Предыдущая публикация
В ФСБ Корпорации Андромеда
Федеральная Служба Безопасности КА.
Какая технология используется, для защиты серверов пользователей?
4 Уровня авторизации! Каждый имеет свой цвет.
1-й уровень авторизации: Зеленый. Сервер каждого пользователя имеет собственный CA подписанный центром сертификации Andromeda Server Authentication CA. Для авторизации, Администрация ФСБ КА по запросу от клиента, создает клиентский SSL сертификат, которую нужно предоставить серверу, для авторизации на зеленном уровне. SSL сертификат подписывается с помощью SUB-CA на сервере клиента. Далее сертификат сохраняется в файл обмена и хранения ключей P12 с длинным сгенерированным ключом.
SSL Сертификат устанавливается в браузер клиента с помощью пароля. Пароль уничтожается после установки сертификата в браузер. Оно не сохраняется ни на локальном компьютере клиента, ни на серверах ФСБ-КА.
При сброса браузера нужно создать новый SSL сертификат.
В случае увольнения сотрудника из компании, можно отозвать его SSL сертификат на уровне сервера, лишая его возможности подключится к серверу.
Пользователь при заходе на сайт видит зеленую ошибку, в случае если SSL сертификат не установлен в браузер, и/или отозван администратором.
SSL CA подписан 16384 битным ключом, а клиентские сертификаты с 8192 битным. (В данные момент, считается невозможным подобрать ключ с длиной в 2048 бит или выше).
Если на локальном компьютере пользователя установлен клиентский SSL сертификат, то ошибка не выводится, а браузер предлагает подтвердить авторизацию по клиентскому SSL сертификату на сервере:
Второй уровень авторизации: КРАСНЫЙ.На красном уровне авторизации, сервер требует от пользователя двухкратного, а наиболее дорогих серверах, трехкратного шифрования сети по VPN туннеля.Первый уровень, - Автоматически выполняется браузером - это шифрование по каналу HTTPS Hyper Text Transfer Protocol Secure, с принудительным использованием TLS протокола, благодаря HSTS технологиям. Дополнительно, для защиты от MITM атак на сервере TLS, используется протокол пиннинга HPKP (Http Public Key Pinning) для защиты сайта от подделывания SSL сертификата и прослушивания HTTPS протокола. Второй уровень авторизации, требует от пользователя туннельного соединения с 8192 битным шифрованием AES, и с 16384 битным ключом согласования протокола Диффи Хелман (DH) с выделенным VPN сервером Андромеда. В частности, предоставляется 2 выделенных, независимо от родительского сервера VPN серверов, чтобы в случае временного падения первого сервера, пользователи не потеряли доступ к сайту и к панели управления. Без VPN подключения, после авторизации на зеленном уровне, пользователь видит красную заглушку системы, который сообщает об ошибке прав доступа с кодом ответа 403!:
Процесс выполняется как и в зеленном уровне авторизации:
Сервис OPENVPN подписывает на сервере клиента сертификат OVPN, с помощью независимого CA, который предоставляется клиенту администратором сервера.
Далее: Клиент скачивает и устанавливает на свой локальный компьютер OPEN SOURCE OpenVPN Client из официального сайта OPENVPN и подключается к серверу Андромеда, по сертификату OVPN, предоставленному системным Администратором. Процесс авторизации доступен на всех популярных дистрибутивах ОС: Windows, :Linux, SunOS, MacOS, Android, I-OS (Iphone/IPad).
Авторизация в Windows 10 выглядит вот так:
После установки OVPN сертификата в OpenVPN Client, выбираем нужный VPN сервер и подключаемся:
Процесс авторизации длится около 5-7 секунд. Ожидаем.
После чего, видим, что успешно подключились к серверу. На этом уровне, это всё! В браузере не нужно делать ничего лишнего, кроме как перезагрузить страницу.
Далее, третий, СИНИЙ уровень авторизации! - Это авторизация на уровне сервера Андромеда, по логину и паролю, который предоставляется каждому клиенту индивидуально. Копия пароля сохранено на сервере в зашифрованном виде, при вводе, в каждый раз сервер проверяет и логин и пароль на верность. Пароль имеет длину не ниже чем 8192 символов, содержит в себе буквы верховного и нижнего регистра, символы, специальные знаки и цифры. Подобрать такие пароли невозможно. Так-же, учитываются верховные и нижние регистры в логине. В случае их несоответствия, даже если пароль верный - авторизация не пройдет успешно.
Вводим логин и пароль в всплывающем окошке браузера:
Далее, четвертый, БЕЛЫЙ уровень авторизации! Это авторизация по логину и паролю пользователя в панели VESTACP! Данная система реализуется так-же на ВЕБ сайтах клиента. То-есть автоматически, данная система авторизации может быть реализована для любого CMS или PHP сайта, с панелью администратора. Например Wordpress, Jomla, ISPManager и другие!
После четвертого, Белого, уровня авторизации, успешно видим наш любимый панель управления сервером, и управляем системой! :)
Все просто, быстро и безопасно! 
При закрытии браузера, необходимо пройти 2 уровня авторизации заново:
Зеленый, по клиентскому SSL сертификату, и синий, по логину и паролю на сервере Андромеда.
В случае очистки файлов Cookies в браузере, нужно пройти белую авторизацию по логину и паролю в VESTACP, или в клиентском CMS.
В случае отключения от сервера OpenVPN, необходимо так-же повторно пройти красную авторизацию. 
В системе еще есть 2 дополнительных уровней авторизации, для реализации шестикратной авторизации на сервере, имена, цвета и алгоритмы которых мы пока-что держим в полной секретности.
Возможно, расскажем о них попозже. Следите за новостями ФСБ-КА! :)
С уважением, Федеральная Служба Безопасности Корпорации Андромеда!
В системе еще есть 2 дополнительных уровней авторизации, для реализации шестикратной авторизации на сервере, имена, цвета и алгоритмы которых мы пока-что держим в полной секретности.
Возможно, расскажем о них попозже. Следите за новостями ФСБ-КА! :)
С уважением, Федеральная Служба Безопасности Корпорации Андромеда!
Следующая публикация
Нет комментариев