Aladdin LiveOffice: безопасное рабочее место 1С, Termidesk, RDP

Как максимально безопасно организовать удалённое рабочее место с доступом к серверу с конфиденциальными данными? А если требуется ещё и использовать различные ноутбуки или десктопы, причем не только свои? Компания "Аладдин" предложила остроумное решение: Aladdin LiveOffice — специализированное USB-устройство, предназначенное для организации территориально-распределённых рабочих мест с высочайшим уровнем доверия. Мы решили буквально вставить устройство в USB-порт и посмотреть, как это работает на практике — вместе с 1С, RDP и Termidesk.

Как это выглядит для пользователя: процесс тестирования

Первое, что хочется отметить, — процедура запуска действительно простая, "без танцев с бубном", которых я, признаться, подсознательно ожидал от защищённого решения такого уровня.

Вставляем Aladdin LiveOffice в свободный USB-порт компьютера. Включаем или перезагружаем компьютер, и на этапе POST нажимаем клавишу вызова меню загрузки — F12, F9, F8 или другую, в зависимости от конкретного BIOS/UEFI.

В появившемся меню выбора источника загрузки выделяем пункт Aladdin LiveOffice — компьютер передает управление уже не установленной на нем Windows или Linux, а встроенному в носитель средству доверенной загрузки.

При первом использовании появляется дополнительный шаг — авторизация самого компьютера. Устройство считывает так называемый отпечаток машины — набор параметров процессора, платформы и диска — и выдает на экран код компьютера, состоящий из десяти цифр. Пользователь сообщает этот код администратору (по телефону, почте, мессенджеру — не важно, канал не критичен к безопасности, поскольку сама схема построена на криптографии HOTP), в ответ получает код авторизации, вводит его, и с этого момента конкретный компьютер становится доверенным для данного носителя.

После успешной авторизации начинается собственно загрузка Astra Linux в режиме LiveCD.

Дождавшись рабочего стола, мы увидели предельно лаконичный интерфейс в стиле киоска: никаких терминалов, файловых менеджеров и лишних настроек — только необходимый минимум для конфигурации сети, экрана и звука, плюс сразу видны иконки предустановленных клиентов.

Работа с 1С

Представим ситуацию, когда компания находится в одном городе, а база 1С — на сервере в другом, и сотрудникам нужен защищённый канал для оформления заказов, работы с документами и отчётностью без риска, что данные окажутся на локальном диске случайного компьютера.

Запустили клиент 1С прямо с рабочего стола Aladdin LiveOffice. Подключились к тестовой базе, сформировали отчёт по продажам, полистали справочники — с точки зрения пользователя процесс практически не отличается от привычной работы в офисе: те же меню, те же формы, та же логика.

При этом важно понимать: сама база, документы и отчёты физически находятся на сервере организации, а не на флешке и не на диске компьютера, с которого мы подключались. Завершили сессию, выключили компьютер — никаких временных файлов, кэшей 1С или следов работы на локальном диске не осталось.

Отдельно хочу остановиться на работе с Termidesk — это принципиально значимая часть тестирования, поскольку речь идет об отечественной VDI-платформе, актуальность которой сейчас растет вместе с общим переходом на импортонезависимую инфраструктуру. Важная деталь: при работе через Termidesk конфигурирование доступа к конкретным удаленным ресурсам выполняется уже не на уровне носителя Aladdin LiveOffice, а на уровне сервера Termidesk, то есть администратор VDI-платформы сам решает, какому сотруднику назначить одну виртуальную машину, а какому — несколько.

RDP и другие сценарии

Помимо 1С и Termidesk, мы протестировали и стандартное RDP-подключение — к тестовой Windows-машине. Здесь предусмотрено два варианта аутентификации: с сохранением пароля на смарт-карте устройства либо строгая двухфакторная аутентификация по сертификату, когда пользователю достаточно ввести ПИН-код смарт-карты, а сам пароль от домена он попросту не знает и не может использовать где-либо ещё.

Подключение прошло штатно, встроенный в Astra Linux клиент FreeRDP оказался вполне стабильным. По собственному опыту и опыту разработчиков, для комфортной работы в терминальном режиме на один экран в Full HD достаточно канала около 1 Мбит/с — цифра не выглядит пугающей даже для не самого быстрого мобильного Интернета в дороге.

Впечатления

Пользователь просто вставляет флешку, вводит пароль и через некоторое время оказывается в привычной рабочей среде — будь то 1С или другая корпоративная система. Подключение при этом работает гладко и через Termidesk, и через обычный RDP. Вся сложность и вся защита остаются на уровне архитектуры, невидимой для конечного сотрудника.

Отдельного упоминания заслуживает продуманность мелких деталей: привязка носителя к конкретному компьютеру, дистанционная регистрация нового устройства взамен вышедшего из строя, отсутствие локальных следов работы после завершения сессии, разделение ролей администраторов. Каждая из этих деталей закрывает вполне реальный, а не гипотетический риск.

В итоге Aladdin LiveOffice оставляет хорошее впечатление как инструмент для удаленной работы с корпоративными приложениями, в протестированном нами сценарии — непосредственно с 1С.

В первую очередь, решение можно рекомендовать компаниям, сотрудники которых регулярно используют 1С удаленно, в командировках или с разных рабочих мест, но при этом организация хочет сохранить контроль над корпоративной инфраструктурой и данными, соответствовать требованиям регуляторов (сертифицированы все программные компоненты между пользователем и целевым сервисом) и получить комплексное решение от вендоров, давно и успешно реализующих совместные проекты. Особенно актуален Aladdin LiveOffice для компаний, которым важно быстро организовать защищённый доступ к корпоративным системам без необходимости оснащать каждого сотрудника отдельным служебным ноутбуком.

Полностью статью читайте на сайте IT-World.ru.