SMART CARD LOGON COM TOKEN USB CONFIGURANDO UMA AUTORIDADE CERTIFICADORA

Transcrição

1 SMART CARD LOGON COM TOKEN USB A Microsoft oferece suporte nativo para smart card logon nos sistemas operacionais Windows 2000, Windows 2003, Windows XP e Windows Vista. Usuários podem optar em fazer autenticação pelo tradicional método usuário + senha ou com um smart card associado a um processo de autenticação de identidade. O logon baseado em smart card oferece segurança e fácil uso aos usuários que não precisam sofrer com as constantes operações de troca de senha. Com este método, o usuário apenas precisa memorizar o PIN do smart card ou do Token USB. CONFIGURANDO UMA AUTORIDADE CERTIFICADORA Para que seja possível fazer o logon com o Token USB Token, é necessário ter uma Autoridade Certificadora (AC) Enterprise integrada ao Active Directory, a qual irá permitir que distribua certificados aos seus usuários. Os certificados são armazenados no chip criptográfico do smart card ou do Token USB. Os processos de configuração correspondentes serão listados abaixo. 1. Como Administrador, se autentique no servidor que será utilizado para emitir os certificados. A seguir abra a console de gerenciamento da Autoridade Certificadora, a partir do ícone Certification Authority disponível em Administrative Tools dentro de Control Panel. 1

2 No console, clique em Certificate Templates para que os modelos (templates) de certificados disponíveis sejam listados do lado direito da janela. 2. No menu Action clique em New e depois no sub-menu certificates to issue. A seguinte janela de diálogo será exibida. 2

3 3. Selecione Enrollment Agent e pressione OK. Siga os passos anteriores para adicionar Smartcard User e Smartcard Logon. Ao final a janela será exibida como exibido abaixo. Em adição, certificados do tipo Enrollment Agent podem ser emitidos por diferentes Autoridades Certificadoras. O pré-requisito é que esta AC, a qual emite certificados do tipo register agent, deve ser uma AC de confiança para o domínio. Tendo um Certificado Enrollment Agent, podemos configurar um website para distribuir os certificados. 4. Se autentique como Administrador, depois clique em START RUN e digite mmc e pressione enter. 5. Click Add/remove snap-in no menu do console e depois pressione Add. 3

4 6. Na janela de diálogo Standalone snap-ins, dê um duplo clique em Certificates. Se você estiver autenticado como usuário, o certificado será carregado automáticamente. Por outro lado, se estiver autenticado como Administrador, você deve escolher My user account. 7. Feche a janela de diálogo. Dê um duplo clique em Certificate Current user, selecione Personal e depois dê um clique com o botão direito do mouse e selecione Request a new certificate em all tasks. 4

5 8. Um assistente será iniciado, clique em Next para continuar 9. Na próxima tela, selecione o template Enrollment agent e clique em Next para continuar 5

6 10. Na próxima tela, digite um nome amigável e uma breve descrição para finalizar a aplicação do Enrollment agent certificate. 6

7 O Administrador do domínio deve finalizar os passos anteriores no sentido de se tornar um distribuidor de certificado com um Enrollment agent certificate disponível antes que seus usuários possam preencher o formulário de solicitação dos certificados. Este Administrador deve ter permissão para acessar o modelo Enrollment agent certificate. Para maiores detalhes sobre smart card logon e Enrollment agent certificate, consulte a ajuda online do Windows. SOLICITANDO CERTIFICADO PARA SMART CARD Usuários podem solicitar certificados para smart card logon com o Token seguindo os seguintes passos: 1. Logar no sistema como Administrador; 2. Instalar * o software do Token em todas as estações de trabalho e não esquecer de habilitar a opção suporte a smart card logon. A seguir conecte o seu Token e aguarde que ele seja reconhecido pelo Windows; 3. Carregar o Internet Explorer e digitar a URL do servidor que irá emitir os certificados; * Você poderá baixar o software do Token a partir da área de downloads do site do fabricante 7

8 4. Uma vez no servidor selecione Request a certificate, depois clique em Next; 5. Na próxima etapa, selecione Advanced request, depois clique em Next; 6. Selecione Request a certificate for a smart card on behalf of another user using a smart card enrollment station, depois clique em Next. Caso esta seja sua primeira tentativa, o Internet Explorer irá fazer o download de dois plugins ActiveX automaticamente. 7. Selecione o modelo de certificado como Smartcard User; 8. Selecione o CSP referente ao Token USB em Cryptographic Service Provider; 9. Selecione o Enrollment agent certificate que nós aplicamos em Administrator signing certificate; 10. Informe o nome do usuário no domínio em Input Username, depois clique em Submit; 11. Uma janela solicitando o PIN do Token USB será exibida. Nela digite o PIN do seu Token, depois clique no botão Login para continuar e siga as instruções finais do site para concluir a gravação do certificado no seu Token. VISUALIZANDO CERTIFICADO VÁLIDO DE SMART CARD Quando finalizar o download do certificado, usuários podem visualizar os certificados ou solicitar um novo certificado. Após obter um certificado do tipo smart card, usuários poderão se autenticar automaticamente via Token. De forma complementar, os usuários podem bloquear a estação de trabalho ao remover o Token da porta USB. Também é possível fazer com que a sessão do usuário seja encerrada ao remover o Token. Para desbloquear a estação de trabalho ou se autenticar mais uma vez, o usuário apenas precisa conectar o Token em uma porta USB e digitar o PIN. Para que isso seja possível, faz-se necessário algumas modificações no servidor do domínio. 8

9 1. Selecione Administration Tools em Painel de Controle, dê um duplo clique em Domain Controller Security Policy. 2. Dê um duplo clique em Smart card removal behavior e uma janela de diálogo será exibida. Nela selecione a ação correspondente. 9