2MINDS SERVICIOS INFORMATICOS VASCO Strong Autentication Solutions (VASCO ) La Autenticación Fuerte Protección superior para sus Accesos Remotos VASCO es una de las marcas líderes en soluciones de autenticación fuerte, cuando se requieren soluciones de autenticación reforzada, antes de permitirle a sus usuarios y clientes, el acceso a sus recursos a través de accesos remotos. Seguridad sólida = Valor al negocio El Acceso Remoto es uno de los más valiosos - y más vulnerable - áreas en una red corporativa. Sin el acceso remoto, la productividad puede afectarse mucho. Considere lo que pasaría, por ejemplo, si su gente de ventas, empleados de teletrabajo, o clientes perdieran el acceso a su base de datos central u otros recursos de red. Hoy, usted también no puede permitirse a dejar datos corporativos valiosos y sistemas sin protección. El Middleware de VACMAN es la solución simple y rentable que le ayuda positivamente a identificar a los usuarios remotos que quieren acceder a sus redes. Potenciado por DIGIPASS La tecnología de Digipass está expresamente diseñada para asegurar que el acceso remoto no sea el eslabón débil en su esquema de seguridad de red. Con una token Digipass en la mano, sus usuarios autorizados serán capaces de demostrar que ellos son quién ellos dicen que ellos son - rápidamente y fácilmente. Ellos simplemente usan un token Digipass individualmente adjudicado para generar una one-time-password (u otra forma de la autenticación fuerte de usuario), y ellos están en el negocio. Fácil de integrar El secreto? El software único de VASCO ofrece capacidades de proxy, además del soporte fuerte a Digipass Características sobresalientes Autenticación Fuerte de dos factores de DIGIPASS El Middleware de VACMAN y Digipass eliminan el eslabón más débil en cualquier estructura de seguridad, el uso de contraseñas débiles. Esto es una solución de seguridad instantánea que puede estar activa y funcionando en minutos, no horas o semanas. Fácil de integrar El Middleware de VACMAN hace cosas fáciles para el administrador de red. La solución puede ser usada para ajustar la seguridad para el acceso remoto en cualquier ambiente de RADIUS. Es diseñado para hacer cumplir la tecnología de autenticación fuerte DIGIPASS en la combinación con cualquier servidor de RADIUS. El Middleware de VACMAN también puede servir cuando un servidor de autenticación de back end a cualquier aplicación habilitada de firewall RADIUS. Este es porque el software único de VASCO ofrece capacidades de RADIUS-PROXYING además del fuerte soporte al protocolo RADIUS y los dispositivos de autenticación DIGIPASS Registración Dinámica de Usuarios (DUR) Esta funcionalidad se refiere a la extensión automática de la base de datos de VACMAN Middleware para incluir a usuarios que son permitidos para autenticar contra un servidor de RADIUS de terceros. El DUR crea al usuario en la base de datos, si es que no está presente, y el tercero autentica al usuario. El Middleware de VACMAN hace las cosas fáciles del lado del administrador de red, también. Esta solución puede ser usada para ajustar la seguridad para el acceso remoto en CUALQUIER ambiente. Es diseñado para hacer cumplir la tecnología de autenticación fuerte de Digipass en la combinación con cualquier servidor. Pero esto no es todo: el VACMAN también puede servir como un servidor de autenticación de back end a cualquier aplicación permitida de firewall. Claves Auto-aprendidas Aprendizaje automático de contraseñas es una facilidad que permite a las contraseñas estáticas, ser adjudicadas a un usuario en el back-end del servidor de RADIUS, para ser autoalmacenadas en la base de datos. Sobre la autenticación DIGIPASS válida en el Middleware VACMAN, la contraseña de usuario "auto-aprendida" es automáticamente pasada al back-end del servidor de RADIUS. Copyright 2MINDS Servicios Informáticos S.R.L. 2005 All rights reserved Reproduction prohibited Pág. 1 de 6
Fácil de Administrar y Auto-Administración de Auditoría El Middleware de VACMAN se adapta totalmente en cualquier ambiente de RADIUS sin crear nuevos dolores de cabeza a la gerencia. Una sola interface - el Middleware VACMAN Admin GUI - permite al administrador adjudicar y administrar los tokens DIGIPASS que él ha distribuido a usuarios autorizados, mientras que automáticamente maneja todos los requerimientos de autenticación fuertes y respuestas. Este mismo instrumento permite también configurar todos las características de funcionalidad de VACMAN Middleware. Combinando funciones poderosas - como el Registro de Usuario Dinámico, Adjudicación Automática de Tokens, y Período de Gracia de Tokens - la tecnología de VACMAN Middleware automáticamente se administra a sí mismo luego de la configuración inicial. El VACMAN Middleware es muy flexible, dando al administrador varios modos diferentes de crear usuarios y adjudicar tokens. Además de la Auto- Administración, la tecnología permite también: Importar usuarios y asignar tokens desde un archivo de entrada Asignación en volumen, de usuarios y tokens que han sido cargados en la base de datos Asignar una password de token para un usuario Asignar un token basado en un token Usar interface de comando de línea (CLI) para crear usuarios y asignar tokens Introducción al Producto El tradicional y bien aceptado VACMAN Middleware es el producto de Autenticación Fuerte de VASCO que hace cumplir la Autenticación Fuerte Digipass para el Acceso Remoto a Redes Corporativas y sus aplicaciones. Desde su introducción en 2002, un número enorme de clientes comerciales clasificados pequeños y medios ha implementado el VACMAN Middleware a su indudable satisfacción. Con VACMAN Middleware la mejor de su raza en tecnología de autenticación fuerte a Radius o ambientes IIS incluyendo facilidades expandidas de administración, ahora están disponibles para clientes de grandes corporaciones. Las principales funcionalidades del VACMAN Middleware son: Autenticación fuerte de 2 factores Soporte de ambientes Radius y Web servers Seteos de autenticación extensiva o Autenticación basada en políticas o Autenticación a través de componentes de clientes IIS o Asignación flexible de procedimientos DIGIPASS o Identificación de usuarios o Restricciones de Identificación de usuarios Integración con Active Directory o Almacenamiento de datos de usuario y DIGIPASS o Administración de usuarios directamente en Active Directory o Administración delegada o Interfases de administración diversas o Manejo de conexiones Soporte extensivo de Bases de Datos ODBC o Nueva Base de Datos embebida (PostgreSQL 8.1) o Soporte mejorado para otras Bases de Datos o Unidades de Dominio y de Organización o Unidades de administración o Controles de Administración o Manejo de Conexiones o Nuevo mecanismo de replicación Sistema de Auditoría o Reportes de Auditoría configurables para Archivos de formato standard de texto Windows event log Entradas de Bases de Datos ODBC (compliants) Conexión en vivo con el audit. Viewer Varios análisis y reportes de datos de Auditoría. Audit Viewer Administración con comandos de línea TCL Modelo de licenciamiento seguro Las facilidades mejoradas de administración comparadas con la versión anterior de VACMAN Middleware son: Autenticación basada en políticas Administración de cantidades importantes de dispositivos Asignación de múltiples tokens a un usuario y vice-versa Soporte de Grupos RADIUS Modelo de Base de Datos y modelo de Replicación Línea de Comandos de Administración Administración distribuida Como VACMAN Middleware está disponible ahora para todos los populares sistemas operativos de Microsoft, la instancia principal de autenticación es el Servicio de Active Directory. El almacenamiento Copyright 2MINDS Servicios Informáticos S.R.L. 2005 All rights reserved Reproduction prohibited Pág. 2 de 6
de datos relacionados con Digipass son adjuntos a/ localizados con los Usuarios en el Active Directory, dondequiera que ellos estén. Este es un acercamiento escalable y da el apoyo perfecto a múltiples dominios y administración delegada. Además de este soporte consistente de Active Directory, VACMAN Middleware también soporta bases de datos ODBC compliant tales como ORACLE 9i, Microsoft SQL Server 2000 y 2005, IBM DB2 8.1, Sybase Adaptive Server Anywhere 9.0, PostgreSQL 8.0 y 8.1. El VACMAN Middleware es provisto por default con postgresql. VACMAN Middleware también soporta configuraciones flexibles de auditoría de archivos de texto, log de eventos, base de datos ODBC compliant y online audit Viewers. Vacman Middleware es entregado como un componente de software independiente y en 5 productos Digipass Packs (todos basados en IIS6): DP Pack for Citrix Web Interface DP Pack for OWA Form Authentication DP Pack for OWA Basic Authentication DP Pack for IIS Form Authentica ion ( to be released) DP Pack for IIS Basic Authentication ( to be released) Adicionalmente a estos productos de software standard Actualizaciones escalonadas de VACMAN Server y VACMAN Middleware 2.x a 3.0 son provistas a través de Data Migration Tool y un Add-On for VACMAN Middleware 2.x Plataformas Microsoft Windows Vista, full IPv6 y 64- bit son considerados para ser soportados en los próximos releases. ----------------------------------------------------------------------- -------------------------------------------------------------------- Descripción del Producto En los ambientes RADIUS, VACMAN Middleware Especificaciones técnicas en términos de puede ser usado en modos diferentes: Escenarios de Implementación y módulos de En escenarios aislados, donde el VACMAN software disponibles Middleware trabaja como la instancia de autenticación de usuario para un cliente de El Middleware de VACMAN es una suite de RADIUS (ej: dial-up NAS, firewall / equipo de componentes de software que trabajan juntos para VPN, wireless access point, u otro dispositivo agregar la autenticación de dos factores de que use protocolo de RADIUS para propósitos DIGIPASS a ambientes de accesos de red de autenticación de usuario, también los remotos. Puede ser usado en: componentes de software como el Internet Ambientes RADIUS Security and Acceleration Server (ISA) de Ambientes de WEB en conjunción con Microsoft, pueden actuar como clientes de productos como CITRIX Web Interface y RADIUS en la combinación con el VACMAN Outlook Web Access Middleware). EL RADIUS en tributos no es Combinación de ambientes RADIUS y WEB requerido en este escenario. En escenarios donde un servidor de RADIUS es la instancia de autenticación primaria a un cliente de RADIUS, y el servidor de RADIUS usa el VACMAN Middleware para objetivos de autenticación de dos factores. En este escenario, el servidor de RADIUS proporciona la autorización en tributos después de que el VACMAN Middleware ha aceptado las credenciales del usuario. Copyright 2MINDS Servicios Informáticos S.R.L. 2005 All rights reserved Reproduction prohibited Pág. 3 de 6
En escenarios donde el VACMAN Middleware actúa como instancia secundaria intermediaria de autenticación que se ubica entre el cliente de RADIUS y el servidor de RADIUS. En este escenario, el VACMAN Middleware envía peticiones de autenticación al servidor de RADIUS a fin de recuperar la autorización en tributos después de validar la one-timepassword. Es necesario proporcionar una contraseña estática al servidor de RADIUS para conseguir ésto. Por lo tanto hay dos métodos de la realización: o Ingresar al sistema sólo con User ID y OTP: el VACMAN Middleware tiene que aprender la contraseña estática para el usuario y es capaz de enviarlo al servidor de RADIUS después de la autenticación OTP correcta. Los protocolos siguientes son soportados: PAP, CHAP, MS- CHAPv1, MS-CHAPv2. o Ingresar al sistema con User ID, contraseña y OTP: En este escenario, el usuario tiene que entrar en su contraseña estática y el OTP para cada ingreso al sistema. El VACMAN Middleware valida el OTP y envía la contraseña estática al servidor de RADIUS si el OTP es correcto. Este método sólo puede ser usado con el protocolo de contraseña de PAP porque CHAP Y MS-CHAP entremezclan la contraseña y OTP juntos y una separación posterior no es posible. Copyright 2MINDS Servicios Informáticos S.R.L. 2005 All rights reserved Reproduction prohibited Pág. 4 de 6
En ambientes de Web, el VACMAN Middleware usa un componente que conecta los servicios de Internet Information (IIS) para interceptar peticiones de autenticación. Este Módulo IIS verifica las credenciales con el VACMAN Middleware primero (validación de OTP) y devuelve la contraseña estática a IIS como si el usuario hubiese entrado en él. El proceso regular de autenticación de sitio Web completa el ingreso al sistema del usuario entonces. También en ambientes de web, dos escenarios pueden ser implementados: o Ingreso al sistema sólo con User ID y OTP: el VACMAN Middleware tiene que aprender la contraseña estática para cada usuario y lo devuelve al Módulo IIS después de que OTP ha sido correctamente validado. o Ingreso al sistema con User ID, contraseña y OTP: el usuario ingresa siempre su contraseña estática y OTP en cada ingreso al sistema. El VACMAN Middleware valida el OTP y devuelve la contraseña estática al IIS si el OTP fuese correcto. Este escenario puede ser necesario cuando la contraseña estática no es una contraseña de Windows (ej contraseña de Novell). También puede ser conveniente si la política de seguridad prohíbe el almacenaje de contraseñas de Windows en el VACMAN Middleware (aunque ellas sean fuertemente codificadas). La suite de componentes de software de VACMAN Middleware comprende de: 1. El Server de Autenticación 2. El módulo IIS (autenticación WEB solamente) 3. Un almacenamiento de Datos (puede ser Active Directory o una base de datos ODBC compliant) 4. La interfase de administración MMC Copyright 2MINDS Servicios Informáticos S.R.L. 2005 All rights reserved Reproduction prohibited Pág. 5 de 6
5. La extensión DIGIPASS para usuarios de Active Directory y computadoras 6. El sistema de Auditoría 7. Componentes opcionales: a. El Audit Viewer b. El Virtual DIGIPASS con el Message Delivery Component y el OTP Request Site c. El WEB Site de Auto-Administración de usuario d. La Administración de línea de comando de DIGIPASS TCL 8. Utilitarios extras a. La herramienta de migración de datos b. El RADIUS Client Simulator Interoperabilidad El VACMAN Middleware ofrece mucha flexibilidad para administrar la autenticación en los siguientes ambientes: Todo tipo de Clientes RADIUS Servidores de Autenticación RADIUS IIS compliant WEB Sites CITRIX WEB Interface 2.3 Outlook Web Access ---------------------------------------------------------------------- ------------------------------------------------------------------- Cumplimiento de Standards puertos USB, monitor LCD 17, teclado y Mouse, sistema operativo Microsoft Windows 2003 Server. RADIUS RFC 2865 y 2866 Autenticación OATH Plan de Implementación Requerimientos de Sistema Sistema Operativo Procesador Memoria Espacio disco en Winsock JAVA Runtime Environment Windows 2000 / XP Windows Server 2000 / 2003 (recomendado) Windows NT Server 4.0 con SP6 o superior Pentium 500 Mhz o superior Las siguientes condiciones pueden incrementar la carga de CPU Alto número de requerimientos de autenticación o contabilidad de RADIUS Requerimiento RADIUS Proxied al Server RADIUS Una o más consolas de auditoría activas ODBC Auditing habilitado Server debug option habilitada Capacidad RAM de 512MB o superior Las siguientes condiciones pueden incrementar los requerimientos de memoria: Cache de usuario habilitado, con gran número de usuarios usando el cache JAVA based ADMIN GUI o Consola de Auditoría activa Espacio en disco de 100MB o superior Las siguientes condiciones pueden incrementar los requerimientos de espacio en disco: Gran número de registros de usuarios y tokens Archivos de log de auditoría que no han sido archivados Versión 2.0 o superior Versión 1.2 o superior. JRE es requerido para ejecutar los siguientes programas basados en JAVA: admin. GUI y Consola de Auditoría. JRE 1.2 está incluido en el VRM installation media y puede ser también descargado del sitio java.sun.com Configuración recomendada: VACMAN Middleware Servers = 2 (un master y otro replicado para Alta Disponibilidad). Tecnología Intel Pentium IV del orden de 3Ghz, memoria RAM 1GB, disco del orden de 400GB, interfase de red Fast-Ethernet, unidad CD-RW, El plan de implementación contempla la instalación del servidor de autenticación y su réplica, la distribución de las licencias y la puesta en funcionamiento de la solución. Esta tarea se realizará en la sede del Cliente y será cotizada por separado. El administrador podrá definir los atributos y pautas de seguridad a seguir. Se generarán etapas de implementación, definidas por la implementación de los Servers de Autenticación, la provisión de los tokens, y el alta de los usuarios en los Servers de autenticación y sus workstations. Plan de Capacitación Se proveerá de un curso de capacitación para el personal del Cliente que deba realizar la administración, mantenimiento y gestión de la solución. En la misma se incluirá la capacitación a nivel usuario a fin de que el personal del Cliente pueda estar capacitado para formar a personal adicional vigente o futuro del Cliente. Compra Contacte a 2MINDS para realizar su compra. Visítenos en http://www.2mindsarg.com.ar o envíenos un mail a info@2mindsarg.com.ar 2MINDS es Seguridad Informática Copyright 2MINDS Servicios Informáticos S.R.L. 2005 All rights reserved Reproduction prohibited Pág. 6 de 6