Документация и сертификаты на IDM-IDM3-UPGR-LC-WKS-50:
Для зарегистрированных пользователей
(3.93Mb)
Приоритетное направление информационной безопасности — идентификация пользователей корпоративных сетей и управление их доступом к информационным ресурсам (Identity and Access Management). В этих целях активно используется служба каталоговMicrosoft Active Directory(AD), в инфраструктуру которой интегрирован сервис биометрической идентификацииBioLink IDenium.

Сервис функционирует под управлением операционных системMicrosoft Windows 2000/XP/2003/Vista, включая их 64-битные версии.Назначение и функции BioLink IDenium:

Назначение и функции BioLink IDenium:

С внедрением BioLink IDenium снижается нагрузка на администраторов и специалистов служб защиты информации, повышается уровень информационной безопасности, а работа пользователей упрощается и ускоряется. Именно пользователи идентифицируются по уникальным неотчуждаемым параметрам — отпечаткам пальцев — простым касанием компактного сканера.

Отпечаток пальца служит единым идентификатором для входа в сеть, доступа к информационным ресурсам, обрабатываемым прикладными программами, электронной почте, защищенным ресурсам Интернет, ERP, CRM и другим управленческим и информационным системам.

В сервисе BioLink IDenium эффективно интегрируются биометрия и технология смарт-карт.

Биометрическая идентификация осуществляется не только при входе в операционную систему, но и при запуске прикладных программ.

Сервис поддерживает работу с целым рядом различных сканеров отпечатков пальцев, включая сканеры, встроенные в ноутбуки и другие мобильные компьютерные устройства.

 С внедрением сервиса BioLink IDenium:

Компоненты

IDenium Server

Синхронизатор паролей

Клиентское программное обеспечение

BioLink IDenium Admin Pack

BioLink Windows Logon

BioLink IDenium SDK

Как действует IDenium

Выбор необходимого сценария осуществляется администратором и реализуется в соответствующей политике идентификации. Политики настраиваются с помощью утилит Active Directory: оснастка ADUC, окно свойств пользователя, вкладка «Безопасность».

Политики идентификации можно задавать как для каждого пользователя, так и для групп пользователей. Применение смарт-карт
Владельцы смарт-карт, в память которых записан цифровой сертификат для входа в Windows, могут заменить ввод PIN-кода карты простой, удобной и надежной идентификацией по уникальным неотчуждаемым биометрическим параметрам — отпечаткам пальцев.
 

При комплексном использовании технологий биометрии и смарт-карт рекомендуется применять офисный USB-сканер отпечатков пальцев BioLink U-Match 5.0, интегрированный со считывателем смарт-карт.
 

Если в компании уже имеются считыватели смарт-карт, их можно дополнить USB-сканерами отпечатков пальцев: BioLink U-Match 3.5 (настольное корпусное исполнение) или BioLink U-Match BI (встраиваемое исполнение, для применения в терминалах, информационных киосках и т.п. оборудовании).

Регистрация (перерегистрация) отпечатков пальцев может осуществляться:

Рекомендуется применять в качестве типового второй или третий сценарии.
 

Каждый пользователь может зарегистрировать до 10 отпечатков пальцев и в дальнейшем идентифицироваться по любому из них.

Администратор может разрешитькэширование сведений об идентификаторахпользователя на рабочей станции. Если кэширование разрешено, то при отсутствии соединения с IDenium Server (например, при временных сбоях в локальной сети) пользователь может авторизоваться на рабочей станции с помощью локального кэша (при условии, что ранее пользователь уже проходил идентификацию на данной рабочей станции).

Необходимо учитывать, что включение кэширования может привести к снижению уровня информационной безопасности, и администратор в любое время может запретить хранение идентификаторов пользователя в локальном кэше.

Кроме того, администратор можетзапретить вывод на экран изображения отпечатка пальцапри прохождении пользователем биометрической идентификации. В этом случае изображение отпечатка будет заменено типовой картинкой, шаблонное изображение на которой не имеет ничего общего с реальными отпечатками.

Однако в этом случае пользователь не сможет контролировать свою работу со сканером, ориентируясь на реальное изображение отпечатка и менять угол наклона, силу, с которой палец касается окна сканера и другие параметры, которые необходимо учитывать в случае, если характер предъявления отпечатка пальца сканеру отличается от того, что был применен при его регистрации.

Клиентская рабочая станция

Рабочая станция администратора

Контроллер домена

Аппаратная платформа IDenium Server

Количество пользователей и число рабочих станций могут не совпадать — например, если в условиях многосменной работы один и тот же компьютер эксплуатирует несколько операторов, либо обслуживание технологической линии под управлением ряда компьютеров одним или несколькими операторами.
Для установки BioLink IDenium требуется приобретение материального носителя — DVD-бокса с инсталляционным диском.
При закупке BioLink IDenium оформляется лицензия, в которой указывается количество серверов биометрической идентификации, лицензий на рабочие места и лицензий на пользователей, приобретенных заказчиком.

Параметр

IDenium LITE

IDenium Corporate

Количество пользователей/рабочих мест

не должно превышать 100 единиц (по каждому показателю)

ограничения отсутствуют

Поставки лицензий

• в стартовый комплект включены лицензия на сервер, первые 20 пользователей и первые 20 рабочих станций
• возможна закупка дополнительных лицензий еще на 80 рабочих станций
• возможна закупка дополнительных лицензий еще на 80 пользователей

закупаются отдельно:

• лицензия на сервер
• лицензии на пользователей
• лицензии на рабочие станции

Закупка лицензии на резервный сервер идентификации

возможна

рекомендуется (для обеспечения отказоустойчивости и балансировки нагрузки)Возможность обновления до IDenium 3.х с предшествующих версий этого сервиса

Нет

Есть

Возможность обновления до IDenium 3.х с поставлявшихся ранее продуктов BioLink Authenteon/AC, BioLink ASA/AC

Нет

Есть

Преимущества

Безопасность

• пользователи не знают реальных паролей и не обмениваются ими
• исключена возможность авторизации по утерянным/похищенным идентификаторам
• защита режимов экранной заставки и Standby с разблокированием компьютера по предъявлении зарегистрированного отпечатка пальца
• многофакторная идентификация при доступе к особо ценным ресурсам

Эффективность

• минимизируются затраты рабочего времени при авторизации в корпоративной сети
• идентификаторы не теряются и не выходят из строя
• сокращается нагрузка на администраторов и сотрудников служб безопасности
• уменьшаются расходы на управление инфраструктурой доступа к информационным ресурсам

Надежность

• «горячий резерв» серверов биометрической идентификации и балансировка нагрузки между ними
• возможна работа отдельных сегментов сети в автономном режиме с последующей репликацией данных между обслуживающими их биометрическими серверами
• допускается вход пользователя на рабочую станцию по локальному кэшу при временной недоступности сервера или сети

Масштабируемость. Централизованное управление

• ограничения по числу пользователей отсутствуют
• централизованная инсталляция и управление с рабочего места администратора
• автоматическая регистрация серверов биометрической идентификации в Microsoft Active Directory
• регистрация/перерегистрация отпечатков пальцев возможна как на рабочем месте пользователя, так и на рабочем месте администратора под его наблюдением
• управление идентификацией — со стандартной консоли AD Users and Computers

Комфортность

• естественная простота и удобство идентификации
• возможна регистрация всех 10 отпечатков пальцев рук с последующей идентификацией по любому из них
• регистрация биометрических идентификаторов производится однократно; сам пользователь может в дальнейшем перерегистрировать их