Re: Smartcard

From: Andreas Klein [MSFT] (andrekl_at_online.microsoft.com)
Date: 02/15/05 

Date: Tue, 15 Feb 2005 11:18:56 +0100

"Bruno Arnold" <BrunoArnold@discussions.microsoft.com> wrote
> Wen sich ein Benutzer am Webmail (IIS)anmeldet, der im Konto „Benutzer
muss sich
> mit einer Smartcard anmelden“ gesetzt hat, ist dies nicht möglich, es
kommt
> immer wieder die Anmeldung.
> Im Eventlog auf dem Webmail Server ist ersichtlich das der Benutzer oder
das
> Kennwort falsch ist, beides ist aber richtig.
>
Das ist "by design". Ein Webserver logon ist NIE ein smartcard logon,
sondern wird als "downlevel logon" durchgeführt.

Empfohlene Vorgehensweise:
- smartcard logon nur für lokale Anmeldung erzwingen.
- Für den Web-Fall Client Zertifikate-Mapping (AD-Mapper) verwenden oder
Basic+SSL (da nicht überall smartcard-leser vorhanden sind, i.e.
Internet-Cafe).

Hier ist auf jeden Fall eine Risiko-Abschätzung nötig. Ist der Zugriff auf
emails von "unterwegs" so wichtig, daß dies die Sicherheits-Themen
überwiegt? Oder ist die Sicherheit so vorrangig, daß dafür Komfort- und
Zugangs-Einschränkungen in Kauf genommen werden?

Interessante Links zu dem Thema:
Smart Card Logon Whitepaper:
http://www.microsoft.com/windows2000/techinfo/howitworks/security/sclogonwp.asp.
PAC:
http://www.microsoft.com/Downloads/details.aspx?displaylang=en&FamilyID=BF61D972-5086-49FB-A79C-53A5FD27A092

Und weitere Details gibt es hier:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/prodtechnol/windowsserver2003/proddocs/entserver/dsadmin_concepts_accounts.asp 

-- 
Mit freundlichen Grüßen /  Kind Regards,
Andreas Klein
Microsoft Services
Die Inhalte der in dieser Newsgroup eingestellten Nachrichten stammen von
Dritten. Microsoft kann daher für die Richtigkeit und Vollständigkeit der
Inhalte keine Haftung übernehmen.
This posting is provided "AS IS" with no warranties, and confers no rights.

Relevant Pages

  • Smartcard
    ... Wir haben einige Benutzer die sich am Client via Smartcard anmelden müssen. ... Wen sich ein Benutzer am Webmail anmeldet, ... immer wieder die Anmeldung. ...
    (microsoft.public.de.inetserver.iis)
  • Re: Custom GINA Using Our Custom CSP
    ... MSGina is not smartcard aware. ... The hardware device does generic PKI functions, ... it's still a smartcard PKI logon. ... >>> PKI keys and certs in our CSP as part of the Windows logon. ...
    (microsoft.public.platformsdk.security)
  • Re: Smartcard Logon very slow
    ... > Windows Server 2003 TS the logon process is very, ... If I logon to VPN Server via Smartcard ... > on Smartcard (eToken USB) blinks and the logon finished successfully. ...
    (microsoft.public.windows.server.security)
  • rdp smartcard logon problem
    ... using smartcard. ... We get PIN dialog but can not logon. ... retrieve the certificate from the card. ... special functons for storing/retrieving certificates on smartcards which may ...
    (microsoft.public.windowsce.platbuilder)
  • Smartcard Logon very slow
    ... Windows Server 2003 TS the logon process is very, ... If I logon to VPN Server via Smartcard, ... on Smartcard (eToken USB) blinks and the logon finished successfully. ...
    (microsoft.public.windows.server.security)