Защита инфраструктуры виртуальных рабочих столов строгой аутентификацией

Одним из способов борьбы с угрозами безопасности, связанных со статическими паролями, является применение случайно сгенерированных одноразовых паролей (OTP) при входе в VDI. Пароли генерируются аппаратным токеном, либо программно, в соответствующем ПО. Когда пользователь вводит одноразовый пароль, клиент аутентификации взаимодействует с сервером аутентификации OTP, который проверяет значение OTP на основе математического секрета, общего между клиентским устройством OTP и сервером аутентификации OTP.

Проверка подлинности на основе сертификатов (CBA) использует цифровые сертификаты в качестве средства идентификации одной, либо обеих сторон при установлении соединения. Сертификат содержит имя своего субъекта (лица, идентифицированного в сертификате) и название центра сертификации (CA), который подтверждает подлинность субъекта. Кроме того, каждый сертификат содержит "открытый ключ" субъекта, который связан с соответствующим "закрытым ключом", сохраняемым в секрете. Лишь тот, кто владеет закрытым ключом, может использовать сертификат для личной идентификации.

Аппаратные аутентификаторы на базе сертификатов: Самый безопасный способ использования сертификатов является хранение их в защищенной области памяти на чипе смарт-карты. Таким образом, приватный ключ сертификата генерируется непосредственно на самой смарт-карте. Так как смарт-карта располагается в защищенном от вскрытия устройстве, она не подвергается опасности в недоверенной среде, например на зараженном вирусами компьютере. Аппаратные аутентификаторы доступны в форм-факторах USB-токенов, либо смарт-карт(таких же, как банковские карты).

Программные решения аутентификации по сертификатам могут предложить сравнимые преимущества аппаратных смарт-карт и токенов. При хранении закрытого ключа сертификата в пределах виртуальной смарт - карты, установленной на конечной точке, программные решения использующие сертификаты, предотвращают несанкционированный доступ к сети и ликвидируют недостатки традиционной парольной аутентификации.

Некоторые конечные точки - в частности, мобильные устройства - не поддерживают использование смарт - карт и USB- токенов. В данном случае можно избежать проблемы слабых паролей, используя сертификаты на устройстве с применением программных средств для аутентификации.