Secure Disk for BitLocker und Secure Disk Enterprise unterstützten ab Version 7.0.1 virtuelle Smartcards für eine passwortlose Anmeldung der Pre-Boot Authentisierung bis zum Windows Betriebssystem. Bei einer virtuellen Smartcard wird eine physische Smartcard oder PKI Crypto-Token emuliert, indem die vertraulichen Anmeldeschlüssel über den TPM Security-Chip des Windows Clients und einer benutzerdefinierten PIN geschützt werden. Virtuelle Smartcards werden genau wie physische Smartcards oder PKI-Token für die Zwei-Faktoren Benutzerauthentifzierung genutzt und bieten durch den TPM Security-Chip ein vergleichbares Sicherheitsniveau.
Mit der neuen Funktion entfällt das Stecken der Smartcard oder des Crypto-Tokens. Da speziell moderne Notebooks und Tablets oft ohne Smartcard-Reader angeboten werden, entfallen nicht nur die Kosten für Smartcard-Reader, sondern auch für die Smartcard, die Middleware und Personalisierung der Smartcard.
Virtuelle Smartcard als Pre-Boot Authentisierung
Die Virtuelle Smartcard (VSC) in der Pre-Boot-Authentisierung ist eine von zahlreichen kryptographischen Authentisierungsmethoden von Secure Disk und steht sowohl im BitLocker Add-on Secure Disk for BitLocker, als auch in der Secure Disk Enterprise Version mit eigenständiger AES-256 Verschlüsselungsengine zur Verfügung.
In der Pre-Boot Phase wird eine eigenständige VSC verwaltet, die unabhängig von der Microsoft VSC ist. Die Anlage der VSC erfolgt sobald eine VSC Nutzung für die Windows Anmeldung erkannt wird.
In der Pre-Boot VSC wird ein eigener Schlüssel als Key-Encryption-Key (KEK) für den Full-Disk-Encryption Schlüssel erstellt, der die Festplattenschlüssel schützt. Dieser Schlüssel in der Pre-Boot VSC ist durch eine Benutzer-PIN und optional durch den TPM geschützt und wird nur auf einem einzigen Client genutzt. Aus Sicherheitsgründen wird die Pre-Boot VSC nicht an den Secure Disk Server oder andere Clients des Benutzers synchronisiert, sondern jeder Windows Client hat eine eigene VSC.
Die Eingabe der Benutzer-PIN in der Pre-Boot Authentication (PBA) oder auch POA — Power-On Authentication — genannt, wird bei jedem Systemstart benötigt, um die Festplattenverschlüsselung zu aktivieren. Anschließend wird beim Windows Boot die PIN direkt an Windows übergeben, um automatisch die Microsoft VSC zu öffenen. Dadurch erfolgt eine sofortige Zertifikatsanmeldung des Benutzers unter Windows ohne weiteres Passwort oder einer PIN-Eingabe.
Virtuelle Smartcard für die Windows Anmeldung
Die Zertifikate für die Windows Domain-Anmeldung werden nicht von Secure Disk verwaltet. Hierzu gibt es bewährte Enrollment Methoden von Microsoft oder Certificate Authority Drittherstellern. Die Übergabe der Benutzer-PIN and die Microsoft VSC erfolgt über den integrierten Secure Disk Credential Provider, der entsprechend der Microsoft Credential Provider Schnittstellen entwickelt ist.
Hinterlasse einen Kommentar
Du musst angemeldet sein, um einen Kommentar schreiben zu können.