CAC de carte à puce de Réauthentification

Il y a quelques morceaux différents de logiciel en cause ici.

Premier est la carte elle-même. Pour effectuer une signature numérique, le CAC a à être dans un "vérifié" état, ce qui signifie un code PIN a été saisi après que la carte a été insérée. Au-delà, chaque touche sur la carte a un drapeau qui indique si le code PIN doit être entré à chaque fois que la touche est utilisée. Je n'ai pas vérifié, mais je pense que cela est défini pour le "e-mail" paire de clés sur un CAC. Donc, vous auriez besoin de trouver les clés qui ont ce "toujours vérifier" drapeau de définir et de configurer le chemin d'accès du programme de validation sur le service à accepter uniquement les clés. Vous pourriez être en mesure d'exiger d'un particulier OID dans l'étendue de l'utilisation de clé, ou d'en exclure certains le département de la défense des certificats intermédiaires de chemin de bâtiment (repérage comme révoquée, peut-être).

Le middleware sur la machine de parler à la carte pourrait également mettre en cache le code PIN, et de les fournir à la carte à chaque fois que la carte indique qu'il nécessite un code PIN avant de avant de terminer l'opération. Je pense que ActivClient était en train de faire cela avec sa BROCHE fonction de mise en cache jusqu'à la version 6, mais dans la version 7, cette option semble avoir disparu. Je n'ai pas trouvé quelque chose comme cela, dans Windows intégré PIV soutien. Cette "fonctionnalité" pourrait compromettre la sécurité, donc je pense qu'il a été délibérément supprimée et il n'y aurait pas de hacks de registre ou autre pour restaurer le comportement. C'est quelque chose que vous n'ont pas le contrôle, à moins que vous gérez les utilisateurs de machines; il n'y a pas d'en-tête HTTP ou TLS option que vous pouvez utiliser pour appliquer la saisie du code PIN. Mais, avec les nouveaux systèmes, il ne devrait pas être un problème.

Sur le côté serveur, une poignée de main doit se produire afin de rendre le client d'effectuer l'authentification. L'authentification du Client ne se produira pas si il y a un valide session TLS. Donc, vous auriez besoin de trouver un moyen d'invalider la session TLS (pas la session de l'application, ce qui est probablement lié à un cookie HTTP) avant de demander l'authentification, direct ou la demande d'authentification à l'autre de l'interface qui n'a pas de séances de permis.

OriginalL'auteur erickson

Vous pouvez utiliser la fonction javascript pour rendre le navigateur oublier le SSL existant cache sur quelques navigateurs:

function logout() {
    //clear browser authentication cache
    //IE specific
    try
    {
        document.execCommand("ClearAuthenticationCache", "false");
    }
    catch(e)
    {
        //do nothing
    }

    //clear for firefox or any browser that supports window.crypto API
    if (window.crypto && typeof window.crypto.logout === "function") {
        window.crypto.logout();
    }
}

Vous pouvez utiliser Javascript setTimeout méthode de l'appel ci-dessus fonction de déconnexion et, éventuellement, de les rediriger vers la déconnexion.page aspx pour forcer le client à entrer le nouveau code PIN.

Mais il utilise le JavaScript et le code est un navigateur dépendante et ne fonctionne pas pour tous les navigateurs.

OriginalL'auteur ISuckAtCoding