Windows bejelentkezés PIV intelligens kártyahitelesítéssel#

Ez a dokumentum elmagyarázza, hogyan lehet a Nitrokey 3 for Windows intelligens kártyás bejelentkezés PIV funkcióját manuálisan egy kulccsal és egy tanúsítvánnyal ellátni.

A jövőben ez a kézi üzembe helyezés automatizálható lesz egy Windows MiniDriver segítségével.

Előfeltételek#

Windows szerver:
- Active Directory (utasítások)
- Tanúsítványkezelő hatóság (CA), RSA 2048 bites kulcsokat használó tanúsítványsablonnal a bejelentkezési hitelesítéshez:
  - Tanúsítványkiadó (utasítások)
  - Hitelesítési sablon (utasítások)
A kiszolgáló tartományához csatlakozott Windows felhasználói gép
A Nitrokey 3 a PIV <https://github.com/Nitrokey/piv-authenticator> __
Egy Linux rendszer pivy és PCSCD telepítve (sudo apt install pcscd), a Nitrokey (1., 2. és 4. lépés) biztosításához. Külön Linux-rendszer helyett telepítheti WSL a Windows rendszerre. Vegye figyelembe, hogy a pivy használata előtt virtuálisan csatlakoztatnia kell a Nitrokey-t a WSL-hez, és el kell indítania a PCSCD-t (sudo service start pcscd).

1: Generáljon egy kulcsot a Nitrokey-en#

A kulcsot a 9A nyílásban generálják (hitelesítés).

pivy-tool generate 9A -a rsa2048

Megjegyzés

Ha az adminisztrációs kulcs nem az alapértelmezett, akkor a -A 3des -K 010203040506070801020304050607080102030405060708 címmel adható meg. A -A argumentuma lehet a aes256 is, a -K argumentuma pedig a kulcs hexadecimális formában.

A felhasználói PIN-kódot a -P 123456, vagy a -P <value> kapcsolóval is megadhatja, ha nem az alapértelmezett. Ha a -P nincs megadva, akkor a kulcsgenerálás után kérni fogja.

Ez vonatkozik az összes pivy-tool parancsra.

Ez a lépés az RSA kulcsok esetében néhány percet is igénybe vehet, mivel a tiszta szoftveres megvalósítás lassú.

Várható kimenet:

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDKO5ENwrK3qKBAgDkyq1tfiw5JxnoCEIiM3Vc+8Eylux04r1sgjHEyqbOvpScObZuchxFZZ5LdeHynvFn3c07K4HpoZ/7NjLzUYOmlVAy4wpEwRs9psbrT6wbvHVLyffZiiSPW15HHQKcUZZ30WDunh5m7xzvY9ej810QIW/P724MFWTbRdpqmG8m1qWCUM5dqkmpiprI/WeD+VmTcQWbJJ+oyoPyxmwzGyAotl7mVC6EYdcfvyBSNQdVdGfYGxjNEec4aWxoFRg4ADfpPnYD+gLxHcj/9s7o/wdMhXRiSio1tjsEjaeuOICGLaiiLGMfLxpfEApb8qJgsEFgYl6kn PIV_slot_9A@9E424375A38449E59B3DF89D9B90E601

2: Tanúsítvány-aláírási kérelem (CSR) generálása#

Ez a lépés tanúsítványt generál a hitelesítési nyílásban lévő kulcshoz. pivy-tool req-cert 9A -n 'Nitro Test' -u "nitro@test.nitrokey.com" -T user-auth

A Nitro Test felhasználónevet és a nitro@test.nitrokey.com e-mail címet saját értékekre kell módosítani.

Várható kimenet:

Másolja a tanúsítvány aláírási kérelmét egy fájlba request.csr

3: Írja alá a CSR-t#

Az előző lépésből származó request.csr fájlt helyezze át a tanúsítványkiadó hatóságnak otthont adó kiszolgálóra. Ellenőrizze a tanúsítványsablon konzolon (certtmpl.msc ), hogy a felhasználók sablonja elfogadja a kérelem tárgyneveit:

A tanúsítványsablon konzolban a hitelesítési tanúsítványsablon paraméterében kapcsolja be a "tárgynév" fülön a "kérésben való megadás" opciót.

Nyissa meg a PowerShellt, és írja alá a tanúsítvány aláírási kérelmét a certreq.exe -attrib CertificateTemplate:Nitrotest -submit request.csr segítségével.

Ez megnyit egy felhasználói felületet, ahol kiválaszthatja a megfelelő tanúsítványszolgáltatót, ha több is van a kiszolgálón. Mentse a tanúsítványt certificate.crt néven.

4: A tanúsítvány tárolása a Nitrokey-n#

„cat certificate.der | pivy-tool write-cert 9A

5: Importálja a tanúsítványt a felhasználói fiókba#

Mozgassa át a certificate.der a felhasználó Windows eszközére, és nyissa meg a tanúsítványkezelőt (A felhasználónak, nem a gépnek):

Nyissa meg a "Felhasználói tanúsítványok kezelése vezérlőpultot"

Importálja a tanúsítványt:

A műveletek, összes feladat menüpontban találja az importálási műveletet.

Ha ez megtörtént, jelentkezzen ki. Jelentkezzen be a Nitrokey-vel a „bejelentkezési lehetőségek” segítségével.