Служба сертификации Active Directory

Служба сертификации Active Directory (Active Directory Certificate Services, AD CS) — это серверная роль операционной системы Windows Server, предоставляющая инфраструктуру открытых ключей (PKI) для создания, управления, распространения и отзыва цифровых сертификатов в среде домена Active Directory. AD CS является компонентом, интегрированным с доменными службами Active Directory (AD DS), и позволяет организациям развернуть собственный удостоверяющий центр (Центр сертификации, CA) для обеспечения безопасности сетевых коммуникаций, аутентификации пользователей и устройств, шифрования данных и цифровой подписи.

История и развитие

Первая версия службы сертификации появилась в составе Windows 2000 Server как часть пакета Windows 2000 Advanced Server. На ранних этапах она называлась просто «Certificate Services» и предоставляла базовые возможности по выпуску сертификатов X.509. С выходом Windows Server 2003 служба была переименована в Active Directory Certificate Services, что подчеркнуло её глубокую интеграцию с каталогом Active Directory. В Windows Server 2008 и 2008 R2 были добавлены важные функции, такие как поддержка шаблонов сертификатов версии 3, улучшенное управление отзывом сертификатов и возможность развёртывания нескольких уровней центров сертификации. В Windows Server 2012 и 2012 R2 появилась поддержка криптографии на основе эллиптических кривых (ECC), а также улучшена интеграция с политиками группового управления. В Windows Server 2016 и 2019 были добавлены функции, связанные с автоматическим развёртыванием сертификатов для современных сценариев, таких как Windows Hello for Business и Always On VPN. В Windows Server 2022 продолжено развитие в сторону повышения безопасности и упрощения управления, включая поддержку более строгих алгоритмов подписи и улучшенное ведение журналов.

Архитектура и компоненты

AD CS состоит из нескольких ключевых компонентов, которые могут быть развёрнуты как на одном сервере, так и распределены по нескольким.

Центр сертификации (CA)

Центр сертификации является основным компонентом AD CS. Он отвечает за выпуск, проверку и отзыв сертификатов. Различают два основных типа CA:

• Корневой центр сертификации (Root CA): является самым верхним уровнем иерархии. Он самоподписан, то есть его сертификат подписывается им же. Корневой CA, как правило, используется только для подписи сертификатов подчинённых центров и не выпускает сертификаты для конечных пользователей или устройств, что повышает безопасность.
• Подчинённый центр сертификации (Subordinate CA): получает сертификат от корневого CA и выпускает сертификаты для конечных субъектов (пользователей, компьютеров, служб). Подчинённые CA могут быть промежуточными (Intermediate CA) или выдающими (Issuing CA). В крупных организациях часто используется иерархия из нескольких уровней для обеспечения отказоустойчивости и безопасности.

Веб-регистрация (Certificate Enrollment Web Service, CEWS)

Компонент, позволяющий пользователям и устройствам запрашивать сертификаты через веб-интерфейс, используя протокол HTTPS. Это особенно полезно для устройств, не входящих в домен, или для удалённых пользователей.

Служба регистрации политики сертификатов (Certificate Enrollment Policy Web Service, CEP)

Служба, предоставляющая клиентам информацию о доступных политиках и шаблонах сертификатов. Она позволяет клиентам автоматически получать настройки для запроса сертификатов без необходимости ручной настройки.

Служба управления ключами (Key Management Service, KMS)

Служба, предназначенная для управления ключами шифрования, используемыми для шифрования данных на диске (например, BitLocker). Она позволяет восстанавливать ключи доступа в случае утери или поломки устройства.

Служба отзыва сертификатов (Certificate Revocation List, CRL)

Служба, отвечающая за публикацию списков отозванных сертификатов. CRL — это файл, содержащий серийные номера сертификатов, которые были аннулированы до истечения срока их действия. Клиенты проверяют CRL перед доверием сертификату. AD CS также поддерживает протокол OCSP (Online Certificate Status Protocol) для более быстрой проверки статуса сертификата в реальном времени.

Принцип работы

Процесс выпуска сертификата в AD CS включает несколько этапов:

1. Запрос: клиент (пользователь, компьютер или служба) создаёт запрос на сертификат, который содержит открытый ключ и информацию о субъекте. Запрос может быть отправлен через консоль управления сертификатами, веб-интерфейс или автоматически через групповые политики.
2. Проверка: центр сертификации проверяет запрос на соответствие политикам безопасности и шаблону сертификата. Если запрос отправляется от имени пользователя, AD CS может проверить его подлинность через аутентификацию в Active Directory.
3. Выпуск: после успешной проверки CA подписывает сертификат своим закрытым ключом и выдаёт его клиенту. Сертификат содержит открытый ключ клиента, информацию о субъекте, срок действия, серийный номер и подпись CA.
4. Установка: клиент устанавливает полученный сертификат в своё хранилище сертификатов. После этого сертификат может использоваться для аутентификации, шифрования или подписи.
5. Обновление и отзыв: сертификаты имеют ограниченный срок действия. AD CS может автоматически обновлять сертификаты до истечения их срока. Если сертификат скомпрометирован (например, закрытый ключ украден), администратор может отозвать его, добавив в CRL.

Шаблоны сертификатов

Шаблоны сертификатов являются ключевым элементом управления AD CS. Они определяют набор правил и параметров, которые CA применяет при выпуске сертификатов. Шаблоны включают:

• Тип сертификата: например, сертификат пользователя, сертификат компьютера, сертификат веб-сервера, сертификат для подписи кода.
• Криптографические параметры: алгоритм подписи (RSA, ECDSA), длина ключа, хэш-функция.
• Срок действия: период, в течение которого сертификат считается действительным.
• Разрешения: какие пользователи или группы могут запрашивать сертификаты по данному шаблону.
• Параметры выдачи: может ли сертификат экспортироваться, требуется ли утверждение администратора, автоматически ли он выдается.

Шаблоны сертификатов хранятся в Active Directory и реплицируются на все контроллеры домена. Это позволяет централизованно управлять политиками сертификации.

Применение

AD CS используется в широком спектре задач информационной безопасности:

• Аутентификация: сертификаты используются для аутентификации пользователей и устройств в сети. Например, при подключении к Wi-Fi с использованием протокола 802.1X, при входе в систему с помощью смарт-карт или при использовании Windows Hello for Business.
• Шифрование: сертификаты используются для шифрования данных. Например, шифрование файлов с помощью EFS (Encrypting File System), шифрование электронной почты (S/MIME), шифрование дисков с помощью BitLocker.
• Цифровая подпись: сертификаты используются для подписи документов, кода и электронной почты, подтверждая их подлинность и целостность.
• Безопасность веб-серверов: AD CS может выпускать сертификаты для веб-серверов IIS, обеспечивая HTTPS-соединения.
• VPN и DirectAccess: сертификаты используются для аутентификации клиентов при подключении к корпоративной сети через VPN или DirectAccess.
• Always On VPN: современная технология удалённого доступа, которая требует сертификатов для аутентификации устройств.

Интеграция с Active Directory

AD CS тесно интегрирована с Active Directory. Это проявляется в нескольких аспектах:

• Хранение шаблонов: шаблоны сертификатов хранятся в контейнере «Шаблоны сертификатов» в Active Directory.
• Аутентификация: при запросе сертификата CA может использовать аутентификацию Windows для проверки личности запрашивающего.
• Публикация сертификатов: сертификаты пользователей и компьютеров могут автоматически публиковаться в Active Directory, что позволяет другим службам находить их.
• Групповые политики: с помощью групповых политик можно автоматически развертывать сертификаты на компьютерах и пользователях, а также настраивать параметры доверия к CA.

Безопасность и управление

Развёртывание AD CS требует тщательного планирования безопасности. Ключевые меры включают:

• Защита закрытых ключей CA: закрытые ключи корневого и подчинённых CA должны храниться в защищённом аппаратном модуле безопасности (HSM) или в программном хранилище с ограниченным доступом.
• Аудит: AD CS поддерживает аудит всех операций, включая запросы, выпуск и отзыв сертификатов. Это позволяет отслеживать подозрительную активность.
• Управление отзывом: необходимо настроить механизмы отзыва сертификатов (CRL, OCSP) и обеспечить их доступность для клиентов.
• Обновление: CA должны быть своевременно обновлены для устранения уязвимостей.

Критика и ограничения

Несмотря на широкое распространение, AD CS имеет ряд критических замечаний:

• Сложность развёртывания: правильная настройка иерархии CA, шаблонов и политик требует высокой квалификации администратора. Ошибки могут привести к уязвимостям.
• Зависимость от Active Directory: AD CS полностью зависит от работоспособности доменных служб. При сбое AD DS работа CA может быть нарушена.
• Устаревшие протоколы: некоторые протоколы, используемые AD CS (например, DCOM для удалённого управления), могут быть уязвимы для атак.
• Проблемы с масштабируемостью: в очень крупных организациях с миллионами сертификатов управление CRL и производительность CA могут стать проблемой.
• Отсутствие встроенной поддержки современных стандартов: хотя AD CS поддерживает ECC, настройка может быть нетривиальной. Также существуют ограничения по поддержке некоторых современных расширений сертификатов.

Источники

• Microsoft Docs: Active Directory Certificate Services (AD CS) Overview
• Windows Server 2019 & 2022: Active Directory Certificate Services (AD CS) Deployment Guide
• «Компьютерные сети. Принципы, технологии, протоколы» (Олифер В.Г., Олифер Н.А.)
• «Windows Server 2019. Полное руководство» (Майкл С. Смит, Кеннет Л. Харт)
• Статья «Active Directory Certificate Services: A Comprehensive Guide» (TechNet Magazine)