О сертификатах Kaspersky Security Center

Kaspersky Security Center использует следующие типы сертификатов для обеспечения безопасного взаимодействия между компонентами приложения:

• сертификат Сервера администрирования;
• мобильный сертификат;
• сертификат Веб-сервера;
• сертификат Kaspersky Security Center Web Console;
• сертификат Identity and Access Manager (IAM).

По умолчанию Kaspersky Security Center использует самоподписанные сертификаты (то есть выданные самим Kaspersky Security Center). Если требуется, вы можете заменить самоподписанные сертификаты пользовательскими сертификатами, в соответствии со стандартами безопасности вашей организации. При использовании пользовательского сертификата файл сертификата должен включать полную цепочку открытых ключей, включая все промежуточные сертификаты до корневого сертификата, подписанного аккредитованным центром сертификации (CA). После того как Сервер администрирования проверит соответствие пользовательского сертификата всем применимым требованиям, этот сертификат приобретает такую же область действия, что и самоподписанный сертификат. Единственное отличие состоит в том, что пользовательский сертификат не перевыпускается автоматически по истечении срока действия. Вы заменяете сертификаты на пользовательские с помощью утилиты klsetsrvcert или в Kaspersky Security Center Web Console в свойствах Сервера администрирования, в зависимости от типа сертификата. При использовании утилиты klsetsrvcert необходимо указать тип сертификата, используя одно из следующих значений:

• С – общий сертификат для портов 13000 и 13291;
• CR – общий резервный сертификат для портов 13000 и 13291;
• M – мобильный сертификат для порта 13292;
• MR – мобильный резервный сертификат для порта 13292;
• MCA – мобильный сертификат, полученный от аккредитованного центра сертификации для автоматической генерации пользовательских сертификатов.

Максимальный срок действия любого сертификата Сервера администрирования не должен превышать 397 дней.

Сертификаты Сервера администрирования

Сертификат Сервера администрирования необходим для следующих целей:

• Аутентификация Сервера администрирования при подключении к нему Kaspersky Security Center Web Console.
• Безопасное взаимодействие Сервера администрирования и Агента администрирования на управляемых устройствах.
• Аутентификация при подключении главных Серверов администрирования к подчиненным Серверам администрирования.

Сертификат Сервера администрирования автоматически создается при установке компонента Сервер администрирования и хранится в папке /var/opt/kaspersky/klnagent_srv/1093/cert/. Сертификат Сервера администрирования вы указываете при создании файла ответов для установки Kaspersky Security Center Web Console. Этот сертификат называется общим ("С").

Сертификат Сервера администрирования действителен 397 дней. Kaspersky Security Center автоматически создает общий резервный сертификат ("CR") за 90 дней до истечения срока действия общего сертификата. Общий резервный сертификат впоследствии используется для замены сертификата Сервера администрирования. Когда истекает срок действия общего сертификата, общий резервный сертификат используется для поддержания связи с экземплярами Агента администрирования, установленными на управляемых устройствах. С этой целью общий резервный сертификат автоматически становится новым общим сертификатом за 24 часа до истечения срока действия старого общего сертификата.

Максимальный срок действия любого сертификата Сервера администрирования не должен превышать 397 дней.

При необходимости можно назначить Серверу администрирования пользовательский сертификат. Например, это может понадобиться для лучшей интеграции с существующей PKI вашей организации или для требуемой настройки полей сертификата. При замене сертификата все Агенты администрирования, ранее подключенные к Серверу администрирования по SSL, перестанут подключаться к Серверу с ошибкой "Ошибка аутентификации Сервера администрирования". Чтобы устранить эту ошибку, вам потребуется восстановить соединение после замены сертификата.

После замены сертификата Сервера администрирования на резервный или пользовательский, укажите новый сертификат в файле ответов и переустановите Kaspersky Security Center Web Console с помощью этого файла. Иначе Kaspersky Security Center Web Console не сможет подключиться к Серверу администрирования.

В случае если сертификат Сервера администрирования утерян, для его восстановления необходимо провести переустановку компонента Сервер администрирования и восстановление данных.

Вы также можете создать резервную копию сертификата Сервера администрирования отдельно от других параметров Сервера администрирования, чтобы перенести Сервер администрирования с одного устройства на другое без потери данных.

Если вы открываете Kaspersky Security Center Web Console в разных браузерах и загружаете файл сертификата Сервера администрирования в окне свойств Сервера администрирования, загруженные файлы имеют разные имена.

Мобильные сертификаты

Мобильный сертификат ("M") необходим для аутентификации Сервера администрирования на мобильных устройствах. Вы указываете мобильный сертификат в свойствах Сервера администрирования.

Также существует мобильный резервный сертификат ("MR"): он используется для замены мобильного сертификата. Kaspersky Security Center автоматически генерирует этот сертификат за 90 дней до истечения срока действия общего сертификата. Когда истекает срок действия мобильного сертификата, мобильный резервный сертификат используется для поддержания связи с Агентами администрирования, установленными на управляемых мобильных устройствах. С этой целью мобильный резервный сертификат автоматически становится новым мобильным сертификатом за 24 часа до истечения срока действия старого мобильного сертификата.

Если сценарий подключения требует использования сертификата клиента на мобильных устройствах (подключение с двусторонней SSL-аутентификация), вы генерируете эти сертификаты с помощью доверенного центра сертификации для автоматически сгенерированных пользовательских сертификатов ("MCA"). Кроме того, в свойствах Сервера администрирования можно указать пользовательские сертификаты, выпущенные другим доверенным центром сертификации, при условии, что интеграция с инфраструктурой открытых ключей (PKI) вашей организации позволяет выпускать сертификаты клиентов с помощью центра сертификации домена.

Также для аутентификации Сервера администрирования на мобильных устройствах, работающих под управлением операционной системы iOS, требуется сертификат Сервера iOS MDM. Подробнее см. раздел Настройка сертификата Сервера iOS MDM.

Сертификат Веб-сервера

Веб-сервер является компонентом Сервера администрирования Kaspersky Security Center и использует специальный тип сертификата. Этот сертификат необходим для публикации инсталляционных пакетов Агента администрирования, которые вы впоследствии загружаете на управляемые устройства, а также для загрузки инсталляционных пакетов Kaspersky Security для мобильных устройств. Для этого Веб-сервер может использовать различные сертификаты.

Если поддержка мобильных устройств отключена, Веб-сервер использует один из следующих сертификатов в порядке приоритета:

1. Пользовательский сертификат Веб-сервера, который вы указали вручную с помощью Консоли администрирования.
2. Общий сертификат Сервера администрирования ("C").

Если поддержка мобильных устройств включена, Веб-сервер использует один из следующих сертификатов в порядке приоритета:

1. Пользовательский сертификат Веб-сервера, который вы указали вручную с помощью Консоли администрирования.
2. Пользовательский мобильный сертификат.
3. Самоподписанный мобильный сертификат ("M").
4. Общий сертификат Сервера администрирования ("C").

Сертификат Kaspersky Security Center Web Console

Сервер Kaspersky Security Center Web Console (далее также Web Console) имеет собственный сертификат. Когда вы открываете сайт, браузер проверяет, является ли ваше соединение надежным. Сертификат Web Console позволяет аутентифицировать Web Console и используется для шифрования трафика между браузером и Web Console.

Когда вы открываете Web Console, браузер может информировать вас о том, что подключение к Web Console не является приватным и что сертификат Web Console недействителен. Это предупреждение появляется потому, что сертификат Kaspersky Security Center Web Console является самоподписанным и автоматически генерируется Kaspersky Security Center. Чтобы удалить это предупреждение, можно выполнить одно из следующих действий:

• Замените сертификат Kaspersky Security Center Web Console на пользовательский сертификат (рекомендуемый параметр). Создать сертификат, доверенный в вашей инфраструктуре и соответствующий требованиям к пользовательским сертификатам.
• Добавить сертификат Web Console в список доверенных сертификатов браузера. Рекомендуется использовать этот параметр только в том случае, если вы не можете создать пользовательский сертификат.

Сертификат Identity and Access Manager (IAM)

Сертификат Identity and Access Manager (IAM-сертификат) необходим для следующих целей:

• Проверка подлинности Сервера администрирования, когда браузер пользователя подключается к нему по протоколу OAuth.
• Аутентификация Сервера администрирования при подключении к нему Kaspersky Security Center Web Console.

IAM-сертификат создается автоматически при первом запуске Сервера администрирования. Сертификат хранится на устройстве с Сервером администрирования в директории: /var/opt/kaspersky/klnagent_srv/iam/main_certificate.pem (для отказоустойчивого кластера Kaspersky Security Center: <общая папка данных>/iam/main_certificate.pem). Вам нужно указать путь к IAM-сертификату с помощью параметра iamCertPath при создании файла ответов для установки Kaspersky Security Center Web Console.

IAM-сертификат действителен в течение 365 дней. Kaspersky Security Center автоматически создает резервный IAM-сертификат за 48 часов до истечения срока действия текущего сертификата. Резервный сертификат впоследствии используется для замены IAM-сертификата.

Максимальный срок действия любого IAM-сертификата не должен превышать 397 дней.

При необходимости вы можете назначить пользовательский IAM-сертификат. Например, это может понадобиться для лучшей интеграции с существующей PKI вашей организации или для требуемой настройки полей сертификата.

После замены IAM-сертификата на резервный или пользовательский, укажите новый сертификат в файле ответов и переустановите Kaspersky Security Center Web Console с помощью этого файла. Иначе Kaspersky Security Center Web Console не сможет подключиться к Серверу администрирования.

При входе в Kaspersky Security Center Web Console браузер перенаправляется на страницу входа в Сервер администрирования (https://< адрес Сервера администрирования>: 4444) для аутентификации. Трафик между браузером и Сервером администрирования шифруется с помощью TLS-протокола и IAM-сертификата.

Браузер может сообщить вам, что подключение к Серверу администрирования не является безопасным и IAM-сертификат недействителен. Это предупреждение появляется, потому что IAM-сертификат является самоподписанным и автоматически генерируется Kaspersky Security Center. Чтобы удалить это предупреждение, можно выполнить одно из следующих действий:

• Заменить IAM-сертификат на пользовательский сертификат (рекомендуемый параметр). Создать сертификат, доверенный в вашей инфраструктуре и соответствующий требованиям к пользовательским сертификатам.
• Добавить IAM-сертификат в список доверенных сертификатов браузера. Рекомендуется использовать этот параметр только в том случае, если вы не можете создать пользовательский сертификат.