Hardware-Sicherung

[Krain]

Hallo zusammen,

Ich suche eine Möglichkeit Rechner über Chipkarte oder Transponder zu schützen.

Quasi so:

- Man kommt an den Arbeitsplatz

- fährt den Rechner hoch

- AnmeldeSystem liest Karte oder Transponder

- Der User ist angemeldet

Hat jemand Vorschläge wie man das am besten realisiert?

Ich kenne mich mit Hardware selbst nicht so aus - habe aber die Aufgabe bekommen eine schöne Lösung dafür zu finden!?

danke

markus

[Crash2001]

Meinst du vielleicht sowas hier?

[Krain]

Hört sich schon gut an!

Hat jemand ne Ahnung wie aufwendig es wäre sowas selbst zu proggen?

Es handelt sich rein um Windows-Clients !

[janlutmeh]

Na ja, man könnte natürlich (abhängig von Eurer Infrastruktur und OS) auch einfach die Smartcard Anmeldung für Windows implementieren. Also PKI einrichten, Zertifikate erstellen, Smartcards mti den Zertifikaten ausstatten, Clients mit Smartcard-Lesern ausstatten und losgehts.

Ist natürlich ein klein wenig aufwendiger und für eine Domänenumgebung aber mit Boardmitteln realisierbar.

Zusätzliche Hardware wie bei jedem anderen Smartcard-System natürlich auch, ein Card-Writer, Lesegeräte für jeden Arbeitsplatz sowie natürlich Karten (Die auch in regelmässigen Abständen getauscht werden sollten).

Bei den Kartenlesern gibts natürlich auch verschiedene Lösungen. Von Cherry gibts die z. B. in die Tastatur integriert.

[Krain]

Na ja, man könnte natürlich (abhängig von Eurer Infrastruktur und OS) auch einfach die Smartcard Anmeldung für Windows implementieren. Also PKI einrichten, Zertifikate erstellen, Smartcards mti den Zertifikaten ausstatten, Clients mit Smartcard-Lesern ausstatten und losgehts.

Ist natürlich ein klein wenig aufwendiger und für eine Domänenumgebung aber mit Boardmitteln realisierbar.

Das interessiert mich! Wie stellst Du dir das geanu vor? Also:

Ich brauche einen Server, an dem die Karten erstellt werden!?

Jeder Client hat einen Cardreader.

Jeder Mitarbeiter bekommt eine Karte.

Kann dann jeder Mitarbeiter mit seiner Karte an jedem Arbeitsplatz arbeiten?

Ich hab wirklich keine Ahnung von Betriebssystemen und Sicherheit etc. Ist nicht so mein Ding. Will mich aber jetzt etwas damit beschäftigen!

gruss

markus

[dark_file]

soweit ich weiss gibt es schon vorkonfigurierte karten bei denen man nur noch den benutzer mit den zugangsdaten (passwort und benutzername) anlegen muss.

der user kennt nur noch seine PIN (4-8 stellen) und nicht mehr das passwort für den rechner (ist auf karte hinterlegt)

jeder mitarbeiter kann sich an jedem system anmelden solange das konto auf der maschine angelegt ist

gruß

d_f

ps. bei einigen programmen gibt es auch die möglichkeit mit handabdruckscannern zu arbeiten

[Krain]

Kennt vielleicht einer noch eine Möglichkeit über Transponder!?

[janlutmeh]

Das interessiert mich! Wie stellst Du dir das geanu vor? Also:

Ich brauche einen Server, an dem die Karten erstellt werden!?

Jeder Client hat einen Cardreader.

Jeder Mitarbeiter bekommt eine Karte.

Kann dann jeder Mitarbeiter mit seiner Karte an jedem Arbeitsplatz arbeiten?

Ich hab wirklich keine Ahnung von Betriebssystemen und Sicherheit etc. Ist nicht so mein Ding. Will mich aber jetzt etwas damit beschäftigen!

gruss

markus

Ist natürlich nicht mit 5 mal weiter klicken getan und lohnt sich meiner Meinung nach nur in grösseren Domänenumgebungen. Die Betriebssyteme müssen natürlich die Smartcard-Anmeldung auch unterstützen (EAP-TLS).

Z. B. W2K3 und XP-Cliens.

ann brauchst Du eine Zertifikats-Infrastruktur (z.B. ein W2K3 Memberserver) der dann auch die Zertifikate zur Useranmeldung erstellen kann.

Steuern kann man das meiste dann mit GPO´s, also so Sachen wie automatische Abmeldung wenn die Smartcard entfernt wird. Als Domänenbenutzer kann man sich dann ganz normal an jeder entsprechend konfigurierten Workstation anmelden.

Aber wie bereits erwähnt ist das natürlich nicht mal so eben aus dem Ärmel zu schütteln.

Da findet man aber auch jede Menge Infos zu im Netz, auch bei Microsoft direkt.

[Krain]

Neuester Stand der Dinge: Smartcard ist erstmal bei Seite gelegt, da nicht praktikabel laut geschäftsleitung.

Ich habe etwas neues gefunden, nämlich iButton. Nun meine Frage dazu:

Bekommt man vor dem Windows-Login schon Zugriff auf die serielle Schnittstelle, bzw kann man die Windows-Anmeldung erweitern!?