Беспарольный двухфакторный вход (2FA) в ноутбук по смарт-карте / Рутокен ЭЦП 3.0 в Astra Linux (ALD Pro), РЕД ОС (РЕД АДМ) и Альт Домен
Приказы ФСТЭК России (№ 17 для ГИС, № 21 для ИСПДн 1–2 уровня, № 239 для ЗОКИИ) и ГОСТ Р 57580.1 Банка России для финансовых организаций прямо требуют усиленной двухфакторной аутентификации (2FA: «то, что сотрудник ИМЕЕТ физически в руках» + «то, что сотрудник ЗНАЕТ — PIN-код»)!
На бумажке под клавиатурой больше нет стикера Qwerty12345!, который фишинговое письмо выманивает за 10 секунд! Сотрудник садится за ноутбук, прикладывает к встроенному считывателю корпоративную смарт-карту-пропуск (или вставляет компактный USB-C Рутокен ЭЦП 3.0 / JaCarta PKI), вводит короткий 6–8-значный PIN-код — и в один клик попадает в домен с уже выданным билетом Kerberos TGT ко всем файловым шарам, 1С, почте и корпоративному Wi-Fi 802.1X!
Как устроена настоящая доменная PKI-аутентификация (SSSD + Kerberos PKINIT) vs локальный костыль!
Многие начинающие админы путают локальный pam_pkcs11 с настоящим доменным Kerberos PKINIT! Сравните оба сценария для парка ноутбуков:
| Параметр | Настоящий доменный SSSD + Kerberos PKINIT (ALD Pro / РЕД АДМ / Альт Домен) |
Локальная привязка pam_p11 на отдельно стоящем ноутбуке |
|---|---|---|
Централизованный отзыв при увольнении или потере токена за 5 секунд (CRL / OCSP)! |
Администратор ИБ отзывает сертификат в корпоративном Удостоверяющем центре (Dogtag PKI в ALD Pro / MS CA / КриптоПро УЦ) и блокирует учётную запись в домене — украденный токен мгновенно превращается в бесполезный кусок пластика! |
Приходится ловить ноутбук в сети, чтобы удалить публичный ключ из локального файла ~/.eid/authorized_certificates |
Сквозной вход (Single Sign-On) на файловые серверы SMB/NFS, корпоративный портал и PostgreSQL |
При входе по токену центр распределения ключей KDC проверяет подпись закрытым ключом на чипе токена (RSA 2048/4096 или ГОСТ) и выдаёт полноценный доменный Kerberos TGT-билет! |
Билета Kerberos нет — сетевые папки снова просят обычный пароль! |
Работа ноутбука в самолёте и на объекте БЕЗ связи с контроллером домена (Offline Smartcard Logon)! |
В sssd.conf параметр cache_credentials = True + локальная проверка цепочки доверия корневого сертификата CA позволяют сотруднику штатно разблокировать свой ноутбук по токену и PIN-коду в полном офлайне! |
Работает офлайн |
Главная фишка физической ИБ в open-space офисе: мгновенная автоблокировка экрана при извлечении токена!
Сотрудник встал налить кофе, машинально забрал с собой из порта свой токен-брелок на ретракторе бейджа — и в ту же долю секунды экран ноутбука намертво заблокировался!
- В
ALD Proи групповых политикахРЕД АДМ / Альт ГПОэто включается штатной политикой безопасности рабочей станции («Действие при извлечении смарт-карты: Блокировать сеанс» черезudevправило подсистемыusb/ мониторpcscd->loginctl lock-sessions)! - А для руководителей, постоянно носящих ноутбук по переговорным (чтобы не сломать торчащий сбоку длинный USB-A токен в сумке!), при корпоративной закупке выбирайте бизнес-ноутбуки со встроенным в корпус щелевым ридером полноразмерных смарт-карт (
Smart Card Reader ISO/IEC 7816) либо нано-форм-факторРутокен ЭЦП 3.0 mini USB-C/NFC-токен!
ВНИМАНИЕ ЮРИСТУ И АДМИНУ: не смешивайте на одном ключевом контейнере 2FA вход в ОС и квалифицированную ЭП ФНС директора!
На одном физическом носителе Рутокен ЭЦП 3.0 хватает защищённой памяти под десятки контейнеров:
- для аутентификации в домен ОС (
Client Authentication OID 1.3.6.1.5.5.7.3.2) и расшифровки контейнера LUKS2 внутренний корпоративный Центр сертификации организации выпускает отдельный корпоративный неквалифицированныйRSA/ECDSAсертификат в отдельный слотPKCS#11; - он работает параллельно и абсолютно изолированно от неизвлекаемого контейнера
ГОСТ Р 34.10-2012квалифицированной электронной подписи ФНС / Казначейства!
Чек-лист перед отключением парольного входа (Force Smartcard Logon) у 300 сотрудников!
- [ ] План аварийного разблокирования забытого PIN-кода (
PUK / Код администратора токена): в понедельник после отпуска5 %сотрудников гарантированно 3 раза подряд введут неверный PIN-код и заблокируют пользовательский PIN своего токена! Перед выдачей токенов служба ИБ обязана сменить заводской код администратора (Admin PINпо умолчанию87654321— дыра в безопасности, если оставить!) на уникальный секретныйPUK-код в защищённой системе управления ключевыми носителями (JaCarta Management System / Рутокен KeyBox / Vault), чтобы техподдержка разблокировала токен сотруднику за 2 минуты без перевыпуска сертификатов! - [ ] Создана строго контролируемая группа аварийного доступа
Break-Glass Adminsдля локального входа администратора ИБ при сбое контроллера домена!
Частые вопросы
Почему на ноутбуке в Astra Linux SE окно входа Fly-DM видит токен с задержкой в 8 секунд или не видит после выхода ноутбука из сна (Suspend S3/s2idle)?
Классическая ошибка энергосбережения шины USB в ноутбуках: демон TLP / powertop агрессивно усыпляет USB-порт считывателя смарт-карт (autosuspend), из-за чего демон pcscd теряет связь с чипом после открытия крышки! Добавьте USB VID:PID токенов Aktiv Co. (0a89) и Aladdin/JaCarta (24dc) в исключения USB_DENYLIST энергосбережения и перезапуск pcscd.socket в хук пробуждения systemd-sleep — отклик на экране входа станет мгновенным (< 0,4 с)!