כניסה ל-Windows עם Smart Card
פרקי ההרצאה: כניסה ל-Windows עם Smart Card
תמלול ההרצאה: כניסה ל-Windows עם Smart Card
הטקסט המלא של הדקות הראשונות בהרצאה «כניסה ל-Windows עם Smart Card» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום וברוכים הבאים להרצאה מעניינת ומרתקת על סמארט קארדים אנחנו הולכים להרים פה בעצם סביבה של שרת וקליינט ולעשות לוגין רק עם כרטיס כזה אני ממש הבאתי כרטיס כזה שמתחבר ב-USB ואנחנו הולכים לראות איך לדרוש מווינדוס לעשות לוגין רק עם כרטיס הזה כדי שלא יצליחו להציץ לי
בסיסמה של אדמיניסטרטור אלא ממש אני מחייב לוגין עם כרטיס פיזי זאת הולכת להיות הרצאה מעניינת ומרתקת, אנחנו נרים פה CA ממש מאפס ונגדיר הכל ממש מאפס, זה בעצם התעודה הדיגיטלית, התעודה החכמה שיושבת בתוך סמארטקארד.
אני יונתן רבזין ואתם בהרצאות בווידאו של מכללת פרקטיקיו, ויש לנו הרבה הרצאות מעניינות מאוד בשבילכם, אני מקווה שתהנו גם מזאת.
אתם רואים, אני בא להיכנס למחשב Windows 7 רגיל, כחיים, יוזר הכי פשוט, ללא שום הרשאות, חוץ מיוזר, הוא אומר, אתה לא יכול להיכנס כי אתה חייב סמארט-קארט.
אי אפשר להיכנס עם סיסמה, ואני מקיש סיסמה נכונה, הוא אומר, אתה חייב סמארט-קארט. אז אנחנו עכשיו נחבר לו סמארט-קארט, את ההתקן הפיזי.
רואים, יש לי ממש פה התקן פיזי. זה עולה ממש זול, כן? זה USB כזה, כמו דיסקונטי חכם. ושימו לב, על סמארט-קארט שלי יש לי כמה תעודות דיגיטליות.
ואז אני אומר, אני רוצה את התעודה הדיגיטלית של חיים, ואני מקיש את הפין-קוד, שימו לב, זה לא סיסמה של יוזר, זה פין-קוד שמאבטח את ההתקן הפיזי.
ועכשיו אני עשיתי הזדהות מול Active Directory עם תעודה דיגיטלית עם סמארט-קארד, זאת אומרת, התעודה הדיגיטלית נמצאת בתוך סמארט-קארד, בואו נראה את זה.
קודם כל, כשאנחנו מדברים על הסמארט-קארד הזה, אתם חושבים עליו כמו USB. USB מאובטח וקטן רק לתעודות דיגיטליות.
אתם רואים, התקנתי פה את הדרייבר שלו, ואחרי שמתקינים את הדרייבר יש גם את התוכנה שמגיעה עם הדרייבר, זאת התוכנה שמנהלת אותו. אז בואו ניכנס לתיקייה הזאת ואנחנו ממש ניכנס לתוך תוכנת הניהול ונראה איך נראה סמארטקארד.
עכשיו אני רוצה להיכנס כאדמיניסטרטור אז הוא שואל אותי תן לי שם וסיסמה אני יכול לתת לו שם וסיסמה של אדמיניסטרטור ברשת אני גם יכול להזדהות עם תעודה דיגיטלית ולהגיד אני אדמיניסטרטור כך תזהה אותי לפי התעודה שלי.
עכשיו היתרון הגדול של תעודה שבשביל לגנוב אותה צריך ממש להוציא לי אותה מהארנק זה כרטיס פיזי שצריך להוציא מהארנק וזה הבטחה הרבה יותר טובה מאשר שמישהו יציץ לך בסיסמה אתם מכירים את הטריקים של להקליט בווידאו מישהו שמקיש סיסמה ואז לעשות בסלואו מושן בהילוך איטי לראות את הסרט ההקלטה ולנסות לפענח את הסיסמה של הבן אדם כל מיני שיטות כן אז תראו
אני מפעיל את התוכנה ועשיתי רנס אדמיניסטרטור כי התוכנה הזאת צריכה להיכנס ממש לדרייבר וחשוב מאוד להפעיל אותה.
אני אפעיל אותה בשני מצבים, פעם אחת רגיל, התוכנה הזאת מגיעה עם הדרייבר של הסמארטקארד הספציפי הזה. לכל יצרן בעצם יש את התוכנה שלו, זה כמו תוכנה שמנהלת כזה דיסק און קי, ויש אופציה בר שזה להיכנס במצב של אדמיניסטרטור.
אני מפעיל את זה בעצם בשני מצבים, במצב של יוזר ובמצב של אדמיניסטרטור, ככה כתוב בהוראות של היצרן כדי להראות לכם מה ההבדל. אז צד ימין זה אדמיניסטרטור ואתם יכולים ישר לראות את ההבדל.
ההבדל הכי גדול כשעומדים על התעודה בעצם על ההתקן אז יש לנו בתור יוזר או להחליף סיסמה או לעשות לוגין להיכנס פנימה ולראות מה יש בפנים עוד שנייה נעשה את זה או לפרמט אותו למחוק את הכל וזהו בגדול זאת אומרת יוזר יכול או לשנות סיסמה או לפרמט אין לו הרבה אופציות כי הוא אמור רק להשתמש בתרודות ולכן הוא לא מעניין כל כך אז אני אסגור את זה אדמיניסטרטור שימו לב כמה דברים יש לו הוא יכול גם לעשות לוגין
הוא יכול לראות כל מה שיש בפנים הוא יכול לעשות אימפורט קיז לייבא תעודות חדשות לשים בפנים תעודות חדשות ואנחנו הולכים לעשות את כל זה עוד מעט ויש לו עוד כל מיני אופציות יפות שהוא יכול לעשות אז אני עושה view object לראות מה יש בפנים ושימו לב בתוך ההתקן שלי יש כרגע שלוש תעודות דיגיטליות שמתי עוד שלוש תעודה של פולי תעודה של יוני לא תעודה של מי זה תעודה של חיים נראה
לי ותעודה של אדמיניסטרטור בקיצור יש לי שלוש תעודות לכל תעודה אנחנו רואים פאבליקי בעצם את הפאבליקי של תעודה עכשיו תראו מה קורה כשאני עושה לוגין כשאני עושה לוגין זאת אומרת אני מספק להתקן פיזי זה חיבור לתוך ההתקן הפיזי את הסיסמה הוא ההתקן הזה משחרר לי החוצה בביו אובג'קט לא רק את
הפאבליק פאבליקי גם את הפרייבט קי של כל תעודה האבטחה בסמארטקארד היא גם אבטחה פיזית, היא לא רק אבטחה לוגית. זאת אומרת שמי שיגנוב לי אותו בכל זאת צריך לדעת את הפין קוד שלי, את הלוגין שלי לתוך ההתקן הפיזי הזה.
אם הוא לא יודע, הוא לא יוכל למצוא את ה-Private Key. כי בשביל להגיע ל-Private Key, בשביל להגיע ל-Private Key היינו צריכים לעשות לוגין.
איפה הלוגין שלי? רציתי להראות לכם את הלוגין. זאת אומרת, הלוגין הזה זה לא לוגין של Windows, זה לוגין של ההתקן הפיזי.
וגם אם מישהו גונב לי את התעודה, פיזית גונב לי אותה, הוא עדיין צריך לדעת את הפין קוד שמאבטח את התעודה. בלי זה הוא לא יצליח, אוקיי?
יופי. אז יש לנו בעצם לכל תעודה פה פאבליק, פרייבט ותעודה, ואתם יכולים לראות את המספר הסידורי של כל תעודה. יפה.
איך אני מכניס פנימה תעודות חדשות? אני עושה פשוט מאוד טוקן אימפורט קי, אומר לו את הקובץ, קובץ של תעודה דיגיטלית, שכולל גם את הפרייבט וגם את הפאבליק, עושה בראוס פה, נותן לו את התעודה, הנה בבקשה יש לי פה איזושהי תעודה, אני יכול לעשות לה אימפורט, נותן לו את הסיסמה,
כי לרוב תעודה עם פרייבט קי יש לה סיסמה כדי לפתוח אותה, וזהו, ומייבא פנימה את התעודות. בעצם זה אמצעי אחסון מאובטח שווינדוס יודע לעשות איתו אינטגרציה ולהשתמש בה בלוגין ובהזדהות.
עכשיו רק נשאלת השאלה איך לחלק תעודות דיגיטליות, איך זה מתבצע, ואיך מקימים את כל המערכת. אז בואו אני אראה לכם את התוצאה הסופית ואחרי זה אנחנו נתחיל לדון פה איך עושים את כל זה ונעשה את זה מאפס.
אז תראו, אני יכול לבוא לשרת, לעשות MMC בשרת או בכל תחנת עבודה. יש כמה שיטות איך עושים, אני רוצה להראות לכם אותם אחד מהשיטות, איך לחלק תעודה דיגיטלית.
אז הרעיון שיוזר לא יבקש לבד תעודה, שהוא יבוא למנהל או למישהו שאחראי לתעודות דיגיטליות כי זה מאוד מאוד חשוב לגנוב תעודה או לקבל תעודה, לגנוב זהות של הבן אדם אז לרוב בארגון שמים בן אדם שהתפקיד שלו לבדוק את הזהות האמיתית של בן אדם שעומד מולו פיזית ולתת לו תעודה מתאימה וזה נקרא enrollment agent.
enrollment agent בעצם זה האדם שאחראי על כל התעודות הדיגיטליות ואנחנו מנפיקים לו תעודה מיוחדת שמזהה אותו כבן אדם של enrollment agent אני יודע שזה מסובך תכף אתם תראו את כל זה עובד מולכם יודעים מה אנחנו אנחנו נעשה אנחנו נעשה דבר כזה אני לא אראה לכם את כל זה עובד אנחנו נאפס את כל ההגדרות ונתחיל הכל מאפס אז אני מחזיר סנפשוט למצב שיש לי פה רק dc נקי ומחזיר מצב שיש לי
windows 7 נקי לגמרי לא בדומיין יופי אז בואו ניקח dc סנפשוט נקי נוודא שהוא dc נקי בלי שום דבר יופי ניתן לו לעלות נתחיל את ההגדרות ב dc ואחרי זה נצרף תחנה לדומיין ונראה איך כל זה בא לידי ביטוי בתחנה זה בעצם מה שראינו עד עכשיו, יפה.
אז אנחנו צריכים להתחיל בזה שאנחנו מכינים את התשתית של תעודות הדיגיטליות. זה לא משנה שיש לנו בעצם אמצעי אחסון מאובטח, צריך את הרשות, את ה-CA, שיחלק תעודות דיגיטליות.
ואנחנו הולכים עכשיו להקים Enterprise CA ולתת לו סוג מסוים של תעודה. התעודות מתחלקות לפי סוגים כדי שבן אדם שיש לו זכות לחתום על אימייל שהוא שולח לא נותן לו זכות לחלק לאחרים תעודות.
זאת אומרת, הזכות שלך לעשות משהו היא נובעת מסוג התעודה שיש לך. זאת אומרת, התעודות עצמן בתוך התעודה כתוב מספר סידורי, סוג שימוש, זה נקרא, יש מספר שמייצג את השימוש שמותר לך לעשות בתעודה.
חשבו שאם תעודה אחת אפשר לחתום על אימיילים, ואם תעודה אחרת מותר לתת תעודות לאחרים, האם תעודה אחרת אפשר לעשות SSL? זאת אומרת, יש תעודה לכל מטרה, יש את המספר הסידורי של אותה מטרה, וזה מאוד חשוב לצורך האבטחה. עוד דקה אנחנו רואים את כל זה, אני יודע שזה נשמע מבלבל, תחכו ואנחנו נראה את זה.
אוקיי, אני מתקין את ה-CA בלבד, Next Enterprise Root CA. אני עושה הכל דיפולט, לא משנה שום דבר, רק את השם נחליף פה ל-Practic UCA. יופי, התקנו CA.
סיימנו להתקין CA עכשיו אנחנו צריכים להיכנס לסוגי תעודות שימו לב CA הזה כרגע יש לו אישור לחלק רק את התעודות לשימוש הזה זאת אומרת תעודות ליוזר רגיל להצפנת קבצים ל-recovery של הצפנת קבצים וזאת אופציה מאוד חזקה אתה יכול לשחזר את כל מה שאנשים מצפינים ואני רוצה סוג חדש אני אומר לו new certificate templates to
issue סוג חדש טמפלייט חדש לחלק אותו to issue ואני רואה פה את כל הסוגים שיש את כל השימושים את כל הטמפלייטס וסמארט קארד לוגון זה בעצם מה שאנחנו צריכים להיכנס עם הסמארט קארד יש גם סמארט קארד יוזר שזה גם לוגון וגם עוד דברים כמו אימיילים וקליינט אודיטיקיישן זה כאילו שימוש יותר רחב מלוגון רגיל לוגון זה רק לעשות לוגין למחשב אוקיי אז
אז אני צריך את הסמארט-קארד לוגון הזה כדי ש-CA יחלק אותו לאנשים. האמת שבתוך הסמארט-קארד לוגון הזה אנחנו יכולים לראות מה יש בפנים, ויש כמה דברים שאני רוצה לשנות.
אז תראו, פה בפרופרטיז אי אפשר לראות כלום. צריך לעשות פרופרטיז בתוך סרטיפיקט טמפלייט. זה כלי אחר שמראה לך את הטמפלייט ממה הוא בנוי. אז בואו נמצא את הסמארט-קארד לוגון ונעשה פה פרופרטיז, ואני לא יכול לשנות פה שום דבר.
אתם רואים זה טמפלייט שאני לא יכול להחליף בו שום דבר וזה לא טוב לי לכן אני עושה פה רייט קליק דופליקייט משכפל אותו עושה שכפול ובקופי שלו אני אשנה כל מיני דברים שאני צריך אותם פרקטי קיו סמארט קארד לוגון נקרא לזה פרקטי קיו סמארט קארד לוגון ושימו לב מה חשוב לנו חשוב לנו שאפשר יהיה לעשות
אקספורט לפרייבט קיק כדי שנוכל להעביר את זה בקלות לסמארט קארד אז אני שם פה תביא אלו או זה חשוב לי ב-issues requirements בדרישות לחלוקת התעודה הזו שיהיה חותם יחיד בלבד שלא יצטרכו כמה חותמים ושתהיה מגבלה שרק מי שיש לו סרטיפיקט רקווסט אייג'נט זאת אומרת מי שקיבל
אישור מיוחד להיות זה שמחלק תעודות סרטיפיקט רקווסט אייג'נט יש לו רק הוא יכול לחלק את התעודה הזאת. למעשה אני מתנה חלוקת תעודה בדרישה שתהיה לך תעודה מסוג אחר שתעודה מסוג אחר אז אני אתן רק למישהו שמותר לו לחלק תעודות אוקיי אז זאת אופציה מאוד חשובה להגדיר אחרת לא יעבוד לנו כל המנגנון וכל בן אדם יוכל לבקש תעודה לבד ואנחנו לא רוצים את זה ובסיקיוריטי
אנחנו אומרים למי מותר לבקש את התעודה הזאת ואנחנו נגיד שלכולם מותר לבקש אותה אין בעיה שכולם יבקשו אותה או את אתיקטד יוזרס יש לו אינרול לבקש ואוטו