JaCarta Authentication Server (JAS) на платформе Linux
Высокопроизводительный сервер мультифакторной[1] адаптивной[2] аутентификации Entherprise-класса (в составе платформы JaCarta Management System 4LX на платформе Linux)
- Строгая[1] аутентификация пользователей по сертификатам в совместимые приложения
- Усиленная аутентификация пользователей с использованием одноразовых паролей (PUSH/OTP/SMS/TG-OTP)
- Строгая аутентификация пользователей по протоколу U2F
- Интеграция с прикладным ПО на базе стандартных протоколов RADIUS, REST, ADFS, OIDC, SAML
- Автоматизация процессов управления жизненным циклом аутентификаторов, а также аутентификация/авторизация в совместимых приложениях посредством политик, устанавливаемых администратором
JaCarta Authentication Server
JaCarta Authentication Server (JAS) — высокопроизводительный сервер мультифакторной адаптивной аутентификации в составе платформы JaCarta Management System 4LX на ОС Linux. Поддерживает работу как c аппаратными OTP- и U2F-токенами, так и с программными PUSH/OTP/SMS/Email[3]/Telegram - аутентификаторами для мобильных устройств, такими как приложение Aladdin 2FA, разработанное компанией Аладдин Р.Д. и совместимыми сторонними приложениями, например, Google Authenticator, Яндекс.Ключ и другие. Также реализует строгую аутентификацию пользователей по сертификатам в совместимые приложения.
В настоящее время активно ведутся работы по реализации адаптивной аутентификации* - выбора методов аутентификации и последовательности их применения в зависимости от контекста, определяемого администратором путем установки соответствующих условий (нахождение в домене, географическое положение и .т. д.)
Применение JAS позволяет обеспечить надёжную защиту доступа к информационным системам и электронным сервисам, а также повысить удовлетворённость и лояльность пользователей из-за упрощения процесса аутентификации без ущерба безопасности. В зависимости от типа используемых аппаратных (JaCarta, Рутокен и других совместимых) или программных (PUSH/OTP/SMS/Email***/SMS/Messengers****) токенов JAS обеспечивает безопасный доступ к следующим системам и сервисам:
- шлюзы удалённого доступа (Microsoft, Cisco, Citrix, Palo Alto, Check Point, VMware, Fortinet, NGate и др. – список постоянно пополняется)
- шлюз к рабочим столам Microsoft (Microsoft RDG)
- корпоративные системы (CRM, порталы, электронная почта и т.д.), в том числе Microsoft SharePoint и Microsoft Outlook Web App
- web-приложения, сайты и облачные сервисы
- системы дистанционного банковского обслуживания (ДБО) и ЭДО
Глубокая интеграция JAS в платформу JMS 4LX позволяет эффективно использовать его возможности в информационных системах масштаба предприятия (Enterprise). Встроенные в платформу инструменты управления аппаратными и программными токенами, а также функциональные возможности Личного кабинета пользователя JAS значительно упрощают и ускоряют работу системных администраторов и офицеров безопасности.
Благодаря поддержке SMS-шлюзов OTP могут отправляться на мобильные устройства в виде SMS-сообщений.
OTP (One Time Password) — одноразовый пароль. Главное преимущество OTP при его сравнении с обычным статическим паролем — невозможность повторного использования.
По этой причине, даже если злоумышленник перехватит данные сессии аутентификации, он не сможет использовать скопированный OTP для получения доступа к защищаемой информационной системе.
Кроме того, применение OTP избавляет от необходимости запоминать сложные и длинные пароли, что значительно облегчает аутентификацию для пользователей корпоративных систем.
U2F (Universal 2nd Factor) — открытый протокол двухфакторной аутентификации конечных пользователей онлайн-сервисов, разработанный ведущими мировыми ИТ-компаниями в рамках организации FIDO Alliance.
Применение протокола U2F позволяет организовать строгую двухфакторную аутентификацию по U2F-токену без разворачивания инфраструктуры открытых ключей (PKI). Пользователь может самостоятельно зарегистрировать свой U2F-токен на желаемом Web-ресурсе. При этом один U2F-токен может использоваться для доступа к множеству различных Web-ресурсов.
Сервис Aladdin 2FA
Сервис Aladdin 2FA в составе JAS (Aladdin 2FA Service) расширяет функциональность сервера аутентификации JaCarta Authentication Server и позволяет:
- Реализовать PUSH-аутентификацию - интерактивный механизм аутентификации, где подтверждение входа происходит по нажатию кнопки в мобильном или PWA-приложении Aladdin 2FA[4]. PUSH-аутентификация с использованием приложения Aladdin 2FA возможна без использования серверов FireBase (Google), APNs (Apple) и других подобных
- Использовать в качестве механизма доставки OTP-кода Telegram - одноразовый пароль (OTP) отправляется пользователям в специально настроенный корпоративный telegram-бот мессенджера Telegram
- Выпускать неклонируемые OTP- и PUSH аутентификаторы. Одноразовые QR-коды позволят получить вектор инициализации единожды и только на одно устройство. Сервис Aladdin 2FA не позволит создать дубликат аутентификатора на другом устройстве
- Учитывать геолокацию при аутентификации с использованием PUSH и OTP. Список разрешённых и запрещённых стран определяется администратором JMS
- Безопасно передавать вектор инициализации OTP- и PUSH аутентификаторов пользователям. Aladdin 2FA передает вектор инициализации с сервера пользователю на мобильные устройства по защищенному каналу
- Отслеживать статусы активации выпущенных аутентификаторов в консоли JAS. Aladdin 2FA позволяет отслеживать был ли активирован одноразовый QR-код, истек ли срок действия выпущенного QR-кода. Данная функциональность позволяет настраивать планы обслуживания, которые будут перевыпускать аутентификаторы автоматически
- Удалять аутентификаторы из памяти мобильного устройства из консоли JAS. Aladdin 2FA удалит те аутентификаторы на мобильных устройствах, которые удалены в JAS в ходе плана обслуживания
Требования к программному и аппаратному обеспечению сервиса Aladdin 2FA приведено по ссылке.
JaCarta Identity Provider (JIP)
JaCarta Identity Provider (JIP) — провайдер аутентификации/авторизации в совместимые приложения с поддержкой интеграции через протоколы SAML и OIDC реализует:
- Аутентификацию/авторизацию пользователей в целевых приложениях. При этом JIP полностью заменяет реализованный в целевом приложении механизм аутентификации, предоставляя таким образом все необходимые факторы аутентификации
- Строгую аутентификацию по сертификатам в совместимые приложения
- Учет и управление настройками OIDC/SAML клиентов JIP - приложений, использующих JIP для аутентификации/авторизации
- Аудит – формирование журнала аутентификаций действий администраторов и пользователей
- Мониторинг – отслеживание runtime параметров работы JIP
Преимущества
Адаптивная аутентификация
Возможность выбора методов аутентификации (усиленная, строгая, парольная) и последовательности их применения в зависимости от контекста, определяемого администратором путем установки соответствующих условий (нахождение в домене, географическое положение и т.д.)
Приложение Aladdin 2FA
Приложение Aladdin 2FA доступно в AppGallery, RuMarket, NashStore, RuStore.Приложение Aladdin 2FA реализовано как в мобильном, так и десктопном варианте.
В приложении Aladdin 2FA реализован следующий функционал:
- Добавление аутентификатора (сканированием, вручную, переходом по ссылке из письма (на мобильном устройстве))
- Резервное копирование и восстановление данных приложения
- Запрет запуска приложения на эмуляторах
- Использование биометрии для входа в приложение, отслеживание изменений биометрии на устройстве
- Уведомление о вводе пин-кода для входа в приложение каждые 72 часа (опционально)
Приложение можно свободно загружать для операционных систем Android, iOS и Аврора из указанных ниже магазинов приложений:
Приложение Aladdin 2FA для рабочих станций:
Преимущества
Повышенная защищённость
Использование сервиса Aladdin 2FA совместно с мобильным приложением Aladdin 2FA гарантирует невозможность повторного использования секрета, применяемого в процессе инициализации программных PUSH/OTP аутентификаторов.
Поддержка аппаратных и программных токенов
JAS позволяет использовать для аутентификации как аппаратные токены, так и программные аутентификаторы, что даёт возможность применять различные способы аутентификации для разных устройств: OTP- и U2F-токены — для десктопов и ноутбуков, программные PUSH/OTP/SMS/TG-OTP- аутентификаторы — для смартфонов и планшетов. А функция геолокации позволит реализовать подключение только из списка разрешённых государств, указанных администратором системы.
Универсальность и самодостаточность
Интеграция JAS с прикладным ПО обеспечивается поддержкой стандартных протоколов:
- RADIUS
- REST
- WCF
- WS-Federation (ADFS)
- HTTP (для интеграции c SMS-шлюзами)
- OpenID Connect
- SAML-P
Для полноценной работы JAS не требуется дополнительное ПО, так как в комплект поставки уже включены сервис аутентификации, средства мониторинга, JAS RADIUS Server (JRS), плагины для Microsoft Network Policy Server (NPS), Microsoft Active Directory Federation Services (AD FS), Microsoft RDG, а также средства управления токенами и пользователями.
Производительность, масштабируемость и отказоустойчивость
JAS выдерживает значительные нагрузки (свыше 5,000 аутентификаций в секунду на одном сервере), что позволяет использовать его в организациях любого масштаба.
Производительность сервера JAS напрямую зависит от производительности процессора (вертикальная масштабируемость). Доступна работа нескольких серверов JAS в одном кластере.
В JAS реализована поддержка Failover Cluster на базе Corosync и Pacemaker (режим Active/Standby) и возможность работы с Microsoft SQL Server и PostgreSQL в режиме высокой доступности (high availability), что позволяет гарантировать бесперебойность процессов аутентификации.
Полная автоматизация возможных сценариев использования
Сервер аутентификации JAS глубоко интегрирован с платформой JaCarta Management System 4LX на платформе Linux и задействует все возможности платформы – функционал для автоматизации процессов управления пользователями, аутентификаторами, возможности взаимодействия с поддерживаемыми ресурсными системами, ролевую модель, аудит и журналирование и др.
Многофункциональный Личный кабинет даёт возможность пользователю в рамках предоставленных администратором полномочий управлять своими аутентификаторами – осуществлять выпуск, синхронизацию, перевыпуск, блокировки и разблокировки.
Совместимость
JAS совместим с любыми аппаратными токенами и программными аутентификаторами, генерирующими OTP по событию (HOTP, согласно RFC 4226) и по времени (TOTP, согласно RFC 6238), а также любыми U2F-токенами. Для интеграции с прикладным ПО реализована поддержка протоколов RADIUS, REST, WCF, WS-Federation Connect, SAML-P. Также совместим с SMS-шлюзами — HTTP.
Архитектура
Архитектура JAS
Сервер аутентификации JAS
Сервер JAS — ядро JAS, реализующее функции аутентификации с помощью программных и аппаратных OTP, Messaging (SMS), Push и U2F -аутентификаторов. Позволяет вести отправку событий аутентификаций на сервер Syslog и записывать события в БД для последующего анализа.
Консоль управления
Управление из Единой консоли управления. См. подробнее JMS
База данных
- Хранение информации о токенах пользователей
- Единая база данных с JMS
- База данных создаётся автоматически в процессе настройки сервера JMS
Aladdin 2FA Service
- Сервис безопасной передачи секрета
- Сервис Push-аутентификации
JAS Server API
Открытый клиентский API, благодаря которому можно реализовать двухфакторную аутентификацию с помощью OTP, Messaging (SMS), Push и U2F-аутентификаторов. Позволяет интегрироваться практически с любыми системами.
JaCarta Identity Provider
Провайдер аутентификации/авторизации в совместимые приложения с поддержкой интеграции через протоколы SAML и OIDC.
Документация
Уважаемые коллеги.
Мы постоянно работаем над развитием нашего ПО, поэтому актуальные версии эксплуатационной документации отгружаем только вместе с актуальными дистрибутивами ПО.
Представленная для загрузки версия документации предназначена для общего ознакомления и не может быть использована для работы с актуальными версиями ПО. Просим иметь это в виду.
1 - При условии использования сервиса JIP (лицензируется отдельно)
2 - Будет реализовано в Q2 2026
3 - Будет реализовано в Q2 2026
4 - Будет реализовано в Q2 2026