La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

PKI et utilisation des cartes à puce en entreprise Philippe Beraud Consultant Principal Microsoft France.

Copies: 1
PKI et utilisation des cartes à puce en entreprise Philippe Beraud Consultant Principal Microsoft France.

Présentations similaires


Présentation au sujet: "PKI et utilisation des cartes à puce en entreprise Philippe Beraud Consultant Principal Microsoft France."— Transcription de la présentation:

1 PKI et utilisation des cartes à puce en entreprise Philippe Beraud Consultant Principal Microsoft France

2 La stratégie sécurité de Microsoft Isolation et résilience Excellencedelengineering Conseils,Outils,Réponse Mise à jour avancée Authentification,Autorisation,Audit

3 Sommaire Certificats, Cartes à puce (Smart Cards) et prise en compte par la plate- forme Windows Utilisation des certificats et des cartes à puces Déploiement des cartes à puces avec Certificate Services de Windows Server 2003 Gabarits de certificat (Certificate Template) Méthodes denrôlement pour les certificats sur les cartes à puce Gestion des cartes à puce (et des certificats) Digital Identity Management System (DIMS)

4 Certificats numériques Cryptographie asymétrique (clé publique, clé privée) Ex. Signature numérique dun message Créer une signature numérique (émetteur) Vérifier une signature numérique (destinataire) Message reçu Même fonction de hashage Condensé Py75c%bn&*)9|fDe^ nmdFg$5knvMdrkve gMs Clé publique envoyée avec le message Déchiffrement asymétrique Signature numérique ? == ? Clé privée Message à envoyer Condensé Signature numérique Py75c%bn&*)9|fDe^bDFaq#x kvegMs Fonction de hashage (SHA, MD5) Chiffrement asymétrique

5 Certificats numériques Certificats X509 v3 Équivalent dune pièce didentité pour un utilisateur ou une machine De plus en plus intégrés avec les services et applications Ouverture de session par carte à puce, messagerie sécurisée, applications de signature électronique, VPN, WiFi, etc. Identité du sujet Identité de lémetteur Valeur de la clé publique du sujet Durée de validité Signature numérique de lAutorité de Certification (AC) Chemin pour la CRL Chemin pour la récupération du certificat AC Sujet: Philippe Beraud Émetteur: Issuing CA Valide à partir de: 01/05/2005 Valide jusquau: 01/05/2006 CDP:URL=http://fqdn/crl/CA.crl AIA:URL=http://fqdn/ca.crt Clé publique du sujet: RSA Politique dapplication: Client Authentication, SmartCard Logon... Numéro de série: 78F862… …… Signature: F976AD… La signature numérique garantie lintégrité des données (idem pour une CRL)

6 Outils de gestion des clés et des certificats, Audit… Points de distribution des certificats et des CRL (CDP) Autorité de Certification (AC) Certificat Numérique Services et applications sappuyant sur une PKI Liste de révocation des certificats (CRL) Composants dune PKI Chemins ldap:, file:

7 Cartes à puce (Smart Cards) Offrent une protection forte pour les clés privées des certificats Permettent de réaliser des opérations cryptographiques Offrent une réponse aux besoins d'authentification forte, de preuve d'identité renforcée Authentification à 2 facteurs Permettent de disposer dun badge dentreprise unique Rapprochement des mondes physique et numérique Offrent une commodité dusage Format facile à gérer Simplification de lexpérience utilisateur Constituent une plateforme daccueil pour dautres applications de lentreprise

8 Prise en compte des cartes à puce par Windows Installation du pilote du lecteur de carte (et outils associés) Installation du fournisseur de service de cryptographie (Cryptographic Service Provider ou CSP) de la carte Chaque type de Smart Card nécessite un CSP spécifique En standard Gemplus, Infineon, Schlumberger (Axalto) Application Crypto API Opérations cryptographiques Gestion de certificats et fournisseurs de stockage Stockage des certificats CSP Base des clés CSP

9 Authentification forte des utilisateurs Ouverture de session Windows par carte à puce Également pour les sessions Terminal Services et Remote Desktop Authentification cliente SSL/TLS par certificat Portail/Application Web sécurisé, Web SSO (fédéré) avec ADFS (Windows Server 2003 R2), Obtention de licences de publication RMS/Consultation de contenus protégés par RMS (SP1) Accès distant via VPN Authentification EAP-TLS « Configuring a VPN to Use Extensible Authentication Protocol (EAP) » Sécurisation accès wireless Authentification EAP-TLS Points communs Ouverture de session par certificat Deux modes possibles UPN/NTAuth – userPrincipalName Mappage explicite - altSecurityIdentities

10 Ouverture de session par carte à puce Extension Kerberos PKINIT « Description of PKINIT Version Implemented in Kerberos in Windows 2000 » Chiffré avec la clé publique MSGINA récupère le code PIN WINLOGON LSA KERBEROS SSP KDC Clé privée AD a.Utilise la clé publique du certificat pour déchiffrer lAS_REQ b.Vérifie le NTAuth c.Mappe lUPN d.Créer un TGT 5 7 PA_PK_AS_REQ Certificat utilisateur signé avec la clé privée PA_PK_AS_REP Contenant: TGT + PAC + clé de session + condensé NTLM du mot de passe 6 Objet utilisateur: Nom, UPN, Appartenance aux groupes, Publication Certificat Le client Kerberos déchiffre la clé de session avec la clé privée

11 Ouverture de session par carte à puce Nécessite des certificats « Smartcard » et « Domain Controller » valides Ces certificats doivent respecter les exigences suivantes Le certificat « Smartcard » doit être émis par une AC référencée dans le magasin NTAuth La chaîne de certificats doit se terminer par une racine de confiance Tous les certificats de la chaîne doivent Contenir une extension CDP pour la CRL qui doit pouvoir être obtenue et être temporellement valide Pouvoir être obtenu, en étant déjà sur la machine (cache) ou en étant atteignable via les transports réseau Aucun ne doit être révoqué

12 Ouverture de session et stratégies de groupe Imposer une ouverture de session par carte à puce Par stratégie de groupe Computer Settings\Windows Settings\Security Settings\Local Policies\Security Options Interactive Login:Smart Card Required Requiert Windows XP SP2 Ne modifie pas le mot de passe de lutilisateur Via lattribut « Smart card is required for interactive logon » du compte utilisateur Modifie le mot de passe de lutilisateur à une valeur non connue Définir le comportement lorsque la carte à puce est retirée Computer Settings\Windows Settings\Security Settings\Local Policies\Security Options Interactive Login:Smart Card Removal Behavior No Action Lock Workstation Force Logout

13 Authentification cliente SSL/TLS par certificat Authentification mutuelle La première étape consiste à valider la chaîne de certificats relative au certificat client reçu côté IIS La seconde étape consiste rendre possible lauthentification et louverture de session possible de par lexistence dun mappage Une tentative de mappage implicite est réalisée en premier Une tentative de mappage implicite est réalisée en premier En cas déchec, un mappage explicite est alors essayé en second lieu En cas déchec, un mappage explicite est alors essayé en second lieu Attribut AltSecurityIdentity de lobjet utilisateur Si un mappage implicite est utilisé, le certificat doit être chaîné à une racine de confiance et lAC émettrice doit être présente dans le magasin NTAuth Si un mappage explicite est utilisé, le certificat doit être simplement chaîné à une racine de confiance Le certificat est transmis au contrôleur de domaine où lutilisateur est recherché et un PAC (Privilege Attribute Certificate) généré

14 Ouverture de session par carte à puce Authentification SSL/TLS avec un certificat client

15 Autres utilisations des cartes à puce Tâches administratives Promotion dun contrôleur de domaine DCPromo avec /ADV Changement de lettre de créance RunAs avec /Smartcard Connexion à des ressources réseau Net Use avec /Smartcard Connexion Remote Desktop/Terminal Services Messagerie sécurisée via S/MIME Chiffrement/Signature des messages Outlook (Office), Outlook Express, Outlook Web Access (ActiveX) Signature XMLDIG Infopath (Office), Classes.Net

16 Certificate Services de Windows Server 2003 Service natif de la plateforme Windows Server 2003 permettant la mise en œuvre dune Autorité de Certification (AC) Basé sur les standards X509 v3, RFC 2459/3280, CMC, CMS, PKCS#1,7,8,10,12 Aucun coût additionnel de licence ou par certificat émis Deux types dAC Autonome (principalement) pour les AC racines et CA intermédiaires hors ligne Entreprise pour les AC émettrices sur une infrastructure AD Ressource de la forêt, disponible auprès des utilisateurs des domaines de la forêt Moyen le plus direct avec une AC dentreprise de déployer/gérer des certificats et de tirer parti des applications qui les utilisent Gabarits de certificats personnalisables, enrôlement et renouvellement automatique, support des cartes à puces, etc.

17 Gabarits de certificat Format et le contenu du certificat X509 v3 « Subject » et « Alternative Subject Name » Rôle du certificat, « Application Policies » Validité et période de renouvellement, Sélection dun ou plusieurs CSPs, (archivage de la clé privée) Méthodes denrôlement (manuel/auto) et « lssuance Policies » (quel contrôle est utilisé pour lémission du certificat) Permissions denrôlement (ACLs) Quel utilisateur a droit à quels certificats (Read, Enroll, AutoEnroll, etc.) LAC vérifie lautorisation du demandeur sur le gabarit référencé Utilisés par les ACs dentreprise de la forêt Gabarits version 1 et 2 créés par défaut lors de linstallation dune AC dentreprise Modifiables (version 2) Windows 2003 comprend 29 gabarits prédéfinis

18 Méthodes denrôlement pour les certificats sur les cartes à puce Le certificat est enrôlé pour le compte de lutilisateur Utiliser un agent denrôlement Si vous avez des clients Windows 2000 sur le réseau Si vous exigez une remise « en main propre » de la carte Si la politique de sécurité le nécessite Distribution de carte vierge et activation de lenrôlement automatique Utiliser lenrôlement automatique Si vous avez des clients Windows XP et Windows 2003 sur le réseau Si les types de CSPs sont en nombre limité Si la politique de sécurité autorise lenrôlement automatique Agent denrôlement Enrôlement automatique

19 Agent denrôlement Enrôlement pour le compte dun tiers, suivant le modèle dautorité denregistrement (Registration Authority) Processus de délivrance « analogue » aux cartes didentités et passeports Processus de délivrance « analogue » aux cartes didentités et passeports Principalement pour la demande de certificats de type « SmartCard » Disponible avec une AC dentreprise Lagent obtient un certificat sur la base du gabarit « Enrollment Agent » Application Policies: Certificate Request Agent Lagent peut enrôler nimporte quel entité du domaine Les requêtes sont relatives à des gabarits pour lesquels lagent denrôlement dispose des permissions nécessaires Au niveau des gabarits, les « lssuance Policies » doivent requérir une seule signature, celle de lagent denrôlement Application Web denrôlement (Station denrôlement)

20 Agent denrôlement - recommandations Le pouvoir de lagent denrôlement impose des précautions Contrôler précisément lémission du certificat « Enrollment Agent » et lintégrité la clé privée correspondante Configuration des permissions sur le gabarit « Enrollment Agent » Amélioration de la sécurité avec les gabarits Version 2 Exiger lapprobation du Gestionnaire de certificats Issuance Requirements - CA certificate manager approval Ajouter une politique de certificat décrivant le processus démission des certificats Retirer les permissions sur le gabarit « Enrollment Agent » après émission des certificats « Enrollment Agent » Bonnes pratiques Placer le certificat/clé privée « Enrollment Agent » sur une carte à puce Pour lémission de carte à puce, utiliser une station denrôlement à double lecteur de carte Une pour la carte de lagent denrôlement Une pour la carte à émettre

21 Enrôlement automatique Offre une gestion automatique du cycle de vie des certificats des utilisateurs et des machines Obtention initiale dun certificat Renouvellement/Remplacement dun certificat Purge et Archivage des certificats Gestion des magasins de certificats personnels Réalise des tâches de maintenance Mise à jour et en cache des gabarits Mise à jour des magasins des racines de confiance Mise à jour des certifications croisées connues (AIA) Maintient les certificats de lattribut userCertificate du compte dans AD Certificats expirés, certificats révoqués et archivage de certificat Ne sapplique quaux certificats pour lesquels le gabarit comprend la permission AutoEnroll pour le compte

22 Mise en œuvre de lenrôlement automatique Gestionnaire de certificats Créer un gabarit de certificat avec AutoEnrollment Créer un gabarit de certificat avec AutoEnrollment Activer linteraction Utilisateur (PIN) au niveau du gabarit de certificat Activer linteraction Utilisateur (PIN) au niveau du gabarit de certificat Positionner les permissions Read, Enroll et AutoEnroll sur le gabarit Positionner les permissions Read, Enroll et AutoEnroll sur le gabarit Publier le gabarit de certificat sur une AC dentreprise Publier le gabarit de certificat sur une AC dentreprise Administrateur du domaine Positionner une stratégie de groupe pour lenrôlement automatique, le renouvellement et la mise à jour des certificats Positionner une stratégie de groupe pour lenrôlement automatique, le renouvellement et la mise à jour des certificats User Configuration\Windows Settings\Security Settings\Public Key Policies Autoenrollment Settings Enroll certificates automatically Renew expired certificates, update pending certificates, and remove revoked certificates Update certificates that use certificate templates

23 Mise en œuvre de lenrôlement automatique Réside au niveau du processus userinit.exe Déclenché par Winlogon (ouverture de session interactive) pour les utilisateurs (Au démarrage pour les machines) Déclenché par lapplication des stratégies de groupe Intervalle 8 heures par défaut GPUpdate.exe pour déclenchement manuel Utilisateur Sélectionner linfo bulle denrôlement Sélectionner linfo bulle denrôlement Insérer la carte à puce dans le lecteur et saisir le code PIN Insérer la carte à puce dans le lecteur et saisir le code PIN

24 Enrôlement dun certificat « Contoso SmartId » par le biais dun agent denrôlement Création dun gabarit « Contoso Signature S/MIME » avec support de lenrôlement automatique sur carte à puce Enrôlement automatique dun certificat « Contoso Signature S/MIME »

25 Gestion des cartes à puce La gestion des cartes à puce et des certificats ne sarrête pas à lenrôlement initial Nécessité de gérer les cartes oubliées, perdues/volées ou détériorées, le blocage des cartes, etc. Situation temporaire vs. Remplacement de la carte Définition des scénarios de retour en mode « Mot de passe » Que se passe-t-il lorsque les cartes sont à cours despace de stockage ? Comment les « purger » ? Quand les « purger » ? Que doit-on conserver sur la carte ? Besoin de gérer le cycle de vie complet au-delà du seul enrôlement Personnalisation des cartes, enrôlement, délivrance, gestion des PIN, renouvellement de certificats, renouvellement des cartes Intégration de Certificate Services avec des solutions dautorités denregistrement (Registration Authority) et de gestion de cartes (Card Management Systems) Alacris idNexus, Gemplus SafeITes Card Manager, Intercede MyID Enterprise, Spyrus Signal IM, etc.

26 Digital Identity Management System (DIMS) Constats Les certificats et les clés privées sont liés à une machine et ne sont pas errants Pour un même usage (S/MIME par exemple), les utilisateurs peuvent posséder différents jeux de certificats et de clés privées sur chaque machine Options possibles Carte à puce Nombre limité de « lettres de créance » Profils itinérants Difficile à gérer et à administrer DIMS permet de délivrer les « lettres de créance » à la machine courante de lutilisateur via la réplication Active Directory et les stratégies de groupes Facilite lusage de fonctions comme lauthentification client et la messagerie sécurisée Disponible dans le SP1 de Windows Server 2003 Modèle de fichier ADM Requiert une extension de schéma « Configure credential roaming » a-4bfc-86e1-bb30265f52b4.mspx a-4bfc-86e1-bb30265f52b4.mspx

27 Utilisation des cartes à puces au sein de Microsoft « Microsoft Operation and Technology group chose to deploy Smart Cards because of the cumulative sum of its reliability, performance, cost, features, mobility benefits, and integration with the Microsoft OTG Windows network environment » Smart Card Deployment at Microsoft Une seule carte est aujourdhui nécessaire pour accéder lensemble des actifs physiques et dinformation Microsoft Le PIN initial doit être changé de façon avant toute connexion au réseau Les PINs doivent être alphanumérique et comprendre entre 5 et 8 caractères Usage imposé (obligatoire) pour tous les accès RAS et VPN

28 Résumé de la session La carte à puce est un élément clé en réponse aux besoins de sécurité interne de lentreprise Le déploiement dune infrastructure PKI avec Windows Server 2003 permet dintégrer simplement et rapidement la carte à puce Les applications existent et en tirent parti Les applications « sur mesure » peuvent en tirer parti et ainsi améliorer leur niveau de sécurité

29 Pour plus dinformations « Best Practices for Implementing a Microsoft Windows Server 2003 Public Key Infrastructure » es/security/ws3pkibp.mspx es/security/ws3pkibp.mspx « Implementing and Administering Certificate Templates in Windows Server 2003 » y/ws03crtm.mspx y/ws03crtm.mspx « Certificate Autoenrollment in Windows Server 2003 » y/autoenro.mspx y/autoenro.mspx « Troubleshooting Windows 2000 PKI Deployment and Smart Card Logon » 45d307b8cc88/smrtcrdtrbl.doc 45d307b8cc88/smrtcrdtrbl.doc « Smart Cards in the Enterprise: Lifecycle Management Systems are a Key Component »

30 Microsoft France 18, avenue du Québec Courtaboeuf Cedex


Télécharger ppt "PKI et utilisation des cartes à puce en entreprise Philippe Beraud Consultant Principal Microsoft France."

Présentations similaires


Annonces Google