Smartcard Authentication - Secure & Easy

Der Authentifizierungsvorgang im Detail

Die Idee hinter dem Produkt Smartcard Authentication - Secure & Easy besteht darin die bisherige Authentifizierung (also Angabe eines korrekten Passwortes) dadurch abzulösen, dass der Benutzer zum Zeitpunkt der Authentifizierung den Besitz der ihm zugeordneten Karte nachweist.

Damit nach einem Diebstahl oder bei Verlust der Karte kein unberechtigter Benutzer die Karte nutzen kann, ist diese durch eine sogenannte PIN geschützt. Hierbei handelt es sich um eine 6-stellige Zahl, mit der die Karte freigeschaltet werden muss. Mehrfache Falscheingaben der PIN führen zur Sperrung der Karte.

Der Authentifizierungsvorgang - egal an welcher Anwendung - läuft mit Smartcard Authentication - Secure & Easy wie folgt ab:

Startet der Anwender eine Anwendung, die von Smartcard Authentication - Secure & Easy unterstützt wird, so wird zuerst überprüft, ob eine Karte im Kartenleser vorhanden ist. Ist dies nicht der Fall, wird der Benutzer aufgefordert, seine Karte in den Kartenleser einzuführen.
Wurde eine Karte entdeckt, so liest Smartcard Authentication - Secure & Easy das auf der Karte vorhandene Zertifikat. Dieses Zertifikat enthält unter anderem den Anmeldenamen des Kartenbesitzers, Informationen über die Gültigkeit des Zertifikates und Angaben, an welchen Systemen mit dieser Karte eine Anmeldung erfolgen darf. Ist das Zertifikat abgelaufen oder fehlen Berechtigungen, so erhält der Anwender eine entsprechende Fehlermeldung.
Als nächster Schritt beweist nun Smartcard Authentication - Secure & Easy gegenüber der (entfernten) Anwendung, dass im Kartenleser tatsächlich die Karte des Anwenders vorhanden ist. Dies geschieht dadurch, dass mit dem auf der Karte vorhandenen privaten Schlüssel eine Entschlüsselungsoperation vorgenommen wird, von der die (entfernte) Anwendung weiss, dass sie nur innerhalb der Karte des Anwenders durchgeführt werden kann. Da der private Schlüssel der Karte nur benutzt werden kann, wenn er vorher mit der PIN der Karte freigeschaltet worden ist, ist damit bewiesen, dass der Anwender einerseit im Besitz der richtigen Smartcard ist und andererseits die zugehörige PIN kennt.
Wurde der private Schlüssel bereits anlässlich eines vorherigen Authentifizierungsvorganges mittels PIN freigeschaltet und die Freischaltung zwischenzeitlich nicht wieder aufgehoben (z.B. durch den Bildschirmschoner oder weil die Karte aus dem Kartenleser entfernt und wieder neu eingelegt wurde), so kann Smartcard Authentication - Secure & Easy ohne weitere Eingaben des Anwenders beweisen, dass die korrekte Karte im Leser vorhanden ist. Eine erneute Eingabe der PIN ist dann nicht mehr notwendig.

Smartcard Authentication - Secure & Easy ist kein Single Sign On Verfahren, denn es wird bei jedem Anmeldevorgang erneut der Besitz der Karte überprüft. Dies hat eine Reihe von Vorteilen:

Das Verfahren ist sicherer. Bei einem Single Sign On Verfahren wird nur zum Zeitpunkt der Erstanmeldung die Identität des Anwenders überprüft, während Smartcard Authentication - Secure & Easy bei jedem Anmeldevorgang erneut überprüft ob sich die Karte (immer noch) im Kartenleser befindet.
Das Verfahren ist flexibler. So kann z.B. innerhalb einer Windows-Anmeldung eines ersten Anwenders die Karte kurz getauscht werden, damit ein zweiter Anwender Vorgänge mit seinen Rechten innerhalb der Windows-Anmeldung eines anderen Anwenders durchführen kann. Bei einem Single Sign On Verfahren wäre hierfür das komplette Abmelden des ersten Anwenders mit anschliessender Neuanmeldung des zweiten Anwenders erforderlich.
Das Verfahren ist genauso bequem: Der Hauptvorteil eines Single Sign On Verfahrens besteht darin, dass der Anwender nur ein mal seine Identität nachweisen muss und dann ohne weiteres Zutun gegenüber allen Anwendungen als bereits authentifiziert gilt. Genau dieser Vorteil besteht auch bei einer Anmeldung mittels Smartcard Authentication - Secure & Easy, da auch hierbei die PIN der Karte nur ein mal eingegeben werden muss und dann die sich anschliessenden Authentifizierungsvorgänge ohne Zutun des Anwenders erfolgen können.