SafeNet Borderless Security (Bsec) PK 7 Instalaní manuál Poslední verze: 12.5.2010
OBSAH: ÚVODEM... 3 POSTUP INSTALACE... 4 I. ADMINISTRATIVE MANAGEMENT CENTER (AMC)... 4 A) CONFIGURATION MANAGER... 4 B) TOKEN MANAGER... 5 C) POLICY MANAGER... 6 D) CLIENT BUILDER... 8 II. VYTVOENÍ KLIENTSKÉHO BALÍKU... 9 III. INSTALACE KLIENTSKÉHO BALÍKU... 13 IV. INICIALIZACE TOKENU/KARTY... 13 DALŠÍ INFORMACE... 14 ÍKLADY A TIPY PRO POUŽITÍ TOKENU... 14 2
ÚVODEM SafeNet Borderless Security PK 7.3 je balík softwaru, který poskytuje kompletní podporu pro tokeny ikey 2032/4000 a ipové karty SC 330/400 výrobce SafeNet Inc. Obsahuje: Administrative Management Center pro správu a vytváení tzv. klientských balí, BSec PK Client vzorový klientský balíek urený pro koncové uživatele, CryptoService Provider (CSP) knihovny pro kryptografické operace (Safenet Inc.), Ovladae pro tokeny ikey a teky karet, Pomocné utility a dokumentaci. Tento dokument je uren integrátorm bezpenostních ešení, administrátorm a koncovým uživatelm, kterým by ml pomoci implementovat autentizaní prostedky firmy SafeNet Inc. Autoi manuálu doufají, že se s jeho pomocí podaí uživatelm optimáln využít všechny možnosti, které naše tokeny/karty nabízejí. Souástí balení tohoto Software Development Kitu (SDK) je: Autentizaní USB token ikey 2032 / ikey 4000 Instalaní CD obsahující ovladae a aktuální verzi middleware BSec PK Manuál Podporované operaní systémy : Windows XP, W2000, W2003, Windows Vista, W2008 (pouze jako klient) 3
POSTUP INSTALACE I. instalace Administrative Management Center (AMC) II. vytvoení klientského balíku v AMC III. instalace klientského balíku a ovlada na koncové PC IV. inicializace tokenu/karty I. ADMINISTRATIVE MANAGEMENT CENTER (AMC) Aplikace AMC slouží pro vytváení klientských balí BSec PK Client, jejich správ a nastavování bezpenostní politiky. Instalace AMC: 1) spuste soubor SafeNet Administrative Management Center.msi z CD 2) proklikejte se až k tlaítku Finish i prvním spuštní AMC (dkamc.exe, nebo z nabídky Start/Programy/Safenet/AMC) po Vás bude vyžadován licenní kód. Ten najdete na konci tohoto manuálu. Po zadání kódu se objeví základní obrazovka AMC. a) Configuration Manager se nastavuje pouze pi využití Microsoft certifikaní autority ve Windows domén. Specifikuje se zde certifikaní autorita, délka RSA klíe, šablona certifikátu a další nastavení, která se projeví pi Enrollmentu pes webové rozhraní. 4
b) Token Manager - nastavení maximálního potu neúspšn zadaných PIN, minimální délky PINu/hesla, as v minutách, po jehož uplynutí je poteba znovu zadat PIN/heslo k tokenu. Pomocí tlaítka Advanced lze nastavit další vlastnosti hesla k tokenu (PINu). - složitost PINu (vynutit použití velkých/malých písmen, ísel a speciálních znak nebo dv/ti libovolné kategorie z výše uvedených), - expirace PINu (v týdnech), - poet PIN, které si token pamatuje z historie, a nemohou být použity, - poet dn ped expirací, kdy je uživatel upozornn na konec platnosti PINu. 5
c) Policy Manager - tato volba je aktivní pouze pi zakoupení verze Single Sign On (SSO). Policy manager umožuje: specifikovat aplikace, ke kterým se uživatelé budou hlásit heslem uloženým v tokenu, specifikovat osoby/skupiny, které budou mít pístup k daným aplikacím s využitím Active Directory, koncovým uživatelm trénovat další aplikace, do kterých se chtjí automaticky pihlašovat (SmartLogon). Jak nauit token pihlašovat se do libovolné aplikace (SSO): Add new application policy zadat název aplikace/pihlašovacího okna Ve vytvoené záložce Dialogs trained zvolte Train Dialog (viz obrázek) Spuste aplikaci/webovou stránku, k níž se chcete pihlašovat Uchopte ikonku glóbu a petáhnte ji na pihlašovací formulá webové stránky/aplikace Automaticky se vyplní dialogové okno (Step 2) Po kliknutí na Next mžete zadat friendly jméno pro Váš dialog (Step 3) Step 4 výbr textového pole, do kterého zadáváte pihlašovací údaje (viz obr.). Pomocí Previous/Next Text Field zvolíte píslušné pole v dialogu a padíte mu roli: Username, Password nebo Vámi vytvoená role pomocí tlaítka New/Edit. 6
Pomocí tlaítek Previous/Next Button se vybere potvrzovací tlaítko v dialogu. Druhá možnost (viz obr.) je simulace stisknout ENTER pro pihlášení. Další obrazovka (Step 6) shrnuje vše, co bylo natrénováno (textová pole, tlaítka). Na následujícím obrázku je vidt, že byla natrénována pole Username a Password na stránkách www.askon.cz a simulovaný stisk klácvesy ENTER. 7
Po absolvování tohoto wizardu je nutné naplnit token skutenými pihlašovacími údaji. Toho se dosáhne pi Enrollmentu provedeném nap. pes Token Manager Utility (webový enrollment). Druhá možnost, jak nauit aplikace automatickému pihlašování, je pravým tlaítkem kliknout na ikonku v systray (erný token) a zvolit možnost SmartLogon (viz obr. níže). Programování pihlašovacího dialogu vybrané aplikace probíhá analogicky postupu v AMC. Pozn.: Pro využití této možnosti je poteba mít již nainstalovaný klientský balík BSec SSO client. d) Client Builder Create New Policy Client startuje dialog, pomocí kterého vytvoíte klientský balíek (BSec PK Client) pro koncového uživatele tokenu/karty. Tento balík spolu s driverem (je možnost mít driver i jako souást klientské instalace) již umožuje používání tokenu ikey 2032/4000 a je k nmu nutnou podmínkou. 8
Vytváení klientského balíku popisuje blíže následující kapitola. Po skonení dialogu se na ureném míst balíek uloží (*.msi) a je pipraven k distribuci na koncové stanice. Pozn.: Token ikey 2032/4000 je funkní i bez programu AMC, je nutné mít nainstalovaný klientský balík Safenet BSec PK Client s driverem. II. VYTVOENÍ KLIENTSKÉHO BALÍKU Spuste AMC (viz oddíl I.) a pejdte na Client Builder. Zvolte Create New Policy Client a objeví se dialog Configure Policy Client Name and Path. V tomto okn nazvte klientský balíek (stejn se nazve adresá s instalaními soubory), zvolte, jak se bude nazývat pihlašovací heslo k tokenu (PIN) a cestu, kam se balíek uloží. 9
Další dialogová okna následují: Configure PKI Certificate options - Pokud budete používat token jako úložišt certifikát, zvolte YES. Mžete zvolit, pro které aplikace se má automaticky zaregistrovat knihovna PKCS#11 (nastavení Netscape je i pro Mozillu). Automatic Certificate Registration - Pokud používáte certifikát v programech využívajících CSP knihovnu -Outlook, Internet Explorer, Windows logon a další, zapnte autoregistraci (YES). Druhá volba (automatická deregistrace) znamená, že se íslušné certifikáty pi vytažení tokenu aplikací odregistrují a nezstávají po nich stopy v systému (YES-autoderegistrace, NO-certifikát zstane registrovaný v MS Store). Import Certificate Chain Options zvolte YES, pokud chcete, aby byl uživatel tázán, jestli má na token importovat i certifikáty nadízených certifikaních autorit. Pi volb NO níže vyberte, jestli se budou certifikáty automaticky importovat na token nebo ne. Token Manager Utility - instalovat Token Manager Utility YES/NO. Jedná se o webovou aplikaci pro Internet Explorer, která umožuje jednoduchou správu tokenu. Je ale možné token plnohodnotn spravovat i pomocí Token Utilities/CIP Utilities. Enrollment wizard umožní inicializaci tokenu (aplikace nastavených politik v AMC, nastavení PINu, možnost vyžádání certifikátu). Enrollment Update umožní zmnit PIN, odblokovat token (pokud inicializován s Unblocking kódem), vyžádání a obnova certifikátu a import certifikátu PKCS#12. Suppress default Device Setting zaškrtnte, pokud chcete potlait defaultní hlášku Do you want to use Slot X?. Uplatní se, pokud jsou využívány jiné karty/tokeny, než Safenet a uživatel nechce stále potvrzovat íslo USB slotu. Enrollment (inicializace) - smaže se obsah tokenu, nastaví se jeho parametry (název a heslo-pin) podle pravidel urených v oddíle I. b). V pípad 10
ihlašování certifikátem do Windows (Windows LogOn) se automaticky vygeneruje pár klí na tokenu a zašle se žádost o certifikát na CA podle nastavení v I. a). Následn je uživatel vyzván k zadání login a hesel pro aplikace pedpipravené administrátorem v ásti I. c). Toto platí pouze pro verzi se SSO. Pozn.: následující dv okna se týkají aplikace Token Manager Utility (pokud nezahrnete TMU do klientského balíku, budou peskoena) Enrollment Wizard co se bude dít, pokud Enrollment wizard najde na tokenu data. Pokrauje v inicializaci, data budou smazána esmrování do aplikace Enrollment Update (viz výše) Upozornní pro uživatele, že pi Enrollment se data smažou (Prompt user for action) Ve spodní ásti tohoto okna se dá nastavit, jestli bude souástí procesu Enrollment i odeslání žádosti o certifikát na Vaší CA pro Windows Logon. Pi volb YES musí být v bod I. a) nastavena správn certifikaní autorita. Enrollment Update nastavení, zda mže uživatel v této aplikaci importovat digitální ID pes soubory P12/PFX (YES/NO), zda lze žádat o certifikát (YES/NO), i obnovit stávající certifikát (YES/NO). Pro nastavení druhé a tetí možnosti musí být opt správn nastavena certifikaní autorita (bod I. a). Configure Client Workstation Logon Options: Pro pihlašování do systému Windows bude použit: Token s certifikátem nebo Heslo uložené v tokenu nebo Klasické jméno/heslo jako dosud. Pozn.: I když nenastavíte v tomto okn pihlašování s certifikátem, je uživateli umožnno (pokud spluje požadavky jeho systému na LogOn pomocí certifikátu na tokenu) se do systému certifikátem pihlásit. Na OS Windows XP SP3, Vista a vyšších je pihlášení certifikátem umožnno vždy bez ohledu na toto nastavení. Configure Terminal Services Logon Options stejné jako v pedchozím bod, ale jedná se zde o pihlášení k Terminal Serveru nebo Citrixu. Možnosti: certifikát na tokenu, jméno/heslo na tokenu, bez tokenu. Configure Remote Desktop Logon Options - stejné jako v pedchozím bod, ale jedná se zde o pihlášení ke vzdálené ploše. Možnosti: certifikát na tokenu, jméno/heslo na tokenu, bez tokenu. Pokud je v pedchozích tech oknech wizardu vybrána alespo jednou možnost YES, objeví se ješt okno Configure Credential Provider Filtering Options, kde lze filtrovat pihlašovací obrazovky Microsoftu a jiných výrobc karet. Volba umožuje nap. používat k pihlášení pouze karty/tokeny Safenet. 11
Configure Remote Desktop/Citrix optimalizuje využití prostedk pi vzdáleném ihlašování. Hot-swap ability povoluje uživateli vložit/vytáhnout token bhem probíhající relace. Utilities - pomocné utility, které je možné vložit do klientského balíku. Lze zvolit: Token Utilities (TU) CIP Utilities Žádnou utilitu Tyto aplikace (spustí se po nainstalování balíku nap. z nabídky Start) umí podrobnji zobrazit obsah tokenu, importovat digitální ID, zmnit pin, testovat a inicializovat token, nastavovat nkteré vlastnosti tokenu apod. Po kliknutí na tlaítko Advanced žete definovat, které funkce pomocných utilit (TU, CIP) bude mít uživatel k dispozici. Tj. mžete mu nap. zakázat inicializovat token nebo mazat obsah tokenu. SmartLogon (lze použít pouze ve verzi SSO!) umožuje koncovému uživateli ukládat do tokenu hesla k libovolným aplikacím, tj. nejen tch, které peddefinoval administrátor v kroku I. c). System Tray Icon - Instaluje ikonu do System tray panelu Windows (YES). Pi zasunutí/vytažení tokenu se objeví upozornní (bublina) - Enable Event Notifications (YES/NO). Additional Device Support možnost instalovat podprné moduly pro sníma biometriky (Precise Biometrics) nebo pro vybrané teky karet. Ovladae je nutno instalovat zvláš. Pokud neuvažujete o použití tchto zaízení, nic nezaškrtávejte. Ve spodní ásti okna je možnost pidat do klientského balíku ikey driver. Pokud budete balíek distribuovat svým uživatelm, vele doporuujeme driver do balíku zahrnout, aby se celá podpora pro tokeny instalovala najednou. User Guide - instalace návodu pro koncové uživatele. Administrative Install Ready Package pokud zvoleno YES, vytvoí se balíek, který je pak možno pomocí nap. GPO, SMS distribuovat a aktualizovat. Pi zvolení NO je nutné klientské balíky pi upgradu celé peinstalovat. Policy Client Configuration Complete shrnutí konfigurace klientského balíku. 12
III. INSTALACE KLIENTSKÉHO BALÍKU Pokud neuríte jinak, v defaultním adresái C:\Program Files\SafeNet\AMC\Client Installs se vytvoí Vámi nakonfigurovaný instalaní balíek BSec PK Client a to ve dvou verzích: Uncompressed a Compressed. Celou tuto složku/soubor distribuujte zákazníkovi (koncovému uživateli), který bude token používat. Pokud instalujete BSec pro ipové karty SC 330/400, je poteba ješt piinstalovat ovladae teky karet (z CD \Reader Install\ nebo webu výrobce). KLIENTSKÉ PC: a) instalace balíku s driverem - spuste setup.exe/<nazev_balicku>.msi a proklikejte se až do konce instalace - restartujte poíta b) instalace balíku bez driveru - nainstalujte aktuální ovlada pro ikey (z CD adresá \Reader Installs\iKey nebo www.askon.cz ) - nainstalujte balík BSec PK client programem setup.exe IV. INICIALIZACE TOKENU/KARTY Pro první inicializaci tokenu ikey 2032/4000 nebo karty SC 330/400 lze použít ti zpsoby: Enrollment pes ikonku v System tray icon o zadáte název tokenu a požadovaný PIN SafeNet Token Utilities (pokud jsou souástí klientského balíku) o C:\Program Files\SafeNet\BSecClient\Tknutils.exe nebo o Start/Programy/Safenet/BSec PK/ Token Utilities o Initialize token... CIP Utilities (pokud jsou souástí klientského balíku) o C:\Program Files\SafeNet\BSecClient\CIPutils.exe nebo o Start/Programy/Safenet/BSec Client/CIP Utilities o Kliknte pravým tlaítkem na slot s tokenem, Initialize token... i inicializaci se nastaví defaultní PIN/heslo: Password#1 Doporuujeme co nejdíve zmnit heslo k tokenu! 13
DALŠÍ INFORMACE Pomocné utility pro vývojáe a další aplikace najdete v adresái C:\Program Files\SafeNet\AMC\Toolkit. Pokud je teba pro používání tokenu zaregistrovat knihovnu PCKC#11 v aplikaci Entrust, Lotus Notes, Mozilla, apod., knihovnu k dané aplikaci najdete na disku v adresái C:\WINDOWS\system32\. Nejpoužívanjší je dkck201.dll. i používání aplikací využívajících knihovnu CSP (nap. Microsoft Internet Explorer, Microsoft CA) vybírejte SafeNet RSA CSP, pípadn Datakey RSA CSP. Stejn tak ute, pokud chcete vygenerovat žádost o certifikát (privátní a veejný klí) pímo v tokenu. ÍKLADY A TIPY PRO POUŽITÍ TOKENU A. Windows LogOn s certifikátem uloženým na tokenu Podmínky: - správn nakonfigurovaný klientský balíek (viz oddíl III), - certifikaní autorita ve Windows domén, - píslušný certifikát uložen v Active Directory es Systray icon / Enrollment získáte certifikát pro Windows logon z Vaší certifikaní autority. Pihlášení k systému bude zaregistrováno pod aktuálními pihlašovacími údaji. B. Import certifikátu ze souboru Podmínky: - jedna z utilit (CIP Utilities, Token Utilities, Token Manager Utillities) - soubor s klíi *.pfx, *.p12 Ve vybrané utilit zvolte Import, vyberte svj soubor s klíi (.pfx nebo.p12), zadejte k nmu heslo a provete import. Krom importu certifikátu ze souboru se dá certifikát importovat i pímo z Osobního úložišt Microsoft. C. Vytvoení kvalifikovanéh/komerního certifikátu u akreditované certifikaní autority Podmínky: - registrace/žádost na CA, pedpoklady specifikované cert. autoritou, - nainstalovaný základní klientský balík (nap. na CD \ BSec PK client) 14
i generování žádosti o kvalifikovaný certifikát je nutné zvolit správn CSP CryptoService Provider tj. SafeNet RSA CSP nebo Datakey RSA CSP, aby se klíe vygenerovaly bezpe na tokenu/kart ikey 2032/4000 resp. SC 330/400. CSP se dá nastavit u volby Typ klíe nebo Poskytovatel kryptografických služeb (záleží na zvolené CA). Po vygenerování žádosti u vybrané CA ovíte totožnost a získáte certifikát, který nainstalujete do systému a tokenu. D. Pihlašování k virtuální privátní síti (VPN) Podmínky: - token s platným certifikátem pro pihlašování do VPN - instalovaný BSec PK client - pihlašovací VPN klient musí podporovat certifikáty a Smart card logon Ve VPN klientovi navolte pihlašování pomocí certifikát. Pokud máte zasunutý token v USB, píslušný certifikát by se ml naíst a po zadání PINu se k VPN pihlásíte. E. Podepisování e-mail klíi uloženými na tokenu Podmínky: - platný certifikát od dryhodné certifikaní autority na tokenu, - instalovaný BSec PK klient, - správné nastavení e-mailového klienta. Pro šifrování a digitální podpis e-mail je poteba nastavit e-mailového klienta pro certifikát uložený na tokenu. V MS Outlook 2003 se nastavení provádí v menu Nástroje / Možnosti, karta Zabezpeení. Zatrhnte možnost Pidat digitální podpis pop. Zašifrovat obsah. Pi volb tlaítka Nastavení... se objeví následující okno. V Outlooku 2007 - menu volba Nástroje/ Centrum zabezpeení, oddíl Zabezpeení e- amilu a tlaítko Nastavení 15
V tomto okn vyberte podpisový pop. šifrovací certifikát pro Vaše e-maily. Aby se v seznamu zobrazily i certifikáty na tokenu, je nutné jej mít zasunutý v USB/tece. Pozn.: V klientovi Mozzila Thunderbird 2.0 je podepisování certifikátem na tokenu možné pouze, když byl certifikát generován pímo v tokenu a pokud jsou do programu importovány i certifikáty vydávající CA coby dryhodné CA. 16
Licenní kód BSec Administrative Management Center PK: 132-PKQ-313 2010 ASKON INTERNATIONAL s.r.o., autorizovaný distributor spolenosti SafeNet, Inc. pro eskou republiku a Slovenskou republiku. Všechna práva vyhrazena. Tato dokumentace je urena pro zákazníky užívající produkty distribuované spoleností ASKON INTERNATIONAL s.r.o. Další šíení této dokumentace nebo jejích ástí je možné jen s výslovným písemným souhlasem ASKON INTERNATIONAL s.r.o. V tomto materiálu uvedené názvy produkt jsou ochranné známky jejich vlastník. 17