saytrust Güvenlik ve Giriş Seçenekleri

Transkript

1 saytrust Güvenlik ve Giriş Seçenekleri

2 Das Produkt Ürün Bir Server ve kullanıcı bileşenlerinden meydana gelen saytrust, ev çalışma alanlarının ve mobil çalışanların entegrasyonu için ideal ve güvenli bir çözüm. SayTRUST sistemi, kullanıcıya güvenli biyometri, firma ağına, bir ağın bir bölümüne ya da firma ağının içinde bulunan bir bilgisayara pin ve 2048 bit sertifika kontrollü bağlantı sunuyor. Birkaç etaplı kimlik denetimi, kullanıcı bilgisayarına pahalı, sabit ve uzun süren konfigürasyonlar yapılmadan güvenli bir bağlantı sağlar firma ağına bağlantı kullanıcılara yazılım yüklemeden gerçekleştirilebilir. Sayfa 2 von 14

3 Bileşenler: saytrust Server saytrust Client saytrust Server: Kullanıcı bağlantısını alır ve yönetir Girişleri kontrol eder Sertifikaları yönetir saytrust Access Client: - Kullanıcının kimlik denetimini gerçekleştirir USB Stick internet bağlantısı olan her türlü Windows bilgisayarı ile kullanılabilir. USB Stick in ilk kullanımında kullanıcı ek olarak bir PIN girmelidir (Bu PIN bir kullanıcının yeni donanımında saytrust Server ı tarafından verilir). Hazırlanan bir (USB) Stick bir çalışana posta yoluyla gönderilecekse, PIN ayrı olarak gönderilir (para, kredi kartlarında vs. olduğu gibi) Sayfa 3 von 14

4 Bağlantı Kurma Kullanıcı için bağlantıyı kurmak çok kolaydır: USB Accessi kullanıcı bilgisayar/ Notebook ile bağlandıktan sonra, kullanıcıdan parmak izi ile kimliğini belirtmesi talep edilir. Kimlik denetiminin başarılı olması optik olarak yeşil halka ile gösterilir. Kullanıcı bunun üzerine saytrust menüsünü kullanabilir. Bağlantıyı kurmak için, menüden saytrust seçildikten sonra şifre istenir. Bağlantıyı kurma başarılı olursa, bu saytrust lambası ile gösterilir (yeşil ışık). Sayfa 4 von 14

5 Bağlantı Kurma Bağlantı başarılı bir şekilde kurulduktan sonra saytrust menüsünden favorilerim seçilebilir (örneğin firma ağında Citrix Server ya da web sayfası girişi vs.) Bu favoriler administratör tarafından Access kullanıcı başlatıldığı zaman uygun bir şekilde düzenlenir. saytrust Access Client aracılığıyla kullanıcıya giriş koruması da yapılabilir (bilgisayar/notebook un sadece daha önce parmak izi kimlik doğrulaması yapıldıktan sonra kullanılması). Bağlantı uygulama seviyesinde gerçekleşir, böylece doğrudan ağ bağlantısı oluşmaz (VPN teknolojisinin aksine). Kullanıcı İstatistikleri, Protokoller ve Değerlendirmeler: Kullanıcı bu pencerede veri transferi ve tünelli uygulamalar konusunda bilgi sahibi olabilir. Sayfa 5 von 14

6 Maksimum Esneklik Ayrılmış İletişim Her ayrı yer girişleri lokal olarak yönetir. Lokasyonların birbirleri ile iletişimi merkezde bulunan saytrust Server i üzerinden kumanda edilir. Bu versiyonun avantajı: Mobil kullanıcılar merkez üzerinden bağlantı kurmadan farklı lokasyonlar için ayrılmış girişler gerçekleştirebilirler. Çalışanlar böylece bir lokasyon içerisinde bulunan düzenlenmiş kaynaklara rahat bir şekilde ulaşabilirler. Merkezi İletişim Farklı lokasyonlar özel olarak merkezde bulunan kendileri için düzenlenmiş olan kaynaklara ulaşabilirler. Sayfa 6 von 14

7 Teknik Avantajlar saytrust Server 1. Merkezi İdare ve Yönetim 2. Server konfigürasyonu için WEB-GUI 3. Kolay sertifika yönetimi (2048 Bit) 4. Sertifikalar için kolay PIN yönetimi 5. Münferit bilgisayarlar, alt ağlar, DMZ ve komple ağlar için kullanıcı gruplarının giriş konfigürasyonu 6. Administratörlerin hak yönetimi 7. Yanlış konfigürasyonlar durumunda acil durum girişi 8. Sertifika temelli uzaktan destek için panic login 9. ADS kullanıcıları ve gruplar için içe aktarım imkanı 10. Grup ve kullanıcıların yetkilendirme yönetimi 11. Otomatik sistem güncelleştirmeleri 12. Proxyserver den gelen şifreli bağlantılar için Loopback-Interface 13. AES 256 üzerinden tünel içerisinde bulunan verilerin ek şifrelemesi 14. Kullanıcı aktivitelerinin istatistikleri ve protokolleri Üç Etaplı Kimlik Denetimi ile saytrust Standart USB Access Client 1. Biyometri ya da şifre Bit Sertifika 3. PIN/Şifre saytrust Kişisel Güvenlik Cihazı MXP (FIPS Seviye 2 sertifikalı) 1. Biyometri 2. Şifre Bit Sertifika 4. Sertifika için PIN Genel: 1. Kullanıcıların donanımına yazılım yüklemeye gerek yoktur 2. Kullanıcıların donanımında kullanıcının administratör haklarına gerek yoktur 3. Access kullanıcısını otomatik başlatma 4. Kullanımı kolay menüler 5. Access kullanıcıları istek üzerine 8 GB kapasiteye kadar ek korunmuş özel bir alanla donatılabilirler 6. Firma ağına giriş için favorileri yönetme 7. Tüm işlem süresi boyunca tüm TCP bağlantıları tünele yönlendirilir böylece kullanıcı sadece güvenli tünel üzerinden çalışır 8. Kimlik denetimi için 2048 Bit genişliği olan RSA-Keyfile (Public Private Konsepti) 9. TCP hizmetinin şifrelenmesi, örneğin: RDP, HTTP, FTP Şifreli bağlantı kesildikten sonra istemcide hiçbir veri kalmaz 11. Internet bağlantısının olduğu her yerde kullanılabilir 12. Kullanıcıya özel uygulamalar Access istemciye entegre edilebilir. Sayfa 7 von 14

8 saytrust Client Hardware Maksimum güvenlik Kişisel Güvenlik Cihazı (Personal Security Device) MXP ile sağlanır. Özellikler - Zero software footprint - Hardware bazlı AES-256-bit şifreleme (CBC modu şifreleme) - ACCESS Enterprise ile yönetim - Depolama kapasiteleri MB, 1 GB, 2 GB, 4 GB, 8 GB ve 16 GB Kimlik denetimi - Biyometrik (parmak izi) - Kişisel depolama alanı için iki etaplı kimlik denetimi (biyometri ve şifre) - Firma ağına giriş için üç etaplı kimlik denetimi (biyometri, şifre ve cihaz) Kullanıcı İlkeleri - Şifre zorluğu kuralları - Şifre kullanım ömrü kuralları - Opsiyonlu veri silme özelliği olan kimlik denetiminde maksimum yanlış giriş sayısının belirlenmesi - Biyometri güvenlik seviyeleri ayarlanabilir - Bölümün büyüklüğü ayarlanabilir - Kullanıcı başına en fazla beş kullanıcı Depolama - Flash memory yığın depolama - Özel olarak şifrelenmiş kullanıcı bölümleri - Salt okunur taşınabilir uygulama bölümleri Desteklenen işletim sistemleri - Microsoft Windows 2000, XP, Vista - Macintosh OSX - Linux ( out of the box biyometri kimlik denetimi) Standartlar ve Sertifikalar - FIPS Seviye 2 - USB 1.1 ve FCC - CE Şifreleme - Simetrik, asimetrik ve HOTP secret keys (gizli anahtarlar) için ayrılmış key container (anahtar konteynır) - OATH bir seferlik şifre oluşturma - AES 256-bit CBC şifreleme (FIPS Pub 197) - SHA-1 ve SHA-256 (FIPS Pub 180-1/180-2) - Keyed HMAC (FIPS Pub 198) - RSA anahtar oluşturma (X9.31 ve PKCS#1) /2048/3072 bit RSA anahtar boyutları - RSA imza ve doğrulama (PKCS#1) - Rastgele sayı oluşturma - WS-Trust için SAML Token oluşturma Sayfa 8 von 14

9 Depolama - Flash memory yığın depolama - Özel olarak şifrelenmiş kullanıcı bölümleri - Salt okunur taşınabilir uygulama bölümleri Desteklenen işletim sistemleri - Microsoft Windows 2000, XP, Vista - Macintosh OSX - Linux ( out of the box biyometri kimlik denetimi) Standartlar ve Sertifikalar - FIPS Seviye 2 - USB 1.1 ve FCC - CE Diğer - Gömülebilen USB konnektörü - Güç, veri transferi ve kimlik denetim durumu için LED - USB-Bus üzerinden elektrik tedariki Sayfa 9 von 14

10 saytrust Standard USB Access Client vs. Personal Security Device MXP Performans Özellikleri Standart FIPS L2 sertifika - CE Sınıf B sertifika - FCC Sınıf B sertifika - Sürücüye gerek yoktur Biyometrik giriş (parmak izi) PSD MXP Sensör Teknolojisi Çizgi sensörü Çizgi sensörü Şifre 4-40 karakter 4-40 karakter Şifreleme On Board Hardware + şifreleme USB 2.0 / 1.1 destek Hafıza kapasitesi 128MB-8 GB 128MB-8 GB Maks. kullanıcı sayısı 1 5 Administratör Aracı hayır ACCESS Enterprise Durum göstergesi hayır LED'ler üç renkli Kasa plastik Metal / Konnektör gömülü olabilir Maks. belirlenecek parmak izi sayısı 10 6 Kimlik Denetimi ve Kullanıcı İlkeleri Biyometrik kimlik denetimi Şifre ile kimlik denetimi İki etaplı kimlik denetimi (Biyometri + şifre) Üç etaplı kimlik denetimi (Biyometri + şifre+dijital kimlikler) Biyometri Tekrar Deneme sınırları ayarlanabilir hayır Şifre Tekrar Deneme sınırları ayarlanabilir hayır Biyometri hassaslığının ayarı hayır Biyometrik Güvenlik Seviyeleri (yanlış kabul oranı) Genel Şifreleme Fonksiyonları hayır 256 simetrik şifre, AESHOTP secret keys için hayır 504 asimetrik şifre, 3072 Bit RSA keys için hayır "Bir seferlik şifre oluşturma" OATH HOTP hayır algoritmasına göre 256 Bit AES şifreleme (FIPS Pub 197) hayır SHA-1 ve SHA-256 Hash şifreleme (FIPS Pub 180- hayır 1/180-2) Keyed-Hash Mesaj Kimlik Doğrulama Kodu (HMAC) hayır (FIPS Pub 198) RSA şifre oluşturma (X9.31 ve PKCS #1) hayır 5 (beş) 1:2.700 ve 1: FAR arası RSA şifre hayır 1024 / 2048 / 3072 bit RSA imza (X3.91 ve PKCS #1) hayır RSA Şifreleme ve şifre kaldırma (PKCS #1) hayır Sayfa 10 von 14

11 Server Türleri (Hardware açısından) Maks. kullanıcıları Access saytrust 50 saytrust 250 saytrust 500 saytrust 1000 saytrust sınırsız sınırsız Kasa 19", 1 HE 19", 1 HE 19", 1 HE 19", 2 HE 19", 2 HE Ağ bağlantıları 10/100/1000 GB 2 x Intel 2 x Intel 2 x Intel 2 x Intel 2 x Intel HDD SATA-II 1 x 80 MB 2 x 80 MB 2 x 80 MB 2 x 250 MB 4 x 250 MB RAID Hayır Seviye 1 Seviye 1 Seviye 1 Seviye 1 / 10 RAID-Deneticisi Hayır Hayır Hardwareraid Hardwareraid Hardwareraid Değişken HHD çerçeve Hayır Hayır Evet Evet Evet hot- HDD swappable Hayır Hayır Evet Evet Evet CPU C2D C2D C2D Intel C2Q XeonQ RAM 1 GB 1 GB 2 GB 4 GB 8 GB Ağ parçası ek Hayır Hayır Hayır Evet Evet CD ROM Hayır Hayır Hayır Evet Evet Ağ arayüz kartları isteğe göre genişletme Hayır USB Acil durum Evet Evet Evet Evet Evet HDD Evet Evet Evet Evet Evet Sayfa 11 von 14

12 saytrust Server - Özellikleri Genel saytrust Server Özellikleri Administratörler için acil durum konfigürasyonu (acil durum modu) Fiziksel arayüz üzerinden alt ağlar Fiziksel ve görsel DMZ desteği Birden çok ağ arayüzü Harici ve dahili iletişim desteği Resmi DNS Server desteği Resmi olmayan DNS Server desteği Statik Routes Tünel Seçenekleri (16 seçilebilen Port) Sertifikalar üzerinden kimlik denetimi HTTPS WEB-GUI Web bazlı yönetim WEB GUI üzerinden birden çok kullanıcının yönetimi SPI Firewall Ağ relay Port düzenleyici Gruplar ve Kullanıcılar Grup İlkesi ADS içe aktarım Giriş protokolleri Grup yönetimi Kullanıcı yönetimi Grup engeli Farklı kimlik denetim yöntemleri Gruplara bağlı SOCKS-Proxy Teşhis İmkanları Pingtest Route takibi (Trace) GUI üzerinden DNS Testi Port kontrolü Destek Panic login İstatistikler ve protokoller Otomatik sistem güncelleştirme Sayfa 12 von 14

13 Güvenlik VPN kullanıcıların aksine SAYTRUST kullanıcıda TCP bazlı protokoller her zaman tünel aracılığıyla bir porta gönderilir. Bu şekilde her ağda işlem yapılabilir ve böylece arkasında bulunan ağın güvenliği arttırılmış olur, çünkü sadece bir portun dışarıya konfigüre edilmesi gerekir. Tünelin kullanılmasıyla veriler ek olarak HTTPS ve RDP lere on-top şifrelenir. Tüm işlem süresi esnasında bütün TCP bağlantıları tünele yöneltilir. Böylece kullanıcı bu süre esnasında güvenli bağlantı üzerinden çalışır. Diğer tüm TCP bağlantıları da tünelden geçirilir. Bağlantı - Kimlik denetimi için 2048 Bit genişliği olan RSA KeyFile (Public Private Konsept) - TCP hizmetinin şifrelenmesi. örneğin: RDP, http, FTP,... Güvenlik Kimlik Denetimi - Kimlik denetimi sadece(!) Keyfile ile mümkündür Güvenlik Konsepti - saytrust server da Proxy Server ın doğrudan kullanılması - Proxy Server talep üzerine yeni bir bağlantı kurar - http olmayan tüm paketler Proxy Server da filtrelenir Kullanıcı Güvenliği - Bütün TCP talepleri Proxy Server a gönderilir - Bağlantı ve kimlik denetimi ile sınırlama Server Güvenliği - Bütün portlar dıştan kapatılmıştır - saytrust Server ı mevcut Firewall un arkasında çalıştırılır - Dışarıdan gelen şifreli bağlantı için portlar açılır - Yönetim (http) için portlara içeriden giriş yapılabilir! Bu alan bir şifre ile kapatılmıştır Update ler - Update ler http üzerinden bir Server tarafından transfer edilir ve sadece başarılı download dan sonra yüklenir - Bir update yapabilmek için administratörün aktif olması gerekir - Server üzerinde şifreli bağlantının paketlerini Proxy Server e gönderen bir loopback arayüz tanımlanmıştır - Bütün paketler e gönderilir ve şifreli bağlantının diğer ucunda bir loopback arayüzüne verilir. Bunun üzerine Proxy Server paketleri kabul eder (izinli ise) Sayfa 13 von 14

14 Konfigürasyon Örneği Aşağıda örnek olarak saytrust server konfigürasyonunun farklı seçenekleri verilmiştir. Mevcut Firewall olmadan Konfigürasyon Bu saytrust Server konfigürasyonunda saytrust server Firewall görevini üstlenir. Resimde (a) gösterilen ağ arayüz kartı Eth0, Router ya da Modemden IP adresini alır (resmi IP adresi). vdahili ağ eth1 (b) ağ arayüz kartı dahili ağın IP adresini alır (özel bir IP adresi). Firewall ve Ağ arasında saytrust serverk saytrust server bu konfigürasyonda Firewall ve ağ arasında bulunmaktadır. Ağ arayüz kartı et0 (a) Ip adresi Firewall üzerinden aktarılmalıdır. İkinci ağ arayüz kartına eth1(b) firma ağından bir IP adresi verilir. Bu konfigürasyonda internetten tüm veri paketleri firma ağına ve dahili ağdan saytrust server aracılığıyla dışarı iletilir. Böylece saytrust server aracılığıyla maksimum veri transferi sağlanır. Firma Ağı İçerisinde saytrust server Bu konfigürasyon versiyonunda saytrust serverı, firma ağının içerisinde bulunmaktadır. Sadece saytrust server için olan talepler saytrust server a iletilir. Birden fazla Ağ Parçası olan saytrust server Bu konfigürasyonda saytrust server üzerinden giriş izinleri sadece tek tek bilgisayar veya alt ağlara değil, aynı zamanda DMZ lerin içinde bulunan kaynaklara da gönderilir. saytrust server bu konfigürasyonda Firewall ve dahili ağın arasında bulunmaktadır ve çalışma yerlerine, firma ağına ya da DMZ lere olan talepleri kontrol eder. Sayfa 14 von 14