Безопасность, которая не работает без Windows
Второй день мучаюсь с почечной коликой. Лежу, хожу, смотрю в потолок и в окно, жду, пока отпустит. И тут курьер принёс свежеприобретённый Rutoken MFA C — аппаратный ключ для двухфакторной аутентификации по стандарту FIDO2. Радуюсь, что могу отвлечься, скачиваю утилиту для управления mfaman, чтобы задать PIN и настроить всё как положено. А она — только под Windows.
Казалось бы, мелочь. Но именно такие мелочи напоминают о том, насколько глубоко Windows укоренилась в мире информационной безопасности. И дело тут не в конкретном вендоре — это системная особенность всей отрасли.
Как мы до этого дошли
Корни проблемы уходят в девяностые и нулевые, когда корпоративный мир строился вокруг Active Directory, доменов, групповых политик и Kerberos. Вся эта инфраструктура была — и остаётся — неразрывно связана с Windows. Смарт-карты, токены, криптопровайдеры интегрировались в первую очередь именно туда: CryptoAPI, CSP, minidriver и прочие аббревиатуры, понятные только тем, кто настраивал ЭЦП в корпоративной среде.
Экономика работает просто: большинство корпоративных заказчиков — это Windows-парк рабочих мест. Вендоры делают то, за что платят. Сначала — нативная поддержка Windows-логина, интеграция с AD, драйверы для Microsoft Base Smart Card CSP. А Linux и macOS получают поддержку потом, часто в виде «обходных путей» через браузер или командную строку.
Microsoft Entra ID (бывший Azure AD) и FIDO2-passkeys тоже сначала оптимизируются под Windows 10/11 и Windows Hello, а потом уже под всё остальное. Это не злой умысел — это рациональное распределение ресурсов разработки.
Как это выглядит на практике
Возьмём типичный сценарий с токенами и смарт-картами. Для ЭЦП и PKI нужен драйвер токена с CSP под Windows, тесная связка с CryptoAPI, интеграция с офисным софтом — клиентами ЭДО, бухгалтерией, криптопровайдерами. Даже когда устройство формально кроссплатформенное и поддерживает PC/SC, PKCS#11 и FIDO2/WebAuthn, удобство администрирования, графические утилиты и документация по факту ориентированы на Windows-пользователя.
С FIDO2-ключами история похожая. Многие «красивые» сценарии работы в Entra ID и Windows Hello for Business завязаны на Windows 10/11: вход в систему, SSO к локальным и облачным ресурсам именно с FIDO2-ключом. Документация и лучшие практики по развёртыванию MFA в AD-окружении описывают Windows-клиенты как первичный и основной вариант. Linux и macOS упоминаются постфактум как «веб-логин в порталы» без полноценного настольного SSO.
Парадокс кроссплатформенности
Формально FIDO2 и WebAuthn поддерживаются везде: Windows, Linux (включая отечественные Astra, Alt, РЕД ОС), macOS, Android, iOS. Протоколы открытые, стандарты международные. Но дьявол в деталях.
В Windows управление токеном встроено нативно через «Ключ безопасности» в системных настройках: задание PIN, смена, сброс — всё в одном месте. В macOS и Linux те же операции вынесены в Google Chrome через «Настройки электронных ключей». Это уже не системная, а «браузерная» история, и выглядит как заплатка поверх отсутствующей нативной поддержки.
macOS умеет в смарт-карт-логон через CryptoTokenKit, но это требует ручной конфигурации: plist-файлы, sc_auth, MDM-профили. На Windows многие вещи сделаны «по умолчанию» или описаны в одном-двух мастерах. На Mac и Linux — чаще через командную строку или отдельные гайды для «посвящённых».
Что это значит для пользователя
Если рабочая станция на Linux или macOS, а ИБ-инфраструктура «завязана на Windows», часть сценариев либо недоступна, либо реализуется через костыли. Отдельные браузеры, udev-правила, ручные настройки Firefox, MDM-профили — всё это работает, но требует усилий.
При любой неполадке — обновился Firefox, сломался udev, сменился драйвер — Windows-клиент продолжает жить, а Linux или macOS превращается в приключение. Я сам не раз оказывался в ситуации, когда после обновления системы токен переставал определяться, и приходилось искать, какое именно правило udev отвалилось.
Vendor lock-in под соусом безопасности
Для бизнеса это создаёт реальный vendor lock-in. Смена ОС-ландшафта — массовый переход на Linux-тонкие клиенты или расширение парка macOS — упирается в то, что средства аутентификации и электронной подписи «по-настоящему» поддержаны только под Windows.
Безопасность получается «условно кроссплатформенной»: протоколы открытые, но пользовательский опыт и сопровождение заточены под одну экосистему. И это не баг одного вендора, а общий отраслевой паттерн.
Что с этим делать
Признаки здорового дизайна ИБ-инфраструктуры — максимальный упор на открытые протоколы и стандарты (FIDO2/WebAuthn, CTAP, PKCS#11, OAuth/OIDC, SAML), а не на закрытые Windows-специфичные API. При выборе токенов и MFA-решений стоит проверять не только «поддерживается ли Windows-логон», но и наличие нормальных инструкций и утилит под Linux и macOS, качество сценариев работы в браузере, состояние мобильных клиентов.
По возможности лучше избегать архитектур, где критический функционал — управление ключами, сброс PIN — вообще невозможен без Windows-ПК. Иначе рано или поздно окажешься в ситуации, когда для простейшей операции нужно искать машину с «правильной» операционной системой.
Ну а я смотрю на свой Rutoken MFA C и вижу две реальности. По стандартам всё современно и кроссплатформенно: FIDO2, WebAuthn, CTAP. А по удобству и документации — мир, где Windows всё ещё царь горы. И так будет ещё долго, потому что многолетнее господство Windows на десктопах создало инфраструктурный долг, который отрасль будет выплачивать годами.
Правда, у меня всё ещё остаётся надежда, что получится настроить всё для полноценной работы под macOS. И Rutoken MFA и Rutoken ЭЦП 3.0 с PASS. И КриптоПро CSP заработает по-человечески под macOS, чтобы мне не нужно было переключаться на Windows ради одной подписи в Контур Сайн или Диадок.
Источники
Rutoken ЭЦП 3.0 NFC — официальная страница продукта с описанием поддерживаемых стандартов и операционных систем.
Microsoft: FIDO2 security keys and passkeys — документация Microsoft по настройке FIDO2-ключей в Entra ID, наглядно демонстрирующая Windows-центричность подхода.
Apple: Advanced smart card options — руководство Apple по настройке смарт-карт в macOS, показывающее уровень сложности по сравнению с Windows.
IDManagement.gov: Smart Card Logon for macOS — государственное руководство США по настройке смарт-карт на Mac, хороший пример «гайда для посвящённых».
Spiceworks: FIDO2 MFA in AD environment — обсуждение реальных сценариев развёртывания FIDO2 в корпоративной среде с акцентом на Windows.
Hexnode: Smart card authentication for macOS — пример настройки через MDM, демонстрирующий дополнительные шаги для не-Windows платформ.