Jak to funguje · podrobnosti
Od přiložení karty k přihlášení
Pracovník přiloží kartu a pokračuje v práci. Uvnitř ChipLoginu na sebe navazuje několik kroků, které ověří kartu, připraví správný účet a bezpečně předají jeho přihlašovací údaje tam, kde je potřebujete.
Nejdřív schválení. Potom vzájemné ověření.
Správce při registraci porovná otisky klíče stanice. Schválená stanice a její se potom ověřují při každém spojení.
Na stanici
Otisk klíče stanice
a schválí
Na Auth serveru
Otisk stejného klíče
Správce na stanici také porovná a potvrdí otisk Auth serveru. Zde jsou modelové obrázkové otisky pro vysvětlení principu; nejde o obrazovky aplikace.
Schválená stanice
Prokáže svou identitu serveru.
Firemní Auth
Prokáže stanici svou identitu.
Stanice zná svůj server. Server přijímá schválená zařízení.
Kryptografické ověření . Veřejné číslo karty samo o sobě nestačí.
Stanice ↔ firemní Auth: s . Auth chrání uložená hesla pomocí . Přihlašovací údaje předává v balíku určeném komponentě Windows nebo aplikace.
Ověřuje stanice. Uložené citlivé údaje chrání Windows pod účtem služby SYSTEM. Předání používá ECIES.
Licence, diagnostika, a příprava karet. Cloud není prostředníkem běžného ověření na firemním Auth serveru.
Karta prokáže, že má správný klíč
Čtečka naváže spojení s kartou. Její identifikátor pomůže najít příslušný záznam, samotné přečtení čísla ale k přihlášení nestačí. U karty DESFire následuje kryptografické ověření: karta musí prokázat znalost správného klíče. ChipLogin tak ověřuje kartu, kterou firma vydala pracovníkovi, a kontroluje její vazbu na povolenou identitu.
Pracovník tento rozhovor mezi kartou a systémem neobsluhuje. Nemusí vybírat ani opisovat kód. Pro něj zůstává výsledkem jeden jednoduchý úkon; ověřování se odehraje na pozadí. Karta je prostředkem přístupu, přihlašovací údaje k Windows se získávají z chráněného úložiště ChipLoginu.
Local a Auth: dva způsoby zapojení
V režimu se o ověření karty a uložené údaje stará služba na konkrétním počítači. Tato část přihlášení nepotřebuje síť ani Auth server. Vydání karty a její přiřazení se spravuje na dané stanici; jde o samostatné pracoviště s vlastní evidencí.
V režimu Auth se stanice obrací na firemní autentizační server. Ten ověří kartu a spojí ji s centrálně spravovanou identitou a účtem pro požadovaný cíl. Server běží ve vaší infrastruktuře a při běžném přihlašování nepotřebuje ChipLogin Cloud. Stanice však potřebuje dostupné spojení s firemním Auth serverem.
Režim vybíráte při nasazení. Síťová stanice se při výpadku Auth sama nepřepíná na lokální databázi. Local je samostatná varianta pro počítač, nikoli automatická záloha centrálního systému.
Důvěra vzniká schválením zařízení
Stanice i Auth server mají vlastní kryptografickou identitu. Při zapojení nové stanice správce porovná její obrázkový otisk na počítači a v seznamu čekajících zařízení na serveru. Teprve potom stanici schválí. Zároveň na stanici ověří otisk serveru proti tomu, který zobrazuje správa Auth, a uloží jej jako důvěryhodný.
Obrázkový otisk vzniká z veřejného klíče a pomáhá člověku porovnat obě zobrazení. Je to pomůcka při prvním seznámení zařízení. V běžném provozu se už nic neporovnává očima: stanice a server se při spojení prokazují pomocí svých klíčů a certifikátů.
Komunikace probíhá přes šifrované HTTPS se vzájemným ověřením. Server kontroluje, že stanice patří mezi schválená zařízení, a stanice kontroluje uložený otisk klíče serveru. Úspěšné ověření karty se tak propojí s důvěrou ke konkrétnímu zařízení i serveru.
Chráněné uložení i předání
Na Auth serveru jsou hesla a karetní klíče uložené se šifrováním AES-256-GCM. Šifrovací klíč je oddělený od databáze a přístup k datové složce mají systémová služba a správci serveru. V lokálním režimu chrání uložené údaje Windows prostřednictvím DPAPI v kontextu systémové služby. Ochrana je tak navázaná na prostředí dané stanice.
Po úspěšném ověření Auth server připraví účet a heslo a zašifruje je pro konkrétního příjemce. Používá ECIES s křivkou , odvozením klíče a AES-256-GCM. Služba stanice tento síťový balík předává dál zašifrovaný. Rozbalí jej až přihlašovací komponenta. V režimu Local údaje nejprve rozšifruje místní služba a pro předání je znovu zabalí pro příjemce.
Poslední krok patří přihlášení
Přihlašovací komponenta ChipLoginu, označovaná jako Credential Provider, předá údaje Windows. Windows je ověří podle pravidel daného účtu. U podporovaného přihlašovacího formuláře aplikace plní odpovídající úlohu Agent, který údaje převezme a vyplní. V obou případech se propojuje pohodlné použití karty s účtem, který už pracovník používá.
Ověřovací událost se zaznamená do auditu. Správce tak může dohledat stanici, identitu a výsledek ověření. Následující část ukazuje, jak s těmito záznamy pracovat a jak ChipLogin pomáhá v běžných situacích se ztracenou kartou nebo změněným heslem.