OGOwnGate

· Команда OwnGate

1С и единый вход: где заканчиваются иллюзии и как реально защитить базу

Опубликовать веб-клиент 1С наружу через стандартный Apache — верный способ подарить бухгалтерию сканерам уязвимостей. Разбираем реальные механизмы авторизации в 1С:Предприятие 8.3 и то, как безопасно завернуть базу в шлюз с 2FA.

Защита веб-клиента и баз 1С:Предприятие через шлюз доступа

Если у вас упал сайт — бизнес потеряет заявки за пару часов. Если упал GitLab — программисты пойдут пить кофе.

Но если у вас скомпрометирована или зашифрована база «1С:Предприятие» — в компании наступает мгновенный конец света. Нельзя выставить счет, нельзя провести отгрузку со склада, нельзя выплатить зарплату и сдать отчетность в налоговую.

При этом парадокс заключается в том, что именно 1С в большинстве российских компаний защищена хуже всего.

Давайте разберём, почему популярные способы удалённого доступа к 1С смертельно опасны, где заканчиваются иллюзии штатного OpenID и как правильно закрыть базу современным шлюзом доступа.

---

3 опасные иллюзии удалённой работы с 1С

Иллюзия 1. «Мы пробросили RDP наружу, там же сложный пароль»

Классика малого и среднего бизнеса: сисадмин публикует порт 3389 терминального сервера в интернет (иногда «маскируя» его на порт 33389).

Итог всегда один: через три месяца на сервер прилетает шифровальщик-вымогатель (LockBit, Phobos или Dharma). Сканеры находят открытый RDP за 15 минут, а дальше в ход идёт подбор паролей или эксплуатация уязвимостей типа BlueKeep.

Иллюзия 2. «Мы просто опубликовали веб-клиент на Apache»

Платформа «1С:Предприятие 8.3» умеет работать через браузер. Админ ставит модуль расширения веб-сервера на Apache или IIS, вешает SSL-сертификат от Let's Encrypt и отдаёт ссылку бухгалтерам: https://1c.company.ru/accounting.

Что происходит дальше:

  • Любой желающий в интернете видит фирменную жёлтую плашку входа 1С;
  • Ботнеты начинают долбить форму логина круглосуточно;
  • Базовая веб-публикация 1С периодически страдает от уязвимостей переполнения буфера в ws-модулях платформы. Хакеру даже не нужен пароль: с помощью эксплойта база скачивается целиком прямо через HTTP-сокет веб-сервера.

Иллюзия 3. «Мы настроим штатный OpenID в 1С»

В платформе 8.3 действительно заявлена поддержка OpenID. Но любой специалист по 1С подтвердит:

  • Это древняя спецификация OpenID 2.0 (не путать с современным OpenID Connect!);
  • Она невероятно капризна к URL-адресам Realm, редиректам и регистру символов;
  • Самое главное: штатный механизм 1С не умеет в современную двухфакторную аутентификацию (TOTP).

---

Как построить непробиваемый периметр вокруг 1С

База 1С ни при каких обстоятельствах не должна быть доступна напрямую из внешнего интернета.

Единственно верная архитектура — это выставление перед 1С защитного реверс-прокси шлюза OwnGate:


[Бухгалтер / Менеджер]

          │

  (Попытка входа на https://1c.company.ru)

          ▼

   [Шлюз OwnGate] ◄─── (Периметр безопасности)

          │

  1. Проверка доменного пароля (Active Directory)

  2. Обязательный 2FA (TOTP в приложении)

  3. Проверка контекста (IP, страна, устройство)

          │

   (Только после успешной валидации!)

          ▼

   [Веб-клиент 1С:Предприятие] ──► [База PostgreSQL / MSSQL]

Что меняется кардинально:

1. Веб-сервер 1С невидим для сканеров. Сканеры Shodan, Censys и ботнеты видят только hardened-интерфейс шлюза OwnGate с защитой от DDoS и брутфорса. Сама база и веб-модуль 1С спрятаны в изолированной серой подсети.

2. Обязательный второй фактор перед 1С. Бухгалтер физически не может увидеть форму ввода логина 1С, пока не подтвердит свою личность 6 цифрами из аутентификатора на смартфоне. Утечка пароля перестаёт быть фатальной катастрофой.

3. Бесшовный маппинг пользователей (Single Sign-On). Шлюз OwnGate после прохождения двухфакторки пробрасывает доверенный заголовок пользователя в веб-сервер 1С. Сотрудник попадает прямо в свою базу и интерфейс без необходимости вбивать пароль второй раз.

4. Контроль доступа по времени и геолокации. Вы можете в один клик запретить вход в 1С ночью, в выходные дни или из зарубежных IP-адресов. Если главбух находится в Москве, а вход в базу фиксируется из Нидерландов — шлюз моментально блокирует попытку и сигнализирует администратору.

База 1С — это финансовое сердце компании. Защитите её на уровне современного шлюза доступа, и бухгалтерия сможет спокойно работать из любой точки мира без риска проснуться у разбитого корыта.

← Все статьи