Implementando Logon por Smart Card Usando Certificados da ICP-Brasil

Transcrição

1 Implementando Logon por Smart Card Usando Certificados da ICP-Brasil Fernando Cima Security Center of Excellence Microsoft Corporation Resumo O uso do sistema operacional Windows com Active Directory permite que usuários possam se logar em estações e servidores usando certificados digitais com chaves privadas armazenadas em tokens e smart cards. Este guia descreve como certificados emitidos pela ICP-Brasil podem ser utilizados para autenticar usuários em redes com Active Directory, usando smart cards com estes certificados (A2 a A4) para realizar o logon. V1.1 Documento revisado em 31/03/2007

2 Índice Introdução... 1 Requisitos... 2 Implementando a Solução Instalação dos Certificados das Autoridades Certificadoras da ICP-Brasil... 5 Verificando a Instalação dos Certificados Instalação da Autoridade Certificadora Microsoft... 7 Instalando uma Autoridade Certificadora Microsoft em Modo Enterprise... 7 Verificando a Emissão de Certificados para Controladores de Domínio Definição do Sufixo UPN do Usuário Definindo um Novo Sufixo UPN Para a Floresta Configurando o Sufixo UPN de um Usuário Emissão do Certificado do Usuário Extensão do Prazo de Validade das LCRs para Logon Instalação do Driver da Leitora e do CSP do Cartão Logon do Usuário Resolvendo Problemas... 17

3 Introdução A Medida Provisória , de 24 de Agosto de , instituiu a Infra-Estrutura de Chaves Públicas Brasileira ICP-Brasil. Ela é uma infra-estrutura de chaves públicas (PKI) oficial do país, que assegura fé pública aos documentos e quaisquer outras informações assinadas digitalmente com os seus certificados. A ICP-Brasil usa o modelo de raiz única, com uma única hierarquia encabeçada por uma Autoridade Certificadora Raiz (AC-RAIZ), que certifica as demais Autoridades Certificadoras. A AC-RAIZ é mantida pelo Instituto Nacional de Tecnologia da Informação ITI, tendo suas políticas e normas estabelecidas por um Comitê Gestor. Os tipos de certificados emitidos pelas Autoridades Certificadoras pertencentes a hierarquia da ICP- Brasil são definidos pelas Resoluções do Comitê Gestor da ICP-Brasil, e podem ser de Assinatura (tipos A1 a A4, dependendo do grau de confiança sobre o certificado) ou de Sigilo (tipos S1 a S4, também de acordo com o grau de confiança atribuído o certificado), dependendo do seu uso pretendido. Além da assinatura digital de informações, os certificados de Assinatura da ICP-Brasil podem ser utilizados também para a identificação do sujeito em aplicações e sistemas, e caso estejam armazenados em cartões inteligentes (smart cards) podem ser utilizados para realizar a autenticação de usuários em ambientes de rede Microsoft Windows com o serviço de diretório Active Directory. Este é um recurso nativo dos sistemas operacionais Microsoft Windows 2000 e superiores, e que pode ser habilitado desde que a estrutura do Active Directory e os certificados digitais atendam a determinados requisitos. Este documento descreve em detalhes quais são estes requisitos, e fornece um roteiro passo-a-passo das configurações necessárias para que este recurso possa ser utilizado. Nota Do ponto de vista do sistema operacional Windows, não existe diferença em se utilizar smart cards ou tokens USB para armazenar a chave privada e autenticar o usuário durante o logon. A não ser quando explicitamente mencionado, todas as referências a smart card neste documento são igualmente aplicáveis a tokens USB. 1 A MP 2200/2001 está disponível no endereço Implementando Smart Card Logon Usando Certificados da ICP-Brasil 1

4 Requisitos O recurso de logon na rede usando smart cards está disponível no sistema operacional Microsoft Windows desde o lançamento do sistema Windows 2000, e pode ser utilizado usando qualquer tipo de autoridade certificadora, leitora ou cartão. Vários requisitos no entanto devem ser atendidos antes que um usuário possa inserir um cartão e fazer um logon no seu computador. Sistema Operacional O logon por smart card requer o sistema operacional Windows 2000, Window XP, Windows Server 2003 ou Windows Vista. Ele não é suportado para sistemas Windows 9x ou Windows NT. Esta é uma funcionalidade nativa do sistema operacional, e nenhum software adicional precisa ser instalado para implementar o suporte a logon por smart cards. Uso do Active Directory O logon por smart card requer o uso do serviço de diretório Active Directory. Não existe nenhum requisito quanto a versão dos controladores de domínio (Windows 2000 ou Windows 2003) nem ao modo de operação do Active Directory (nativo ou misto). Smart Cards Em princípio não faz diferença para o Windows o modelo de smart card e de leitora de cartão utilizado. É necessário no entanto que esteja instalado no computador onde será feito o logon o Cryptographic Service Provider (CSP) apropriado para acesso ao cartão, e o driver de dispositivo apropriado para a leitora de cartão utilizada. Certificado do Usuário O certificado utilizado pelo usuário para fazer o logon do usuário deve possuir as seguintes características: Tanto o computador onde é feito o logon quanto o controlador de domínio devem confiar na Autoridade Certificadora que emitiu o certificado. Além disso, o certificado da Autoridade Certificadora emissora deve estar armazenado dentro da área de armazenamento NTAuth do Active Directory. O certificado deve possui uma extensão LCR Distribution Point (CDP), e populada com URLs onde o sistema pode encontrar uma lista de certificados revogados (LCR) válida. O logon por smart card sempre trabalha com checagem de revogação ligada. A extensão Key Usage deve conter o valor Digital Signature. A extensão Enhanced Key Usage (EKU) deve conter os valores Client Authentication e Smart Card Logon. O valor Client Authentication é padrão nos certificados de autenticação de usuário, enquanto o valor Smart Card Logon foi especificado pela Microsoft e e é identificado pelo OID A extensão Subject Alternative Name deve conter o UPN (User Principal Name) do usuário, especificado como um valor do tipo UPN. O tipo UPN foi definido pela Microsoft e é identificado pelo OID Implementando Smart Card Logon Usando Certificados da ICP-Brasil 2

5 Os certificados de autenticação (A1 a A4) da ICP-Brasil normalmente não contém o valor Smart Card Logon dentro da extensão EKU, nem o UPN do usuário dentro da extensão Subject Alternative Name. Para usar o serviço de logon com smart cards a organização solicitar à sua Autoridade Certificadora (AC) que inclua estes dois valores dentro dos certificados emitidos. Várias ACs integrantes da ICP- Brasil fornecem certificados especiais para uso com logon por Smart Cards. O que é UPN? Em um serviço de diretório Active Directory, cada usuário possui um identificador único para toda a floresta chamado User Principal Name ou UPN. O UPN é escrito no formato username@sufixo, onde username é o nome de logon da conta do usuário, e o sufixo é um nome no formato DNS definido pelo administrador do Active Directory. Por exemplo, o UPN do usuário jsilva do domínio CONTOSO pode ser jsilva@contoso.com.br. Este valor pode ser utilizado no lugar do nome do usuário para fazer o logon do usuário ao invés de entrar com o usuário, senha e domínio após pressionar CTRL-ALT-DEL, o usuário pode digitar o UPN e a senha e fazer normalmente o logon. O sufixo utilizado nos UPNs dos usuários por default é o nome do domínio raiz do Active Directory. O administrador do Active Directory pode definir outros sufixos que podem ser utilizados nos UPNs dos usuários. As instruções para permitir outros sufixos ser usado no UPN dos usuários estão disponíveis no site Web da Microsoft 2. Certificado de Controlador de Domínio Cada controlador de domínio deve também possuir um certificado digital específico para permitir o logon por smart card. Este certificado deve obedecer o seguinte formato: O certificado deve possui uma extensão LCR Distribution Point (CDP), e populada com URLs onde o sistema pode encontrar uma lista de certificados revogados (LCR) válida. O logon por smart card sempre trabalha com checagem de revogação ligada. A extensão Key Usage deve conter os valores Digital Signature e Key Encipherment. A extensão Enhanced Key Usage (EKU) deve conter os valores Client Authentication e Server Authentication. O atributo Subject do certificado deve conter o nome distinto (Distinguised Name) do controlador de domínio dentro do Active Directory. Por exemplo, CN=servidor1.contoso.com.br OU=Domain Controllers DC=contoso DC=com DC=br A extensão Subject Alternative Name deve conter o identificador único de controlador de domínio (GUID) dentro do Active Directory, e o nome DNS do servidor. O tipo GUID de controlador de domínio foi definido pela Microsoft e é identificado pelo OID O certificado digital e a chave privada devem estar instalado no sistema operacional, não podendo estar armazenado em um smart card por exemplo. 2 Implementando Smart Card Logon Usando Certificados da ICP-Brasil 3

6 Além disso, tanto o computador onde é feito o logon quanto o controlador de domínio devem confiar na Autoridade Certificadora que emitiu o certificado. Emitir e renovar estes certificados para todos os controladores de domínio usando uma autoridade certificadora externa pode ser um incrível desafio de logística e um custo administrativo significativo. A alternativa recomendada é que seja instalado em um servidor Windows 2000 ou Windows 2003 uma Autoridade Certificadora (AC) Microsoft no modo Enterprise. Ao ser instalada, uma AC Microsoft Enterprise irá automaticamente emitir certificados digitais para todos os controladores de domínio da floresta, e também cuidar da renovação destes certificados. A AC irá também automaticamente ser confiada por todas as máquinas que fazem parte do Active Directory. Em resumo, a simples instalação de uma Autoridade Certificadora Microsoft em modo Enterprise resolve por si só o problema dos certificados para controladores de domínio, de forma totalmente transparente para os administradores do Active Directory. Por isto neste guia a solução recomendada para a implementação de logon por smart card com certificados ICP-Brasil inclui a instalação de uma Autoridade Certificadora Microsoft. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 4

7 Implementando a Solução Para implementar o logon por smart cards usando certificados emitidos pela ICP-Brasil os seguintes passos deve ser feitos: 1. Instalação do certificado Raiz da ICP-Brasil e dos certificados das autoridades certificadoras que emitiram os certificados usados para logon. 2. Instalação de uma Autoridade Certificadora Microsoft em modo Enterprise para emissão dos certificados para os controladores de domínio. 3. Definição do Sufixo UPN do usuário. 4. Emissão do certificado digital para o usuário. 5. Configuração da extensão do prazo de validade das LCRs para logon 6. Instalação do driver da leitora de smart card e do CSP para o cartão sendo utilizado 7. Logon do usuário. 1. Instalação dos Certificados das Autoridades Certificadoras da ICP-Brasil Para que os certificados digitais emitidos pela ICP-Brasil sejam aceitos para logon por smart card (e por outras aplicações), é necessário que todos os computadores que utilizarão o serviço tenha instalado o certificado Raiz da ICP-Brasil. Além disso, pode ser necessário que os certificados da Autoridade Certificadora que emitiu o certificado também tenha que ser previamente instalado em todos os computadores. Caso esta Autoridade Certificadora não esteja diretamente subordinada à Raiz do ICP-Brasil, o certificado de todas as Autoridades Certificadoras que estejam no meio da cadeia também devem ser instalados. Esta instalação pode ser feita automaticamente usando o recurso de Enterprise Store do Active Directory. O Enterprise Store é uma área especial do Active Directory para armazenamento de certificados de autoridades certificadoras, onde todos os certificados publicados nesta área são automaticamente instalados em todos os computadores que façam parte do AD. Para incluir o certificado Raiz da ICP-Brasil no Enterprise Store, siga estes passos: 1. Obtenha o certificado Raiz da ICP-Brasil a partir da URL 2. Logado em uma máquina Windows 2003 com uma conta que seja parte do grupo Enterprise Admins do Active Directory, execute o seguinte comando: certutil dspublish f certificadoacraiz.cer RootCA Para incluir o certificado da autoridade certificadora que emite os certificados para os usuários, estes passos devem ser seguidos: 1. Obtenha o certificado da autoridade certificadora utilizada. Este certificado pode ser obtido na página do Institudo Nacional de Tecnologia da Informação (ITI), em Implementando Smart Card Logon Usando Certificados da ICP-Brasil 5

8 2. Logado em uma máquina Windows 2003 com uma conta que seja parte do grupo Enterprise Admins do Active Directory, execute o seguinte comando: certutil dspublish f certificado-ca-emissora.cer SubCA 3. Para autorizar o uso de certificados emitidos por esta autoridade certificadora para logon por smart cards, o certificado desta autoridade certificadora deve ser incluído também dentro da área NTAuth do Active Directory. certutil dspublish f certificado-ca-emissora.cer NTAuthCA Os certificados publicados no Enterprise Store do Active Directory serão automaticamente replicados para todos os controladores de domínio da floresta do Active Directory, e instalados nos computadores que são membros dos domínios junto com a política de grupo. Esta instalação é feita automaticamente quando o computador é iniciado, ou por default a cada 8 horas. A instalação pode ser também forçada pelo administrador do computador, utilizando o comando secedit (Windows 2000) ou gpupdate (Windows XP ou Windows 2003). Verificando a Instalação dos Certificados Para verificar se a instalação do certificado Raiz foi feita, inicie o Internet Explorer no computador e selecione no menu Ferramentas a opção Opções da Internet. Selecione a guia Conteúdo e clique no botão Certificados. A tela dos certificados instalados no computador será mostrado. Selecione a guia Autoridades Certificadoras Raiz Confiadas, e verifique se o certificado Raiz da ICP-Brasil está instalado. Figura 1 - Verificando a Instalação do Certificado Raiz da ICP-Brasil Na mesma tela, selecione a guia Autoridades Certificadoras Intermediárias, verifique se o certificado da autoridade certificadora da ICP-Brasil que emite os certificados está instalado. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 6

9 2. Instalação da Autoridade Certificadora Microsoft A melhor forma de emitir e gerenciar os certificados digitais dos controladores de domínio, necessários para o funcionamento do logon por smart card, é a instalação de uma Autoridade Certificadora Microsoft em modo Enterprise. Este serviço pode ser instalado em qualquer servidor Windows 2000 ou Windows 2003 que seja parte de um domínio do Active Directory. Instalando uma Autoridade Certificadora Microsoft em Modo Enterprise Nota: As instruções abaixo foram feitas para o sistema operacional Windows 2003, mas pode ser também utilizado um Windows 2003 para realizar o papel de emissão dos certificados de controlador de domínio. Logado no computador com uma conta que seja parte do grupo Enterprise Admins do Active Directory, e administrador local do servidor, vá para o Painel de Controle e selecione a opção Add/Remove Programs. Selecione a opção Add/Remove Windows Components, e em seguida Certificate Services. Clique OK no aviso que será mostrado que o servidor não poderá ser renomeado. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 7

10 Clique em Next para continuar. Na tela seguinte, selecione a opção Enterprise Root CA. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 8

11 Clique em Next para continuar. Digite o nome da autoridade certificadora, e defina a validade do certificado. Clique em Next para continuar. Confirme o caminho usado pelo banco de dados e log da autoridade certificadora, e clique em Next para iniciar a instalação. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 9

12 A instalação deverá prosseguir normalmente. Ao final da instalação clique em Finish para concluir o processo. Verificando a Emissão de Certificados para Controladores de Domínio Em um controlador de domínio, digite o comando mmc.exe para abrir a tela de gerência do Windows. Adicione em seguida o 3. Definição do Sufixo UPN do Usuário O Active Directory usa o campo User Principal Name (UPN) presente certificado para encontrar qual a conta no AD que corresponde ao usuário. Por este motivo é essencial que o certificado contenha exatamente o mesmo UPN que está definido na sua conta no Active Directory. Por default, o UPN de um usuário é formado pelo nome de usuário, seguido e o nome do domínio raiz da floresta do Active Directory. Algumas empresas podem no entanto preferir ter um outro sufixo nos seus certificados, e para isso necessitam alterar o sufixo UPN do usuário no Active Directory. Definindo um Novo Sufixo UPN Para a Floresta 3 No nosso exemplo abaixo, o nome da floresta é contoso.int, mas se deseja que o UPN tenha o sufixo contoso.com para que os UPNs sejam iguais ao endereço de do usuário. Para definir um novo sufixo devem ser feitos os seguintes passos: 3 Este procedimento está também documentado no artigo Implementando Smart Card Logon Usando Certificados da ICP-Brasil 10

13 1. Logado com um usuário que tenha permissão de Enterprise Admin, abra a ferramenta Active Directory Domains and Trusts. 2. Clique com o botão direito do mouse sobre o item Active Directory Domains and Trusts, e selecione a opção Properties. Figura 2 - Editando as Propriedades do Active Directory 3. Digite o sufixo de UPN desejado (contoso.com neste caso), e clique em Add. Figura 3 - Definindo um Novo Sufixo de UPN Válido Para o Active Directory Clique em OK para fechar a tela de sufixos de UPN. Configurando o Sufixo UPN de um Usuário Para configurar o UPN de um usuário com o sufixo desejado: 1. Logado com um usuário que tenha permissão para administrar a conta do usuário, abra a ferramenta Active Directory Users and Computers. 2. Faça um duplo-clique sobre a conta de usuário desejado. Ao aparecer a tela de propriedades, selecione a guia Account. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 11

14 Figura 4 - Selecionando o Novo Sufixo de UPN 3. Ao lado do nome de logo do usuário, selecione o sufixo desejado (@contoso.com neste caso). Clique em seguida em OK para confirmar a mudança. Neste exemplo, o UPN deste usuário passou a ser fcima@contoso.com, e é esta informação que deve constar no certificado emitido pela ICP-Brasil para logon. 4. Emissão do Certificado do Usuário A emissão do certificado digital do usuário deve ser feita por uma Autoridade Certificadora subordinada a hierarquia da ICP-Brasil, através de uma Autoridade Registradora credenciada. O certificado deve ser do tipo A2, A3 ou A4, e deve ter sua chave privada armazenada em um dispositivo de hardware como um token ou um smart card. Para que o logon na rede seja possível, se assegure que o certificado emitido atende aos seguintes requisitos: 1. O atributo Key Usage (KU) deve conter o valor Digital Signature. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 12

15 Figura 5 - Key Usage Contendo as Informações Necessárias 2. A extensão Enhanced Key Usage (EKU) deve ter os valores Smart Card Logon ( ) e Client Authentication ( ). Figura 6 - Enhanced Key Usage Contendo as Informações Necessárias 3. Na extensão Subject Alternative Name, deve ser colocado User Principal Name (UPN) do usuário conforme definido no Active Directory: Implementando Smart Card Logon Usando Certificados da ICP-Brasil 13

16 Figura 7 - Subject Alternative Name Contendo UPN do Usuário 5. Extensão do Prazo de Validade das LCRs para Logon O logon usando smart cards exige que uma Lista de Certificados Revogados (LCR) válida esteja disponível para verificar a validade do certificado utilizado. Durante o processo de logon o controlador de domínio do Active Directory irá a LCR mais atual de todas as autoridades certificadoras da cadeia de ACs do certificado do usuário, e fazer a verificação de todos os certificados até o certificado raiz. O local onde a LCR mais atualizada pode ser obtida é registada em um atributo do certificado chamado LCR Distribution Point (CDP). Por exemplo, em todos os certificados emitidos pela Autoridade Certificadora Raiz da ICP-Brasil, o CDP contém a URL para obtenção da LCR mais atualizada. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 14

17 Figura 8 Ponto de Distribuição da LCR Ao obter a lista de certificados revogados mais atualizada, o controlador de domínio irá mantê-la em cache até que a LCR expire (a Autoridade Certificadora Raiz emite CRLs com 30 dias de validade, as Autoridades Certificadoras subordinadas utilizam prazos menores, algumas de poucas horas). Caso o controlador de domínio não consiga obter uma LCR válida, o logon do usuário será negado. Para diminuir os problemas que possam ser causados por uma indisponibilidade temporária de uma LCR, devido a um link indisponível ou um problema qualquer na Internet, o Windows permite estender por algumas horas o prazo de validade da LCR anterior caso uma nova LCR não possa ser obtida. Para isso o seguinte valor de registry deve ser configurado em todos os Controladores de Domínio: HKEY_Local_Machine\System\CurrentControlSet\Services\KDC\CRLValidityExtensionPeriod Tipo: REG_DWORD Valor: Número de horas de extensão do prazo de validade da LCR. Uma configuração comum é 0x3 (3 horas) Este parâmetro estende a validade das LCR somente para o serviço de logon com smart cards, e não irá afetar nenhum outro serviço existente no servidor. O parâmetro só é suportado por Controladores de Domínio rodando o Windows Server Instalação do Driver da Leitora e do CSP do Cartão É necessário que o driver da leitora de smart card e o cryptographic service provider (CSP) do cartão utilizado estejam instalados na estação onde será feito o logon. O driver é necessário para que o Windows possa interagir com a leitora de cartão, e deverá ser fornecido pelo fabricante da leitora. O CSP é necessário para a interação das rotinas de criptografia do Windows com o cartão, e deverá ser fornecido pelo fabricante do cartão. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 15

18 Nota: No caso de tokens USB, onde as funcionalidades de leitora e cartão estão fundidos em um único dispositivo, normalmente driver e CSP são instalados em um único pacote. Verifique na documentação destes componentes a melhor forma de fazer a instalação em sua rede. Alguns fabricantes suportam a instalação utilizando group policies do Active Directory, e a maioria suporta a instalação utilizando softwares de distribuição como o SMS da Microsoft. 7. Logon do Usuário Para fazer o logon interativo usando o smart card, insira o cartão contendo o certificado emitido pela ICP-Brasil na leitora. Isto deverá iniciar a seqüência de logon do Windows, como se você tivesse pressionado CTRL-ALT-DEL. Ao ser perguntado, digite em seguida o PIN do cartão. O sistema deverá então fazer o logon e a estação terá o seu uso liberado. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 16

19 Resolvendo Problemas Os problemas mais comuns na utilização de logon por smart card são devido ao formato incorreto do certificado, ou ao controlador de domínio não conseguindo obter uma Lista de Certificados Revogados válida. Abaixo está um pequeno roteiro que pode ser utilizado para diagnosticar a causa do problema: 1. Tente primeiro fazer o logon sem utilizar o smart card, digitando na tela de logon o UPN do usuário e a sua senha. Caso você ainda assim não consiga fazer o logon, o problema não está relacionado com o smart card e sim com o próprio Active Directory. Verifique se o UPN foi definido corretamente, se existe um Global Catalog disponível na rede, se a configuração DNS da estação está correta e se a hora desta estação está sincronizada com os controladores de domínio. 2. Verifique se os certificados das Autoridades Certificadoras estão instalados corretamente no Active Directory. Para verificar se o certificado da Autoridade Certificadora Raiz da ICP-Brasil está mesmo instalado na Trusted Root Certification Authorities do Active Directory, digite o seguinte comando: certutil viewstore enterprise root Para verificar se os certificados das autoridades certificadoras subordinadas à hierarquia da ICP-Brasil estão instalados na Intermediate Certification Authorities do Active Directory, digite o seguinte comando: certutil viewstore enterprise ca Para verificar se estes mesmos certificados estão na store NTAuth, necessário para que os certificados sejam aceitos para logon por smart card, digite o seguinte comando: certutil viewstore enterprise ntauth 3. Verifique se a Lista de Certificados Revogados pode ser obtida pelos controladores de domínio. Para verificar se as CRLs podem ser obtidas, exporte o certificado utilizado pelo usuário para um arquivo PKCS#7 (.cer). Digite em seguida o seguinte comando: certutil url usuario.cer Implementando Smart Card Logon Usando Certificados da ICP-Brasil 17

20 Figura 9 - URL Retrieval Tool Será iniciado a URL Retrieval Tool. Clique no botão Retrieve para fazer o download da LCR das autoridades certificadoras. Caso não consiga se obter a LCR verifique se existe algum problema de conectividade com o site da Autoridade Certificadora. Em seguida faça um duplo clique sobre o nome de cada LCR. Verifique se a LCR ainda é valida, olhando a data da próxima atualização ela deve sempre estar no futuro. Figura 10 - Verificando a Data de Expiração da LCR Verifique a LCR de todas as autoridades certificadoras da cadeia de confiança do certificado. Após fazer estes testes no controlador de domínio, repita-os na estação onde está sendo feito o logon. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 18

21 4. Faça um duplo-clique sobre o arquivo com o certificado utilizado para logon pelo usuário. Verifique se os campos descritos na seção 4 deste documento estão presentes e corretamente populados. Implementando Smart Card Logon Usando Certificados da ICP-Brasil 19