Как устроен вход по цифровым удостоверениям

Право входа на устройство целиком описано в цифровом удостоверении инженера, а устройство проверяет это удостоверение самостоятельно — офлайн, без обращения к серверу.

Термины

Как это устроено

Что меняется по сравнению с типовой практикой

Устройства парка стоят там, где нет ни постоянной доверенной сети, ни присутствия администратора. Обслуживают их люди, которые сотрудникам владельца парка чаще всего не подчиняются.

Три обстоятельства, которые всё определяют

Устройство не может спросить сервер. Канал до устройства либо отсутствует вовсе, либо не считается доверенным, либо недоступен ровно тогда, когда инженер приехал чинить неисправность. Схема, в которой вход подтверждает центральный каталог, в этот момент перестаёт работать: инженер стоит у устройства, а войти не может. Обходной путь — локальная учётная запись с паролем «на случай отсутствия связи» — на практике становится основным и сводит контроль к нулю.

Работы выполняет подрядчик. Владелец парка не знает поимённо инженеров, которые выйдут на смену, и не управляет их приёмом и увольнением. Заводить каждого в свой каталог — значит вести чужой кадровый учёт с неизбежным отставанием: уволенный у подрядчика сотрудник у владельца парка остаётся действующим.

Доступ нужен узкий и короткий. Инженеру на смене требуется одно устройство на несколько часов и один набор операций. Выдаваемый на практике доступ — бессрочный, ко всему парку и с административными правами, потому что различать сложнее, чем выдать всё сразу.

Что из этого следует

Требуется схема, в которой решение «кому и что можно» принимается заранее и едет вместе с инженером, а устройство лишь проверяет его подлинность и рамки. Тогда отсутствие связи перестаёт быть проблемой, кадровый учёт остаётся у подрядчика, а объём и срок доступа задаются в момент выдачи.

Удостоверение даёт не доступ без ограничений, а доступ с точно указанными рамками: на какие устройства, под какой ролью и до какого момента. Рамки подписаны вместе с самим удостоверением, поэтому изменить их после выдачи нельзя.

Откуда устройство знает, кому верить

На устройстве при установке размещается корневой сертификат владельца парка — и больше ничего персонального. Устройство не хранит ни списка инженеров, ни их паролей, ни сведений о подрядчиках. Всё, что оно умеет, — проверить, что предъявленное удостоверение выписано по цепочке, ведущей к этому сертификату, и что рамки каждого звена цепочки соблюдены.

Отсюда следует главное практическое свойство: добавление нового инженера не требует ничего делать с устройствами. Ему выписывается удостоверение, и парк принимает его немедленно — потому что парк доверяет не списку людей, а подписи.

Почему это работает без сети

Все данные, нужные для решения о входе, находятся в двух местах: корневой сертификат — на устройстве, всё остальное — на носителе, который инженер привёз с собой. Проверка подписи — локальное вычисление. Единственное место, где схема в принципе может обратиться в сеть, — проверка отзыва; её источник выбирается при настройке явно. Для контуров без связи выбирается локальный список отзыва, и тогда сетевых обращений не возникает вовсе.

Полномочия передаются по цепочке, и на каждом шаге они могут только сузиться. Это свойство проверяется устройством, а не держится на добросовестности звеньев.

Почему подрядчик не может выйти за рамки

Ограничения подрядчика записаны в его собственных полномочиях и подписаны владельцем парка. При входе устройство проверяет все звенья цепочки одновременно: итоговое право — это пересечение рамок каждого звена. Если подрядчик выпишет своему инженеру разрешение шире полученного — на чужой регион, на запрещённую роль, на срок больше отведённого, — устройство откажет во входе, потому что сверяет запрошенное не только с последним разрешением, но и с рамками вышестоящих.

Какие ограничения можно задать

Глубина цепочки не ограничена: подрядчик вправе делегировать полномочия субподрядчику, тот — своему подразделению, и так далее. Правило сужения действует на каждом шаге, поэтому удлинение цепочки не ослабляет контроль.

Как схема ложится на работу с заявками

Последнее звено цепочки — разрешение на смену — по составу совпадает с заявкой на работы, которая в эксплуатации и так оформляется заранее. Заявка уже отвечает ровно на те вопросы, которые нужно записать в удостоверение.

Выпуск разрешения становится продолжением согласования заявки, а не отдельной процедурой: заявку согласовали — инженеру выписано разрешение ровно на это устройство, эту роль и это окно. Работы закончились — разрешение истекло само, отзывать вручную нечего.

Выпуск разрешений при этом остаётся у подрядчика — в рамках, выданных владельцем парка. Владельцу парка не требуется участвовать в оформлении каждой смены: он задал границы один раз, а соблюдение границ проверяет устройство.

Удостоверение инженера — это стандартный цифровой сертификат X.509, в который добавлены поля, описывающие рамки доступа. Формат стандартный, поэтому удостоверения можно выпускать и хранить существующими средствами.

Ролевые учётные записи на устройствах

Роль в удостоверении указывает на ролевую учётную запись, под которой инженер входит. Сами ролевые учётные записи, их группы и права на выполнение команд должны быть единообразны по всему парку; приведение парка к такому единому описанию — отдельная задача, решаемая вне пути входа и не связанная с выпуском удостоверений.

Инженер подключает носитель и вводит секрет носителя. Дальше устройство выполняет проверки в фиксированном порядке. Любая непройденная проверка означает отказ.

Что видит инженер при отказе

Инженеру сообщается обобщённая причина — достаточная, чтобы понять, что делать (не тот носитель, истёк срок, неверный секрет), но не раскрывающая деталей настройки парка. Подробная причина попадает в журнал устройства и доступна службе эксплуатации.

Если носителей не выдают вовсе

Для случаев, когда логистика носителей нецелесообразна — разовые выезды, широкий круг подрядчиков, — вторым фактором может служить телефон инженера: код с экрана устройства подтверждается во внешнем контуре, инженер вводит ответный код. Устройство при этом по-прежнему принимает решение само. Это отдельный вариант поставки; здесь он далее не разбирается.

Удостоверение можно выпустить пятью способами. Они различаются не удобством, а тем, кто в итоге знает закрытый ключ и что передаётся по каналам связи. Это решение определяет, можно ли по удостоверению утверждать, что им пользовался именно тот инженер, которому оно выдано.

Два признака, задающие процесс

Где рождается закрытый ключ — главный признак. Он задаёт, сколько секретов передаётся между людьми и на чём держится доказательство авторства действий.

Носитель — второй признак. Он определяет только то, кто может физически добраться до удостоверения. Сам по себе носитель не защищает ключ от копирования: с пассивного токена ключ копируется так же, как с флешки.

Что различается на самом деле

Что передаётся по каналам связи

В процессах П2, П4 и П5 по каналам не передаётся ни одного секрета — перехват переписки не даёт ничего. В П1 и П3 секретов два, и оба покидают выпускающего. Ниже показано, как это выглядит по шагам.

Процесс П1 / П3 — ключ порождает выпускающий

Процесс П2 / П4 — ключ порождает инженер

Процесс П5 — ключ рождается внутри токена

Как выбирать

П1 и П3 подходят, когда инженеров много, состав их меняется, а ставить инструмент на их рабочие места некому. Цена — два секрета покидают выпускающего, и закрытый ключ с этого момента известен обеим сторонам. По самому удостоверению нельзя сказать, кто им воспользовался; связь с человеком даёт только учёт выдачи.

П2 и П4 подходят, когда инструмент на рабочем месте инженера поставить можно, а активных токенов нет. Ключ не покидает инженера, по каналам не идёт ничего секретного.

П5 — единственный процесс, где закрытый ключ вообще не покидает устройство. Требует активных токенов и инструмента у инженера; даёт наиболее строгую связь удостоверения с человеком.

Регистрация один раз, выдача много раз

В процессах, построенных на запросе на выпуск — П2, П4 и П5, — инженер формирует запрос один раз. Дальше по этому запросу выпускающий выдаёт сколько угодно удостоверений: под каждую заявку своё, со своими рамками и своим сроком.

Так и задумано: запрос на выпуск — это регистрация инженера, а не заявка на конкретное удостоверение. Для П5 иначе и быть не может: ключ порождается внутри токена один раз и живёт там постоянно. Поэтому выдача разрешения на смену ничего от инженера не требует: он зарегистрировался однажды, а дальше под каждую заявку ему выписывают очередное удостоверение.

Обратное тоже ничем не ограничено: инженер может формировать новый запрос перед каждой выдачей — тогда и ключ каждый раз будет новым. Как часто обновляется регистрация, решает владелец парка; обновление означает новую ключевую пару — внутри токена в П5, на рабочем месте в П2 и П4.

При каждой выдаче инженер записывает полученное удостоверение на носитель: в П2 и П4 пересобирает контейнер, в П5 записывает объект в токен. Это локальная операция на его рабочем месте: ни ключ, ни логистика носителей в ней не участвуют.

Что из этого следует для эксплуатации

Проверка выданного до выезда

Во всех процессах инженер проверяет полученное удостоверение на рабочем месте: соответствует ли оно ключу, сходится ли цепочка, не истёк ли срок, есть ли роль, на месте ли обязательные поля. Без этого шага непригодное удостоверение обнаружится на экране входа — у устройства, где исправить его нечем. Привязку к устройству на рабочем месте проверить нельзя: инженер работает не на том устройстве, для которого выпущено удостоверение.

Носитель определяет, кто может добраться до содержимого, если носитель потерян или похищен, и можно ли скопировать с него закрытый ключ.

Что может сделать нашедший

Отсюда следует, что пассивный токен строже флешки, хотя ключ с него копируется так же: подбор пароля на своём оборудовании становится недоступен, потому что до контейнера ещё нужно добраться.

Работа с токенами опирается на стандартный интерфейс и библиотеку производителя устройства, поэтому парк не привязан к одной модели: подходят распространённые на отечественном рынке токены, и состав моделей можно менять со временем, не меняя ни схему выдачи, ни настройку устройств.

В схеме два независимых механизма прекращения доступа. Основной работает без связи с устройством вовсе.

Почему короткий срок — основной инструмент

Список отзыва нужно доставить на устройство, а доставка — именно то, что в рассматриваемом контуре ненадёжно. Поэтому нагрузка переносится на срок действия: чем короче разрешение, тем меньше окно, в котором отзыв вообще актуален. Разрешение на одну смену делает список отзыва средством для исключительных случаев, а не ежедневным инструментом.

Порядок действий при утрате носителя

1. Инженер сообщает об утрате; выпускающий вносит удостоверение в список отзыва.
2. Обновлённый список распространяется по парку штатным порядком.
3. Если утраченное разрешение было выдано на смену, отдельных действий по парку может не потребоваться — оно истечёт раньше, чем список успеет разойтись.
4. Инженеру выдаётся новое удостоверение обычным порядком.
5. Факт утраты и отзыва фиксируется в журнале выдач.

Каждая выдача попадает в журнал выпусков независимо от выбранного процесса. Записи связаны хеш-цепочкой: изъять или изменить запись задним числом, не нарушив цепочку, нельзя.

Что видно по журналу

• кому и когда выдано удостоверение;
• с какими рамками — устройства, роль, уровень, срок;
• кто был выпускающим и по какой цепочке полномочий он действовал;
• каким процессом выпущено — в частности, порождал ли ключ выпускающий;
• факты отзыва.

Всё это доступно без обращения к самим носителям и без опроса устройств — что существенно для контура, где устройства недоступны по сети.

Журнал устройства

Отдельно от журнала выдач каждое устройство ведёт собственный журнал событий входа: успешные входы с указанием предъявленного удостоверения, отказы с причиной, извлечения носителя и вызванные ими действия. Журнал устройства передаётся в систему сбора событий владельца парка штатными средствами операционной системы, когда связь доступна.

Схема описывает механику проверки, но не решает за владельца парка, кому и что можно. Это решения о политике доступа: владелец принимает их заранее, а не в момент каждого входа, и дальше устройства исполняют их сами.

Что владелец парка определяет сам

Что нужно на стороне устройств

• Размещение корневого сертификата на каждом устройстве при установке или в составе образа.
• Единообразные ролевые учётные записи по всему парку.
• Канал доставки списков отзыва — любой, вплоть до переноса на носителе при выезде.
• Разъём для носителя, доступный инженеру, и порядок обращения с ним.

Сводка примечаний, расставленных по тексту. Ниже перечислены меры, реализацию которых схема поддерживает, и указано, чем именно — какое свидетельство получает аудитор.

ГОСТ Р 57580.1-2017 — защита информации при управлении доступом

ГОСТ Р 57580.4-2022 — операционная надёжность

Что показать аудитору

Отдельным свидетельством служит конфигурация устройства: какие носители и режимы разрешены и какие проверки выполняются на входе. Требования ФСТЭК России здесь не разбираются.

Ниже перечислено то, чего схема не делает. Перечень приведён намеренно — чтобы ожидания при внедрении были верными.