Компания «Индид» представила Indeed Access Manager 9.7 (Indeed AM) — новую версию системы для многофакторной аутентификации и управления доступом пользователей. Обновление упрощает переход с предыдущих версий и развертывание системы, расширяет способы аутентификации и усиливает защиту корпоративных ресурсов. Кроме того, в продукте появились новые возможности мониторинга, диагностики и администрирования.
Переход на Indeed AM 9 с сохранением существующих сценариев
Одним из ключевых изменений Indeed AM 9.7 стала поддержка модулей Enterprise SSO и IIS Extension, ранее доступных в Indeed AM 8. Теперь заказчики могут переходить на новую версию продукта, сохраняя привычные сценарии доступа и двухфакторной аутентификации в корпоративных приложениях без необходимости перестраивать существующие процессы управления доступом.
Модуль Enterprise SSO обеспечивает единый вход в Windows- и веб-приложения. Он централизованно хранит учетные данные пользователей и автоматически подставляет их в формы входа после прохождения аутентификации. При этом вход в приложения возможен даже без подключения к сети. IIS Extension позволяет использовать двухфакторную аутентификацию в веб-приложениях на базе Microsoft IIS, включая Outlook Web Access и Remote Desktop Web Access.
Аутентификация с помощью смарт-карт и USB-ключей
Еще одно нововведение версии 9.7 — поддержка аутентификации с помощью смарт-карт и USB-ключей. Новый провайдер Smart Card Provider позволяет использовать устройства Рутокен, JaCarta, ESMART и другие аппаратные аутентификаторы. Администраторы могут настроить вход с обязательным вводом PIN-кода при каждой аутентификации или без него. Использование PIN-кода обеспечивает дополнительную защиту в случае потери или кражи устройства, поскольку для получения доступа потребуется ввести код.
Новый провайдер доступен в модулях Enterprise SSO, Windows Logon и Linux Logon, что позволяет применять аппаратные аутентификаторы при входе в операционные системы и корпоративные приложения.
Настройка приложений Identity Provider через Management Console
В Indeed AM 9.7 компания «Индид» упростила настройку приложений, использующих протоколы SAML и OpenID Connect (OIDC). Администраторы могут управлять их параметрами непосредственно в консоли управления Management Console без ручного редактирования конфигурационных файлов. Для переноса существующих настроек предусмотрена утилита миграции.
Кроме того, Identity Provider получил возможность передавать в приложения атрибуты пользователей из Active Directory. Администратор выбирает необходимые данные из списка поддерживаемых атрибутов, после чего они передаются клиентскому приложению при аутентификации. Таким образом, сведения из корпоративного каталога можно использовать без дополнительных настроек на стороне приложения.
Новые возможности мастера конфигурации
Другие улучшения связаны с мастером конфигурации. В версии 9.7 он позволяет запускать автоматическую установку одновременно на нескольких хостах. Для каждого сервера отдельно отображается ход выполнения и формируется лог-файл. Это помогает контролировать установку и быстрее выявлять возможные ошибки.
Через мастер также можно включить шифрование конфигурационных файлов, настроить распределенный кеш на базе PostgreSQL, фильтрацию объектов каталога и оптимизацию поиска пользователей.
Доработана проверка подключений к каталогам пользователей. При возникновении ошибки мастер отображает ее причину, например неверный пароль или истечение срока действия учетной записи. Система также предупреждает администратора об ограниченном сроке действия сервисной учетной записи или ее пароля. Обновления сокращают объем ручных настроек, упрощают развертывание Indeed AM на нескольких хостах и позволяют обнаруживать проблемы с подключением еще на этапе конфигурации.
Усиленная защита подключений к Core Server
В Indeed AM 9.7 обновлены механизмы защиты соединений между модулями системы и Core Server. Встроенные клиентские сертификаты модулей Windows Logon, RDP Windows Logon, Enterprise SSO, IIS Extension, NPS RADIUS Extension и FreeRADIUS теперь подписываются с использованием алгоритма SHA-256 вместо SHA-1. Это соответствует современным требованиям к TLS-соединениям и обеспечивает совместимость с HAProxy 3.x.
Кроме того, модули Windows Logon, RDP Windows Logon, Enterprise SSO, IIS Extension и NPS RADIUS Extension получили возможность использовать внешние клиентские сертификаты из хранилища Windows, в том числе выпущенные собственным удостоверяющим центром организации. Это позволяет применять действующие корпоративные механизмы управления сертификатами.
Дополнительные изменения затронули работу прокси-серверов. В HAProxy заголовок с клиентским сертификатом по умолчанию формируется только после успешной проверки сертификата при взаимной TLS-аутентификации (mTLS), что исключает подмену данных в заголовке. Core Server также получил поддержку клиентских сертификатов в формате PEM, включая URL-кодирование. Благодаря этому аутентификацию по клиентскому сертификату можно использовать при подключении через NGINX.
Защита от перебора факторов аутентификации в FreeRADIUS
В модуле FreeRADIUS появился режим защиты от перебора факторов аутентификации. Он ограничивает информацию о причинах неуспешного входа, которую злоумышленники могут использовать при подборе учетных данных.
При включенном режиме модуль возвращает общий ответ об отказе в доступе независимо от того, на каком этапе произошла ошибка. Благодаря этому по ответу системы нельзя определить, существует ли указанная учетная запись или какой именно фактор аутентификации был введен неверно.
При этом подробная причина отказа сохраняется во внутренних журналах событий. Администраторы могут использовать эти сведения для диагностики ошибок и расследования инцидентов информационной безопасности. Режим поддерживается для протоколов PAP и MS-CHAPv2.
Дополнительные возможности и обновления компонентов
В Indeed AM 9.7 также расширены возможности интеграции, мониторинга и управления пользовательскими сессиями:
- Push-уведомления через RuStore. Indeed Key Server получил возможность отправлять push-уведомления на Android-устройства через RuStore. Для работы этого механизма серверу требуется доступ к сервису VKPNS.
- Экспорт телеметрии через OpenTelemetry. Core Server, Identity Provider, Management Console, User Console и Indeed Key Server теперь могут передавать метрики, журналы событий и трассировки во внешние системы мониторинга, например SigNoz. Это позволяет анализировать работу компонентов Indeed AM и диагностировать инциденты без ручного сбора логов с нескольких серверов.
- Управление хранением событий Log Server. В мастере конфигурации появилась возможность задавать срок хранения событий и настраивать их автоматическую очистку. При необходимости очистку можно запустить вручную через API.
- Обновления NPS RADIUS Extension. Добавлена политика, позволяющая не запрашивать повторное подтверждение через Indeed Key (Push) при подключениях пользователя к Wi-Fi в течение заданного периода. Кроме того, в цепочках аутентификации с доменным паролем теперь используется пароль, введенный пользователем при входе, а не сохраненный в Access Manager.
- Определение IP-адреса клиента в IIS Extension. В событиях аутентификации теперь фиксируется реальный IP-адрес клиента вместо адреса сервера, на котором установлен модуль. Это помогает точнее определять источник запросов при анализе событий безопасности и расследовании инцидентов.
- Автоматическая блокировка сессий Linux Logon. В модуле появилась возможность блокировать пользовательскую сессию при удалении RFID-карты от считывателя IronLogic Z-2 USB. Например, когда сотрудник забирает карту и покидает рабочее место, сессия автоматически блокируется. Функция настраивается через Management Console.
- Регистрация Secured TOTP по готовому секрету. Теперь аутентификатор Secured TOTP можно зарегистрировать с использованием готового TOTP-секрета из шаблона регистрации. Это позволяет организациям выпускать Secured TOTP в собственных мобильных приложениях.
- Тайм-аут LDAP-bind. В Core Server добавлена возможность ограничивать время ожидания ответа от сервера каталога. Если соединение не устанавливается за заданный период, система прерывает попытку и переходит к следующему серверу. Это помогает избежать длительного ожидания при недоступности одного из серверов каталога.
- Обновление технологической платформы. HAProxy обновлен до версии 3.4, а компоненты Indeed Access Manager переведены на платформу .NET 10.
Официальные каналы Индид в соцсетях
Больше экспертных материалов по безопасности айдентити в удобном формате