FCBrasil - Segurança, Redes e Backup

Tokens

Tokens

Um token é uma chave de acesso à rede que usa autenticação em 2 fatores. Para ganhar acesso a uma rede protegida um usuário deve possuir um token. O token é primeiro fator e é referenciado como "algo que somente você tem".

Um token, enquanto é bem complexo do ponto de vista de engenharia, realmente faz uma função bem simples: gera uma nova senha única para cada tentativa de login a qualquer rede. Junta-se a esta senha o PIN (Personal Identification Number). Esta senha é individual, representa o segundo fator da autenticação forte e é referenciada como "algo que somente você sabe".

Estes dois fatores são as colunas de sustentação de qualquer solução de autenticação forte baseada em OTP. Todas as soluções da CryptoCard suportam o uso do PIN para realizar a autenticação.

Alguns tokens em hardware permitem que as baterias internas sejam substituídas quando necessário, prolongando a vida útil dos mesmos e reduzindo drasticamente os custos de uma solução baseada em tokens OTP.

Tipos de Tokens

A CryptoCard fornece uma grande seleção de tokens. Os tokens estão disponíveis em 2 tipos: tokens em hardware e em software. Alguns tipos de tokens são:

• KT-4 (em aço inox e com baterias substituíveis)
• KT-5 (invólucro plástico)
• MP (Multiplataforma): tokens em software para diversas plataformas como: Windows, Linux, Mac, BlackBerry e telefones móveis Java
• iPhone: implementação do soft token para iPhone
• SMS: a solução mais completa do mercado.
• CD-1 (cartão de banco com chip, tarja magnética e token OTP)
• GrID (apresenta ao usuário uma matriz de células durante o cadastramento contendo caracteres aleatórios, a partir dos quais eles escolhem um padrão de identificação pessoal (PIP). Vide exemplo abaixo.)
• Secure Flash Drive
• RB-1 (estilo calculadora, em aço inox e com baterias substituíveis)
• OATH
• Tokens de Terceiros (por exemplo, RSA SecureID)
• SC-1 (Smart card com leitora USB ou PCMCIA, podendo armazenar certificados digitais)
• ST-1 (token em software para Windows (98/2000/2003/XP/XPPro), Red Hat Linux (Enterprise 3/4), SuSE Linux Enterprise 9, Mac OS X Tiger, PDAs rodando PocketPC e BlackBerry)

 

Alguns exemplos são:

 

Token específico para o setor bancário - CD-1.
Os modelos de tokens em hardware incluem: chaveiros, tipo calculadora, "smart card" com leitora, "smart card USB".
Os tokens em software suportam uma série de plataformas entre elas: Windows, Linux, Celulares JAVA e Blackberry.
Token GrID.

 

BlackShield Server

BLACKShielD Server

O BlackShield Server é a plataforma de autenticação forte da CryptoCard e roda em servidores Windows. Suportando uma série de novas tecnologias de autenticação de 2 fatores, a solução BlackShield Server possui as seguintes características principais:

• Autenticação Forte de Dois Fatores: Proteja todos os seus pontos de acesso de rede remotos e locais contra entradas não autorizadas. Com funções como: integração com Active Directory, provisionamento automatizado baseado em regras, pre-autenticação e auto registro de usuário, afirmamos que o BlackShield Server é uma solução de autenticação total com um consumo mínimo de administração.
• Soluções com Token e Sem Token: Se você procura por tokens em hardware reforçados e de alta durabilidade, tokens em software multiplataforma para PC's, BlackBerry, fones Java e outros dispositivos portáteis, ou deseja combinar autenticação com flash drives USB seguros ou interessado em simplicidade de administração de tokens SMS ou Grid (espaço ocupado =zero), possuímos uma solução para você. Simples, fácil de usar e nunca expira.
• Segurança e Conformidade: Desenvolver uma Política de Segurança que obedeça requisitos de auditores externos e proprietários internos pode ser difícil. Veja como o BlackShield ID pode levá-lo aonde precisa com a integração LDAP, automação de workflow, alertas de limiares de segurança e registros e relatórios embutidos.
• Custo Total de Propriedade: Porque nossos tokens possuem uma longa garantia e nunca expiram, você não necessitará recomprar e reimplantar os tokens, o que acontece com as soluções dos competidores. Acrescente o provisionamento automático auxiliado pelo Active Directory, auto registro de usuário e gestão por alertas de exceção e você verá por você mesmo porque muitas empresas estão mudando para a CryptoCard.

Estrutura da solução

A solução BlackShield Server é orientada à plataforma Microsoft. Aproveita elementos da Microsoft como: Active Directory, IAS/NPS, IIS, etc.

 

O BlackShield Server pode ser instalado em máquinas rodando Windows 2003 ou 2008 e ocupa muito poucos recursos. Sua integração com AD é nativa e não requer mudanças em seu esquema.

Outras características inovadoras são:

• Capacidade de usar múltiplos LDAPs e bases de dados SQL (estas últimas normalmente associadas a usuários temporários)
• LDAP PreAuth
• Auto-Ativação de usuários
• Importação de tokens pré-programados
• Relatórios e Auditoria

Tokens Suportados

Os seguintes tokens são suportados pelo BSID:

• MP Software Tokens para Windows
• KT tokens
• iPhones
• GrIDsure
• SafeStick Secure USB Flash Drive                                                         
• MP-1 Token for Java Phones
• MP-1 Token Plugin para o Firefox
• IronKey Secure USB Drive
• SMS/Email
• OATH
• Tokens de Terceiros (por exemplo, RSA SecureID)

Agentes Suportados

A grande maioria de equipamentos de rede pode ser configurada para usar a autenticação do BSID em questão de minutos sem a necessidade de se instalar agentes separados. Alguns exemplos incluem produtos da Cisco Systems, Juniper Networks, SonicWall, WatchGuard e Citrix. Para aquelas situações onde a capacidade RADIUS não é nativa, um agente BlackShield ID pode ser instalado.

O licenciamento do BlackShield ID inclui uma ampla gama de agentes que podem ser implementados quando necessários sem custo adicional. A quantidade de agentes está sempre em crescimento. Nos contacte se aparentemente um agente não estiver disponível para sua aplicação ou se você quiser aprender a desenvolver seu próprio agente.

Dentre eles podemos destacar:

• Windows Logon
• Citrix Web Interface 4.6
• Componentes Microsoft IAS e NPS
• Aplicações Web do Microsoft IIS 6
• Agentes RADIUS
• RSA Authentication Manager Migration Agent
• PAM - Pluggable Authentication Module
• Juniper Networks Steel Belted RADIUS

BlackShield Cloud

BlackShield Cloud

O BlackShield Cloud (antes denominado Crypto-MAS) pode ser usado para adicionar autenticação forte a uma variedade de dispositivos de acesso a redes, sites de web e aplicações (que aqui chamamos de Authnodes). Praticamente todos os firewalls, VPNs e SSL VPNs se comunicarão com o BlackShield Cloud via o protocolo RADIUS. A configuração pode ficar pronta em alguns minutos, após o que os usuários podem iniciar autenticação com seus tokens.

Isto inclui a maioria dos dispositivos de fabricantes como: Cisco, Checkpoint, Juniper, Sonicwall, Fortinet e Watchguard por exemplo, bem como as ofertas de firewall e VPN da Microsoft. As aplicações publicadas via Citrix podem ser protegidas usando o seu suporte embutido a RADIUS ou usando um agente CRYPTOCard – um pequeno software que facilita a comunicação segura.

O serviço BlackShield Cloud é uma implementação das soluções BlackShield para o novo mundo de Cloud Computing. Fácil e rápido de implementar, é a solução mais em conta do mercado para corporações que desejam terceirizar suas plataformas que não pertençam ao negócio fim.

Suas principais características são:

• Fácil integração com a maioria de fabricantes de solução de firewall
• Agente para integração segura com Active Directory
• Integração com Outlook Web Access (OWA) da Microsoft
• Interoperação com IIS

Aplicações Suportadas

As principais aplicações suportadas são:

• Aplicações web e na Nuvem: SAML, APIs e Microsoft IIS
• Dispositivos de Acesso a Redes: Cisco, Juniper, SonicWall, Checkpoint, Citrix, Fortinet, MS UAG, WatchGuard, ROVE Mobile, etc.
• Protegendo aplicações Linux via PAM: VMware ESXServer, login, Telnet, FTP, SSH, KDE/GNOME, Xscreensaver, POP, POPS, IMAP, SMTP, PPP, etc.
• Protegendo aplicações Windows:Windows Logon, Windows Desktops, Offline Logon, RDS/Terminal Server, Acesso a Servidores, etc.

CryptoShield

Crypto-Shield

O Crypto-Shield é composto dos seguintes módulos:

• Crypto-Server: disponível prioritariamente para as plataformas Linux e Mac, se integra com LDAP/Open Directory para administração dos usuários. Suporta MySQL, PostGRE e Oracle.
• Crypto-Console: Provê uma interface GUI para a gerência da solução.
• Crypto-Logon: oferece logon baseado em OTP para computadores e domínios. Suporta OTP para Citrix bem como autenticação para laptops desconectados.
• Crypto-VPN: fornece autenticação forte para acesso remoto. Suporta soluções baseadas em: Apple, Cisco, Nortel, Checkpoint, Juniper e muitos outros.
• Crypto-Web: usado para proteção via OTP em acessos a páginas web e portais. Possui versões para IIS e Apache.

A figura abaixo ilustra o ambiente de implantação da solução Crypto-Shield.

 

 

Crypto-Server

O Crypto-Server é o componente de autenticação do Crypto-Shield, suite de autenticação de dois fatores da CryptoCard. O Crypto-Server aceita solicitação de autenticação de firewalls, dispositivos VPN, e também de outros componentes Crypto-Shield como Crypto-Web e Crypto-Logon. Usando senhas válidas somente uma vez, o Crypto-Shield protege a sua rede de acesso não autorizado.

Crypto-Console

O Crypto-Console permite gerência eficiente e efetiva de segurança, incluindo:

• Acesso a usuários no diretório LDAP
• Importação, criação, gerência e exclusão de usuários
• Criação de grupos e seus privilégios
• Designação de privilégios restritos ao operador (role-based)
• Designação, gerência e exclusão de tokens
• Configuração e inicialização de tokens
• Reinicialização de senhas e PINs

Algumas características da integração completa entre o Crypto-Console e sistemas de diretórios suportados:

• Não requer mudanças nos schemas dos diretórios
• Não adiciona, modifica ou apaga qualquer dado
• Qualquer modificação no diretório é imediatamente aplicada ao Crypto-Server
• Não requer atualizações ou importações periódicas do diretório
• Suporte disponível para: Active Directory, LDAP, Open Directory e diretório interno ao Crypto-Server
• Grupos estão disponíveis como grupos de autenticação CryptoCard
• Suporte a falha

Bases de dados suportadas (armazenamento de dados dos tokens):

• MySQL
• MS SQL
• Oracle

CRYPTO-Logon

O Crypto-Logon foi projetado para ajudar os clientes corporativos a garantir que os recursos de rede sejam acessíveis somente a usuários autorizados, estejam eles trabalhando remotamente ou dentro do firewall. Ele oferece uma experiência de login de usuário simplificada e consistente, virtualmente elimina as chamadas ao help-desk relacionadas à gerência de senhas, e ajuda as organizações a atenderem os requerimentos regulatórios para a indústria, comércio, sistema bancário e o governo, tais como Sarbanes-Oxley (SOX), HIPAA ou Gramm-Leach-Bliley.

CRYPTO-Logon para Microsoft Windows

O Crypto-Logon para Windows é uma solução completa que impõe autenticação com token para todos os pontos de acesso do domínio, incluindo logon emdomínio, IIS, OWA, Servidor de Terminal e Citrix. Uma vez totalmente implementado, o Crypto-Logon assegura que somente usuários que possuem um token da CryptoCard estarão aptos a obter acesso à rede, aos sistemas e aos recusros protegidos do Windows.

Migração por Estágios

O Crypto_logon autentica exclusivamente ao software Crypto-Server contido dentro do controlador de domínio Active Directory. Nem toda estação de trabalho dentro do domínio tem que usar o Crypto-Logon, tampouco devem todos os usuários possuírem um token. As implementações do Crypto-Logon suportam o uso concorrente de proteção por senha estática da Microsoft e autenticação de 2 fatores da CryptoCard para usuários diferentes dentro do domínio. Isto permite uma migração em estágios de usuários para o Crypto-Logon quando for conveniente e apropriado.

Agentes CRYPTO-Logon

O CRYPTO-Logon para Windows inclui agentes para:

• Controlador de Domínio
• Clientes Desktop
• Servidor de Terminal
• OWA 2003
• IIS 6.0
• Citrix para Componentes Windows

CRYPTO-Logon para Linux

O CRYPTO-Logon é um módulo de autenticação plugável, ou Pluggable Authentication Module (PAM), aprimorado para computadores baseados em Linux. Ele provê autenticação de dois fatores para o logon de máquinas locais e para daemons de servidores habilitados ao PAM. Uma vez instalado na máquina cliente, o usuário está apto a autenticar contra o Crypto-Server usando sua senha válida somente uma vez (OTP).

Aplicações Habilitadas ao PAM

O Crypto-Logon pode ser aplicado a uma grande variedade de sistemas e serviços. Exemplos de aplicações do Crypto-Logon para Linux são:

• Telnet
• FTP
• GDM e KDM
• SSH
• pppd
• vpnd
• screensaver