Az AAA szerver licencelési tapasztalatai

Átírás

1 Az AAA szerver licencelési tapasztalatai 1.1. Az RSA eljárás egy nyílt kulcsú (vagyis aszimmetrikus ) titkosító algoritmus, melyet Ron Rivest, Adi Shamir és Len Adleman fejlesztett ki (és az elnevezést neveik kezd bet ib l kapta). Ez napjaink egyik leggyakrabban használt titkosítási eljárása. Az eljárás elméleti alapjait a moduláris- és a prímszámelmélet egyes tételei jelentik. Az RSA egyaránt alkalmas titkosításra és digitális aláírásra, és ez a képessége tovább növelte népszer ségét. Jelenlegi matematikai ismereteink szerint egy megfelel gondossággal kivitelezett RSA-titkosítás eredménye számításelméleti okok miatt nem fejthet (és ilyen megfejtési eljárást még tényleg nem hoztak nyilvánosságra). Az eljárás a nagy számok faktorizációjának problémáján alapul, vagyis hogy egy kell en nagy számról nehéz megállapítani annak prímtényez it. Ha egy szám két igen nagy prímszám szorzata, akkor ennek prímtényez s felbontása még igen nagy számítógépekkel is nagyon sokáig tart. Két nagy (de egyenl bitszámú) prímszám szorzata (N = p*q) adja az RSA modulusát. Az N szám bináris alakban írt bitjeinek a száma adja a rejtjelz kód hosszúságát, ami a gyakorlatban általában n=128, 256, 512, 1024 szokott lenni RSA SecurID hardware tokenek "hacker-ellenálló" két-elemes hitelesítést adnak, könny használat és hatásos user azonosítás jellemzi. RSA Security alapja a szabadalmazott id szinkronizációs technológia, ez a hitelesítési eszköz generál egy egyszer, egyszeri hitelesítési kódot, amit 60 másodpercenként megváltoztat.. A címzett er forrás védett az RSA SecurID rendszerrel, a user egyszer en összekötik az titkos Személyi azonosító kódját (PIN) (amelyet csak ismer) a token által generált hitelesít vel (publikus, eszközön megjelen ). Az eredmény egy egyedi, egyszer használatos jelszó, ami a használóját valóban azonosítja. Ha a kód érvényesített a RSA SecurID rendszer által, a felhasználónak engedélye van megcímzett védett er forráshoz. Ha ez a kód nem elfogadott, akkor a felhasználó hozzáférése megtagadásra kerül. A hitelesít személy RSA SecurID hardware-rel nincs közvetlen kapcsolatban, nem kell telepíteni vagy fenntartania semmilyen software-t. Ugyanolyan fontos, hogy nem kell program tokenhez sem. Használatra kész állapotban érkezik meg a dobozban. Az RSA SecurID hardware hitelesít egy beépített élettartam akkumulátorral van legyártva és értékesítve. A felhasználónak karbantartás vagy az akkumulátor cseréje nem szükséges. Ezek következménye, a hitelesítési megoldás könnyen védhet és gondoskodik könny használatról.

2 Az RSA SecurID hardware hitelesít knek 5 rendelkezésre álló modellje van: RSA SecurID 700 RSA SecurID 700: Ez a hardver eszköz egy kisebb kulcszseb modell, ami könnyen kapcsolható a kulcscsomóhoz és nagyon kényelmes a végfelhasználónak. Minden 60 másodpercben új kód generálódik a RSA SecurID AES algoritmus által. Ez nagyon tartós token, amely képes könnyedén az RSA kiválasztott programján keresztül kommunikálni, a használatára tervezett RSA Authentication Manager 5.1 vagy nagyobb verziójával m ködik együtt. RSA SecurID 800 RSA SecurID 800: The RSA SecurID 800 hitelesít knek egy több funkciós eszköz, amelyben egyesül az iparág bizonyított hagyományos tulajdonsága, a gyors chip alapokkal Sun Java technológiába csomagolt több területen alkalmazható USB formával. A generálás során, egyszer használatos jelszavak keletkeznek, ezek tároló képessége összetett X.509 digitális hitelesítés, amely engedélyezi hitelesítést, digitális aláírást és fájl titkosítási folyamatokat. Az eszköz képes tárolni különböz felhasználói azonosítószámokat és jelszavak kombinációját a belépést engedélyez alkalmazáshoz. Az összetett támogatás típusa feljogosít az eszköz használatához több alkalmazásnál is. Amikor a kapcsolat létrejött, az RSA SecurID SID800 hitelesít engedélyez alkalmazás jogot adott a hozzáféréshez, eltávolítja a felhasználó által beírt kódot. RSA SecurID 900 Signing Token RSA SecurID 900: The RSA SecurID 900 hitelesít knek egy több funkciós eszköz, amelyben egyesül az iparágban már bizonyított a világ vezet hitelesít tulajdonsága az aláírás funkcióval, az er sen megvédeni kívánt üzleti tranzakciókhoz. The RSA SecurID SID 900 hitelesít nek egyedi szimmetrikus kulcsa van, ami kombinálva van egy er s algoritmussal, a minden 60 másodperces kód generálásához. Ez a kódváltozás használható a jelszóhoz, biztonsági beléptet folyamatnál. Ha egy végfelhasználó aláír egy pénzügyi oldalon és lefolytatandó tranzakciót a (pl. egy átutalás), az oldal kreált a jóváhagyási számot (szintén ismert mint "challenge"). A

3 végfelhasználó beütötte, mint hívó szám az RSA SecurID 900 eszközbe és ez generált egy " válasz " értéket, ami megjelent az LCD kijelz n. The végfelhasználó akkor használja ezt a válasz számot az egyedi digitális aláírásnál a pénzügyi tranzakció védelemben. Az alkalmazás jóváhagyja az aláírást, ennek fejében megkapja a tranzakciós adatot és teljesíti a ügyletet. The RSA SecurID 900 hitelesít kompatibilis az RSA SecurID Authentication Engine (SAE) 2.2-vel, nagyon könny, és könnyen használható hitelesít szoftver megoldás. RSA SecurID 600 RSA SecurID 600: Ez hardware normál kulcszseb méret eszköz, ami könnyen kapcsolható a kulcscsomó gy jére és rámolható be a felhasználó csomagjaiba vagy a retikürbe. A kijelz jére egy egyedi kódot generál az RSA SecurID vagy az AES industrystandard hash algoritmus kombinációja által, egy egyedi szimmetrikus kulcsot tartalmaz a token. Hozzáadott bels órával az algoritmus generál egy új kódot minden 60 másodpercben a el re programozott élettartamon keresztül. RSA SecurID 200 RSA SecurID 200: Ez a hardver kártya egy credit-kártya-alakú eszköz, ami könnyen hordozható és rendkívül tartós. Ez azonos módon m ködik, mint az RSA SecurID 600 kulcszsebnyi eszköz, tartalmazza az RSA SecurID magját (egyedi szimmetrikus kulcs) amely generál és kijelzi a minden 60 másodpercben keletkezett új kódot. RSA SecurID 520 RSA SecurID 520: Ez a hardver PINpad kártya szintén egy credit-kártya-alakú eszköz, ami könnyen hordozható és rendkívül tartós. Csak abban különbözik az RSA SecurID 200 az RSA SecurID 520-tól, hogy a felhasználó beüti a PIN kódját a 10 jegy digitális billenty blokk keresztül, ami a kártyán van elhelyezve. A kód a kijelz n egy zanzatitkosítással a PIN és az aktuális hitelesítési kód kombinációja. Aktuális csomagok tipusai RSA SecurID 600 (key fob) RSA SecurID 700

4 RSA SecurID 800 RSA SecurID 200 (kártya) RSA SecurID 520 (PINpad kártya) Hamarosan elérhet Megkövetelt összetev k RSA SecurID 900 (tranzakció aláírás) RSA SecurID hardware authenticator RSA Authentication Manager software RSA Authentication Agent software RSA Authenticator Utility (SID800 only - supplied with token) RSA SecurID Authentication Engine (SID900 only - RSA Authentication Manager and Agent software nem megkövetelt) Választható összetev k RSA Authentication Deployment Manager provisioning software egyszer sített fejl déshez RSA SecurID Válogatott megszemélyesítés szolgáltatás Rendelési beállítások Ár és hozzáférhet ség Rendelkezésre áll 2-, 3-, 4- és 5-éves verziók Minden RSA SecurID hardware authenticators kapható az RSA Security eladási csatornákon keresztül 1.3. Az AAA rendszer az authentication, authorization, accounting szavak rövidítése. Az authentikáció az a folyamat, amelynek során hitelt érdeml en megállapításra kerül, hogy egy adott hálózati enditás (végfelhasználó, switch, stb.) ki is valójában. Az authorizáció az a folyamat, amelynek során az adott entitáshoz (felhasználókhoz, felhasználói csoprthoz, vagy rendszerhez) jogok rendel dnek. Az authorizáció határozza meg pl., hogy mit tehet egy adott felhasználó a hálózaton. Az accounting folyamat szolgál arra, hogy rögzítse, hogy az egyes entitások pontosan mit tesznek, illetve mit tettek hálózaton tartózkodásuk során. Tulajdonképpen a naplózásról van szó. Az AAA kliens: ez egy hálózati eszközön futó szofver (folyamat), amely lehet vé teszi az adott hálózati eszköznek, hogy az AAA folyamatok elvégzésekor egy AAA szerver szolgáltatásait vegye igénybe. AAA kliens lehet bármely, el bbieknek megfelel hálózati eszköz, pl. switch, router, NAS (Network Access Server), t zfal, stb.

5 AAA szerver: az általa támogatott protokollokkal kommunikáló AAA kliensek számára AAA szolgáltatást nyújtó program. Ez az RSA ACE/Server. Az RSA ACE/Server kezelése tulajdonképpen két adatbázis rész létrehozását és karbantartását jelenti: egyrészt fel kell venni a rendszer használatára jogosult felhasználókat, másrészt a rendszerrel használható tokeneket. Ezt a RSA ACE/Server 5.1 Administrator program segítségével tehet meg. A User menü menüpontjainak segítségével lehet a felhasználói adatbázist kezelni. Az add user, illetve az edit user menüpontok kiválasztásával ugyanazon mez ket, nyomógombokat, stb. tartalmazó ablak jelenik meg, csak az edit user esetében értelemszer en a már felvett felhasználók adataival kitöltve. Az add user menüpontban új user csak akkor lehet felvenni, ha az aktív userek száma nem érte el a licence-ben meghatározott limitértéket. A user határ elérése után lehet ség van a licence b vítésére. A licence.rec fájlt az RSA cég en küldött értesítése alapján letölthet a honlapjukról, a levél tartalmazza a jelszó és felhasználónevet is (a súgó tévesen a disztribútort jelöli meg szállítónak). Ekkor a RSA ACE/Server leállítása után, a Start>Settings>Control panel>add/remove programs menüben az RSA ACE/Server for Windows válasszuk ki a Add/remove gombbal. Majd a megjelen dialógus ablakban kattintsunk a módosítás gombra. Ezt követ en az upgrade licence kiválasztása után tallózuk ki a licence.rec fált. A Licence has been successfully upgrade üzenet után befejezhetjük a frissítést. A szerver újraindítása után a System/Check licence compliance menüvel ellen rizhetjük a müvelet sikerességét. Az Edit user ablakban az Assign token... választva lehet ség nyílik a felhasználóhoz tokent rendelni. Ehhez azonban az kell, hogy a szerverhez megvett tokenek bent legyenek a adatbázisban, amit a token/import tokens... menüpont kiválasztása után a csomagban található *.XML fájl segítségével lehet feltölteni. A csomaghoz a disztribútornak kell leszállítania ma már CD-re mentve. Fontos, hogy miután a token-adatbázis feltöltésre került, minden token disabled (és egyúttal New PIN mode ) állapotban van, azaz nincs hozzárendelve egy felhasználóhoz sem, így nem használható. Amint egy tokent hozzákapcsolunk ( assign ) egy felhasználóhoz, az a token engedélyezésre kerül, de továbbra is New pin mode -ban marad. Azaz az els használatakor hozzá kell rendelni egy PIN-t. Az ACE/Server adatbázisa automatikusan nem ment dik, viszont n het. Ezért ajánlott periódikusan megtisztítania felesleges rekordoktól, tömöríteni, illetve archiválni. Ez különesen igaz a szerver licencelése és az új tokenek felvittele után. Készítette: Lapu Ferenc