Logowanie w systemie Windows z uwierzytelnianiem za pomocą karty inteligentnej PIV#

Ten dokument wyjaśnia jak dostarczyć funkcję PIV logowania karty inteligentnej Nitrokey 3 for Windows ręcznie za pomocą klucza i certyfikatu.

W przyszłości ten ręczny provisioning może być zautomatyzowany poprzez Windows MiniDriver.

Wymagania wstępne#

Serwer Windows z:
- Active Directory (instrukcje)
- Urząd certyfikacji (CA), z szablonem certyfikatu do uwierzytelniania logowania z wykorzystaniem kluczy RSA 2048 bit:
  - Urząd certyfikacji (instrukcje)
  - Szablon uwierzytelniania (instrukcje)
Maszyna użytkownika Windows dołączona do domeny serwera
A Nitrokey 3 z PIV.
System Linux z zainstalowanymi pivy i PCSCD (sudo apt install pcscd), aby zapewnić Nitrokey (krok 1, 2 i 4). Zamiast oddzielnego systemu Linux można zainstalować WSL w systemie Windows. Należy pamiętać, że trzeba wirtualnie podłączyć Nitrokey do WSL i uruchomić PCSCD (sudo service start pcscd) przed użyciem pivy.

1: Wygeneruj klucz na Nitrokey#

Klucz jest generowany w gnieździe 9A (uwierzytelnianie).

pivy-tool generate 9A -a rsa2048

Informacja

Jeśli klucz administracyjny nie jest domyślny, można go określić za pomocą -A 3des -K 010203040506070801020304050607080102030405060708 . Argumentem do -A może być również aes256, a argumentem do -K jest klucz w systemie szesnastkowym.

PIN użytkownika może być także określony przez -P 123456, lub -P <value> jeśli nie jest domyślny. Jeśli -P nie jest podany, będzie o niego poproszony po wygenerowaniu klucza.

Dotyczy to wszystkich komend pivy-tool.

Ten krok może zająć kilka minut dla kluczy RSA, ponieważ czysta implementacja oprogramowania jest powolna.

Oczekiwane wyjście:

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDKO5ENwrK3qKBAgDkyq1tfiw5JxnoCEIiM3Vc+8Eylux04r1sgjHEyqbOvpScObZuchxFZZ5LdeHynvFn3c07K4HpoZ/7NjLzUYOmlVAy4wpEwRs9psbrT6wbvHVLyffZiiSPW15HHQKcUZZ30WDunh5m7xzvY9ej810QIW/P724MFWTbRdpqmG8m1qWCUM5dqkmpiprI/WeD+VmTcQWbJJ+oyoPyxmwzGyAotl7mVC6EYdcfvyBSNQdVdGfYGxjNEec4aWxoFRg4ADfpPnYD+gLxHcj/9s7o/wdMhXRiSio1tjsEjaeuOICGLaiiLGMfLxpfEApb8qJgsEFgYl6kn PIV_slot_9A@9E424375A38449E59B3DF89D9B90E601

2: Wygeneruj żądanie podpisania certyfikatu (CSR)#

Ten krok generuje certyfikat dla klucza w gnieździe uwierzytelniania. pivy-tool req-cert 9A -n 'Nitro Test' -u "nitro@test.nitrokey.com" -T user-auth

Nitro Test nazwa użytkownika i nitro@test.nitrokey.com adres e-mail muszą być zmienione na własne wartości.

Spodziewane wyjście:

Skopiuj żądanie podpisania certyfikatu do pliku request.csr

3: Podpisz CSR#

Przenieś plik request.csr z poprzedniego kroku na serwer, na którym znajduje się urząd certyfikacji. Zweryfikuj w konsoli szablonów certyfikatów (certtmpl.msc ), czy szablon dla użytkowników może przyjąć nazwy podmiotów z żądania:

W konsoli szablonu certyfikatu, w parametrze dla szablonu certyfikatu uwierzytelniającego, w zakładce "subject name" włącz "supply in request".

Otwórz PowerShell i podpisz żądanie podpisania certyfikatu za pomocą certreq.exe -attrib CertificateTemplate:Nitrotest -submit request.csr.

To otworzy GUI, w którym możesz wybrać odpowiedni Urząd Certyfikacji, jeśli na tym serwerze jest ich kilka. Zapisz certyfikat jako certificate.crt

4: Zapisz certyfikat na Nitrokey#

cat certificate.der | pivy-tool write-cert 9A

5: Importuj certyfikat na konto użytkownika#

Przenieś certificate.der na urządzenie Windows użytkownika i otwórz menedżera certyfikatów (Dla użytkownika, nie maszyny):

Otwórz "panel sterowania certyfikatem użytkownika zarządzaj"

Importuj certyfikat:

W akcjach, wszystkich zadaniach, można znaleźć akcję importu

Po wykonaniu tych czynności należy się wylogować. Zaloguj się za pomocą Nitrokey, korzystając z „opcji logowania”