ESO9 wiki

Tato stránka je pouze pro čtení. Můžete si pouze prohlédnout zdrojový kód, ale ne ho měnit. Zeptejte se správce, pokud si myslíte, že něco není v pořádku.
<html>

<head>
    <meta http-equiv=Content-Type content="text/html; charset=windows-1250">
    <title>Atentikace uživatele</title>

</head>

<body>

    <div class="EsoHelp">

        <p class="helpTitle">Nastavení způsobu ověření uživatelů</p>

        <p class="helpParagraph">V&nbsp;dokumentu jsou popsány možné způsoby ověření uživatele
            v&nbsp;aplikaci ESO9.</p>

        <p class="helpTitle1">Nastavení autentikace aplikace</p>

        <p class="helpParagraph">Nastavení autentikace aplikace se provádí prostřednictvím
            programu Správce ESO9. Podrobný popis způsobu nastavení zabezpečení najdete v
            popisu tohoto programu.</p>

        <p class="helpParagraph">Typ autentikace:</p>

        <ul>
            <li>
                <em>ESO9 autentikace</em> – základní způsob ověření při přístupu uživatele přes Internet. Používá se i v
                lokálních sítích, kde neexistuje AD (event. při přístupu uživatelů z různých domén). Aplikační web na
                IIS si sám uživatele neověřuje, umožní přístup kohokoli. Ověření si pomocí zadaného uživatelského jména
                a hesla provede aplikační server sám (tedy při každém přístupu do aplikace musí uživatel zadat znovu své
                ověření). Vlastní komunikační kanál může jet přes HTTPS (zabezpečení proti odposlechu jména a hesla).
            </li>
            <li><em>NT autentikace</em> – základní způsob ověření uživatele v lokální síti. Vyžaduje existenci Active
                Directory (AD) a doménových uživatelských účtů, kterými se uživatelé přihlašují ke svým pracovním
                stanicím. Při přístupu k IIS se je tato služba sama ověří oproti AD a do ESO9 je již předá jako ověřené
                uživatele, kteří tak nemusí při přístupu do aplikace nic zadávat. NT autentikace neprojde přes Internet,
                tam je třeba použít další způsoby ověření.</li>
            <li><em>Certifikáty</em> – nejbezpečnější a pro uživatele jednodušší způsob ověření při přístupu přes
                Internet. Webový server a všichni uživatelé používají digitální certifikáty, pomocí nichž prokazují svou
                identitu. Certifikáty lze exportovat pro případ souběžného přístupu téhož uživatele z více stanic (z
                práce a z domova). Výhodou pro uživatele je, že nemusí při každém přístupu do aplikace zadávat jméno a
                heslo. Zároveň lze webový server nakonfigurovat tak, aby komunikoval pouze s definovanou skupinou
                klientských certifikátů, čímž automaticky zabrání možnosti přístupu libovolného anonymního uživatele z
                Internetu. Certifikáty lze používat buď komerční, nebo vygenerované vlastní certifikační autoritou. 30
                dní před koncem platnosti certifikátu je uživatel upozorněn informační hláškou při vstupu do aplikace na
                blízkou expiraci.</li>
            <li><em>Google účty</em> – bezpečný způsob dvoufaktorové autentikace určené zejména do prostředí Internetu. 
                Webový server uživatele neověřuje, ověření se provádí až na aplikační vrstvě (tj. v aplikačním serveru). Každý 
                z uživatelů musí mít založen svůj Google účet, jímž se následně přihlašuje do ESO9. Následně dojde ke spárování 
                uživatelského účtu v ESO9 a Google účtu na základě e-mailové adresy.<br />Podrobnější popis viz 
                <a href="https://wiki.eso9.cz/doku.php/techdoc:overovani_uzivatelu_pomoci_google_uctu">ESO9 wiki</a>.</li>
            <li><em>WebAuthn</em> - nový standard ověřování uživatelů na webu, který vznikl ve spolupráci konsorcia W3C a aliance 
                FIDO (Fast IDentity Online). Cílem tohoto standardu je zvýšení bezpečnosti na Internetu. Hlavním prostředkem je 
                pak odstranění hesel pro přihlašování k webovým aplikacím a službám a jejich náhrada tzv. bezheslovou autentikací. 
                Ta je založena principech asymetrické kryptografie, tj. použití veřejného a privátního klíče. Vlastní realizace 
                pak spočívá nejčastěji v používání HW prostředků (tzv. autentikátorů), typicky čtečky otisků prstů, IR kamery pro 
                rozpoznávání obličejů či USB/NFC/BLE tokenů. Ty jsou pak implementovány v technologiích jako Windows Hello či 
                Apple Touch ID.<br />Podrobnější popis viz 
                <a href="https://wiki.eso9.cz/lib/exe/fetch.php/techdoc:overovani_uzivatelu_standardem_webauthn.pdf">ESO9 wiki</a>.</li>
        </ul>

        <p class="helpTitle1">Pravidla pro ověření uživatele v&nbsp;systému ESO9</p>

        <p class="helpParagraph">Cílem ověření uživatele v&nbsp;systému ESO9 je získat jméno
            uživatele, které je pak vyhledáno v&nbsp;tabulce uživatelů. </p>

        <p class="helpTitle2">Postup při získání jména uživatele pro konfiguraci NT autentikace</p>

        <ul type=disc>
            <li>Pro případ NT autentikace lze povolit i přihlášení
                uživatele, který je ověřen v doméně, ale nemá záznam v tabulce uživatelů v
                aplikaci ESO9. Nastavení zda ne/vyžadovat záznam uživatele v tabulce uživatelů
                se provádí v aplikaci Správce ESO9.</li>
            <li>Jméno ověřeného užiavatele je předáno z webového serveru&nbsp;IIS.</li>
            <li>Pokud jméno není předáno, server ESO9 požádá IIS o ověření
                uživatele a očekává jméno (v tomto případě je to již signálem chyby,
                kterou je nutné odstranit).</li>
            <li>V&nbsp;případě že selže vynucení, nebo není jméno ověřeno,
                je hlášena chyba a uživatel se do aplikace nepřihlásí. </li>
        </ul>

        <p class="helpTitle2">Postup při získání jména uživatele pro konfiguraci ESO9 autentikace</p>

        <ul style='margin-top:0cm' type=disc>
            <li class="helpParagraph">Uživatel musí být uveden v&nbsp;tabulce uživatelů a musí mít
                uvedeno heslo. Heslo je (ve výchozím nastavení) uloženo v tabulce uživatelů v otevřeném formátu.
                Pokud je hodnota aplikačního parametru <em>Hesla_Encrypt</em> nastavena na &quot;1&quot;,
                budou hesla ukládána šifrovaně.</li>
            <li class="helpParagraph">Server ESO9 odešle uživateli formulář s&nbsp;dotazem na
                jméno a heslo. </li>
            <li class="helpParagraph">Pokud není vyplněné jméno a heslo ověřeno procedurou <i>spAutenticateUser</i>,
                je hlášena chyba. </li>
        </ul>

        <p class="helpTitle2">Postup při získání jména uživatele pro konfiguraci Certifikáty</p>

        <ul type=disc>
            <li>Uživatel musí mít instalován klientský certifikát. </li>

            <li>Uživatel musí být uveden v&nbsp;tabulce uživatelů
                se&nbsp;jménem a heslem pro první přihlášení. Registraci certifikátu do tabulky
                uživatelů lze provést při prvním přihlášení zadáním jména a hesla. Po prvním přihlášení je certifikát
                zaevidován v&nbsp;tabulce
                uživatelů a při dalším přihlášení se použije automaticky a přihlašovací heslo
                je zrušeno. Alternativně lze certifikát zaregistrovat uživateli z aplikace
                Správce ESO9.
            <li>Podrobnější popis nastavení webového serveru IIS viz dokument Certifikátová autentikace v ESO9.</li>
            <li>IIS musí předat informaci o certifikátu uživatele. </li>
            <li>Pokud procedura <i>spAutenticateUser</i> nenalezne
                uživatele podle certifikátu, je uživateli odeslán formulář s&nbsp;dotazem
                na jméno a heslo pro registraci certifikátu. </li>
            <li>Pokud registrace certifikátu neproběhne, je hlášena chyba.</li>
        </ul>

    </div>
</body>

</html>