So funktioniert es · Details
Vom Vorhalten der Karte bis zur Anmeldung
Die Person hält ihre Karte vor und arbeitet weiter. In ChipLogin greifen mehrere Schritte ineinander: Karte prüfen, das richtige Konto vorbereiten und dessen Anmeldedaten sicher an das gewünschte Ziel übergeben.
Erst freigeben. Dann gegenseitig prüfen.
Bei der Registrierung vergleicht die Verwaltung die Fingerabdrücke des Stationsschlüssels. Die freigegebene Station und ihr prüfen sich danach bei jeder Verbindung gegenseitig.
Auf der Station
Fingerabdruck des Stationsschlüssels
und gibt frei
Auf dem Auth-Server
Fingerabdruck desselben Schlüssels
Die Verwaltung vergleicht und bestätigt auf der Station auch den Fingerabdruck des Auth-Servers. Die gezeigten Bildfingerabdrücke erläutern das Prinzip; sie sind keine Anwendungsansichten.
Freigegebene Station
Weist dem Server ihre Identität nach.
Betrieblicher Auth
Weist der Station seine Identität nach.
Die Station kennt ihren Server. Der Server akzeptiert freigegebene Geräte.
Kryptografische DESFire-Authentifizierung. Die öffentliche Kartennummer allein reicht nicht aus.
Station ↔ betrieblicher Auth: mit . Auth schützt gespeicherte Passwörter mit . Die Anmeldedaten werden in einem ECIES-Paket für die Windows- oder Anwendungskomponente übergeben.
Die Station führt die Prüfung durch. Windows schützt gespeicherte sensible Daten unter dem Dienstkonto SYSTEM. Für die Übergabe an die wird verwendet.
Lizenzen, Diagnose, Audit-Prüfwerte und Kartenvorbereitung. Die Cloud vermittelt keine normalen Prüfungen auf dem betrieblichen Auth-Server.
Die Karte weist den richtigen Schlüssel nach
Der Leser stellt die Verbindung zur Karte her. Ihre Kennung hilft, den zugehörigen Datensatz zu finden; das Auslesen der Nummer allein reicht jedoch nicht zur Anmeldung. Bei folgt eine kryptografische Prüfung: Die Karte muss die Kenntnis des richtigen Schlüssels nachweisen. ChipLogin prüft damit die ausgegebene Mitarbeiterkarte und ihre Zuordnung zu einer freigegebenen Identität.
Die Person steuert diesen Austausch zwischen Karte und System nicht selbst. Sie muss weder ein auswählen noch einen Code eingeben. Es bleibt ein einfacher Vorgang; die Prüfung läuft im Hintergrund. Die Karte ist das Zugangsmittel, die Windows-Anmeldedaten stammen aus dem geschützten ChipLogin-Speicher.
Local und Auth: zwei Betriebsvarianten
Im Local-Modus übernimmt ein Dienst auf dem jeweiligen Computer die Kartenprüfung und die gespeicherten Daten. Dieser Teil der Anmeldung benötigt weder Netzwerk noch Auth-Server. Kartenausgabe und Zuordnung werden an dieser Station verwaltet; es handelt sich um einen unabhängigen Arbeitsplatz mit eigenem Verzeichnis.
Im Auth-Modus wendet sich die Station an den betrieblichen Authentifizierungsserver. Dieser prüft die Karte und ordnet sie einer zentral verwalteten Identität sowie dem Konto für das angeforderte Ziel zu. Der Server läuft in Ihrer Infrastruktur und benötigt für normale Anmeldungen keine ChipLogin Cloud. Die Station braucht jedoch eine funktionierende Verbindung zum betrieblichen Auth-Server.
Der Modus wird bei der Einführung gewählt. Bei einem Auth-Ausfall wechselt eine Netzwerkstation nicht automatisch zu einer lokalen Datenbank. ist eine eigenständige Variante für einen Computer und keine automatische Rückfalllösung des zentralen Systems.
Gerätefreigabe schafft Vertrauen
Station und Auth-Server besitzen jeweils eine eigene kryptografische Identität. Beim Einbinden einer neuen Station vergleicht die Verwaltung deren Bildfingerabdruck auf dem Computer mit dem Eintrag in der Liste wartender Geräte auf dem Server. Erst dann erfolgt die Freigabe. Auf der Station wird außerdem der Serverfingerabdruck mit der Auth-Verwaltung verglichen und als vertrauenswürdig gespeichert.
Der Bildfingerabdruck entsteht aus dem öffentlichen Schlüssel und erleichtert den visuellen Vergleich beider Anzeigen. Er hilft beim erstmaligen Verbinden der Geräte. Im laufenden Betrieb ist kein Sichtvergleich mehr nötig: Station und Server weisen sich bei der Verbindung mit Schlüsseln und Zertifikaten aus.
Die Kommunikation erfolgt über verschlüsseltes HTTPS mit gegenseitiger Authentifizierung. Der Server prüft, ob die Station zu den freigegebenen Geräten gehört; die Station prüft den gespeicherten Fingerabdruck des Serverschlüssels. Eine erfolgreiche Kartenprüfung ist so mit dem Vertrauen in das konkrete Gerät und den Server verbunden.
Geschützte Speicherung und Übergabe
Auf dem Auth-Server werden Passwörter und Kartenschlüssel mit AES-256-GCM verschlüsselt gespeichert. Der Verschlüsselungsschlüssel liegt getrennt von der Datenbank; auf den Datenordner haben der Systemdienst und Serveradministratoren Zugriff. Im Local-Modus schützt Windows die gespeicherten Daten mit DPAPI im Kontext des Systemdienstes. Der Schutz ist damit an die Umgebung dieser Station gebunden.
Nach erfolgreicher Prüfung bereitet der Auth-Server Konto und Passwort vor und verschlüsselt sie für einen bestimmten Empfänger. Er verwendet ECIES mit der Kurve , zur Schlüsselableitung und AES-256-GCM. Der Stationsdienst leitet dieses Netzwerkpaket verschlüsselt weiter. Erst die Anmeldekomponente öffnet es. Im Local-Modus entschlüsselt zunächst der lokale Dienst die Daten und verpackt sie für die Übergabe erneut für den Empfänger.
Der letzte Schritt ist die Anmeldung
Die ChipLogin-Anmeldekomponente, der Credential Provider, übergibt die Daten an Windows. Windows prüft sie gemäß den Kontoregeln. Bei unterstützten Anmeldeformularen von Anwendungen übernimmt der Agent die entsprechende Aufgabe: Er empfängt die Daten und trägt sie ein. In beiden Fällen verbindet sich die bequeme Kartennutzung mit dem bereits verwendeten Konto.
Die Kartenprüfung wird im erfasst. Die Verwaltung kann Computer, Identität und Prüfergebnis nachvollziehen. Der nächste Abschnitt erläutert diese Protokolle und zeigt, wie ChipLogin bei verlorenen Karten oder geänderten Passwörtern hilft.