Co je Key Distribution Manager
Přínosy Key Distribution Manageru
- Snížení nákladů na správu privilegovaných uživatelských účtů v operačních systémech typu UNIX a Linux.
- Snížení nákladů na správu autentifikačních prostředků – veřejné klíče. Manuální správa administrátorů je nahrazena automatickou nebo poloautomatickou.
- Princip Single Sign-On (SSO) - urychlení práce uživatelů, kteří přistupují do OS serverů pomocí SSH nebo SCP.
- Posílení bezpečnosti pomocí centrální evidence klíčů s možností rychlé expirace klíče v případě jeho kompromitace nebo ztráty.
- Kontrola nad generováním přístupových klíčů a vynucení síly hesla ke klíči. Získání klíče uživatelem vyžaduje znalost hesla ke klíči a dalšího faktoru přihlášení.
- Řízení přiřazení UNIX skupin uživatelům a proces správy účtů root (UID=0).
- Nižší závislost na centrálním prvku, než má například přihlašování přes centrální LDAP. Uživatelé mohou pracovat i při nedostupnosti KDM, protože mají klíče uloženy ve svém SSH Agentovi.
- Aktivní evidence účtů na jediném místě.
- Možné napojení na aplikace Identity management - časově omezené přístupy pro konzultanty, navázání na procesy HR, uživatelé si žádají sami o přístupy do koncových systémů.
Představení problematiky
Key Distribution Manager (KDM) je software, který přináší do prostředí UNIX princip Single Sign-On pomocí distribuce SSH klíčů a poskytuje centrální správu uživatelů v těchto systémech.
KDM server generuje a bezpečně u sebe uchovává privátní klíče pro přihlášení do UNIX systémů. Uživatelé na svých počítačích používají tzv. SSH Agenta, malou aplikaci, do kterých si po přihlášení ke KDM stáhnou klíč. Dále pak ke koncovým serverům přistupují s klíčem uloženým ve svém agentovi, a nemusí tudíž zadávat heslo ke klíči při každém přihlášení opakovaně (Single Sign-On). Uživatel během používání KDM nezískává přímý přístup ke svému privátnímu klíči, ten zůstává pouze v paměti agenta.
Řešení KDM nabízí i centrální správu privilegovaných účtů. Zajištuje zakládání a modifikace účtů v koncových systémech UNIX (tzv. provisioning), zneplatňování a mazání uživatelských účtů včetně odstranění veřejných částí klíčů těchto uživatelů.
KDM je aplikace využívající existující bezpečností standardy jako například RSA, AES či PKI.
Obvyklý stav před nasazením KDM
Obvyklý stav správy účtů a autentizačních prostředků v operačních systémech UNIX či Linux před nasazením KDM je následující:
- Správa účtů na OS je buď manuální, nebo řízena pomocí proprietárních skriptů. Správa není prováděna s maximální možnou efektivitou a není prováděna automaticky.
- Autentizace je založena na principu jméno+heslo, druhý faktor přihlášení není vyžadován. Uživatelé se přihlašují klíči, které si generují sami. Pokud nepoužívají heslo ke klíči, vystavují svůj účet riziku zneužití v případě odcizení nebo ztráty klíče.
- Pokud uživatelé využívají heslo, nelze ohlídat a vynutit jeho sílu. Uživatelé musejí zadávat heslo při každém jednotlivém SSH přihlášení, což zdržuje jejich práci.
- Neexistuje jednotná centrální evidence, která umí v případě potřeby uživateli odebrat přístup na server nebo zajistit jeho automatickou expiraci k určitému datu.
- Není automatizovaně spojen vznik uživatelských účtů na UNIX/Linux systémech s generování klíče a distribucí veřejné části na cílové servery.
Cílové řešení po nasazení KDM
- Všechny UNIX a Linux systémy jsou napojeny na KDM. V ideálním případě je zřízena integrace na procesy Identity Managementu či HR.
- Uživatelé se přihlašují ke KDM pomocí hesla ke klíči a druhým faktorem (RSA SecurID, Active Directory, LDAP, UNIX heslem či obecným PAM modulem).
- Uživatelé se přihlašují ke všem UNIX systémům klíči, které jsou generovány KDM serverem na základě stanovené bezpečností politiky. Síla hesla a doba platnosti je v souladu s požadavky organizace.
- Uživatelé UNIX systémů se nemusejí opakovaně přihlašovat - využívají Single Sign-On.
- Správci UNIX získají jediné rozhraní pro správu účtů, přiřazení skupin a klíčů.
- Existuje centrální aktivní evidence uživatelských a programových účtů.
- U sdílených technických účtů je možné prokázat reálnou identitu uživatele.
Infrastruktura a rozhraní aplikace KDM
- KDM vyžaduje minimálně jeden server s OS Linux (například RHEL). Server může být virtualizován.
- KDM nepotřebuje žádnou relační databázi či LDAP.
- Požadavek na vysokou dostupnost (HA) je možné řešit implementací KDM do clusteru společně se synchronizací souborového systému KDM, kde se nachází data uživatelů.
- Jedná se o administrátorský nástroj, a proto je uživatelské rozhraní řešeno formou příkazové řádky. Je připraven konektor na Identity Manager systémy, na jehož procesy a grafické uživatelské prostředí lze KDM jednoduše napojit.
