Uwierzytelnianie wieloskładnikowe (2FA/MFA) dla PatARCH

Zabezpiecz dostęp do systemu PatARCH za pomocą uwierzytelniania wieloskładnikowego Rublon MFA. W zależności od sposobu wdrożenia systemu PatARCH i uwierzytelniania użytkowników aplikację można chronić przy użyciu jednego z dwóch sposobów integracji:

• Rozwiązanie Rublon App Shield do ochrony dostępu do aplikacji webowej PatARCH z poziomu przeglądarki,
• Usługa Rublon Authentication Proxy działająca jako serwer proxy protokołu LDAP lub LDAPS dla uwierzytelniania PatARCH w zewnętrznym systemie katalogowym, takim jak usługa Microsoft Active Directory.

Rozwiązanie Rublon App Shield dodaje MFA na poziomie dostępu webowego bez modyfikowania kodu źródłowego systemu PatARCH. Ta opcja umożliwia również stosowanie uwierzytelniania MFA odpornego na phishing za pomocą kluczy bezpieczeństwa FIDO2 i passkeys FIDO2.

Alternatywnie, pomiędzy systemem PatARCH a zewnętrznym systemem katalogowym obsługującym protokół LDAP można umieścić usługę Rublon Authentication Proxy. Usługa ta weryfikuje podstawowe dane logowania w istniejącym systemie katalogowym i wymaga wykonania dodatkowego etapu uwierzytelniania Rublon MFA przed zwróceniem pomyślnej odpowiedzi uwierzytelniania.

Co to jest PatARCH?

PatARCH to system zarządzania laboratorium diagnostycznym przeznaczony do kontroli i usprawniania procesów laboratoryjnych. Działa jako aplikacja webowa, dzięki czemu użytkownicy mogą uzyskiwać dostęp do systemu za pomocą przeglądarki internetowej. Wśród obsługiwanych przeglądarek producent wymienia Mozilla Firefox, Google Chrome, Opera, Microsoft Edge oraz Vivaldi.

Serwer aplikacji PatARCH działa pod kontrolą systemu Linux, a system korzysta z bazy danych MySQL lub MariaDB. Architektura może obsługiwać replikację bazy danych na drugi serwer oraz rozdzielenie warstwy aplikacyjnej i warstwy bazy danych pomiędzy różne serwery fizyczne lub wirtualne.

System PatARCH może również uwierzytelniać użytkowników za pośrednictwem zewnętrznego serwera LDAP, na przykład domeny usługi Microsoft Active Directory.

Istnieją dwa potencjalne punkty wdrożenia rozwiązania Rublon MFA: warstwę dostępu do aplikacji z poziomu przeglądarki oraz warstwę uwierzytelniania za pomocą protokołu LDAP. Ponadto dostęp do systemu Linux, na którym działa serwer aplikacji PatARCH, można zabezpieczyć za pomocą konektora Rublon MFA dla Linux SSH.

Czy można włączyć MFA i 2FA w systemie PatARCH?

System PatARCH można objąć ochroną Rublon MFA przy użyciu rozwiązania Rublon App Shield lub usługi Rublon Authentication Proxy.

Rozwiązanie Rublon App Shield jest preferowanym podejściem, gdy celem jest ochrona całego dostępu z poziomu przeglądarki do samodzielnie hostowanego wdrożenia systemu PatARCH. Umieszcza dedykowaną warstwę bezpieczeństwa przed aplikacją i wymaga od użytkowników ukończenia uwierzytelniania MFA przed uzyskaniem dostępu do istniejącego procesu logowania do systemu PatARCH.

Usługa Rublon Authentication Proxy stanowi alternatywę, gdy system PatARCH uwierzytelnia użytkowników, wysyłając żądania LDAP lub LDAPS do zewnętrznego systemu katalogowego. W tej architekturze system PatARCH jest skonfigurowany do korzystania z usługi Rublon Authentication Proxy jako serwera LDAP, a usługa Rublon Authentication Proxy przekazuje uwierzytelnianie podstawowe do właściwego systemu katalogowego, po czym dodaje uwierzytelnianie Rublon MFA.

Opcja 1: Zabezpieczenie systemu PatARCH za pomocą rozwiązania Rublon App Shield

Rozwiązanie Rublon App Shield chroni samodzielnie hostowane aplikacje webowe, umieszczając przed nimi warstwę wymagającą uwierzytelnienia MFA. Aplikacja nadal realizuje swoje dotychczasowe funkcje biznesowe i wykorzystuje istniejący mechanizm logowania, natomiast rozwiązanie App Shield kontroluje, czy użytkownik może uzyskać do niej dostęp.

Z uwagi na to, że PatARCH jest aplikacją dostępną z poziomu przeglądarki, którą można hostować w infrastrukturze placówki medycznej, jej dostęp webowy można objąć ochroną za pomocą rozwiązania Rublon App Shield.

Takie podejście nie zależy od obsługi natywnej integracji Rublon MFA, wtyczki MFA ani interfejsu API MFA przez system PatARCH.

Jak Rublon App Shield chroni dostęp do systemu PatARCH?

Przykładowy proces logowania wygląda następująco:

1. Użytkownik otwiera chroniony adres systemu PatARCH w obsługiwanej przeglądarce internetowej.
2. Ruch do aplikacji przechodzi przez warstwę ochronną rozwiązania Rublon App Shield.
3. Pojawia się prośba o wykonanie dodatkowego uwierzytelniania za pomocą rozwiązania Rublon MFA.
4. Użytkownik potwierdza swoją tożsamość za pomocą dozwolonej metody uwierzytelniania.
5. Po pomyślnej weryfikacji użytkownik uzyskuje dostęp do istniejącej aplikacji PatARCH i jej procesu logowania.

Uwierzytelnianie MFA jest wymuszane poza samym systemem PatARCH. Dzięki temu organizacja może zwiększyć poziom bezpieczeństwa dostępu bez polegania wyłącznie na funkcjach uwierzytelniania zaimplementowanych w systemie laboratoryjnym.

Dokładny przebieg logowania i wylogowania oraz sposób obsługi sesji i identyfikacji użytkowników należy zweryfikować w konkretnym wdrożeniu systemu PatARCH.

MFA bez zmian w kodzie źródłowym systemu PatARCH

Tradycyjna integracja MFA z aplikacją webową może wymagać modyfikacji kodu źródłowego, modułu dostarczonego przez producenta, dodatkowej wtyczki albo integracji z interfejsem API.

Rozwiązanie Rublon App Shield stosuje inne podejście. Dedykowana warstwa ochronna jest wdrażana przed systemem PatARCH, a użytkownicy muszą ukończyć uwierzytelnianie MFA przed uzyskaniem dostępu do aplikacji.

Pozwala to organizacji:

• wdrożyć MFA bez modyfikowania kodu źródłowego systemu PatARCH,
• uniknąć instalowania agenta lub konektora wewnątrz systemu PatARCH,
• zachować istniejący mechanizm logowania do systemu PatARCH,
• centralnie zarządzać metodami uwierzytelniania oraz politykami dostępu,
• chronić aplikację nawet wtedy, gdy natywny moduł MFA nie jest dostępny,
• stosować ten sam model ochrony w innych samodzielnie hostowanych aplikacjach webowych.

Wdrożenie wymaga skonfigurowania rozwiązania Rublon App Shield i skierowania ruchu użytkowników systemu PatARCH przez chronioną ścieżkę dostępu. Dokładna konfiguracja zależy od sposobu hostowania i publikacji warstwy aplikacyjnej oraz jej oddzielenia od warstwy bazy danych.

Logowanie do systemu PatARCH za pomocą kluczy bezpieczeństwa FIDO2 i passkeys FIDO2

Rozwiązanie Rublon App Shield umożliwia organizacjom zastosowanie odpornej na phishing metody uwierzytelniania FIDO w chronionych aplikacjach webowych. Metoda FIDO obsługuje klucze bezpieczeństwa FIDO2 i passkeys FIDO2.

Dostęp do systemu PatARCH chronionego za pomocą rozwiązania Rublon App Shield można zatem potwierdzać za pomocą:

• sprzętowego klucza bezpieczeństwa FIDO2,
• passkey funkcji Windows Hello,
• passkey zapisanego w obsługiwanym menedżerze haseł,
• passkey zapisanego w telefonie lub innym urządzeniu mobilnym.

Klucz bezpieczeństwa FIDO2 wymaga fizycznego posiadania urządzenia, a zależnie od jego konfiguracji również podania kodu PIN lub wykonania weryfikacji biometrycznej.

Passkeys FIDO2 umożliwiają uwierzytelnianie przy użyciu funkcji dostępnych na komputerze lub urządzeniu mobilnym. Mogą wykorzystywać rozpoznawanie twarzy, odcisk palca albo kod PIN urządzenia.

W przeciwieństwie do tradycyjnych kodów jednorazowych, uwierzytelnianie zgodne ze standardem FIDO2 jest powiązane z właściwą usługą. Zwiększa to jego odporność na strony phishingowe przeznaczone do przechwytywania haseł i kodów uwierzytelniających.

Organizacje wymagające uwierzytelniania odpornego na phishing dla systemu PatARCH powinny zasadniczo rozważyć rozwiązanie Rublon App Shield jako podstawową metodę integracji.

Opcja 2: Zabezpieczenie uwierzytelniania LDAP w PatARCH za pomocą Rublon Authentication Proxy

System PatARCH może uwierzytelniać użytkowników za pośrednictwem zewnętrznego serwera LDAP, w tym domeny Microsoft Active Directory. Umożliwia to integrację z wykorzystaniem usługi Rublon Authentication Proxy jako serwera proxy protokołu LDAP lub LDAPS.

Usługa Rublon Authentication Proxy to lokalny serwer proxy RADIUS i LDAP. Działając jako serwer proxy LDAP, usługa odbiera żądania uwierzytelniania z chronionej aplikacji, weryfikuje podstawowe dane logowania użytkownika w nadrzędnym systemie katalogowym i dodaje uwierzytelnianie Rublon MFA jako drugi czynnik uwierzytelniający.

W tej architekturze ścieżka uwierzytelniania wygląda następująco:

PatARCH → Rublon Authentication Proxy → Active Directory lub inny system katalogowy obsługujący protokół LDAP → Rublon MFA

Jak działa integracja z serwerem LDAP proxy?

Typowy proces uwierzytelniania wygląda następująco:

1. Użytkownik rozpoczyna logowanie do systemu PatARCH przy użyciu hasła.
2. System PatARCH wysyła żądanie uwierzytelniania protokołu LDAP do usługi Rublon Authentication Proxy zamiast bezpośrednio do usługi Active Directory lub innego serwera protokołu LDAP.
3. Usługa Rublon Authentication Proxy przekazuje żądanie uwierzytelniania podstawowego do skonfigurowanego nadrzędnego systemu katalogowego.
4. Jeśli nazwa użytkownika i hasło są prawidłowe, rozwiązanie Rublon MFA rozpoczyna dodatkowy etap uwierzytelniania MFA.
5. Po pomyślnym uwierzytelnieniu MFA usługa Rublon Authentication Proxy zwraca do systemu PatARCH pomyślny wynik uwierzytelniania LDAP.
6. System PatARCH przyznaje użytkownikowi dostęp.

Usługa Rublon Authentication Proxy nie zastępuje systemu katalogowego tożsamości ani nie przechowuje podstawowych danych logowania użytkowników. Istniejąca usługa Active Directory, usługa OpenLDAP lub inny obsługiwany system katalogowy korzystający z protokołu LDAP pozostaje źródłem tożsamości.

Uwierzytelnianie za pomocą protokołu LDAP, Active Directory SSO i zmiana hasła

Podejście wykorzystujące serwer LDAP proxy wymaga starannej weryfikacji, ponieważ system PatARCH obsługuje kilka funkcji związanych z systemem katalogowym:

• uwierzytelnianie w zewnętrznym serwerze LDAP,
• logowanie jednokrotne (SSO) z usługą Active Directory,
• zmianę hasła LDAP z poziomu systemu PatARCH.

System PatARCH obsługuje uwierzytelnianie za pomocą protokołu LDAP, logowanie Active Directory SSO oraz zmianę haseł za pomocą protokołu LDAP. Usługa Rublon Authentication Proxy służy do ochrony przepływu uwierzytelniania LDAP skonfigurowanego w systemie PatARCH.

Active Directory SSO oraz operacje zmiany hasła stanowią odrębne przepływy uwierzytelniania. W ramach wdrożenia należy sprawdzić, czy korzystają z tego samego połączenia LDAP oraz upewnić się, że zostanie zachowany oczekiwany sposób logowania i zarządzania hasłami.

Przed wybraniem integracji z serwerem proxy LDAP należy zweryfikować:

• w jaki sposób adres serwera LDAP w systemie PatARCH można zmienić na adres usługi Rublon Authentication Proxy,
• czy system PatARCH korzysta z protokołu LDAP czy LDAPS,
• format nazwy użytkownika stosowany w żądaniach uwierzytelniania (bind) LDAP,
• czy standardowe logowanie przy użyciu hasła i logowanie Active Directory SSO korzystają z tej samej ścieżki uwierzytelniania.

Jak wybrać sposób integracji z systemem PatARCH?

Wybór sposobu integracji zależy przede wszystkim od tego, czy ochrona ma obejmować dostęp do aplikacji webowej, czy proces uwierzytelniania za pomocą protokołu LDAP.

Rublon App Shield

Rozwiązanie Rublon App Shield jest odpowiednie, gdy MFA ma chronić cały dostęp do systemu PatARCH z poziomu przeglądarki. Warstwa ochronna jest umieszczana przed aplikacją, dlatego nie wymaga modyfikowania kodu źródłowego systemu PatARCH ani zmiany jego dotychczasowego mechanizmu logowania.

Ta opcja umożliwia również stosowanie odpornych na phishing kluczy bezpieczeństwa FIDO2 i passkeys FIDO2. Po przeanalizowaniu interfejsu aplikacji ochronę można rozszerzyć o uwierzytelnianie step-up MFA lub blokowanie wybranych działań wrażliwych.

Rublon Authentication Proxy

Usługa Rublon Authentication Proxy jest odpowiednia, gdy system PatARCH uwierzytelnia użytkowników za pomocą zewnętrznego systemu katalogowego obsługującego protokół LDAP lub LDAPS, takiego jak usługa Active Directory.

W tym wariancie żądania uwierzytelniania są kierowane z systemu PatARCH przez usługę Rublon Authentication Proxy do istniejącego systemu katalogowego. System katalogowy pozostaje podstawowym źródłem tożsamości, a rozwiązanie Rublon MFA dodaje drugi etap uwierzytelniania do przepływu LDAP.

Podczas przygotowania wdrożenia należy również sprawdzić, jak w danym środowisku realizowane są logowanie SSO z usługą Active Directory oraz zmiana hasła za pomocą protokołu LDAP.

Jedno rozwiązanie MFA dla systemu PatARCH i całej infrastruktury

Ochrona dostępu do systemu PatARCH jest tylko jednym z elementów zabezpieczenia laboratorium diagnostycznego lub placówki medycznej.

Personel może również korzystać ze stacji roboczych z systemem Windows, usług pulpitu zdalnego, połączeń z siecią VPN, serwerów z systemem Linux, paneli administracyjnych, urządzeń laboratoryjnych oraz innych aplikacji lokalnych i chmurowych.

Zamiast wdrażać oddzielne rozwiązanie do uwierzytelniania dwuskładnikowego dla każdego systemu, organizacja może wykorzystać rozwiązanie Rublon MFA do centralnego zabezpieczenia wielu punktów dostępu.

W zależności od wykorzystywanych integracji rozwiązanie Rublon MFA może chronić:

• dostęp do systemu PatARCH z poziomu przeglądarki,
• uwierzytelnianie za pomocą protokołu LDAP używane przez system PatARCH i inne aplikacje,
• logowanie do systemu Windows,
• połączenia za pomocą protokołu RDP i usługi pulpitu zdalnego,
• dostęp do sieci VPN,
• serwery z systemem Linux,
• aplikacje wykorzystujące protokoły RADIUS, LDAP, SAMLi protokół OpenID Connect,
• inne samodzielnie hostowane aplikacje webowe,
• narzędzia administracyjne i systemy wewnętrzne.

Administratorzy mogą zarządzać użytkownikami, metodami uwierzytelniania, politykami dostępu i dziennikami uwierzytelniania w ramach jednej scentralizowanej platformy MFA.

Dowiedz się więcej o rozwiązaniu Rublon MFA dla sektora opieki zdrowotnej.

Dlaczego warto zabezpieczyć system PatARCH za pomocą MFA?

System PatARCH wspiera procesy laboratorium diagnostycznego i zapewnia dostęp do informacji wykorzystywanych do zarządzania badaniami, próbkami, wynikami, procesami laboratoryjnymi oraz aktywnością użytkowników.

Przejęcie konta użytkownika może umożliwić nieuprawnionej osobie uzyskanie dostępu do wrażliwych danych pacjentów lub informacji diagnostycznych, modyfikowanie danych laboratoryjnych, wykonywanie nieautoryzowanych operacji albo zakłócenie codziennej pracy laboratorium.

Samo hasło nie zapewnia wystarczającej ochrony, jeśli zostanie wyłudzone, odgadnięte, ponownie użyte w innym systemie albo przechwycone przez złośliwe oprogramowanie.

Uwierzytelnianie wieloskładnikowe (MFA) wymaga dodatkowego etapu weryfikacji tożsamości. Nawet jeśli atakujący pozna hasło użytkownika, nadal musi wykonać uwierzytelnianie drugim czynnikiem.

Wdrożenie rozwiązania Rublon MFA może pomóc placówce medycznej:

• ograniczyć ryzyko nieautoryzowanego dostępu do systemu PatARCH,
• zabezpieczyć konta personelu laboratoryjnego, medycznego, administracyjnego i technicznego,
• zmniejszyć skutki kradzieży haseł i ataków phishingowych,
• włączyć uwierzytelnianie odporne na phishing za pomocą rozwiązania Rublon App Shield,
• dodać MFA do uwierzytelniania za pomocą protokołu LDAP przy użyciu usługi Rublon Authentication Proxy,
• ujednolicić ochronę dostępu do systemu PatARCH i infrastruktury pomocniczej,
• rejestrować zdarzenia uwierzytelniania na potrzeby monitorowania i audytu,
• wspierać realizację organizacyjnych i regulacyjnych wymagań dotyczących kontroli dostępu.

Dodatkowa ochrona działań wrażliwych

Rozwiązanie Rublon App Shield może rozszerzać ochronę poza początkowy ekran logowania do systemu PatARCH. Po przeanalizowaniu interfejsu i przepływów aplikacji organizacja może rozważyć wdrożenie dodatkowych reguł bezpieczeństwa.

W zależności od możliwości technicznych środowiska reguły mogą:

• wymagać uwierzytelniania step-up MFA przed wykonaniem działania wysokiego ryzyka,
• blokować dostęp do wybranych stron lub elementów aplikacji,
• uniemożliwiać nieuprawnionym użytkownikom wykonywanie określonych operacji.

Potencjalne zastosowania mogą obejmować dodatkową ochronę przed uzyskaniem dostępu do funkcji administracyjnych, zarządzania użytkownikami, obszarów konfiguracji, eksportu danych lub innych działań wrażliwych.

Zastosowanie takich reguł w systemie PatARCH wymaga wcześniejszej weryfikacji interfejsu aplikacji oraz przygotowania odpowiednich selektorów lub reguł ochrony. Rozwiązanie Rublon App Shield obsługuje uwierzytelnianie step-up MFA i blokowanie wybranych działań w chronionych aplikacjach webowych.

Jak rozpocząć wdrożenie?

Aby określić najlepszą metodę ochrony konkretnego środowiska PatARCH, skontaktuj się z zespołem Rublon Support.

Podczas wstępnej analizy przydatne są następujące informacje:

• wersja systemu PatARCH i wykorzystywane moduły,
• sposób hostowania i publikacji aplikacji webowej PatARCH,
• adresy używane przez użytkowników do otwierania aplikacji,
• przebieg logowania i wylogowania,
• czy użytkownicy logują się za pomocą kont lokalnych, danych logowania systemu katalogowego LDAP czy logowania SSO z usługą Active Directory,
• serwer protokołu LDAP lub LDAPS obecnie skonfigurowany w systemie PatARCH,
• formaty nazw użytkowników i atrybutów systemu katalogowego używane przez aplikację,
• czy użytkownicy zmieniają hasła LDAP za pośrednictwem systemu PatARCH,
• wymagane metody uwierzytelniania rozwiązania Rublon MFA,
• czy wymagane jest uwierzytelnianie odporne na phishing zgodne ze standardem FIDO2,
• wymagania dotyczące wysokiej dostępności,
• możliwość przeprowadzenia testu w środowisku pilotażowym.

Po zweryfikowaniu środowiska i przepływów uwierzytelniania będzie można przygotować odpowiednią konfigurację rozwiązania App Shield lub usługi Authentication Proxy oraz szczegółową instrukcję wdrożenia.

Najczęściej zadawane pytania

Powiązane materiały

• Bezagentowe MFA dla samodzielnie hostowanych aplikacji webowych bez zmian w kodzie z Rublon App Shield
• Rublon Authentication Proxy
• Ogólne instrukcje konfiguracji MFA dla aplikacji korzystających z protokołu LDAP
• MFA dla protokołu LDAP
• Uwierzytelnianie wieloskładnikowe (MFA) dla sektora opieki zdrowotnej
• Zabezpiecz systemy HIS za pomocą Rublon MFA