🤙 😾 ⬅️ BarsUP.AM: हमने वेब एप्लिकेशन की जानकारी की सुरक्षा के लिए एक टूल कैसे विकसित किया 💻 🐏 🥁

BarsUp.Access प्रबंधक (BarsUp.AM) - गोपनीय जानकारी की सुरक्षा के लिए हमारा सॉफ़्टवेयर पैकेज। रूस के एफएसटीईसी के नियामक दस्तावेजों की आवश्यकताओं के अनुसार इस प्रणाली को डिजाइन और विकसित करते समय, हमें प्रमाणित सूचना सुरक्षा उपकरणों का उपयोग करके वेब अनुप्रयोगों तक पहुंच के प्रबंधन में कठिनाइयों का सामना करना पड़ा।

रूस नंबर 17 के एफएसटीईसी के आदेश में कहा गया है कि सूचना सुरक्षा आवश्यकताओं के अनुपालन के लिए प्रमाणित सूचना सुरक्षा उपकरण का एक विकल्प होना चाहिए, उनकी लागत, सूचना प्रौद्योगिकी और तकनीकी साधनों के साथ संगतता को ध्यान में रखना चाहिए। हमने उस समय बाजार पर क्या देखा और समझा: हमारी सूचना प्रणालियों के साथ संगत समाधानों की लागत अक्सर स्वयं प्रणालियों की लागत से अधिक थी, या वे असंगत थे।

इस मामले में, नियामक रिपोर्ट करता है कि सूचना संरक्षण के उपयुक्त साधनों की अनुपस्थिति में, उनके विकास (संशोधन) और प्रमाणीकरण रूसी संघ के कानून के अनुसार या डिजाइन निर्णयों के समायोजन का आयोजन किया जाता है । हमने रूस सॉफ़्टवेयर के FSTEC में विकसित और प्रमाणित करने का निर्णय लिया है जो इसके उपयोग की संभावना के लिए उपयोगकर्ता पहचान और प्रमाणीकरण, अभिगम नियंत्रण और सुरक्षा घटनाओं के पंजीकरण के कार्यों को लागू करता है:

मार्गदर्शन दस्तावेज "स्वचालित सिस्टम" की आवश्यकताओं के अनुसार सुरक्षा वर्ग 1G तक स्वचालित प्रणालियों में। सूचना तक अनधिकृत पहुंच के खिलाफ संरक्षण। स्वचालित प्रणालियों और सूचना सुरक्षा आवश्यकताओं का वर्गीकरण ”(रूस का राज्य तकनीकी आयोग, 1992);
11 2013 . № 17 « , , » 11 2014 . « »;
1 18 2013 . № 21 « ».

उत्पाद को BarsUP.Access प्रबंधक या BarsUP.AM कहा जाता है । मैं इस सामग्री की सीमाओं से परे एक परीक्षण प्रयोगशाला और प्रमाणन निकाय के साथ FSTEC से एक निर्णय प्राप्त करने और समझौतों के समापन से संबंधित मुद्दों को हटा दूंगा, और वर्णन करूंगा कि हमने वेब अनुप्रयोगों की सुरक्षा के लिए सॉफ्टवेयर कैसे विकसित किया।

शुरू

हमने एक परियोजना प्रबंधक, सूचना सुरक्षा इंजीनियर, विश्लेषक, सॉफ्टवेयर वास्तुकार और दो प्रमुख डेवलपर्स से मिलकर एक टीम बनाई। परियोजना के कार्यान्वयन के दौरान, हमने काम के निम्नलिखित चरणों की पहचान की:

विश्लेषण के चरण में, हमने नियामक दस्तावेजों से आवश्यकताओं को एकत्र किया जिन्हें वेब के लिए सुरक्षा उपकरण के रूप में लागू किया जा सकता है, फिर हमने डेवलपर्स के साथ बिताए संसाधनों और समय के संदर्भ में उनके कार्यान्वयन की संभावना पर काम किया। आवश्यकताओं पर चर्चा करते समय, हमने कानूनी कृत्यों से शब्दकोष का अनुवाद एक ऐसी भाषा में किया, जो विश्लेषकों और डेवलपर्स के लिए समझ में आता था, एक रोडमैप का गठन किया: पहली जगह में क्या लागू किया जाना चाहिए, जो वैकल्पिक है। हमने समानांतर और उत्पाद विकास के बाद प्रमाणन के लिए दस्तावेज लिखा था।

आउटपुट पर, हमें एक उत्पाद मिला है जो निम्नलिखित कार्यों को हल करता है:

(SSO) ;
;
;
;
;
.
, ;
;
() , TOTP ;
;
;
() ;
;
;
क्लस्टरिंग के कारण सिस्टम की क्षैतिज मापनीयता।

सॉफ्टवेयर सिंगल साइन-ऑन को लागू करने के लिए दो मानकों का समर्थन करता है:

सुरक्षा अभिकथन मार्कअप लैंग्वेज (SAML);
ओपनआईडी कनेक्ट 1.0।

SAML एकल साइन-ऑन कार्यान्वयन

एसएएमएल मानक की शर्तों के अनुसार, सॉफ्टवेयर एक पहचान प्रदाता (आईडीपी) के रूप में कार्य करता है। आईपी सबसिस्टम सेवा प्रदाता (एसपी) के रूप में कार्य करते हैं।

SAML के माध्यम से एकल साइन-ऑन के साथ काम करने की सामान्य प्रक्रिया नीचे प्रस्तुत की गई है:

उपयोगकर्ता एप्लिकेशन (SP) तक वेब पहुंच को लागू करने की कोशिश कर रहा है;
एक सुरक्षा संदर्भ की उपस्थिति के लिए आवेदन की जाँच करता है और, इसकी अनुपस्थिति में, एक AuthnRequest संदेश उत्पन्न करता है और उपयोगकर्ता के ब्राउज़र को प्राधिकरण सर्वर BarsUP.AM (IdP) पर पुनर्निर्देशित करता है;
उपयोगकर्ता प्राधिकरण सर्वर से जुड़ता है और अपनी साख में प्रवेश करता है;
, ;
Response;
, Response. Response .

पार्टियों के बीच संदेशों का आदान-प्रदान SAML स्टेटमेंट्स (अभिकथन) के रूप में होता है । SAML के दावे सुरक्षित HTTPS प्रोटोकॉल का उपयोग करके प्रेषित किए जाते हैं।

एक विश्वास संबंध IdP पहचान प्रदाता और SP सेवा प्रदाताओं के बीच स्थापित होता है। भेजे गए SAML संदेश, जिनमें AuthRequest और AuthResponse शामिल हैं, क्रमशः SP और IdP डिजिटल प्रमाणपत्रों का उपयोग करके हस्ताक्षरित हैं।

एक प्रामाणिक संदेश को एप्लिकेशन की निजी कुंजी के साथ हस्ताक्षरित किया जाता है और इसे HTTP रीडायरेक्ट, HTTP POST या HTTP कलाकृतियों के संदेशों का उपयोग करते हुए प्राधिकरण सर्वर तक पहुंचाया जाता है। विशेष रूप से, एक प्रामाणिक संदेश में निम्नलिखित जानकारी होती है:

एप्लिकेशन URL
आईडीपी पहचान प्रदाता URL (BarsUP.AM प्राधिकरण सर्वर);
आईडी और अनुरोध निर्माण का समय।

AuthnResponse प्रतिक्रिया संदेश प्राधिकरण सर्वर की निजी कुंजी के साथ हस्ताक्षरित है। विशेष रूप से एक AuthnResponse संदेश में निम्नलिखित जानकारी होती है:

AuthRequest अनुरोध पहचानकर्ता जिससे यह प्रतिक्रिया मेल खाती है;
प्रतिक्रिया हैंडलर URL
वह अवधि जिसके दौरान प्रतिक्रिया को वैध माना जाता है;
उपयोगकर्ता प्रमाणीकरण दिनांक और समय
उपयोगकर्ता सत्र पहचानकर्ता;
उपयोगकर्ता विशेषताएँ और उनके मूल्य।

OpenID कनेक्ट के आधार पर सिंगल साइन-ऑन को लागू करना

OpenID कनेक्ट OAuth 2.0 प्रोटोकॉल के माध्यम से उपयोगकर्ता की पहचान और प्रमाणीकरण प्रदान करने के लिए डिज़ाइन किया गया एक एक्सटेंशन है।

OpenID कनेक्ट तकनीक का उपयोग करके सिंगल साइन-ऑन को लागू करने की प्रक्रिया में, BarsUP.AM एक OpenID प्रदाता (OpenID प्रदाता, OP) के रूप में कार्य करता है। सूचना प्रणाली (यानी, उपयोगकर्ता द्वारा लक्षित वेब अनुप्रयोग) Relying Party (RP) के रूप में कार्य करते हैं, जो उपयोगकर्ता को प्रमाणित करने के लिए OP का उपयोग करता है।

OpenID कनेक्ट के माध्यम से एकल साइन-ऑन का कार्यान्वयन नीचे दिए गए आंकड़े में वर्णित है:

एक उपयोगकर्ता एक वेब एप्लिकेशन (एसपी) तक पहुंचने का प्रयास कर रहा है;
एप्लिकेशन एक प्राधिकरण कोड अनुरोध (OAuth2.0 प्रोटोकॉल) उत्पन्न करता है और उपयोगकर्ता के ब्राउज़र को प्राधिकरण सर्वर BarsUP.AM (ओपी) पर पुनर्निर्देशित करता है;
उपयोगकर्ता ओपी पर अपनी साख दर्ज करता है;
OP ;
, OP RP . , Authorization Response, ;
RP OP, (Token Request). TLS;
, OP RP (ID Token, Access Token);
RP .

BarsUP.AM web-

ओपी या आरपी को खराब करने के उद्देश्य से किए जाने वाले हमलों से बचने के लिए, उन्हें एक दूसरे को पारस्परिक रूप से प्रमाणित करना होगा।

BarsUP.AM OpenID कनेक्ट के लिए विनिर्देशन में परिभाषित प्रमाणीकरण विधियों का समर्थन करता है। OpenID कनेक्ट और OAuth 2.0 के संचालन का सिद्धांत पहचान टोकन (आईडी टोकन) और प्राधिकरण (एक्सेस टोकन) के उपयोग पर आधारित है।

मैं सॉफ्टवेयर में बुनियादी सुरक्षा कार्यों का कार्यान्वयन दूंगा:

उपयोगकर्ता की पहचान और प्रमाणीकरण;
पहुँच नियंत्रण;
सुरक्षा घटना लॉगिंग।

उपयोगकर्ता प्रमाणीकरण और प्रमाणीकरण

उपयोगकर्ता नाम और पासवर्ड के आधार पर BarsUP.AM में पहचान और प्रमाणीकरण लागू किया जाता है। उपयोगकर्ता BarsUP.AM प्रमाणीकरण वेब पेज पर अपनी साख दर्ज करता है। इस मामले में, क्रेडेंशियल्स को HTTPS प्रोटोकॉल के माध्यम से सुरक्षित रूप में प्रेषित किया जाता है। प्रमाणीकरण सफल होने पर ही लक्ष्य एप्लिकेशन तक पहुंच की अनुमति दी जाती है। इस प्रकार, उपयोगकर्ता की पहचान और प्रमाणीकरण आईपी के लिए दूरस्थ वेब पहुंच के साथ महसूस किए जाते हैं।

पासवर्ड डालते समय, पासवर्ड वेब फॉर्म में प्रदर्शित नहीं होता है और विशेष को बदल दिया जाता है। पात्र। इसके कारण, प्रमाणीकरण जानकारी दर्ज करते समय प्रतिक्रिया सुरक्षा लागू की जाती है।

BarsUP.AM पासवर्ड नीति निम्नलिखित सेटिंग्स के लिए प्रदान करती है:

हैशिंग एल्गोरिथ्म;
पासवर्ड में उपयोगकर्ता का नाम;
एक पासवर्ड में अंकों की न्यूनतम संख्या;
न्यूनतम पासवर्ड लंबाई;
निचले मामलों के पत्रों की न्यूनतम संख्या;
अपरकेस अक्षरों की न्यूनतम संख्या;
विशेष पात्रों की न्यूनतम संख्या;
पासवर्ड इतिहास की लंबाई;
समय की एक निश्चित अवधि के बाद मजबूर पासवर्ड परिवर्तन;
नए पासवर्ड में वर्णों की न्यूनतम संख्या बदल गई।

BarsUP.AM भी मल्टी-फैक्टर (दो-कारक) उपयोगकर्ता प्रमाणीकरण का समर्थन करता है।

पहुँच नियंत्रण

BarsUP.AM स्वचालित उपयोगकर्ता खाता प्रबंधन समर्थन और स्वचालित उपयोगकर्ता खाता लॉकआउट लागू करता है।

व्यवस्थापक अपने विवेक पर उपयोगकर्ता खातों को बना, संशोधित, हटा, ब्लॉक और अनब्लॉक कर सकता है। उपयोगकर्ता खाते BarsUP.AM प्रबंधन सर्वर के वेब कंसोल का उपयोग करके व्यवस्थापक द्वारा बनाए जाते हैं। खाता बनाते समय, नाम, ई-मेल पता, खाता वैधता अवधि और, यदि आवश्यक हो, तो अन्य उपयोगकर्ता विशेषताओं का संकेत दिया जाता है। पासवर्ड को पासवर्ड पॉलिसी के अनुसार पहले लॉगिन पर उपयोगकर्ता द्वारा बदल दिया जाता है। उपयोगकर्ता खातों को विशिष्ट समूह विशेषताओं और अनुमतियों के साथ समूहीकृत किया जा सकता है।

निम्नलिखित उपयोगकर्ता खाता लॉकआउट तंत्र हैं:

व्यवस्थापक अवरुद्ध;
खाते का उपयोग करने के लिए निर्धारित समयावधि के अंत में अवरुद्ध करना;
खाते के गैर-उपयोग के निर्दिष्ट समय की अवधि के बाद अवरुद्ध करना;
अवरुद्ध जब असफल लॉगिन प्रयासों से अधिक;
ब्लॉकिंग जब समवर्ती सत्रों की संख्या पार हो जाती है।

व्यवस्थापक द्वारा या अवरुद्ध समय समाप्त होने के बाद खाते को अनब्लॉक किया जाएगा (उदाहरण के लिए, जब यह असफल लॉगिन प्रयासों की संख्या से अधिक होने के कारण अवरुद्ध हो जाता है)।

BarsUP.AM आईपी में प्रवेश करने पर विषयों का नियंत्रण लागू करता है। प्रत्येक उपयोगकर्ता या BarsUP.AM में उपयोगकर्ताओं के समूह को भूमिकाएं और अधिकार सौंपे जा सकते हैं। राइट्स एक विशिष्ट सिस्टम या पूरे डोमेन पर लागू हो सकते हैं जिसमें कई सिस्टम (एप्लिकेशन) शामिल हैं। भूमिका और अधिकारों के बारे में जानकारी प्रशासक द्वारा निर्धारित की जाती है और एक्सेस विशेषताओं के रूप में तय की जाती है।

सुरक्षा इवेंट लॉगिंग

BarsUP.AM IP पर दूरस्थ वेब एक्सेस के दौरान सुरक्षा घटनाओं के बारे में जानकारी के संग्रह, रिकॉर्डिंग और भंडारण को लागू करता है। विशेष रूप से, उपयोगकर्ता के पासवर्ड बदलने, उपयोगकर्ता खातों को स्थापित करने और हटाने, एक्सेस कंट्रोल नियमों को बदलने और उपयोगकर्ता अनुमतियों से संबंधित घटनाएं दर्ज की जाती हैं।

इवेंट लॉग में सुरक्षा इवेंट लॉग होते हैं। प्रत्येक घटना के लिए, दिनांक और समय, घटना का प्रकार, प्रभावित प्रणाली, घटना से जुड़े उपयोगकर्ता और नोड का आईपी पता दर्ज किया जाता है। लॉगिंग सर्वर का उपयोग इवेंट लॉग को संग्रहीत करने के लिए किया जाता है।

घटनाओं को सुरक्षा घटनाओं और सिस्टम घटनाओं सहित श्रेणियों में विभाजित किया गया है। इवेंट लॉग देखने के अधिकार व्यवस्थापक को दिए गए हैं।

दर्ज की जाने वाली सुरक्षा घटनाओं की संरचना को अनुकूलित किया जा सकता है। दर्ज की जाने वाली सुरक्षा घटनाओं की परिभाषा और उनके भंडारण की अवधि सूचना सुरक्षा के लिए संगठनात्मक और प्रशासनिक दस्तावेजों में दर्ज की गई है

संपूर्ण

परीक्षण के समय और प्रमाणन निकाय के काम को छोड़कर, परियोजना में हमें 6 महीने लगे। अब सूचना प्रणाली में सूचना की सुरक्षा सुनिश्चित करने के लिए परियोजनाओं को लागू करते समय, हमारे पास सिरदर्द नहीं है, वेब अनुप्रयोगों की सुरक्षा कैसे करें।

BarsUP.AM: हमने वेब एप्लिकेशन की जानकारी की सुरक्षा के लिए एक टूल कैसे विकसित किया