Интергация с идентификацией/авторизацией Windows

[Якунин Сергей]

Предложение скорее всего не ново, но:

ОЧЕНЬ логична была бы возможность иметь некий Single-SignOn - автоматический (как опция) вход в Windows после ввода пароля VipNET пользователя. Имя пользователя и пароль для автологина может в таком случае шифроваться на тех-же ключах пользователя. Более того, логичным было бы ограничение на вход определенного пользователя под ограниченным списком имен пользователей Windows. Соответственно, желательно наличие функции удаленного администрирования этих настроек.

[Якунин Сергей]

Да, прокомментирую.

Присутствие ввода двух паролей БОЛЬШЕ всего напрягает пользователей при внедрении. И по моему личному мнению, необходимость пользователю в запоминании двух паролей - это потенциальная проблема с точки зрения безопасности.

[Stratos]

Якунин Сергей

Не вижу никакой проблемы с точки зрения безопасности в запоминании двух паролей. Чем это может грозитьь для безопасности?

И потом, есть функционал, обеспечивающий хранение паролей ViPNet на внешних носителях (eToken, SmartCard, и т.п.). В этом случае, пользователь может даже не знать своего пароля (при логоне в ViPNet пароль считается автоматически), и естественно ничего запоминать не надо.

Кстати, не всегда у клиентов есть практика логона в Windows. Никаких паролей вообще нет. В связи с этим перспективы с интеграцией единого логона и ViPNet и в Windows выглядят смутно...

[Якунин Сергей]

Не вижу никакой проблемы с точки зрения безопасности в запоминании двух паролей. Чем это может грозитьь для безопасности?

Здрасте... Приехали, как говорится. Это же основы - зачем вообще нужен Singl-SignOn с точки зрения безопасности? Тот-же Novell его позиционирует именно с этой точки зрения. Но объясню - если заставить пользователя запоминать один пароль, то он запомнит, два пароля - запишет.

В работе пользователей нашей сети им приходится запоминать:

1. Пароль на вход в сеть (домен).

2. Пароль на вход в интернет (это оправдано с точки зрения защиты от программ-шпионов).

3. Пароль доступа к бюджетному ПО (производитель так-же не поддерживает авторизацию NT) или пароли, в случае доступа к нескольким базам.

Если все эти пароли время от времени менять и при этом обеспечивать их защиту от взлома перебором, то пользователи НЕ СМОГУТ их запомнить.

И потом, есть функционал, обеспечивающий хранение паролей ViPNet на внешних носителях (eToken, SmartCard, и т.п.). В этом случае, пользователь может даже не знать своего пароля (при логоне в ViPNet пароль считается автоматически), и естественно ничего запоминать не надо.

А в состав вашего продукта входит аппаратное решение? Странно - нам его не предоставили ... Мало ли какие еще технологии существуют - мы говорим об удобстве работы с одним программным средством. В настоящее время работать с ним в контексте обсуждаемого вопроса неудобно.

Кстати, не всегда у клиентов есть практика логона в Windows. Никаких паролей вообще нет. В связи с этим перспективы с интеграцией единого логона и ViPNet и в Windows выглядят смутно...

Процент пользователей без логина будем считать несущественным, ладно? Это действительно так. И лучше "иногда ненужная функциональность", чем "обычно недостаточная".

Можно провести опрос по моему предложению - я уверен, что вероятность ответа "согласен" будет стремиться к единице.

[Stratos]

Якунин Сергей

Добавлено: Ср Дек 06, 2006 12:45 pm Заголовок сообщения:

--------------------------------------------------------------------------------

Stratos писал(а):

Не вижу никакой проблемы с точки зрения безопасности в запоминании двух паролей. Чем это может грозитьь для безопасности?

Здрасте... Приехали, как говорится. Это же основы - зачем вообще нужен Singl-SignOn с точки зрения безопасности? Тот-же Novell его позиционирует именно с этой точки зрения. Но объясню - если заставить пользователя запоминать один пароль, то он запомнит, два пароля - запишет.

В работе пользователей нашей сети им приходится запоминать:

1. Пароль на вход в сеть (домен).

2. Пароль на вход в интернет (это оправдано с точки зрения защиты от программ-шпионов).

3. Пароль доступа к бюджетному ПО (производитель так-же не поддерживает авторизацию NT) или пароли, в случае доступа к нескольким базам.

Если все эти пароли время от времени менять и при этом обеспечивать их защиту от взлома перебором, то пользователи НЕ СМОГУТ их запомнить.

Изначально Вы говорили о ДВУХ паролях. Здесь же их уже три...

А в состав вашего продукта входит аппаратное решение? Странно - нам его не предоставили ... Мало ли какие еще технологии существуют - мы говорим об удобстве работы с одним программным средством. В настоящее время работать с ним в контексте обсуждаемого вопроса неудобно.

Странно что Вы не обраили внииманине на столь видимый факт. При введении пароля ViPNet в окне можно выбратьь устройство, на котором хранится пароль. Плюс, в составе документации есть отдельный документ - "Внешние устройства" как раз по этой теме.

Кто и почему не предоставил Вам информацию по этому функционалу лично я прокомментировать не могу, поскольку не знаю, с кем Вы общались.

Что касается опроса - может это действительно интересно. Но опять же, возвращаясь к вопросам сроков реализации (даже если Ваше предложение заинтересует наших разработчиков, а Ваш запрос я им передал), тоо здесь я ничего пока сказать не могу.

[Сергей Якунин]

Изначально Вы говорили о ДВУХ паролях. Здесь же их уже три...

Я привел для того, что-бы было понятно, что паролей и так много, но то что пользователи записывают свои пароли сейчас меня не сильно беспокоит. С введением ЭЦП вопрос безопасности выглядит совсем иначе.

Странно что Вы не обраили внииманине на столь видимый факт. При введении пароля ViPNet в окне можно выбратьь устройство, на котором хранится пароль. Плюс, в составе документации есть отдельный документ - "Внешние устройства" как раз по этой теме.

Сложно это не заметить, но, повторяюсь "А в состав вашего продукта входит аппаратное решение?". Я не говорил о возможности потратить дополнительные средства на закрытие этого момента.

Вопрос был даже не только в количествах паролей. Очень неудобно с координаторами, к примеру. Приходится делать автологин и т.д. только для того, что-бы после перезагрузки можно было бы до него как-то достучаться. Просто не до конца продуманная схема. Понятно, что почти все можно "обойти" всякими хитростями, но почему не пойти навстречу людям и не сделать сразу достаточно удобный вход в систему?

Понятно, что за 5 дней на колене нормальную систему логона не соберешь, но то, что разработчики будут знать о чем думают пользователи и то хорошо. А то бывает вроде бы и проблема понятная, а рассказываешь программисту ... "а мы подумали, что это может быть проблемой". У нас в системе некоторое время назад большенство настроек делалось на клиентах. Когда клиенты по всему городу раскиданы и что-то время от времени происходит, а ты даже посмотреть не можешь, что там перекосило - вроде бы понятная проблема, дык "не подумали". Сейчас все на сервере - "да, секундочку, перегрузитесь и все будет нормально". Наболело, извините.

[Stratos]

Сергей Якунин

В стандартную комплектацию поставки электронные носители типа eToken не входят. Этот вариант оговаривается либо сразу при формировании поставки, либо носители дозакупаются потом. Как я уже говорил, использовать их или нет, это на выбор заказчика.

Что же до координаторов, на них можно зайти удаленно и залогонится в систему. Все равно ведь потом, после заггрузки ОС, нужно будет заблокировать рабочий стол координатора. Или они у Вас стоят не заблокированные? Такие ситуации лично я не считаю "хитростями", это всего лишь рабочие моменты.

Так или иначе, мы стараемся учитывать пожелания наших клиентов по доработкам в наших продуктах. Вполне возможно, в следующих версиях, подобный функционал будет реализован.

[Сергей Якунин]

Что же до координаторов, на них можно зайти удаленно и залогонится в систему. Все равно ведь потом, после заггрузки ОС, нужно будет заблокировать рабочий стол координатора. Или они у Вас стоят не заблокированные? Такие ситуации лично я не считаю "хитростями", это всего лишь рабочие моменты.

Вопрос по этой теме - когда я перегружаю координатор, то до загрузки драйвера VipNET-а весь трафик заблокирован. Приходится делать сохранение пароля. Плюс, требуется, конечно, войти удаленно на координатор и войти в систему или сделать автологин, что-бы загрузился монитор - до того не работает даже проверка соединения. Это нормально или есть какой-то другой штатный метод восстановления работы координатора после перезагрузки?

Так или иначе, мы стараемся учитывать пожелания наших клиентов по доработкам в наших продуктах. Вполне возможно, в следующих версиях, подобный функционал будет реализован.

Спасибо Вам!

И еще один вопрос: Кто-нибудь знает, есть ли версия клиента VipNET для КПК? На обучении говорили "Да", но я что-то не нашел никакой информации об этом.

[Stratos]

Сергей Якунин

Есть следующий способ удаленно зайти на координатор.

1) При старте монитора координатора запомнить пароль.

2) После ввода пароля в ViPNet можно удаленно удаленно залогиниться в ОС.

3) После логона в Windows ViPNet может заблокировать рабочий стол своими средствами, для этого надо сделать соответствующие настройки в мониторе.

Что касается ViPNet продуктов под КПК, то на настоящий момент у нас есть только SafeDisk для КПК. Версия клиента под КПК, насколько мне известно, находится в разработке.

[wait]

Автоматический ввод пароля при загрузке просто необходим во многих случаях - например, при защите удаленных серверов. Потребовалась перезагрузка - и что? Бежать к ним, чтобы ввести пароль??? Это очень неудобно - именно по этой причине отказались от применения сетей Випнет. Используем альтернативные решения, хотя при решении этой проблемы пересмотрели бы позицию - в целом, сеть работает хорошо.