Was passiert beim Vorhalten der Karte?
Schritt für Schritt. Was zwischen Karte, ChipLogin und Windows übertragen wird.
Vorab eingerichtet: Die Karte und das prüfende ChipLogin-System besitzen einen gemeinsamen geheimen Schlüssel. Der Schlüssel wird bei dieser Prüfung nicht übertragen.
Leser und Station leiten Nachrichten zwischen Karte und Server weiter.
Mit Schaltflächen oder Pfeiltasten ← →
Alle 7 Schritte untereinander
Vereinfachungen und Grundlagen des Schemas
Gezeigt wird die normale Anmeldung mit einer bereits ausgegebenen Karte, abschließend eine Online-Anmeldung am Domänenkonto. Im Local-Modus befinden sich Leser, ChipLogin-Dienst und Windows auf einem PC. Bei werden Kartennachrichten über die Station zum Server geleitet; eine freigegebene mTLS-Verbindung schützt den Netzwerkweg.
Anwendungsauswahl auf der Karte und weitere Protokollfelder sind in Schritt 2 zusammengefasst. DESFire AuthenticateEV2First verwendet die Karten-Abfrage RndB, eine ChipLogin-Antwort mit veränderter RndB und eigener RndA sowie die abschließende Kartenantwort mit veränderter RndA. Die vereinfachten Beschriftungen bedeuten nicht, dass diese Zahlen im Klartext übertragen werden. Neue Abfragen verhindern einfaches Wiederholen alter Antworten, beweisen aber für sich genommen keine physische Entfernung der Karte.
In Schritt 6 empfängt die ChipLogin-Anmeldekomponente auf dem PC () den verschlüsselten Umschlag, entschlüsselt ihn und übergibt die Daten an Windows. Bei vollständiger Kompromittierung von Server oder Station garantiert dieses Schema keine Passwortgeheimhaltung. Für eine erneute Freigabe der Anmeldedaten muss ChipLogin Auth erreichbar sein.
Ein lokales Windows-Konto wird gegen die lokale SAM-Datenbank geprüft. Bei unerreichbarer Domäne kann Windows je nach Einstellung zwischengespeicherte Anmeldeinformationen nutzen; dies ist eine eigenständige Windows-Funktion. Der Pfeil zu steht für normale Windows-Authentifizierungsnachrichten, nicht für die Übertragung eines ungeschützten Passworts im Netzwerk.
Grundlagen: shared/ChipLogin.Desfire/Ev2Authenticator.cs:20–98, shared/ChipLogin.Desfire/DesfireLogin.cs, authserver/ChipLogin.Auth.Service/Program.cs, station/ChipLogin.Station.Service/Worker.cs, station/ChipLogin.CredentialProvider/CChipLoginCredential.cpp:783–824 und Dokumentation zur Windows-Authentifizierung. Stand der Grundlagen: 1. Oktober 2026.