Karta chipowa to karta o obwodzie zintegrowanym (Integrated Circuit Card, ICC), o rozmiarze mniej więcej karty kredytowej. Może ona służyć do przechowywania certyfikatów i kluczy prywatnych oraz do przeprowadzania operacji kryptograficznych związanych z kluczem publicznym, takich jak uwierzytelnianie, składanie podpisów cyfrowych oraz wymiana kluczy.
Używanie kart chipowych zwiększa bezpieczeństwo w następujący sposób:
-
Zapewnia odporny na modyfikacje magazyn dla kluczy prywatnych i innych form identyfikatorów osobistych.
-
Oddziela kluczowe obliczenia dotyczące zabezpieczeń, takie jak uwierzytelnianie, podpisy cyfrowe oraz wymiana kluczy od części systemu, które nie korzystają z tych danych.
-
Umożliwia przenoszenie poświadczeń i innych prywatnych informacji między komputerami (na przykład z komputera w pracy do komputera w domu lub komputera zdalnego).
Kod PIN zamiast hasła
Karta chipowa zamiast hasła wykorzystuje osobisty numer identyfikacyjny (Personal
Identification Number, PIN). Karta jest chroniona przed niewłaściwym użyciem
właśnie za pomocą numeru PIN, który jest wybierany przez właściciela. Aby
korzystać z karty inteligentnej, należy ją umieścić w niewielkim czytniku
dołączonym do komputera, a następnie wprowadzić numer PIN.
Numer PIN zapewnia lepszą ochronę niż standardowe hasło sieciowe. Hasła (lub ich pochodne, takie jak sumy kontrolne) są przesyłane w sieci i mogą zostać przechwycone. Siła hasła zależy od jego długości, sposobu jego ochrony oraz trudności jego odgadnięcia przez hakera. Ponadto karta chipowa zezwala na ograniczoną liczbę (zazwyczaj trzy do pięciu) nieudanych prób wprowadzenia numeru PIN, zanim zostanie automatycznie zablokowana. Po wyczerpaniu limitu prób wpisane prawidłowego kodu nie przyniesie efektu. Użytkownik musi skontaktować się z administratorem systemu w celu odblokowania karty.
Standardy kart chipowych
System Windows 2000 obsługuje stosowane powszechnie w sektorze karty chipowe
zgodne ze standardem Personal Computer/Smart Card (PC/SC)− oraz czytniki kart
typu Plug and Play zgodne ze specyfikacjami opracowanymi przez grupę roboczą
PC/SC. Aby karta chipowa działała w systemie Windows 2000 Server i Windows XP
Professional, musi być fizycznie i elektronicznie zgodna ze standardami ISO
7816-1, 7816-2 i 7816-3.
Czytnik kart chipowych są podłączane do standardowych interfejsów peryferyjnych w komputerach, takich jak RS-232, PC Card oraz Universal Serial Bus (USB). Niektóre czytniki RS-232 mają dodatkowy kabel, który jest podłączany do portu PS/2 w celu pobierania zasilania dla czytnika. Port ten nie służy do komunikacji.
Czytniki są standardowymi urządzenia opartymi na systemie Windows i zawierają deskryptor zabezpieczeń oraz identyfikator Plug and Play. Czytniki kart chipowych są kontrolowane za pośrednictwem standardowych sterowników systemu Windows i można je instalować i usuwać za pomocą Kreatora dodawania sprzętu.
Systemy Windows 2000 Server oraz Windows XP Professional zawierają sterowniki dla różnych dostępnych komercyjnie czytników kart chipowych typu plug and play, które posiadają certyfikaty zgodności z systemem Windows. Niektórzy producenci mogą dostarczać sterowniki dla czytników kart nie posiadających certyfikatów zgodności, które aktualnie współpracują z systemem Windows. Tym niemniej w celu zapewnienia stałego wsparcia ze strony firmy Microsoft zalecane jest nabywanie tylko czytników opatrzonych logo zgodności z systemem Windows.
Logowanie przy użyciu kart chipowych
Karty chipowe mogą służyć jedynie do logowania do kont domen, a nie do kont
lokalnych. W przypadku używania hasła w celu interaktywnego zalogowania się w
koncie domeny, system Windows 2000 Server oraz Windows XP Professional
dokonuje uwierzytelniania za pomocą protokołu Kerberos V5. W przypadku
korzystania z karty chipowej system operacyjny dokonuje uwierzytelniania przy
użyciu protokołu Kerberos wersja 5 oraz certyfikatów X.509 v3, chyba że
kontroler domeny współpracuje z systemem innym niż Windows 2000 Server.
-
Aby zainicjować typową sesję logowania, należy potwierdzić swoją tożsamość w usłudze Kerberos Key Distribution Center (KDC), podając informacje znane tylko użytkownikowi i centrum KDC. Te tajne informacje to udostępniony klucz szyfrowania wygenerowany na podstawie hasła użytkownika. Udostępniony tajny klucz jest symetryczny, tzn. ten sam klucz służy do szyfrowania i odszyfrowywania.
-
Aby umożliwić logowanie przy użyciu karty chipowej, system Windows 2000 Server wykorzystuje rozszerzenie klucza publicznego dla początkowego wniosku o uwierzytelnienie obsługiwanego przez protokół Kerberos. W odróżnieniu od szyfrowania udostępnianego tajnego klucza, szyfrowanie klucza publicznego jest asymetryczne, tzn. potrzebne są dwa klucze — jeden di szyfrowania, drugi do odszyfrowywania. Razem klucze potrzebne do wykonania obu operacji tworzą parę klucz prywatny publiczny.
Jeśli zamiast hasła używana jest karta chipowa, para klucz prywatny publiczny przechowywana na karcie chipowej zastępuje udostępniony tajny klucz wygenerowany na podstawie hasła. Klucz prywatny jest przechowywany tylko na karcie chipowej. Klucz publiczny może zostać udostępniony dowolnej osobie, z którą użytkownik chce wymienić poufne informacje.
Karty chipowe dla zastosowań administracyjnych
Administratorzy potrzebowali narzędzi i mechanizmów umożliwiających stosowanie
zmiennych poświadczeń, tak aby mogli realizować swoje zwykłe zadania, przy
użyciu standardowych uprawnień użytkownika, mając jednocześnie możliwość
wykonywania specjalistycznych zadań administracyjnych. Realizację tych
oczekiwań umożliwiają takie narzędzia, jak Net.exe czy Runas.exe. W systemie
Windows XP Professional narzędzia te obsługują poświadczenia kart chipowych.
