Dla Centrów Krwiodawstwa

KRDK w Firefox Portable
z profilem wstrzykiwanym na czas sesji

KRDK Launcher uruchamia odseparowaną instancję Firefox Portable. Po zalogowaniu indywidualnym loginem system buduje i wstrzykuje do Firefoksa imienny profil z certyfikatem pracownika. Profil istnieje tylko przez czas tej jednej sesji, a po zamknięciu KRDK jest usuwany w całości. Bez profilu osobistego, kart RFID i certyfikatów zapisanych na wspólnym koncie Windows.

Umów prezentację online Zobacz, jak to działa

Jedno wdrożenie produkcyjne · prezentacja 30 min · bez zobowiązań

Okno KRDK Launcher z polami indywidualnego loginu i hasła oraz przyciskiem uruchamiającym KRDK
KRDK Launcher — kontrolowane, imienne wejście do systemu
Problem, który znacie z codziennej pracy

Stary system, wycofane logowanie, wymóg pozostaje

Metoda logowania wycofana

Dotychczasowa ścieżka uwierzytelnienia do KRDK oparta o profil osobisty nie jest już wspierana. Nowych kont nie da się zakładać, a istniejące wygasają.

Kart RFID nie da się dokupić

Karty do czytników nie są już dostępne w sprzedaży. Każde odejście pracownika lub zgubiona karta to stanowisko mniej z dostępem do KRDK.

KRDK trzeba używać

Korzystanie z KRDK jest obowiązkiem centrum — niezależnie od tego, że system pozostaje na starej infrastrukturze i nie doczekał się nowej metody logowania.

Efekt? Certyfikaty wgrywane „na sztywno” do przeglądarki na wspólnym koncie Windows, a pracownicy przy rejestracji wybierają z listy, kim dzisiaj są. W dokumentacji jakościowej i wobec audytora to brak imienności i rozliczalności dostępu do danych dawców.

Rozwiązanie

Jedno kliknięcie, pięć kroków, zero śladów

Launcher jest jedynym wejściem do KRDK na stacji. Cały przepływ trwa kilka sekund i nie wymaga żadnych zmian w samym systemie KRDK. Centrum nadal realizuje obowiązek korzystania z KRDK, ale dostęp pracowników staje się imienny i rozliczalny.

To nie jest zwykłe otwarcie strony w przeglądarce. Każde uruchomienie tworzy osobną instancję Firefox Portable, do której launcher wstrzykuje świeży profil konkretnego pracownika wraz z jego certyfikatem. Po sesji cały profil znika.

  1. Logowanie indywidualnym loginem

    Pracownik podaje swój indywidualny login i hasło — dane są weryfikowane w wybranym źródle tożsamości.

  2. Weryfikacja tożsamości

    Centrum wybiera źródło tożsamości: bazę AS400 albo Windows Active Directory przez LDAP. Launcher nie tworzy własnej bazy kont ani haseł.

  3. Certyfikat pracownika

    Po udanym logowaniu launcher otrzymuje imienny certyfikat — trzymany wyłącznie w pamięci stacji.

  4. Wstrzyknięcie profilu do Firefox Portable

    Launcher tworzy świeży, imienny profil i wstrzykuje go do odseparowanej instancji Firefox Portable. Profil zawiera certyfikat właściwego pracownika, dlatego KRDK otwiera się od razu w poprawnym kontekście.

  5. Czyszczenie

    Zamknięcie KRDK oznacza usunięcie całego wstrzykniętego profilu Firefox Portable: certyfikatu, danych sesji, historii i plików tymczasowych. Także po awarii aplikacji.

  6. Zasada fail-closed

    Dowolny błąd — złe hasło, niedostępny serwer, problem z importem — oznacza, że przeglądarka w ogóle nie startuje. Zdarzenie ląduje w audycie, a stanowisko pozostaje bezpieczne.

Dla pracownika korzystającego z KRDK

Nic nowego do nauczenia

Zamiast wybierania z listy „kim dzisiaj jestem” — jedno okno, dwa pola, jeden przycisk. Launcher sam uruchamia Firefox Portable i wstrzykuje do niego właściwy profil. Bez kart, czytników i proszenia informatyka o ręczne wgranie certyfikatu.

  • Logowanie danymi weryfikowanymi w AS400 albo domenie Windows AD
  • Osobny Firefox Portable dla każdej sesji KRDK
  • Imienny profil i certyfikat wstrzykiwane automatycznie
  • KRDK startuje samo, bez ostrzeżeń o certyfikacie
  • Instrukcja stanowiskowa mieści się na jednej stronie
Dwie architektury wdrożenia

Logowanie i serwowanie kluczy dopasowane do infrastruktury centrum

KRDK Launcher nie wymusza jednego źródła użytkowników. Może uwierzytelniać pracownika w bazie AS400 albo bezpośrednio w domenie Windows. W obu wariantach imienny certyfikat PFX z kluczem prywatnym jest wydawany dopiero po poprawnym logowaniu.

Wariant 01

AS400 + centralny panel certyfikatów

Pracownik podaje indywidualny login i hasło. Serwer pośredniczący weryfikuje dane bezpośrednio w bazie AS400, a po sukcesie pobiera z centralnego panelu przypisany do pracownika certyfikat KRDK.

Logowanie
Indywidualny login + hasło → bezpieczna weryfikacja w środowisku uwierzytelniania
Serwowanie klucza
Panel administracyjny przechowuje przypisanie użytkownik–PFX i wydaje pakiet wyłącznie po poprawnym uwierzytelnieniu przez szyfrowane API HTTPS.
  • Pracownik używa swojego indywidualnego loginu
  • Administrator zarządza certyfikatami w jednym panelu
  • Brak certyfikatów rozłożonych na stacjach roboczych
Wariant 02

Windows Active Directory / LDAP + lokalny magazyn kluczy

Tam, gdzie centrum chce oprzeć dostęp na domenie, serwer uwierzytelnia pracownika bezpośrednio w Windows Active Directory przez LDAP. Konto domenowe jest mapowane na właściwy certyfikat KRDK przechowywany w kontrolowanym magazynie on-premise.

Logowanie
Konto i hasło domenowe → weryfikacja LDAP w Windows Active Directory
Serwowanie klucza
Lokalna usługa przypisuje certyfikat PFX do konta AD i wydaje go launcherowi po HTTPS dopiero po poprawnym bindzie LDAP.
  • Jedno konto pracownika zgodne z polityką domeny
  • Obsługa blokad, wygasania haseł i wyłączenia konta w AD
  • Klucze pozostają w infrastrukturze centrum

Dalej oba warianty działają identycznie

Odpowiedź serwera zawiera PFX i hasło tylko dla poprawnie uwierzytelnionego pracownika. Launcher importuje materiał przez NSS / pk12util do świeżego profilu Firefox Portable. PFX i hasło są zerowane natychmiast po imporcie, a po zamknięciu KRDK usuwane są bazy key4.db, cert9.db i cały profil. Błąd logowania, brak przypisanego certyfikatu albo problem z importem zatrzymuje proces przed uruchomieniem przeglądarki.

Bezpieczeństwo

Zaprojektowane pod audyt, nie obok niego

Sześć nienaruszalnych zasad, na których stoi cały system. Każdą z nich pokazujemy na prezentacji wprost w kodzie i w testach automatycznych.

  • Sekrety nigdy na dysku

    Certyfikat i jego hasło nie trafiają do logów, plików tymczasowych ani rejestru. Materiał kryptograficzny jest zerowany w pamięci natychmiast po imporcie.

  • Certyfikat dopiero po uwierzytelnieniu

    Żaden certyfikat nie opuszcza serwera przed poprawną weryfikacją loginu i hasła. Transmisja wyłącznie szyfrowana, w sieci lokalnej centrum.

  • Wstrzykiwany profil Firefox Portable

    Dla każdego logowania powstaje nowy profil Firefox Portable. Launcher wstrzykuje do niego imienny certyfikat, uruchamia KRDK, a po zakończeniu usuwa profil w całości — również po awarii programu.

  • Audyt append-only

    Dziennik zdarzeń w formacie JSON Lines: czas, identyfikator użytkownika, etap, wynik, odcisk certyfikatu. Bez haseł, bez sekretów — gotowy materiał dla audytora.

  • Kontrolowany punkt wejścia

    Okna launchera nie da się ominąć ani zamknąć ręcznie — program kończy pracę dopiero wraz z zamknięciem KRDK. Jedno wejście, jedna ścieżka.

  • Konfiguracja z zewnątrz

    Ustawienia dystrybuowane centralnie przez GPO. Nic nie jest zaszyte w kodzie — wdrożenie na kolejnych stacjach to wpis w polityce, nie wizyta przy biurku.

audyt sesji — append-only live

08:12:04 USER-0512 auth OK

08:12:05 USER-0512 import-cert OK 3F:9A:…

08:12:06 USER-0512 start-KRDK OK

09:03:18 USER-0118 auth FAIL błędne hasło

11:47:31 USER-0512 scrub-profilu OK

Dziennik zdarzeń bez sekretów: czas, identyfikator użytkownika, etap i wynik.

Wdrożenie

Kompletny pakiet, nie projekt badawczy

Co otrzymuje centrum

  • KRDK Launcher z zarządzaną instancją Firefox Portable — instalator MSI na stanowiska korzystające z KRDK
  • Mechanizm automatycznego budowania i wstrzykiwania imiennego profilu Firefox wraz z certyfikatem pracownika
  • Serwer pośredniczący uwierzytelniania z integracją z bazą AS400 lub Active Directory / LDAP — do wyboru, także oba źródła równolegle
  • Panel administracyjny do zarządzania certyfikatami pracowników
  • Dokumentację wdrożeniową i procedurę dla działu zapewnienia jakości
  • Szkolenie administratora IT oraz instrukcję stanowiskową dla użytkowników
  • Pierwszy rok asysty technicznej w cenie wdrożenia

Przebieg wdrożenia

  1. Krok 1 · prezentacja online Pokazujemy działający system i odpowiadamy na pytania działu IT oraz zapewnienia jakości.
  2. Krok 2 · analiza środowiska Zdalnie weryfikujemy infrastrukturę: domenę, stacje, łączność z AS400 i KRDK.
  3. Krok 3 · instalacja i testy Stawiamy serwer pośredniczący, konfigurujemy GPO, przeprowadzamy testy na stacji pilotażowej.
  4. Krok 4 · produkcja i szkolenie Uruchomienie na wszystkich stanowiskach, szkolenie, przekazanie dokumentacji.

Standardowo 2–3 tygodnie od analizy do uruchomienia produkcyjnego.

Referencja

Sprawdzone tam, gdzie powstało

KRDK Launcher ma jedno wdrożenie produkcyjne w Centrum Krwiodawstwa i Krwiolecznictwa. System powstał w odpowiedzi na realny problem użytkowników KRDK i został sprawdzony w codziennej pracy.
Wdrożenie z pełnym poparciem dyrekcji — na życzenie udostępniamy list referencyjny oraz kontakt referencyjny.
Jan Cybulski — autor rozwiązania KRDK Launcher

Jan Cybulski

Programista · Dział Zapewnienia Jakości (DZJ) · RCKiK Bydgoszcz

Autor rozwiązania zna oba światy od środka. Na co dzień pracuje w Regionalnym Centrum Krwiodawstwa i Krwiolecznictwa w Bydgoszczy jako programista oraz pracownik Działu Zapewnienia Jakości (DZJ). Łączy praktyczną znajomość procesów służby krwi, wymagań jakościowych i audytowych z doświadczeniem w tworzeniu oprogramowania. Jako inżynier informatyki i właściciel Creospace projektuje sieci, buduje systemy webowe i wdraża cyberbezpieczeństwo. KRDK Launcher nie powstał w oderwaniu od realiów służby krwi — powstał na jej stanowiskach.

  • mgr analityki medycznej · CM UMK
  • inż. informatyki
  • CCNA Cisco
  • wykładowca UKW — sieci komputerowe
  • NIS2
Warianty współpracy

Dwa warianty wdrożenia, jedna stała cena

Wycenę przygotowujemy indywidualnie po krótkiej rozmowie o środowisku centrum — cena jest stała, bez ukrytych pozycji i mieści się w trybie zapytania ofertowego.

Wdrożenie zdalne

Wycena indywidualna

rozliczenie jednorazowe

  • Pełne wdrożenie realizowane zdalnie
  • Serwer pośredniczący + launcher + panel certyfikatów
  • Konfiguracja GPO i stacja pilotażowa
  • Szkolenie online i komplet dokumentacji
  • Pierwszy rok asysty technicznej w cenie
Zapytaj o ten wariant
Wdrożenie z wizytą na miejscu

Wycena indywidualna

rozliczenie jednorazowe

  • Wszystko z pakietu zdalnego
  • Dwudniowa wizyta wdrożeniowa w centrum
  • Uruchomienie i weryfikacja bezpośrednio na stanowiskach
  • Szkolenie stacjonarne dla IT i użytkowników KRDK
  • Spotkanie z działem zapewnienia jakości
Umów prezentację

Asysta techniczna — rozliczenie roczne

Aktualizacje launchera i serwera pośredniczącego (zmiany w KRDK, AS400, nowe wydania przeglądarki), wsparcie przy wymianie certyfikatów pracowników, poprawki bezpieczeństwa i coroczny przegląd konfiguracji. Dostępny również wariant z gwarantowanym czasem reakcji na następny dzień roboczy — do dokumentacji jakościowej.

W dwóch wariantach
standardowym i z SLA

Poproś o warunki

Pierwszy rok asysty wliczony w cenę wdrożenia. Odnowienie od drugiego roku — bez automatycznego przedłużania, decyzja zawsze po stronie centrum.

Najczęstsze pytania

Pytania, które zada Wasz informatyk

Czy rozwiązanie zmienia system KRDK?

Nie. Launcher działa wyłącznie na stacji roboczej centrum. Uruchamia własną, odseparowaną instancję Firefox Portable i przed startem KRDK wstrzykuje do niej jednorazowy profil z imiennym certyfikatem pracownika. Z punktu widzenia KRDK jest to standardowe logowanie certyfikatem klienta. Nie modyfikujemy KRDK i nie pośredniczymy w ruchu do niego. Centrum nadal realizuje obowiązek korzystania z KRDK — launcher porządkuje wyłącznie sposób imiennego dostępu pracowników.

Czy jakiekolwiek dane wychodzą poza sieć centrum?

Nie. Serwer pośredniczący stoi w sieci lokalnej centrum, komunikacja odbywa się wyłącznie wewnątrz LAN i jest szyfrowana. Creospace nie ma dostępu do danych dawców, haseł ani certyfikatów — to system on-premise w całości pod kontrolą centrum.

Skąd system zna hasła pracowników?

Nie zna. Weryfikacja odbywa się bezpośrednio w bazie AS400 lub — jeśli centrum tak woli — w Państwa Active Directory przez LDAP. Pracownik loguje się danymi, których używa na co dzień. Nie tworzymy drugiej bazy haseł, nie synchronizujemy kont, hasło nigdzie nie jest zapisywane. Oba źródła można też łączyć, np. AD jako podstawowe z awaryjną weryfikacją w AS400.

Co się dzieje, gdy serwer uwierzytelniania jest niedostępny?

Obowiązuje zasada fail-closed: przeglądarka z KRDK nie uruchomi się bez poprawnej weryfikacji. Zdarzenie trafia do dziennika audytu, a pracownik dostaje czytelny komunikat. Świadomie nie ma żadnej „furtki awaryjnej” — to warunek rozliczalności.

Ile trwa wdrożenie i na ile angażuje nasz dział IT?

Standardowo dwa do trzech tygodni od analizy środowiska do uruchomienia produkcyjnego. Po stronie centrum potrzebujemy administratora domeny na etapie konfiguracji GPO oraz osoby kontaktowej do spraw AS400 — łącznie kilka godzin zaangażowania, nie dedykowanego projektu.

Jak wygląda licencjonowanie?

Centrum otrzymuje bezterminową licencję na użytkowanie systemu na wszystkich swoich stanowiskach — bez opłat za stanowisko czy użytkownika. Opcjonalna asysta roczna dotyczy wyłącznie utrzymania i aktualizacji, nie prawa do korzystania.

Na jakich stanowiskach można wdrożyć KRDK Launcher?

Launcher może zostać wdrożony na każdym stanowisku, z którego pracownik ma obowiązek korzystać z KRDK: w rejestracji dawców, gabinecie lekarskim, siedzibie CKiK, oddziale terenowym (OT) oraz na komputerach ekip wyjazdowych. Dokładny zakres ustalamy podczas analizy infrastruktury, łączności i sposobu zarządzania stacjami.

30 minut online · bez zobowiązań

Zobacz system na żywo

Pokażemy pełny przepływ logowania, panel certyfikatów i dziennik audytu na działającym środowisku. Zapraszamy dział IT i zapewnienia jakości na wspólne spotkanie.

  • Prezentacja na żywo, nie slajdy
  • Odpowiedzi na pytania techniczne od razu
  • Na życzenie — kontakt referencyjny do RCKiK Bydgoszcz
+48 531 616 333 kontakt@creospace.eu
Bydgoszcz · wdrożenia w całej Polsce

Nie rozmawiasz z handlowcem — od pierwszego telefonu po wdrożenie kontaktujesz się bezpośrednio z Janem Cybulskim.