контурах, не нарушая требований к информационной безопасности, предъявляемых к ним.
JMS также интегрируется с ресурсными системами (источниками информации о пользователях и рабочих станциях), в качестве которых может выступать не только Microsoft AD и Крипто Про, но и собственная служба каталогов JMS – JaCarta Directory Service (JDS).
Поддерживаются все токены и смарт карты линейки JaCarta, распространённые модели токенов и смарт-карт сторонних компаний-изготовителей (Рутокен, ESMART), а также аппаратные и программные OTP-, U2F-аутентификаторы, включая "облачные" токены (КриптоПро DSS).
Автоматическое исполнение политик безопасности
С помощью реализованного в JMS механизма профилей платформа связывает между собой такие сущности, как "пользователь", "токен", "программный или аппаратный OTP-/U2F-аутентификатор" или "объект на токене". Профиль представляет собой набор правил (политик), применяемых к перечисленным сущностям. Профиль может быть применён к контейнеру (OU) ресурсной системы, группе или отдельному пользователю. В профиле, например, можно указать параметры сертификатов, выпускаемых на токены пользователей из конкретной OU. Далее при соответствующей настройке включение нового пользователя в указанный OU вызовет автоматический выпуск для него указанного сертификата и запись его на токен в процессе синхронизации (применения политик). Исключение пользователя из OU вызовет автоматический отзыв его сертификата и удаление последнего с токена пользователя.
Реализован гибкий механизм фильтрации применения политик в том числе с использованием групп безопасности Microsoft Active Directory.
Удобный сервис самообслуживания пользователей
Благодаря реализованным в JMS классическому “толстому” клиенту и веб-порталу самообслуживания пользователи JMS в соответствии с установленными администраторами политиками имеют возможность выполнять все необходимые разрешённые операции жизненного цикла как аппаратных токенов/смарт-карт, так и объектов, хранящихся на них. Возможности самообслуживания в равной степени относятся к аппаратным OTP-\U2F- и программным PUSH\OTP\SMS аутентификаторам. Платформа позволяет реализовать внутренний (внутри периметра организации) и внешний порталы самообслуживания с отличающимися наборами разрешённых функций.
Сервис усиленной (2ФА) аутентификации
Высокопроизводительный сервер двухфакторной аутентификации JaCarta Authentication Server (JAS), входящий в состав JMS, обеспечивает организацию дополнительной защиты с применением аутентификации по одноразовым паролям (OTP-), стандарту U2F или программным токенам.
Неограниченные производительность, масштабируемость и отказоустойчивость
Система JMS спроектирована с учётом высоких требований к производительности и поддерживает как вертикальную (за счёт более производительного аппаратного обеспечения), так и горизонтальную (кластеризация) масштабируемость. Более того, реализованные технологии исключают практическую возможность отказа в обслуживании клиентского запроса.
Поддерживаются кластерные технологии (NLB) и распространённые аппаратные балансировщики нагрузки. Возможность резервного копирования настроек, базы данных системы, закрытых ключей и сертификатов.
На существующих внедрениях JMS обслуживает десятки тысяч пользователей (до 100 тысяч) без внесения каких-либо ощутимых задержек в работу администраторов и пользователей.
Начиная с версии 3.5, JMS проходит нагрузочные тестирования и оптимизацию по результатам тестирования на специально разработанном в облаке стенде, позволяющем имитировать практически любую нагрузку в самых разнообразных сценариях работы платформы.
Автоматическое отслеживание действий пользователей и администраторов
В состав JMS входит мощная система журналирования, позволяющая фиксировать все события, связанные с управлением администраторами и эксплуатацией пользователями как токенов и объектов на них, так и программных и аппаратных OTP-/U2F-аутентификаторов.
Начиная с версии 3.7 в журнале событий также регистрируются события аутентификации. Система ведёт собственный служебный журнал с удобными возможностями фильтрации событий и настройки отчётов, что облегчает проведение отчётности, диагностику неисправностей и разбор конфликтных ситуаций.
Существует возможность выгрузки информации о событиях на сервер Syslog для интеграции с SIEM-системами.
Система JMS создана в России, является полностью отечественной разработкой и включена в Единый реестр отечественного ПО (№ 311). Ориентация на российского потребителя позволяет в полной мере удовлетворить потребности заказчиков, например, такие как учёт СКЗИ в соответствии с требованиями ФСБ России.
JMS сертифицирована ФСТЭК России на соответствие 4 уровню доверия и техническим условиям (сертификат соответствия № 4411 от 20 мая 2021 года).
Высокопроизводительный сервер аутентификации в составе платформы JaCarta Management System
JaCarta Authentication Server (JAS) поддерживает работу как c аппаратными OTP и U2F-токенами, так и с программными PUSH/OTP/SMS-аутентификаторами для мобильных устройств.
Применение JAS позволяет обеспечить надёжную защиту доступа к информационным системам и электронным сервисам, а также повысить удовлетворённость и лояльность пользователей из-за упрощения процесса аутентификации. В зависимости от типа используемых токенов (PUSH/OTP/SMS или U2F) JAS обеспечивает безопасный доступ к следующим системам и сервисам:
шлюзы удалённого доступа (Microsoft, Cisco, Citrix, Palo Alto, Check Point, VMware, Fortinet, NGate и др. – список постоянно пополняется)
шлюз к рабочим столам Microsoft (Microsoft RDG)
корпоративные системы (CRM, порталы, электронная почта и т.д.), в том числе Microsoft SharePoint и Microsoft Outlook Web App
web-приложения, сайты и облачные сервисы
системы дистанционного банковского обслуживания (ДБО) и ЭДО
Преимущества сервера аутентификации JAS
Усиленная аутентификация пользователей по одноразовым паролям (PUSH/OTP/SMS)
Строгая аутентификация пользователей по протоколу U2F
Обеспечение аутентификации на десктопах, ноутбуках (JAS OTP Logon)
Простая интеграция с прикладным ПО по стандартным протоколам RADIUS, REST, ADFS и др.
Высокая производительность
Сервис безопасной передачи секрета программных аутентификаторов и собственное мобильное приложение Aladdin 2FA
Совместимость с любыми аппаратными токенами и программными аутентификаторами
Возможности JaCarta Authentication Server
Повышенная защищённость
Поддержка аппаратных и программных токенов
Универсальность и самодостаточность
Поддержка мобильных устройств
Масштабируемость
Совместимость
Производительность, масштабируемость и отказоустойчивость
Полная автоматизация возможных сценариев использования
Повышенная защищённость
Использование сервиса Aladdin 2FA совместно с мобильным приложением Aladdin 2FA гарантирует невозможность повторного использования секрета, применяемого в процессе инициализации программных PUSH/OTP аутентификаторов.
Поддержка аппаратных и программных токенов
JAS позволяет использовать для аутентификации как аппаратные токены, так и программные аутентификаторы, что даёт возможность применять различные способы аутентификации для разных устройств: OTP- и U2F-токены — для десктопов и ноутбуков, программные PUSH/OTP/SMS- аутентификаторы — для смартфонов и планшетов.
Универсальность и самодостаточность
Интеграция JAS с прикладным ПО обеспечивается поддержкой стандартных протоколов:
RADIUS
REST
WCF
WS-Federation (ADFS)
HTTP и SMPP (для интеграции c SMS-шлюзами).
Для полноценной работы JAS не требуется дополнительное ПО, так как в комплект поставки уже включены сервис аутентификации, средства мониторинга, плагины для Microsoft Network Policy Server (NPS), Microsoft Active Directory Federation Services (AD FS), Microsoft RDG, а также средства управления токенами и пользователями.
Поддержка мобильных устройств
JAS поддерживает распространённые бесплатные приложения генерации OTP по событию и по времени: Aladdin 2FA, разработанное компанией "Аладдин Р.Д.", а также сторонние приложения, например, Яндекс.Ключ и Google Authenticator. Все приложения доступны в Google Play и Apple Store.
Поддержка SMS-шлюзов позволяет отправлять OTP на мобильные устройства в виде SMS-сообщений.
Масштабируемость
Производительность сервера JAS напрямую зависит от производительности процессора (вертикальная масштабируемость). Доступна работа нескольких серверов JAS в одном кластере.
Совместимость
JAS совместим с любыми аппаратными токенами и программными аутентификаторами, генерирующими OTP по событию (HOTP, согласно RFC 4226) и по времени (TOTP, согласно RFC 6238), а также любыми U2F-токенами. Для интеграции с прикладным ПО реализована поддержка протоколов RADIUS, REST, WCF, WS-Federation (ADFS). Также совместим с SMS-шлюзами — HTTP и SMPP.
Производительность, масштабируемость и отказоустойчивость
JAS выдерживает значительные нагрузки (свыше 5,000 аутентификаций в секунду на одном сервере), что позволяет использовать его в организациях любого масштаба.
Производительность сервера JAS напрямую зависит от производительности процессора (вертикальная масштабируемость). Доступна работа нескольких серверов JAS в одном кластере.
В JAS реализована поддержка службы кластеров Microsoft Failover Cluster (режим Active/Standby) и репликации базы данных средствами Microsoft SQL Server, что позволяет гарантировать бесперебойность процессов аутентификации.
Полная автоматизация возможных сценариев использования
Сервер аутентификации JAS глубоко интегрирован с платформой JaCarta Management System 3.7 и задействует все возможности платформы – функционал для автоматизации процессов управления пользователями, аутентификаторами, возможности взаимодействия с поддерживаемыми ресурсными системами, ролевую модель, аудит и журналирование и др.
Многофункциональный Личный кабинет даёт возможность пользователю в рамках предоставленных администратором полномочий управлять своими аутентификаторами – осуществлять выпуск, синхронизацию, перевыпуск, блокировки и разблокировки.
Сертификация
Высокопроизводительный сервер аутентификации JaCarta Authentication Server входит в состав платформы JaCarta Management System (JMS) 3.7.
Отечественное ПО, соответствующее требованиям регулятора
Система JMS создана в России, является полностью отечественной разработкой и включена в Единый реестр отечественного ПО (№ 311). Ориентация на российского потребителя позволяет в полной мере удовлетворить потребности заказчиков, например, такие как учёт СКЗИ в соответствии с требованиями ФСБ России.
JMS сертифицирована ФСТЭК России на соответствие 4 уровню доверия и техническим условиям (сертификат соответствия № 4411 от 20 мая 2021 года).
Получите коммерческое предложение.
Заполните форму и мы подготовим для Вас персональное коммерческое предложение c учетом потребностей вашего бизнеса.
