Guide de configuration de la carte à puce Dell Endpoint Security

Pour tirer parti de l'authentification par carte à puce avec l'environnement de prédémarrage Dell Endpoint Security, vous devez configurer Active Directory pour permettre l'inscription et la génération de certificats.

Un certificat d'agent d'inscription doit être attribué à tous les utilisateurs qui tentent d'attribuer des certificats à des cartes à puce pour d'autres utilisateurs.

Pour configurer des modèles, activez le modèle de certificat pour l’agent d’inscription, puis ajoutez un nouveau modèle d’utilisateur de carte à puce.

Pour activer le modèle de certificat pour l'agent d'inscription :

1. Ouvrez l'autorité de certification Microsoft Management Console (MMC).
   
2. Développez jusqu'à Modèles de certificats.
3. Cliquez avec le bouton droit de la souris dans le volet droit, puis cliquez sur Gérer.
   
4. Cliquez avec le bouton droit de la souris sur Agent d'inscription, puis cliquez sur Dupliquer le modèle.
   
5. Cliquez sur l’onglet Général.
6. Sélectionnez l'option Publier le certificat dans Active Directory.
7. Si vous le souhaitez, mettez à jour le nom d'affichage du modèle et le nom du modèle.
   

Pour ajouter un modèle d’utilisateur de carte à puce :

1. Dans la console de modèle de certificat de l'autorité de certification, cliquez avec le bouton droit de la souris sur le modèle d'utilisateur de carte à puce, puis cliquez sur Dupliquer le modèle.
   
2. Dans l'onglet Gestion des demandes, définissez l'objectif sur Signature et connexion par carte à puce.
   
3. Acceptez l'invite qui s'affiche.
   
4. Assurez-vous que l'option Permettre l'exportation de la clé privée est cochée.
   
5. Dans l'onglet Nom d'objet, des options sont présentes par défaut pour exiger l'utilisation d'une adresse e-mail définie comme méthode de validation alternative. Il arrive que certains environnements cherchent à effacer ces options afin d'éviter les problèmes avec les utilisateurs qui ne disposent peut-être pas d'adresses e-mail définies par Active Directory.
   1. Décochez la case Inclure le nom de l'e-mail dans le nom d'objet.
      
   2. Effacez le Nom de l'e-mail dans la section Inclure ces informations dans un autre nom d'objet.
      
6. Sous l’onglet Exigences d’émission , cochez la case Ce nombre de signatures autorisées.
   1. Laissez Ce nombre de signatures autorisées sur 1.
   2. Laissez le Type de stratégie requis dans la signature en tant que Politique d’application.
   3. Définissez la Stratégie d'application sur Agent de demande de certificat.
      
7. Cliquez sur OK pour publier ce modèle.
8. Autorisez l'émission des deux modèles en cliquant avec le bouton droit de la souris sur Modèles de certificat dans la MMC de l'autorité de certification, puis en cliquant sur Modèle de certificat à émettre.
   
9. Sélectionnez les deux nouveaux modèles de certificat que vous avez créés.
   
10. Cliquez sur OK.

Cette section décrit les modifications nécessaires à apporter à Dell Security Management Server pour permettre l'utilisation de la fonctionnalité de carte à puce dans l'environnement d'authentification de prédémarrage.

L'administrateur doit importer l'autorité de certification racine et modifier la stratégie. Cliquez sur le processus approprié pour obtenir plus d’informations.

Importer l'autorité de certification racine

Les certificats de carte à puce étant signés par l’autorité de certification interne (AC) indiquée dans ce guide, vous devez vous assurer que l’autorité de certification racine et tous les intermédiaires éventuels (non indiqués dans ce guide) sont importés dans la chaîne de certificats.

1. Exportez le certificat de l'autorité de certification racine à partir de Microsoft Management Console (MMC).
   1. Lancez MMC.
   2. Cliquez sur Fichier.
   3. Cliquez sur Ajouter ou supprimer des composants logiciels enfichables.
   4. Sélectionnez Certificats.
   5. Cliquez sur Ajouter.
   6. Sélectionnez le Compte d'ordinateur radial.
   7. Cliquez sur Terminer.
   8. Cliquez sur OK.
      
   9. Développez les certificats.
   10. Développez les autorités de certification racines de confiance.
   11. Sélectionnez Certificats.
   12. Cliquez avec le bouton droit de la souris sur le certificat émis par l'autorité de certification de votre domaine. Il est synchronisé avec la stratégie de groupe.
       
   13. Sélectionnez Toutes les tâches, puis cliquez sur Exporter.
   14. Exporter le certificat en tant que DER encoded binary X.509 (.CER).
   15. Enregistrez-le et notez l’emplacement tel qu’il est utilisé sous peu.
2. Importez ce certificat dans les certificats de confiance du magasin de clés Java.
   1. Ouvrez une invite de commande d'administration.
   2. Modifiez le chemin pour permettre l’exécution des commandes keytool en saisissant Set path=%PATH%;"C:\Program Files\Dell\Java Runtime\jre1.8\bin" , puis saisissez Entrée.
      Remarque : Pour Dell Security Management Server versions 9.2 et antérieures, saisissez Set path=%PATH%;"C:\Program Files\Dell\Java Runtime\jre1.7\bin" puis appuyez sur Entrée.
   3. Accédez au répertoire conf du Security Server en saisissant %INSTALLDIR%\Enterprise Edition\Security Server\conf\ puis appuyez sur Entrée.
      
   4. Importez le fichier .cer que nous avons exporté à l’étape 1 dans le magasin de clés Java (cacerts) en saisissant Keytool –import –alias RootCA –file C:\exportedroot.cer –keystore cacerts puis appuyez sur Entrée.
      
   5. Saisissez le mot de passe du fichier cacerts.
   6. Acceptez l’invite de faire confiance au certificat en saisissant Y.
      
   7. Redémarrez Security Server pour terminer l'importation.

Modifier une stratégie

Cliquez sur la version du serveur Dell Data Security pour connaître les configurations de stratégies appropriées. Pour plus d’informations sur les versions, consultez l’article Identification de la version de Dell Data Security/Dell Data Protection Server (en anglais).

v9.8.0 et versions supérieures

Pour modifier la règle afin d’autoriser les cartes à puce pour le mécanisme d’authentification PBA :

1. Ouvrez la console d'administration Dell Data Security.
   Remarque : Pour plus d’informations, consultez l’article Comment accéder à la console d’administration du serveur Dell Data Security / Dell Data Protection (en anglais).
2. Connectez-vous en tant qu'utilisateur pouvant modifier et valider la stratégie.
3. Accédez à la population pour laquelle vous souhaitez modifier la stratégie. Par exemple, sélectionnez Populations, puis cliquez sur Enterprise.
4. Sélectionnez l'onglet Security Policies.
   
5. Sélectionnez Pre-Boot Authentication.
6. Définissez la méthode d'authentification SED du mot de passe sur Smartcard.
   Remarque : Assurez-vous qu’une stratégie de disque à autochiffrement est activée pour activer cette option pour l’ensemble de l’entreprise.
   
   
7. Enregistrez et validez les stratégies.
   Remarque : Pour plus d’informations, consultez l’article Validation des stratégies pour les serveurs Dell Data Security/Dell Data Protection (en anglais).

v9.2.0 à 9.7.0

Pour modifier la règle afin d’autoriser les cartes à puce pour le mécanisme d’authentification PBA :

1. Ouvrez la console d'administration Dell Data Protection.
   Remarque : Pour plus d’informations, consultez l’article Comment accéder à la console d’administration du serveur Dell Data Security / Dell Data Protection (en anglais).
2. Connectez-vous en tant qu'utilisateur pouvant modifier et valider la stratégie.
3. Accédez à la population pour laquelle vous souhaitez modifier la stratégie. Par exemple, sélectionnez Populations, puis cliquez sur Enterprise.
4. Sélectionnez l'onglet Security Policies.
   
5. Sélectionnez Self-Encrypting Drive (SED).
6. Définissez la méthode d'authentification SED du mot de passe sur Smartcard.
   Remarque : Assurez-vous qu’une stratégie de disque à autochiffrement est activée pour activer cette option pour l’ensemble de l’entreprise.
   
   
7. Enregistrez et validez les stratégies.
   Remarque : Pour plus d’informations, voir l’article Validation des stratégies pour les serveurs Dell Data Security/Dell Data Protection.

v8.0.0 à 9.1.5

Pour modifier la règle afin d’autoriser les cartes à puce pour le mécanisme d’authentification PBA :

1. Modifiez la règle afin d’autoriser les cartes à puce comme mécanisme d’authentification pour PBA.
   1. Ouvrez Remote Management Console.
      Remarque : Pour plus d’informations, consultez l’article Comment accéder à la console d’administration du serveur Dell Data Security / Dell Data Protection (en anglais).
   2. Connectez-vous en tant qu'utilisateur pouvant modifier et valider la stratégie.
   3. Accédez à Enterprise.
   4. Cliquez sur Security Policies en haut de la page.
   5. Override (non disponible dans Virtual Edition).
   6. Définissez la liste déroulante Policy Category sur Self-Encrypting Drives.
      
   7. Développez SED administration (Administration des disques à autochiffrement).
   8. Définissez la méthode d'authentification SED du mot de passe sur Smartcard.
      
      Remarque : Assurez-vous que les options Enable SED Management et Activate PBA sont définies sur True pour l'ensemble de l'entreprise.
   9. Enregistrez cette stratégie.
   10. Cliquez sur Commit Policies sur la gauche.
   11. Cliquez sur Apply Changes.

Par défaut, les cartes à puce sont vierges. Un certificat doit être attribué à chaque carte à puce pour pouvoir ajouter un certificat pour l'authentification. Les certificats sont généralement attribués aux cartes à puce via une application middleware. Les exemples ci-dessous décrivent le processus d'importation via un logiciel Charismathics existant pour les cartes à puce d'entreprise, et via VersaSec pour les cartes de vérification d'identité personnelle (PIV). L'administrateur doit activer l'authentification unique (SSO) pour Windows à l'aide de cartes à puce après l'attribution du certificat. Sélectionnez le processus approprié pour obtenir plus d’informations.

Charismathics

Pour utiliser les cartes à puce, vous devez disposer d'un agent d'inscription qui peut attribuer des certificats à l'appareil et d'un middleware qui convertit les informations du certificat provenant de l'autorité de certification Microsoft dans un format utilisable par la carte.

La plupart des cartes à puce n'ont pas de jetons de sécurité prédéfinis. L'administrateur doit placer un jeton de sécurité sur la nouvelle carte à puce, ajouter un certificat pour l'agent d'inscription, puis inscrire des utilisateurs et transmettre les certificats. Cliquez sur le processus approprié pour obtenir plus d’informations.

Placer un jeton de sécurité sur une nouvelle carte à puce

1. Ouvrez le fournisseur de services cryptographiques (CSP).
2. Lorsque vous insérez une carte sans jeton actif, vous obtenez des informations de base.
   
3. Une fois que vous avez créé le jeton de sécurité, vous devez vous assurer qu'il est configuré pour un profil PKCS15.
   
4. Une fois cette opération créée, de nombreuses autres options sont disponibles et vous pourrez importer un certificat correctement.
   

Ajouter un certificat pour l'agent d'inscription

1. Ouvrez Microsoft Management Console (MMC).
2. Cliquez sur Fichier.
3. Cliquez sur Ajouter ou supprimer des composants logiciels enfichables.
4. Sélectionnez Certificats.
5. Cliquez sur Ajouter.
6. Sélectionnez l'option Radial pour Mon compte utilisateur.
7. Cliquez sur Terminer.
8. Cliquez sur OK.
9. Développez Certificats - Utilisateur actuel.
10. Développez Personnel.
11. Développez Certificats si l'option est présente.
12. Cliquez avec le bouton droit de la souris dans le volet central, sélectionnez Toutes les tâches, puis Demander un nouveau certificat.
    
13. Cliquez sur Next.
14. Conservez la Stratégie d'inscription à Active Directory sélectionnée.
15. Cliquez sur Next.
16. Sélectionnez le certificat de l'agent d'inscription que vous avez créé et publié précédemment.
    
17. Cliquez sur Inscrire.
18. Cliquez sur Terminer une fois que vous avez terminé.

Inscrire des utilisateurs et transmettre des certificats

Vous pouvez maintenant inscrire des utilisateurs sur la carte à puce que vous avez générée et transmettre des certificats à la carte à l'aide du certificat MMC.

Pour inscrire des utilisateurs et transmettre des certificats :

1. Ouvrez Microsoft Management Console (MMC).
2. Cliquez sur Fichier.
3. Cliquez sur Ajouter ou supprimer des composants logiciels enfichables.
4. Sélectionnez Certificats.
5. Cliquez sur Ajouter.
6. Sélectionnez l'option Radial pour Mon compte utilisateur.
7. Cliquez sur Terminer.
8. Cliquez sur OK.
9. Développez Certificats - Utilisateur actuel.
10. Développez Personnel.
11. Développez Certificats si l'option est présente.
12. Cliquez avec le bouton droit de la souris dans le volet central, sélectionnez Toutes les tâches, Opérations avancées, puis Inscrire pour le compte de.
    
13. Cliquez sur Next.
14. Conservez la Stratégie d'inscription à Active Directory sélectionnée.
15. Cliquez sur Next.
16. Cliquez sur Parcourir
17. Sélectionnez le certificat d'agent d'inscription que vous avez généré précédemment, puis cliquez sur OK.
    
18. Cliquez sur Next.
19. Sélectionnez le radial du modèle d'utilisateur de carte à puce que vous avez généré précédemment.
    
20. Sélectionnez la liste déroulante Détails, puis cliquez sur Propriétés.
    
21. Modifiez le fournisseur de services cryptographiques en fonction de l'application que vous utilisez. Dans ce cas, il s'agit d'un Charismathics.
    
22. Cliquez sur OK.
23. Cliquez sur Suivant.
24. Cliquez sur Parcourir, puis modifiez les emplacements de votre domaine.
    
    
    
25. Saisissez le nom de l'utilisateur à inscrire.
26. Cliquez sur Vérifier les noms pour valider l'utilisateur.
    
27. Cliquez sur OK.
28. Cliquez sur Inscrire.
29. Suivez les invites.
    
    
    
    
    
30. Cliquez sur Utilisateur suivant pour inscrire d'autres utilisateurs à l'aide de la même méthode ou cliquez sur Fermer pour continuer.

Les cartes à puce peuvent désormais être utilisées pour l'authentification PBA.

VersaSec

VersaSec utilise des certificats précédemment générés pour l'inscription de nouveaux certificats. Ce processus utilise des modèles de certificat créés via Active Directory pour permettre à un collaborateur de générer des certificats de connexion que d’autres collaborateurs peuvent utiliser lors de leur session de connexion. L'administrateur doit effectuer l'inscription de certificat, l'exportation de certificat, puis attribuer un certificat à une carte à puce. Cliquez sur le processus approprié pour obtenir plus d’informations.

Inscrire un certificat

Pour inscrire un certificat :

1. Ouvrez Microsoft Management Console (MMC) en tant qu'administrateur attribuant des certificats, sur un appareil lié au domaine dans lequel des modèles de certificat ont été configurés.
   
2. Sélectionnez l'option Ajouter/Supprimer un composant logiciel enfichable.
   
3. Sélectionnez Certificats, puis cliquez sur Ajouter.
   
4. Assurez-vous que l'option Mon compte utilisateur est sélectionnée.
   
5. Sélectionnez OK pour charger les composants logiciels enfichables sélectionnés.
   
6. Développez le volet Certificats - Utilisateur actuel, cliquez avec le bouton droit de la souris dans le volet de droite, sélectionnez Toutes les tâches, puis Demander un nouveau certificat.
   
7. Assurez-vous que l'option Stratégie d'inscription à Active Directory est sélectionnée, puis cliquez sur Suivant.
   
8. Sélectionnez le modèle de certificat qui permet de créer un agent d'inscription pour l'utilisateur actuel, puis sélectionnez Inscrire. Cet exemple utilise le modèle d'enregistrement de l'agent d'inscription précédemment créé.
   
9. Une fois l'inscription terminée, cliquez sur Terminer.
   
10. Avec un certificat d'agent d'inscription, générez un certificat d'utilisateur de carte à puce basé sur un modèle prégénéré en sélectionnant le dossier Certificats dans le volet de gauche. Sélectionnez Toutes les tâches, Opérations avancées, puis Inscrire pour le compte de.
    
11. Assurez-vous que l'option Stratégie d'inscription à Active Directory est sélectionnée, puis cliquez sur Suivant.
    
12. Sélectionnez Parcourir lorsque le certificat d'agent d'inscription est demandé.
    
13. Assurez-vous que le certificat approprié est sélectionné, puis cliquez sur OK.
    
14. Vérifiez que l'utilisateur approprié est défini, puis cliquez sur Suivant.
    
15. Sélectionnez le modèle précréé pour l'inscription des utilisateurs de carte à puce, puis cliquez sur Suivant. Cet exemple s'appuie sur un modèle appelé Inscription des utilisateurs de carte à puce.
    
16. Sélectionnez Parcourir pour trouver l'utilisateur approprié.
    
17. Modifiez l'emplacement pour effectuer une recherche dans l'ensemble du répertoire en cliquant sur Emplacement.
    
18. Sélectionnez le domaine ou l'unité d'organisation approprié, puis cliquez sur OK.
    
19. Saisissez l'utilisateur pour lequel vous souhaitez générer un certificat de carte à puce, puis sélectionnez Vérifier les noms pour valider le nom principal d'utilisateur (UPN).
    
20. Si plusieurs utilisateurs sont trouvés, confirmez l'utilisateur approprié, puis sélectionnez OK.
    
21. Confirmez les informations utilisateur, puis cliquez sur OK.
    
22. Confirmez à nouveau les informations utilisateur, puis cliquez sur Inscrire.
    
23. L'inscription se termine rapidement. Sélectionnez Utilisateur suivant pour générer un autre certificat utilisateur, ou sélectionnez Fermer pour terminer le processus de génération de certificat. Vous pourrez créer d'autres certificats pour des utilisateurs supplémentaires à l'avenir.
    

Exporter un certificat

Les certificats doivent d'abord être exportés au format PKCS12 pour être attribués à des cartes à puce. Les certificats doivent inclure la clé privée et la chaîne de certificats complète.

Pour exporter un certificat :

1. Ouvrez Microsoft Management Console (MMC) en tant qu'administrateur attribuant des certificats, sur un appareil lié au domaine dans lequel des modèles de certificat sont configurés.
   
2. Sélectionnez l'option Ajouter/Supprimer un composant logiciel enfichable.
   
3. Sélectionnez Certificats, puis cliquez sur Ajouter.
   
4. Assurez-vous que l'option Mon compte utilisateur est sélectionnée.
   
5. Sélectionnez OK pour charger les composants logiciels enfichables sélectionnés.
   
6. Développez le volet Certificats - Utilisateur actuel, puis cliquez avec le bouton droit de la souris sur l'utilisateur à exporter. Sélectionnez Toutes les tâches, puis cliquez sur Exporter.
   
7. Cliquez sur Oui, exporter la clé privée, puis sur Suivant.
   
8. Désactivez l'option Activer la confidentialité du certificat, sélectionnez Exporter toutes les propriétés étendues, puis cliquez sur Suivant.
   
9. Sélectionnez l'option Mot de passe, attribuez un mot de passe sécurisé pour le certificat, puis sélectionnez Suivant.
   
   Remarque : Ne modifiez pas l'option Chiffrement.
10. Attribuez un nom de fichier et un emplacement, puis sélectionnez Suivant.
    
11. Confirmez les détails, puis sélectionnez Terminer pour terminer l'exportation.
    

Attribuer un certificat à une carte à puce

Installez et téléchargez le logiciel VersaSec et tout middleware d'administration requis pour les cartes à puce en cours de provisionnement.

Pour attribuer un certificat à une carte à puce :

1. Lancez l'agent VersaSec et insérez une carte à puce.
2. Accédez à Card Actions - Certificates and Keys, et sélectionnez Import.
   
3. Recherchez et sélectionnez le certificat exporté à lier à la carte à puce. Saisissez le mot de passe du certificat dans le champ Password, puis sélectionnez Import.
   
4. Saisissez le code PIN de l'utilisateur lorsque vous êtes invité à entrer un mot de passe, puis sélectionnez OK.
   
5. Une fois que le certificat est finalisé en cours d’écriture, il apparaît dans la liste.
   
6. Une fois que les certificats de tous les comptes sont écrits sur la carte à puce, celle-ci peut être utilisée pour se connecter à Windows ou à l'environnement d'authentification de prédémarrage Dell.

Activer l'authentification unique (SSO) pour Windows à l'aide des cartes à puce

Le processus d'activation de l'authentification unique (SSO) pour Windows à l'aide de cartes à puce varie en fonction de la version de Dell Encryption Enterprise que vous utilisez. Sélectionnez la version appropriée pour obtenir plus d’informations. Pour plus d'informations sur les versions, voir l'article Comment identifier la version de Dell Encryption Enterprise ou de Dell Encryption Personal.

Dell Encryption Enterprise, v8.18 et versions supérieures

Aucune modification du point de terminaison n'est requise. Une fois que la règle a été définie via la console de gestion, toutes les modifications apportées aux points de terminaison se produisent automatiquement.

Les cartes à puce elles-mêmes peuvent nécessiter un middleware. Consultez votre fournisseur de cartes à puce pour déterminer si une solution middleware doit être installée sur chaque point de terminaison pour permettre l'authentification dans Windows.

Dell Encryption Enterprise, v8.17.2 et versions antérieures

Par défaut, l'authentification unique (SSO) n'est pas activée sur les machines clientes. Une clé de registre doit être ajoutée pour ce faire.

Pour ajouter une clé de registre :

[HKLM\SOFTWARE\DigitalPersona\Policies\Default\Smartcards]
"MSSmartcardSupport"=dword:1
0 or no key = Smart Card Support Off, 1 = Smart Card Support On  

1. Ouvrez l'Éditeur du registre
2. Développez HKEY Local Machine.
3. Développez Logiciel.
4. Développez DigitalPersona.
5. Développez Stratégies.
6. Développez Par défaut.
7. Créez une clé, puis nommez-la Smartcards.
   
8. Créez un DWORD, puis nommez-le MSSmartcardSupport.
   
9. Définissez la valeur sur 1.