Повторная аутентификация смарт-карты CAC

Здесь задействовано несколько различных частей программного обеспечения.

Во-первых, это сама карта. Для выполнения цифровой подписи CAC должен находиться в «проверенном» состоянии, что означает, что PIN-код был введен после того, как карта была вставлена. Кроме того, каждый ключ на карте имеет флажок, который указывает, нужно ли вводить PIN-код каждый раз, когда используется ключ. Я не проверял, но думаю, что это установлено для пары ключей «электронная почта» в CAC. Таким образом, вам нужно будет найти, для каких ключей установлен этот флаг «всегда проверять», и настроить средство проверки пути в службе, чтобы принимать только эти ключи. Возможно, вы сможете потребовать определенный OID в расширенном использовании ключа или исключить некоторые промежуточные сертификаты Министерства обороны США из построения пути (возможно, пометив их как отозванные).

Промежуточное ПО на машине, взаимодействующей с картой, также может кэшировать ПИН-код и предоставлять его карте всякий раз, когда карта указывает, что ей требуется ПИН-код, прежде чем она завершит операцию. Я думаю, что ActivClient делал это с помощью своей функции кэширования PIN-кода до версии 6, но в версии 7 эта опция, похоже, отсутствует. Я не нашел ничего подобного во встроенной поддержке Windows PIV. Эта «функция» может поставить под угрозу безопасность, поэтому я предполагаю, что она была удалена преднамеренно, и не было никаких взломов реестра или иных способов восстановления поведения. Это то, что вы не сможете контролировать, если не будете управлять машинами пользователей; нет заголовка HTTP или параметра TLS, который можно использовать для принудительного ввода PIN-кода. Но с более новыми системами это не должно быть проблемой.

На стороне сервера должно произойти полное рукопожатие, чтобы клиент выполнил аутентификацию. Аутентификация клиента не произойдет, если есть действительный сеанс TLS. Таким образом, вам нужно найти способ аннулировать сеанс TLS (а не сеанс приложения, который, вероятно, привязан к файлу cookie HTTP) перед запросом аутентификации или направить запрос аутентификации на другой интерфейс, для которого сеансы не включены.

Существует два способа аутентификации клиента с помощью смарт-карты в Интернете: стандартный TLS/SSL или настраиваемые подключаемые модули для браузера. Я предполагаю, что вы говорите о стандартных веб-браузерах (IE/FF/Safari) и аутентификации SSL.

Для запроса PIN-кода важны две вещи:

• Сеанс SSL и кеш сеанса SSL браузера
• состояние аутентификации на карте соответствующего закрытого ключа
• способ реализации промежуточного программного обеспечения.

В конце концов, с точки зрения безопасности, именно карта знает, когда «запрашивать» ПИН-код — некоторые карты и ключи требуют ПИН-код для каждой операции с ключом, некоторые карты позволяют получить ПИН-код один раз и оставить ключи. в аутентифицированном состоянии до тех пор, пока он не будет удален из считывателя или сброшен приложением.

Если сеанс в кеше браузера не может быть повторно использован или когда соединение устанавливается, промежуточное ПО смарт-карты (PKCS#11 в Linux, модуль CryptoAPI/BaseCSP в Windows или Tokend в OSX) должно обращаться к ключам. на карте. Если состояние аутентификации на карте требует ввода PIN-кода, обратный вызов обычно инициируется браузером. Или, если промежуточное программное обеспечение знает, что ему понадобится PIN-код, оно запросит его перед обращением к карте.

Между вводом ПИН-кода и фактической повторной аутентификацией прав доступа к закрытому ключу и повторной аутентификацией сеанса SSL нет связи 1:1.

Со стандартным SSL вы зависите от того, как SSL реализован в браузерах, и не можете иметь 100% надежную «повторную аутентификацию путем ввода PIN-кода» на стороне клиента.

Если вы используете Linux, то с OpenSC (который, насколько я знаю, может использовать карты CAC) вы можете установить для «transaction_reset» в opensc.conf значение true, что приводит к сбросу карты после каждой транзакции (каждого согласования сеанса SSL) и таким образом вы можете быть уверены, что всякий раз, когда вы открываете новый сеанс SSL, пользователю придется снова вводить PIN-код. Однако это конфигурация на стороне клиента, а не функция, инициируемая сервером.

Вы можете использовать функцию javascript, чтобы браузер забыл существующий кеш SSL в нескольких браузерах:

function logout() {
    // clear browser authentication cache
    // IE specific
    try
    {
        document.execCommand("ClearAuthenticationCache", "false");
    }
    catch(e)
    {
        // do nothing
    }

    // clear for firefox or any browser that supports window.crypto API
    if (window.crypto && typeof window.crypto.logout === "function") {
        window.crypto.logout();
    }
}

Вы можете использовать метод Javascript setTimeout для вызова вышеуказанной функции выхода из системы и, возможно, перенаправить их на страницу logout.aspx, чтобы заставить клиента ввести новый PIN-код.

Но он использует JavaScript, а код зависит от браузера и работает не во всех браузерах.