Guia de configuração de Smart Card do Dell Endpoint Security

Para aproveitar a autenticação de Smart Card no Ambiente de pré-inicialização do Dell Endpoint Security, devemos configurar o Active Directory para permitir a inscrição e a geração de certificados.

Um certificado do Agente de inscrição deve ser atribuído a todos os usuários que estão tentando atribuir certificados a Smart Cards para outros usuários.

Para instalar e configurar modelos, ative o modelo de certificado para o agente de inscrição e, em seguida, adicione um novo modelo de usuário de Smart Card.

Para habilitar o modelo de certificado para o agente de inscrição:

1. Abra a Autoridade de certificação no Console de gerenciamento Microsoft (MMC).
   
2. Expanda para Modelos de certificado.
3. Clique com o botão direito no painel direito e, em seguida, clique em Gerenciar.
   
4. Clique com o botão direito do mouse em Agente de inscrição e, em seguida, clique em Duplicar modelo.
   
5. Vá para a guia Geral.
6. Selecione a opção Publicar certificado no Active Directory.
7. Como opção, atualize o nome de exibição do modelo e o nome do modelo.
   

Para adicionar um modelo de usuário de Smart Card:

1. No Console do modelo de certificado da autoridade de certificação, clique com o botão direito do mouse no modelo de Usuário do Smart Card e, em seguida, clique em Duplicar modelo.
   
2. Na guia Tratamento de solicitação, modifique a Finalidade para Assinatura e logon de cartão inteligente.
   
3. Aceite o prompt resultante.
   
4. Certifique-se de que a opção Permitir que a chave privada seja exportada esteja marcada.
   
5. Na guia Nome de requerente, as opções estão presentes por padrão para exigir que um endereço de e-mail definido seja usado como um método de validação alternativo. Alguns ambientes podem querer limpar essas opções para evitar problemas com usuários que podem não ter endereços de e-mail definidos pelo Active Directory.
   1. Desmarque a caixa de seleção Incluir nome de e-mail no nome de requerente.
      
   2. Limpe o nome do e-mail na seção Incluir esta informação no nome de requerente alternativo.
      
6. Na guia Requisitos de emissão , selecione a caixa Número de assinaturas autorizadas.
   1. Deixe a opção Número de assinaturas autorizadas definida como 1.
   2. Deixe o Tipo de política exigido na assinatura como Política de aplicativo.
   3. Modifique a Política de aplicativo para o Agente de solicitação de certificado.
      
7. Clique em OK para publicar este modelo.
8. Permita que ambos os modelos sejam emitidos clicando com o botão direito em Modelos de certificado no MMC da autoridade de certificação e, em seguida, clicando em Modelo de certificado a ser emitido.
   
9. Selecione os dois novos modelos de certificado que você criou.
   
10. Clique em OK.

Esta seção descreve as alterações necessárias no Dell Security Management Server para permitir a funcionalidade do Smart Card no ambiente de autenticação de pré-inicialização.

Um administrador deve importar a CA raiz e modificar a política. Clique no processo adequado para obter mais informações.

Importar a CA raiz

Como os certificados do Smart Card são assinados pela autoridade de certificação (CA) interna, neste guia, devemos nos certificar de que a CA raiz e todas as intermediárias (não mostradas neste guia) sejam importadas para a cadeia de certificados.

1. Exporte o certificado da autoridade de certificação raiz do certificado Console de gerenciamento Microsoft (MMC).
   1. Inicie o MMC.
   2. Clique em Arquivo.
   3. Clique em Adicionar/Remover snap-ins.
   4. Selecione Certificados.
   5. Clique em Add.
   6. Selecione o radial da conta de computador.
   7. Clique em Finish.
   8. Clique em OK.
      
   9. Expanda os certificados.
   10. Expanda Autoridades de certificação raiz confiáveis.
   11. Selecione Certificados.
   12. Clique com o botão direito no certificado emitido pela CA do seu domínio. Eles são sincronizados com a Política de grupo.
       
   13. Selecione Todas as tarefas e, em seguida, clique em Exportar.
   14. Exporte o certificado como DER encoded binary X.509 (.CER).
   15. Salve-o e, em seguida, anote o local, pois ele será usado em breve.
2. Importe esse certificado para os certificados confiáveis do repositório de chaves do Java.
   1. Abra um prompt de comando administrativo.
   2. Modifique o caminho para permitir que os comandos keytool sejam executados digitando Set path=%PATH%;"C:\Program Files\Dell\Java Runtime\jre1.8\bin" e, em seguida, digite Enter.
      Nota: Para o Dell Security Management Server versão 9.2 e anteriores, digite Set path=%PATH%;"C:\Program Files\Dell\Java Runtime\jre1.7\bin" e pressione Enter.
   3. Vá para o diretório conf do Security Server digitando %INSTALLDIR%\Enterprise Edition\Security Server\conf\ e pressione Enter.
      
   4. Importe o arquivo .cer que exportamos na Etapa 1 para o repositório de chaves Java (cacerts) digitando Keytool –import –alias RootCA –file C:\exportedroot.cer –keystore cacerts e pressione Enter.
      
   5. Digite a senha do arquivo cacerts.
   6. Aceite o prompt para confiar no certificado digitando Y.
      
   7. Reinicie o Security Server para concluir a importação.

Modificar política

Clique na versão do Dell Data Security Server para obter as configurações de política apropriadas. Para obter informações sobre a versão, consulte Como identificar a versão do Dell Data Security/Dell Data Protection Server.

v9.8.0 e posteriores

Para modificar a política a fim de permitir Smart Cards para o mecanismo de autenticação do PBA:

1. Abra o Console de administração do Dell Data Security.
   Nota: Para obter mais informações, consulte Como acessar o console de administração do Dell Data Security/Dell Data Protection Server.
2. Faça login como um usuário que pode modificar e confirmar a política.
3. Vá para a população na qual você deseja fazer a alteração da política. Por exemplo, selecione Populations e, em seguida, clique em Enterprise.
4. Selecione a guia Security Policies.
   
5. Selecione Pre-Boot Authentication.
6. Modifique o método de autenticação da SED de senha para Smart Card.
   Nota: Certifique-se de que uma política de unidade com criptografia automática esteja definida como On para habilitar isso para toda a empresa.
   
   
7. Salve e confirme as políticas.
   Nota: Para obter mais informações, consulte Como confirmar políticas para o Dell Data Security/Dell Data Protection Server.

v9.2.0 a 9.7.0

Para modificar a política a fim de permitir Smart Cards para o mecanismo de autenticação do PBA:

1. Abra o Console de administração do Dell Data Protection.
   Nota: Para obter mais informações, consulte Como acessar o console de administração do Dell Data Security/Dell Data Protection Server.
2. Faça login como um usuário que pode modificar e confirmar a política.
3. Vá para a população na qual você deseja fazer a alteração da política. Por exemplo, selecione Populations e, em seguida, clique em Enterprise.
4. Selecione a guia Security Policies.
   
5. Selecione Self-Encrypting Drive (SED).
6. Modifique o método de autenticação da SED de senha para Smart Card.
   Nota: Certifique-se de que uma política de unidade com criptografia automática esteja definida como On para habilitar isso para toda a empresa.
   
   
7. Salve e confirme as políticas.
   Nota: Para obter mais informações, consulte Como confirmar políticas para o Dell Data Security/Dell Data Protection Server.

v8.0.0 à 9.1.5

Para modificar a política a fim de permitir Smart Cards para o mecanismo de autenticação do PBA:

1. Modifique a política para permitir Smart Cards como o mecanismo de autenticação do PBA.
   1. Abra o console de Gerenciamento remoto.
      Nota: Para obter mais informações, consulte Como acessar o console de administração do Dell Data Security/Dell Data Protection Server.
   2. Faça login como um usuário que pode modificar e confirmar a política.
   3. Acesse Enterprise.
   4. Clique em Security Policies na parte superior.
   5. Substituir (não disponível no Virtual Edition).
   6. Modifique o menu drop-down Policy Category para Self-Encrypting Drives.
      
   7. Expanda SED Administration.
   8. Modifique o método de autenticação da SED de senha para Smart Card.
      
      Nota: Certifique-se de que Enable SED Management e Activate PBA estejam definidos como True para habilitar isso em toda a empresa.
   9. Salve essa política.
   10. Clique em Commit Policies à esquerda.
   11. Clique em Apply Changes.

Por padrão, os Smart Cards estão em branco. Cada Smart Card deve ter um certificado atribuído a ele para adicionar um certificado para autenticação. Os certificados são normalmente atribuídos a Smart Cards por meio de um aplicativo middleware. Os exemplos abaixo descrevem a importação por meio de um software preexistente Charismathics para Smart Cards de classe empresarial e VersaSec para Smart Cards baseados em verificação de identidade pessoal (PIV). O administrador deve habilitar o logon único no Windows usando Smart Cards após a atribuição do certificado. Selecione o processo adequado para obter mais informações.

Charismathics

Para utilizar os Smart Cards, precisamos ter um agente de inscrição que possa atribuir certificados ao dispositivo e um middleware que traduza as informações do certificado provenientes da Autoridade de certificação da Microsoft em algo que o cartão possa usar.

A maioria dos Smart Cards não tem tokens de segurança predefinidos. O administrador deve preparar um token de segurança em um novo Smart Card, adicionar um certificado para o agente de inscrição e, em seguida, inscrever usuários e enviar certificados. Clique no processo adequado para obter mais informações.

Preparar um token de segurança em um novo Smart Card

1. Abra o provedor de serviços de criptografia (CSP).
2. Quando inserimos um cartão sem um token ativo, obtemos as informações básicas.
   
3. Depois de criar um token de segurança, devemos nos certificar de que ele esteja definido para um perfil PKCS15.
   
4. Depois que isso for criado, teremos muitas outras opções e poderemos importar um certificado corretamente.
   

Adicionar um certificado para o agente de inscrição

1. Abra o Console de gerenciamento Microsoft (MMC).
2. Clique em Arquivo.
3. Clique em Adicionar ou Remover snap-ins.
4. Selecione Certificados.
5. Clique em Add.
6. Selecione o radial para Minha conta de usuário.
7. Clique em Finish.
8. Clique em OK.
9. Expanda Certificados — usuário atual.
10. Expanda Pessoal.
11. Expanda Certificados, se eles existirem.
12. Clique com o botão direito no painel central, selecione Todas as tarefas e, em seguida, Solicitar novo certificado.
    
13. Clique em Next.
14. Deixe a política de inscrição do Active Directory selecionada.
15. Clique em Next.
16. Selecione o Certificado do agente de inscrição criado e publicado anteriormente.
    
17. Clique em Inscrever.
18. Clique em Concluir depois de finalizado.

Inscrever usuários e enviar certificados

Agora podemos inscrever os usuários no Smart Card que geramos e enviar os certificados para o cartão usando o MMC do certificado.

Para inscrever usuários e enviar certificados:

1. Abra o Console de gerenciamento Microsoft (MMC).
2. Clique em Arquivo.
3. Clique em Adicionar ou Remover snap-ins.
4. Selecione Certificados.
5. Clique em Add.
6. Selecione o radial para Minha conta de usuário.
7. Clique em Finish.
8. Clique em OK.
9. Expanda Certificados — usuário atual.
10. Expanda Pessoal.
11. Expanda Certificados, se eles existirem.
12. Clique com o botão direito no painel central, selecione Todas as tarefas, Operações avançadas e, em seguida, Inscrever em nome de.
    
13. Clique em Next.
14. Deixe a política de inscrição do Active Directory selecionada.
15. Clique em Next.
16. Clique em Procurar.
17. Selecione o certificado do agente de inscrição que geramos anteriormente e clique em OK.
    
18. Clique em Next.
19. Selecione o radial para o Modelo de usuário do Smart Card que geramos anteriormente.
    
20. Selecione a lista suspensa Detalhes e clique em Propriedades.
    
21. Modifique o Provedor de serviços de criptografia para o aplicativo que você está utilizando. Nesse caso, é o Charismathics.
    
22. Clique em OK.
23. Clique em Avançar.
24. Clique em Procurar e, em seguida, modifique os Locais para extrair de seu domínio.
    
    
    
25. Digite o nome de usuário a ser inscrito.
26. Clique em Verificar nomes para validar o usuário.
    
27. Clique em OK.
28. Clique em Inscrever.
29. Siga os prompts.
    
    
    
    
    
30. Clique em Próximo usuário para inscrever mais usuários usando o mesmo método ou clique em Fechar para continuar.

Os Smart Cards agora podem ser utilizados para autenticação do PBA.

VersaSec

O VersaSec usa certificados gerados anteriormente para a inscrição de novos certificados. Esse processo usa modelos de certificado criados por meio do Active Directory para permitir que um funcionário gere certificados de login para outros funcionários usarem durante a sessão de login. O administrador deve concluir a inscrição do certificado, a exportação do certificado e, em seguida, atribuir um certificado a um Smart Card. Clique no processo adequado para obter mais informações.

Inscrição do certificado

Para inscrever um certificado:

1. Abra o Console de gerenciamento Microsoft (MMC) como administrador atribuindo certificados em um dispositivo associado ao domínio em que os modelos de certificado foram configurados.
   
2. Selecione a opção Adicionar ou remover snap-ins.
   
3. Selecione Certificados e , em seguida, selecione Adicionar.
   
4. Certifique-se de que a opção Minha conta de usuário esteja selecionada.
   
5. Selecione OK para carregar os snap-ins selecionados.
   
6. Expanda o painel Certificados — usuário atual, clique com o botão direito no painel direito e selecione Todas as tarefas e, em seguida, Solicitar novo certificado.
   
7. Certifique-se de que a opção Política de inscrição do Active Directory esteja selecionada e clique em Avançar.
   
8. Selecione o modelo de certificado que permite que um agente de inscrição seja criado para o usuário atual e, em seguida, selecione Inscrever. Este exemplo usa o modelo de registro do agente de inscrição criado anteriormente.
   
9. Quando a inscrição for concluída, clique em Concluir.
   
10. Com um certificado do Agente de inscrição, gere um certificado de usuário de Smart Card baseado em um modelo pré-gerado selecionando a pasta Certificados no painel esquerdo. Selecione Todas as tarefas, Operações avançadas e, em seguida, Inscrever em nome de.
    
11. Certifique-se de que a opção Política de inscrição do Active Directory esteja selecionada e clique em Avançar.
    
12. Selecione Procurar quando um certificado do agente de inscrição for solicitado.
    
13. Certifique-se de que o certificado apropriado esteja selecionado e clique em OK.
    
14. Confirme se o usuário apropriado está definido e, em seguida, clique em Avançar.
    
15. Selecione o modelo que foi criado previamente para a inscrição do usuário do Smart Card e clique em Avançar. Este exemplo utiliza um modelo chamado Inscrição de usuário do Smart Card.
    
16. Selecione Procurar para localizar o usuário apropriado.
    
17. Modifique a localização para pesquisar todo o diretório clicando em Localização.
    
18. Selecione o domínio ou a unidade organizacional apropriada e clique em OK.
    
19. Digite o usuário para o qual você deseja gerar um certificado de Smart Card e, em seguida, selecione Verificar nomes para validar o nome principal do usuário (UPN).
    
20. Confirme o usuário correto se vários usuários forem encontrados e selecione OK.
    
21. Confirme a informação do usuário e clique em OK.
    
22. Confirme a informação do usuário novamente e, em seguida, clique em Inscrever.
    
23. A inscrição é concluída rapidamente. Selecione Próximo usuário para gerar outro certificado de usuário ou selecione Fechar para concluir o processo de geração do certificado. Mais certificados podem ser criados para usuários adicionais a qualquer momento no futuro.
    

Exportação de certificado

Os certificados devem primeiro ser exportados no formato PKCS12 para serem atribuídos a Smart Cards. Os certificados devem incluir a chave privada e toda a cadeia de certificados.

Para exportar um certificado:

1. Abra o Console de gerenciamento Microsoft (MMC) como administrador atribuindo certificados em um dispositivo associado ao domínio em que os modelos de certificado estão configurados.
   
2. Selecione a opção Adicionar ou remover snap-ins.
   
3. Selecione Certificados e clique em Adicionar.
   
4. Certifique-se de que a opção Minha conta de usuário esteja selecionada.
   
5. Selecione OK para carregar os snap-ins selecionados.
   
6. Expanda o painel Certificados — usuário atual e clique com o botão direito no usuário para exportar. Selecione Todas as tarefas e, em seguida, clique em Exportar.
   
7. Selecione a opção Sim, exportar a chave privada e, em seguida, clique em Avançar.
   
8. Desmarque a opção Habilitar privacidade de certificados, selecione Exportar todas as propriedades estendidas e, em seguida, clique em Avançar.
   
9. Selecione a opção de Senha, atribua uma senha segura para o certificado e, em seguida, selecione Avançar.
   
   Nota: Não modifique a opção Criptografia.
10. Atribua um nome de arquivo e uma localização e selecione Avançar.
    
11. Confirme os detalhes e selecione Concluir para finalizar a exportação.
    

Atribuir um certificado a um Smart Card

Instale e faça download do software VersaSec e de qualquer middleware administrativo que possa ser necessário para os Smart Cards que estão sendo provisionados.

Para atribuir um certificado a um Smart Card:

1. Inicie o agente VersaSec e insira um Smart Card.
2. Vá para Card Actions - Certificates and Keys e, em seguida, selecione Import.
   
3. Procure e selecione o certificado exportado a ser vinculado ao Smart Card. Digite a senha do certificado no campo Password e selecione Import.
   
4. Digite o pin do usuário para o passcode quando solicitado e, em seguida, selecione OK.
   
5. Depois que o certificado finalizar a gravação, ele será exibido na lista.
   
6. Depois que todos os certificados de todas as contas forem gravados no Smart Card, ele poderá ser usado para fazer login no Windows ou no ambiente de autenticação de pré-inicialização da Dell.

Ativar logon único no Windows usando Smart Cards

O processo para habilitar o logon único no Windows usando Smart Cards difere dependendo da versão do Dell Encryption Enterprise que está em uso. Selecione a versão apropriada para obter mais informações. Para obter mais informações sobre a versão, consulte Como identificar a versão do Dell Encryption Enterprise ou Dell Encryption Personal.

Dell Encryption Enterprise, v8.18 e posterior

Nenhuma alteração de endpoint é necessária. Depois que a política for definida por meio do console de gerenciamento, todas as alterações de endpoint ocorrerão automaticamente.

Os próprios Smart Cards podem exigir um middleware. Consulte seu fornecedor de Smart Card para determinar se uma solução de middleware deve ser instalada em cada endpoint para permitir a autenticação no Windows.

Dell Encryption Enterprise, v8.17.2 e anterior

Por padrão, as máquinas client não terão logon único. Uma chave de registro deve ser adicionada para permitir que isso ocorra.

A chave de registro é:

[HKLM\SOFTWARE\DigitalPersona\Policies\Default\Smartcards]
"MSSmartcardSupport"=dword:1
0 or no key = Smart Card Support Off, 1 = Smart Card Support On  

1. Abra o Registry Editor
2. Expanda HKEY Local Machine.
3. Expanda Software.
4. Expanda DigitalPersona.
5. Expanda Policies.
6. Expanda Default.
7. Criar uma chave e nomeá-la Smartcards.
   
8. Criar uma DWORD e, em seguida, nomeá-la MSSmartcardSupport.
   
9. Defina Value data como 1.