Sicherheit im Betrieb · Details
Sicherheit für den Betriebsalltag
Ihre Anmeldedaten bleiben bei Ihnen. Für die reguläre Prüfung einer bereits ausgestellten Karte ist kein Internet nötig. Hier erfahren Sie, was bei einem Verbindungsausfall, Kartenverlust oder einer Passwortänderung zu tun ist.
Anmeldedaten bei Ihnen, bestimmte Dienste in der Cloud
Konten und Passwörter für die Anmeldung werden auf Ihrem Computer oder Firmenserver gespeichert. Auch die werden lokal gespeichert und können Namen und Bezüge zu Mitarbeitenden enthalten.
Die ChipLogin übernimmt Lizenzen, die Bereitstellung der Anfangsschlüssel neuer Karten, Diagnose und Speicherung von Audit-Prüfwerten. Bei der Netzwerkvariante erstellt der firmeneigene beim Ausstellen einer Karte einen neuen Anmeldeschlüssel und schreibt ihn auf die Karte. Weitere Anmeldungen prüft er in Ihrer eigenen Umgebung.
Bei der Nutzung von Cloud-Diensten werden auch Betriebsprotokolle und Gerätezustände übertragen. Diagnoseprotokolle können Kennungen von Computern und Identitäten enthalten. Zur Prüfung der Audit-Historie werden übertragen, nicht der Text der Audit-Einträge.
Was Betrieb ohne Internet bedeutet
Ein Ausfall des Internets oder der ChipLogin Cloud stoppt die normale Prüfung einer bereits ausgegebenen Karte nicht. Im Local-Modus prüft der Dienst auf dem Computer, im Auth-Modus der betriebliche Server. Cloud-Vorgänge wie das Herunterladen von Material für neue Karten oder das Senden von Audit-Prüfwerten benötigen den jeweiligen Dienst.
Eine unterbrochene Verbindung zwischen Station und betrieblichem Auth ist ein anderer Fall: Ohne erreichbaren Auth kann die Netzwerkvariante keine neue Kartenprüfung durchführen. Auf dem Windows-Anmeldebildschirm bleibt die übliche Anmeldung mit Konto und Passwort verfügbar, soweit Konfiguration und Verfügbarkeit des Kontos dies zulassen. ist vom Server unabhängig; die Windows-Anmeldung und Unternehmensanwendungen unterliegen weiterhin den Regeln und Abhängigkeiten ihrer Umgebung.
Lizenzgültigkeit und Weiterarbeit
Eine abgelaufene Lizenz blockiert die reguläre Anmeldung nicht. Die Verwaltung zeigt den Lizenzstatus und das Ablaufdatum an. Die Aktivierung eines weiteren Geräts und die Ausstellung einer neuen Lizenz sind separate Vorgänge.
Eine verlorene Karte sperren
Die Person meldet den Verlust. Eine berechtigte Verwaltungskraft entfernt die Kartenzuordnung oder deaktiviert die betreffende Identität. Bei der nächsten Prüfung in dieser Verwaltungsumgebung gibt die Karte keine Anmeldedaten mehr frei. Eine Ersatzkarte kann zugeordnet werden, damit die Person mit ihrem Konto weiterarbeitet.
Mit zentralem Auth erfolgt die Änderung an einer Stelle. Separat verwaltete lokale Stationen haben eigene Einstellungen, die aktualisiert werden müssen. Die Kartensperre verhindert die weitere Nutzung. Soll auch eine bereits geöffnete Sitzung beendet werden, muss dies zusätzlich im betreffenden System erfolgen.
Vergessene Karte: Anmeldung mit Passwort bleibt möglich
Auf dem Windows-Anmeldebildschirm können Sie sich wie gewohnt mit Konto und Passwort anmelden. Der Zugang hängt weiterhin von den Regeln und der Verfügbarkeit dieses Kontos ab.
Ein neues Passwort in Windows und ChipLogin
Die Person ändert ihr Passwort über das übliche Windows-Verfahren. Damit ändert sich das Kontopasswort. ChipLogin benötigt für die nächste Anmeldung denselben aktuellen Wert: Lehnt Windows das bisher gespeicherte Passwort ab, fordert die zur Eingabe eines gültigen Passworts auf.
Nach erfolgreicher Anmeldung mit dem aktuellen Passwort fordert die Komponente die Aktualisierung des gespeicherten Werts in ChipLogin an. Künftige Kartenanmeldungen können dann das neue Passwort verwenden. Die Änderung des Kontopassworts und die Aktualisierung seiner Kopie in ChipLogin sind zwei aufeinanderfolgende Schritte. Das Zurücksetzen eines vergessenen Passworts ist ein separater Verwaltungsvorgang.
Ereignisse nachvollziehen und Historie prüfen
Das Audit-Protokoll zeigt Zeitpunkt, Ereignistyp, Computer, zugehörige Identität und Ergebnis. Bei einer Ablehnung lässt sich auch der Grund ermitteln, etwa eine unbekannte Karte oder eine gesperrte Identität.
Das serverseitige Ereignis auth.login bestätigt die Prüfung und die Freigabe der Anmeldedaten. Ob das Konto anschließend akzeptiert wurde, ist in den Windows-Protokollen zu prüfen.
Audit-Einträge bilden eine Kette von Prüfwerten. Änderungen am Inhalt oder an der Reihenfolge werden bei der Prüfung dieser Kette erkennbar. Die Prüfwerte werden zusätzlich an einen Cloud-Dienst gesendet, der als unabhängige Referenz für den Abgleich der lokalen Historie dient. Er erhält Prüfwerte, nicht den Inhalt der Audit-Einträge.
Ereignis: auth.login
Identität: Person A
Station: STATION-A
Ergebnis: Denied
Grund: identity_disabled
Die Prüfung wurde abgelehnt, weil die Identität deaktiviert ist. Das Beispiel erläutert den Protokollaufbau; es handelt sich nicht um ein echtes Kundenereignis.