JaCarta Authentication Server (JAS) на платформе Linux

Архитектура

Архитектура JAS

Сертификаты

JaCarta Authentication Server (JAS) — создан в России, соответствует требованиям регуляторов, включен в Единый реестр отечественного ПО № 11260 и рекомендуется к закупкам государственными и муниципальными органами власти (при наличии отечественного решения государственные структуры не могут приобретать аналогичное по функциям импортное ПО).

Сертификат ФСТЭК России № 4516 от 25.01.2022 на соответствие ТУ и 4 уровню доверия позволяет использовать её для защиты информации в ИСПДн до 1 уровня включительно и при создании автоматизированных ИС до класса защищённости 1Г включительно.

Совместимость

Функции JaCarta Authentication Server

• Усиленная аутентификация пользователей по одноразовым паролям (OTP):
  • Программные токены TOTP/HOTP по событию – HOTP согласно RFC 4226; и по времени – TOTP согласно RFC 6238
  • Аппаратные OTP – HOTP согласно RFC 4226; и TOTP согласно RFC 6238
  • Push-уведомления
  • Приложение Aladdin 2FA – разработка "Аладдин Р.Д."
  • Messaging-токены (SMS)
• Строгая аутентификация пользователей по протоколу U2F (разработка FIDO Alliance), в том числе совместимость с JaCarta U2F
• Вариативность режимов аутентификации с применением OTP-токенов:
  • Только OTP
  • OTP + OTP PIN-код
  • Доменный пароль + OTP
  • Доменный пароль + OTP + OTP PIN-код
• Специальный механизм усиленной безопасности в процессе передачи секрета (вектора инициализации) при использовании сервиса и мобильного приложения Aladdin 2FA (для iOS и Android) – невозможность повторного использования QR-кода
• Отслеживание состояния OTP-аутентификаторов, выпущенных через сервис Aladdin 2FA
  • Отправка текущего времени и версии JAS на сервер A2FA
• Отслеживание изменений номера телефона пользователя и обработка изменений в соответствии с политиками:
  • Обновление Messaging-токена
  • Блокировка Messaging-токена
  • Не предпринимать никаких действий
• Автоматический перевыпуск JAS-токенов при изменении учетных данных пользователя
• Автоматическая блокировка неактивных OTP-токенов
• Автоматическая разблокировка OTP-токенов, заблокированных по перебору через определённый промежуток времени
• Отправка по e-mail QR-кода, строки ручной регистрации, ссылки на автоматическую регистрацию OTP-аутентификаторов, выпущенных через сервис Aladdin 2FA
  • Кастомизация темы письма при отправке QR-кодов
• Двухфакторная аутентификация в ОС Windows посредством компонента JAS OTP Logon (JOL), представляющего собой дополнительный поставщик учётных данных (Credential Provider)
  • В JAS OTP Logon (JOL) реализована возможность стандартного входа по Логин\Пароль при удаленном подключении и Логин\Пароль\OTP при локальном входе
• Интеграция с прикладным ПО с использованием стандартных протоколов:
  • RADIUS;
  • REST;
  • WCF;
  • WS-Federation (ADFS);
  • HTTP и SMPP (для интеграции c SMS-шлюзами)
    • Гибкая настройка подключения к SMS-шлюзами, механизмы диагностики
• Компонент JAS Radius Server:
  • Возможность замены NPS и FreeRADIUS для сценариев, где в качестве политик используются только группы.
  • Поддержка каталогов для чтения и проверки принадлежности к группам: AD, Samba AD-DC, FreeIPA, ALD Pro.
  • Возможность одновременно работы с несколькими доменами и LDAP-каталогами для проверки вхождения в группу пользователя.
  • Возможность перенаправлять запросы для обработки пароля на сторонний Radius Server.
  • Защита пароля пользователя путем инверсии порядка аутентификации. Пароль пользователя будет проверяться после успешной проверки второго фактора. Данную опцию можно активировать только при включенной опции Challenge-Response (Access-Challenge) на стороне JAS Radius Server. При этом у пользователя при аутентификации, как и раньше, будет запрашиваться сначала пароль, а затем второй фактор.
  • Поддержка нескольких Radius-клиентов с возможностью персональных настроек для каждого клиента.
  • Поддержаны все функции плагина для NPS:
    • Аутентификация по OTP, Messaging, Push-токенам;
    • Определение доступных средств аутентификации;
    • Ручной / автоматический выбор доступных средств аутентификации;
    • Указание домена по умолчанию.
• Широкие возможности интеграции с различными системами и сервисами:
  • Шлюзы удалённого доступа (Microsoft, Citrix, Palo Alto, Check Point, VMware, Fortinet, NGate и др. – список постоянно пополняется)
  • Корпоративные системы (CRM, порталы, электронная почта и т.д.), в том числе Microsoft SharePoint и Microsoft Outlook Web Access
  • Web-приложения, сайты и облачные сервисы
  • Системы дистанционного банковского обслуживания (ДБО)
  • Использование наработок по интеграции позволяет существенно снизить внутренние издержки на реализацию проекта и сократит сроки запуска
• Ведение журналов:
  • Журнал аудита
  • Журнал событий аутентификации
    • Отображение информации об IP адресе клиента и IP адресе Radius сервера, откуда пришел запрос
  • Фильтрация событий, записываемых в журнал аутентификации, поиск по вхождению
  • Выгрузка событий журналов аутентификации на Syslog-сервер
  • Возможность фильтрации типов событий JAS для Syslog
• Самообслуживание через Личный кабинет пользователя:
  • Отдельные порталы самообслуживания (внутренний и внешний) с возможностью задания способов входа для пользователей:
    • Текущий пользователь Windows
    • Доменный пароль
    • Пароль JMS
    • Контрольные вопросы
    • SMS-оповещение
    • OTP-аутентификатор
    • Messaging-аутентификатор
  • Двухфакторный вход в портал самообслуживания с возможностью гибко настроить способы входа для первого и второго шага аутентификации
  • Регистрация программного OTP или Push OTP посредством
    • QR-кода
    • Строки ручной регистрации
  • Управление аутентификаторами
  • Синхронизация счетчиков
  • Смена OTPPIN
• Смена просроченного или требующего замены пользователя Windows через JAS-плагин для NPS
• Поддержка Push-аутентификации в ADFS-плагине
• Поддержка Push-токенов в двухпроходном режиме NPS-плагина
• UI-конфигуратор плагинов NPS, ADFS, RDG
• За счет интеграции с платформой JMS JAS может выполнять не только функции управления аутентификаторами, но и функции управления пользователями (группами пользователей), а также использовать все возможности автоматизации:
  • Централизация управления через единую консоль
  • Автоматическое использование ролевой модели JMS для разделения полномочий администрирования
  • Регистрация пользователей из ресурсных систем, в том числе в автоматическом режиме
  • Управление на основе политик с фильтрацией назначения по группам безопасности AD и глобальным группам JMS
  • Автоматизация процессов назначения/отзыва аппаратных и программных аутентификаторов за счет планов обслуживания
  • Общая система журналирования событий и система e-mail уведомлений
• Формирование отчётов
  • Формирование отчета по действующим на пользователя профилям и привязанным OTP-, Push-, SMS-аутентфикаторам
  • Выгрузка журнала аутентификаций JAS в машиночитаемом формате
  • Выгрузка списка OTP-токенов пользователей в виде отчета
• Расширенное логирование взаимодействия с сервисом Aladdin 2FA для упрощения поиска и анализа проблем
• Проверка статуса активации OTP- и Push-токенов, выпущенных через сервис Aladdin 2FA
• Предупреждения об исчерпании лимита лицензий JAS (Aladdin 2FA)
• Отказоустойчивость:
  • Microsoft Failover Cluster, модель Active/Standby:
    • Несколько серверов JAS: синхронизация текущих значений счётчиков;
    • Несколько серверов Microsoft SQL Server: репликация базы данных средствами Microsoft SQL Server.

Технические и эксплуатационные характеристики

Документация

JMS 4LX Руководство администратора 1

JMS 4LX Руководство администратора 2

JMS 4LX Руководство администратора 3

JMS 4LX Руководство пользователя

Новые возможности JMS 4LX в части JAS на 27.04.2024 г.

• Реализован портал самообслуживания JMS Web Manager
• Изменена настройка "Кол-во повторов аутентификации" в профиле Messaging
• Сделана атомарной привязка профилей к дереву ресурсной системы и настройка фильтрации
• Добавлена возможность отключения отслеживания лицензии
• Отчеты планов обслуживания переделаны в читаемой и информативной форме
• Исправлены ошибки:
  • Остановка службы eap-engine после выполнения плана обслуживания по умолчанию
  • Планом обслуживания не добавляются пользователи при использовании фильтров по группам и USN
  • При таймауте подтверждения входа по PUSH от пользователя в лог JAS попадает неверное описание события
  • Не реализована обработка ошибки для сценария аутентификации Доменный пароль+OTP
  • При включении eap-agent ssl enable сервер JMS отвечает ошибкой 500
  • При свободном кол-ве OTP-аутентификаторов в лицензии не происходит выпуск на новых пользователей
  • Ошибка сортировки OTP-таутентификаторов по дате создания
  • Ошибка при формировании отчета по OTP, Push и Messaging-токенам
  • Не приходят уведомления при ошибках в плане обслуживания OTP
  • Не работает запуск плана обслуживания ЛК через maintenance run