JaCarta Authentication Server (JAS) на платформе Linux

Архитектура

Архитектура JAS

Сертификаты

JaCarta Authentication Server (JAS) — создан в России, соответствует требованиям регуляторов, включен в Единый реестр отечественного ПО № 11260 и рекомендуется к закупкам государственными и муниципальными органами власти (при наличии отечественного решения государственные структуры не могут приобретать аналогичное по функциям импортное ПО).

Сертификат ФСТЭК России № 4516 от 25.01.2022 на соответствие ТУ и 4 уровню доверия позволяет использовать её для защиты информации в ИСПДн до 1 уровня включительно и при создании автоматизированных ИС до класса защищённости 1Г включительно.

Совместимость

Функции JaCarta Authentication Server

• Аутентификация

  • Усиленная аутентификация пользователей по одноразовым паролям (OTP):
    • Программные токены TOTP/HOTP по событию – HOTP согласно RFC 4226; и по времени – TOTP согласно RFC 6238
    • Аппаратные OTP – HOTP согласно RFC 4226; и TOTP согласно RFC 6238
    • Push-уведомления
    • Приложение Aladdin 2FA – разработка "Аладдин Р.Д."
    • Messaging-токены (SMS)
    • TelegramOTP
  • Строгая аутентификация пользователей по протоколу U2F (разработка FIDO Alliance), в том числе совместимость с JaCarta U2F
  • Вариативность режимов аутентификации с применением OTP-токенов:
    • Только OTP
    • OTP + OTP PIN-код
    • Доменный пароль + OTP
    • Доменный пароль + OTP + OTP PIN-код
  • Двухфакторная аутентификация в ОС Linux посредством продукта Aladdin Secure Logon
  • Двухфакторная аутентификация в ОС Windows посредством компонента JAS OTP Logon (JOL), представляющего собой дополнительный поставщик учётных данных (Credential Provider)
  • Интеграция с прикладным ПО с использованием стандартных протоколов:
    • RADIUS
    • REST
    • WS-Federation (ADFS)
    • HTTP и SMPP (для интеграции c SMS-шлюзами)
      • Гибкая настройка подключения к SMS-шлюзами, механизмы диагностики
  • Учёт геолокации при аутентификации по OTP и Push
• Управление аутентификаторами

  • За счет интеграции с платформой JMS, JAS может выполнять не только функции управления аутентификаторами, но и функции управления пользователями (группами пользователей), а также использовать все возможности автоматизации:
    • Централизация управления через единую консоль
    • Автоматическое использование ролевой модели JMS для разделения полномочий администрирования
    • Регистрация пользователей из ресурсных систем, в том числе в автоматическом режиме
    • Управление на основе политик с фильтрацией назначения по группам безопасности AD и глобальным группам JMS
    • Автоматизация процессов назначения/отзыва аппаратных и программных аутентификаторов за счет планов обслуживания
    • Общая система журналирования событий и система e-mail уведомлений
  • Специальный механизм усиленной безопасности в процессе передачи секрета (вектора инициализации) при использовании сервиса и мобильного приложения Aladdin 2FA (для iOS, Android, Аврора) – невозможность повторного использования QR-кода
  • Отслеживание состояния OTP-аутентификаторов, выпущенных через сервис Aladdin 2FA
    • Расширенное логирование взаимодействия с сервисом Aladdin 2FA для упрощения поиска и анализа
    • Отправка текущего времени и версии JAS на сервер A2FA
  • Отслеживание изменений номера телефона пользователя и обработка изменений в соответствии с политиками
  • Автоматический перевыпуск OTP-токенов при изменении учетных данных пользователя
  • Автоматическая блокировка неактивных OTP-токенов
  • Автоматическая разблокировка OTP-токенов, заблокированных по перебору через определённый промежуток времени
  • Отправка по e-mail QR-кода, строки ручной регистрации, ссылки на автоматическую регистрацию OTP-аутентификаторов, выпущенных через сервис Aladdin 2FA
  • Формирование отчётов
    • Формирование отчета по действующим на пользователя профилям и привязанным OTP-, Push-, SMS-аутентфикаторам
    • Выгрузка журнала аутентификаций JAS в машиночитаемом формате
    • Выгрузка списка OTP-токенов пользователей в виде отчета
  • Предупреждения об исчерпании лимита лицензий JAS (Aladdin 2FA)
  • Ведение журналов:
    • Журнал аудита
    • Журнал событий аутентификации
      • Отображение информации об IP адресе клиента и IP адресе Radius сервера, откуда пришел запрос
    • Фильтрация событий, записываемых в журнал аутентификации, поиск по вхождению
    • Выгрузка событий журналов аутентификации на Syslog-сервер
    • Возможность фильтрации типов событий JAS для Syslog
• JAS Radius Server

  • Возможность замены NPS и FreeRADIUS для сценариев, где в качестве политик используются только группы
  • Поддержка каталогов для чтения и проверки принадлежности к группам: AD, Samba AD-DC, FreeIPA, ALD Pro
  • Возможность одновременно работы с несколькими доменами и LDAP-каталогами для проверки вхождения в группу пользователя
  • Возможность перенаправлять запросы для обработки пароля на сторонний Radius Server
  • Защита пароля пользователя путем инверсии порядка аутентификации. Пароль пользователя будет проверяться после успешной проверки второго фактора. Данную опцию можно активировать только при включенной опции Challenge-Response (Access-Challenge) на стороне JAS Radius Server. При этом у пользователя при аутентификации, как и раньше, будет запрашиваться сначала пароль, а затем второй фактор
  • Поддержка нескольких Radius-клиентов с возможностью персональных настроек для каждого клиента
  • Поддержаны все функции плагина для NPS:
    • Аутентификация по OTP, Messaging, Push-токенам
    • Определение доступных средств аутентификации
    • Ручной / автоматический выбор доступных средств аутентификации
    • Указание домена по умолчанию
• Веб версия серверного агента JAS (Web Server Console)

  • UI для просмотра (Dashboard) и управления настройками сервера на Linux
  • Поддержка входа по Kerberos-аутентификации
• Веб версия конфигуратора JRS (Web Server Console)

  • UI для просмотра (Dashboard) и конфигурирования JRS
  • Поддержка входа по Kerberos-аутентификации
• Широкие возможности интеграции с различными системами и сервисами

  • C помощью API, а также уже готовые интеграции:
    • Шлюзы удалённого доступа (Microsoft, Citrix, Palo Alto, Check Point, VMware, Fortinet, NGate и др. – список постоянно пополняется)
    • Корпоративные системы (CRM, порталы, электронная почта и т.д.), в том числе Microsoft SharePoint и Microsoft Outlook Web Access
    • Web-приложения, сайты и облачные сервисы
    • Системы дистанционного банковского обслуживания (ДБО)
    • Использование наработок по интеграции позволяет существенно снизить внутренние издержки на реализацию проекта и сократит сроки запуска
  • Поддержка FreeRadius
  • Поддержка Push-аутентификации в ADFS-плагине
  • Поддержка Push-токенов в двухпроходном режиме NPS-плагина
  • UI-конфигуратор плагинов NPS, ADFS, RDG
  • Смена просроченного или требующего замены пользователя Windows через JAS-плагин для NPS
• Самообслуживание через Личный кабинет пользователя

  • Отдельные порталы самообслуживания (внутренний и внешний) с возможностью задания способов входа для пользователей:
    • Текущий пользователь
    • Доменный пароль
    • Пароль JMS
    • Контрольные вопросы
    • SMS-оповещение
    • OTP-аутентификатор
    • Messaging-аутентификатор
  • Двухфакторный вход в портал самообслуживания с возможностью гибко настроить способы входа для первого и второго шага аутентификации
  • Регистрация программного OTP или Push OTP посредством
    • QR-кода
    • Строки ручной регистрации
  • Управление аутентификаторами
  • Синхронизация счетчиков
  • Смена OTPPIN
• Утилита проверки готовности инфраструктуры к установке JMS и JAS (JMSCheck)

  • Утилита проверяет возможность установки JMS и JAS на сервере
• Отказоустойчивость

  • Corosync + Pacemaker, модель Active/Passive
• Поддержка миграции с JMS 3.7

  • Утилита, позволяющая мигрировать БД 3.7.1 на 4.1

Технические и эксплуатационные характеристики

Документация

Уважаемые коллеги.

Мы постоянно работаем над развитием нашего ПО, поэтому актуальные версии эксплуатационной документации отгружаем только вместе с актуальными дистрибутивами ПО.

Представленная для загрузки версия документации предназначена для общего ознакомления и не может быть использована для работы с актуальными версиями ПО. Просим иметь это в виду.

JMS 4LX Руководство администратора 1

JMS 4LX Руководство администратора 2

JMS 4LX Руководство администратора 3

JMS 4LX Руководство пользователя

Новые возможности JMS 4LX на 19.11.2024 г.

• Реализован выпуск аутентификаторов "TelegramOTP"
• Реализован учёт геолокации при аутентификации по ОТР
• Добавлены настройки для чтения атрибутов клиентского и серверного IP в плагине NPS
• Разработана утилита JMSCheck – проверка готовности инфраструктуры к установке JMS
• Разработан JAS Web Server Console – Веб версия серверного агента JAS
• Разработан JRS Web Server Console – конфигурирование JRS с помощью веб версии
• Добавлена поддержка входа по Kerberos для JAS и JRS Web Server Console
• Реализовано серверное кэширование групп пользователей из ресурсных систем при выполнении планов обслуживания
• Добавлено управление таймаутами обращения к A2FA
• Исправлены ошибки:
  • Некорректное поведение консоли управления JMS при переходе в разделы, которые не включены в лицензию
  • Некорректные часовые пояса у событий в отчетах
  • Не блокируются аутентификаторы при блокировке пользователя
  • Не работает кнопка "Войти" после повторного запроса Messaging
  • При делегировании отображается вся структура OU
  • Без права "Ключевые носители: чтение коннекторов" невозможно делегирование
  • Заполнение лога RDG-плагина приводит к падению службы
  • Ошибки в консоли конфигуратора JWM