الموضوع السابقالموضوع التالي

مصادقة البطاقة الذكية

ملاحظة: مصادقة البطاقة الذكية هي عامل مصادقة متقدم متاح ضمن الإصدار الاحترافي من ADSelfService Plus.

يوفر ADSelfService Plus مصادقة البطاقة الذكية كأحد أساليب المصادقة متعددة العوامل للتحقق من هويات المستخدمين.

ما هي البطاقة الذكية؟

البطاقة الذكية هي أداة أمنية تجمع بين شهادة رقمية ومفتاح خاص للمصادقة على هوية المستخدم.

• الشهادة الرقمية هي وثيقة إلكترونية تصدرها سلطة إصدار الشهادات (CA) تربط هوية المستخدم بمفتاح عام. تُستخدم هذه الشهادة لتوثيق هوية المستخدم وتُوزَّع علنًا بين الكيانات لإثبات هوية المستخدم.
• مفتاح خاص هو سر تشفيري مقترن بالمفتاح العام. يُحفظ بأمان على البطاقة الذكية ولا يُوزَّع أبدًا. ويُستخدم في عمليات التشفير مثل توقيع البيانات رقميًا للتحقق من أصالتها أو فك تشفير البيانات المشفَّرة باستخدام المفتاح العام المقابل، وبذلك تتم مصادقة المستخدم.

أنواع البطاقات الذكية

البطاقات الذكية على الأجهزة: هذا ملف محمي بكلمة مرور (بصيغة PFX أو بصيغ مفاتيح أخرى من نوع PKCS#12) موجود في مخزن الشهادات الشخصية على جهاز المستخدم ويحتوي على الشهادة الرقمية للمستخدم والمفتاح الخاص المقابل.

البطاقات الذكية المادية:

• يمكن أن تكون هذه أجهزة عتادية متوافقة مع البطاقات الذكية أو مع المصادقة القائمة على الشهادات، مثل مفاتيح YubiKey، وبطاقات SafeNet IDPrime الذكية، أو بطاقات التحقق من الهوية الشخصية (PIV) المماثلة المزودة بشريحة مدمجة، تُخزَّن عليها الشهادة والمفتاح الخاص. تُؤمَّن هذه البطاقات الذكية المادية بشكل إضافي برموز PIN ويقوم المسؤول بتوزيعها على المستخدمين. يلزم قارئ بطاقات لاستخراج الشهادات الرقمية من البطاقات الذكية المادية أثناء المصادقة.
• يدعم ADSelfService Plus بطاقات PIV وبطاقات الوصول المشتركة (CAC)، وغيرها من البطاقات الذكية القائمة على شهادات PKI (المتوافقة مع X509). يرجى التواصل مع مزود البطاقات الذكية لديك للتحقق مما إذا كانت أجهزتك مدعومة.
• بطاقات تحديد الهوية بموجات الراديو (RFID) أو الاتصال قريب المدى (NFC) المستخدمة كبطاقات وصول للتحقق من الهوية لا تدعم شهادة X509 ولا يمكن استخدامها لمصادقة البطاقات الذكية.

كيف تعمل مصادقة البطاقة الذكية

بمجرد أن يبدأ المستخدم عملية المصادقة بإدخال بطاقته الذكية وتقديم رمز PIN للبطاقة الذكية أو بصمة الإصبع أو أي طريقة مصادقة ثنائية (2FA) أخرى تم تكوينها، يقوم ADSelfService Plus بالتحقق من هويته من خلال مقارنة ملف الشهادة الموجود على البطاقة الذكية الخاصة بالمستخدم مع الملف الموجود في Active Directory (AD). إليك كيفية سير عملية المصادقة:

1. يطلب ADSelfService Plus الشهادة الرقمية للمستخدم من المتصفح (أو من وكيل تسجيل الدخول في حالة المصادقة متعددة العوامل على الجهاز).
2. اعتمادا على نوع البطاقة الذكية، يقوم المتصفح (أو الوكيل) بأحد الإجراءات التالية:

• البطاقات الذكية على أجهزة المستخدمين: يسترجع المتصفح أو وكيل تسجيل الدخول الشهادة من مخزن الشهادات الخاص بالجهاز ويطلب من المستخدم إدخال كلمة المرور.
• البطاقات الذكية المادية:
ملاحظة: لاستخدام البطاقات الذكية المادية للمصادقة متعددة العوامل لنقاط النهاية لنظام Windows، يجب تثبيت برنامج التشغيل المصغّر للبطاقة الذكية الخاص بالمورّد الذي ينفّذ موفّر خدمات التشفير من Microsoft على جهاز Windows. يرجى الرجوع إلى الوثائق التي يوفّرها مورّد بطاقتك الذكية لمعرفة خطوات التثبيت.
• يتم إدراج الشهادة والمفتاح الخاص تلقائيًا في مخزن شهادات الجهاز عند إدخال الجهاز المادي في الحاسوب أو عند قراءة جهاز USB بتقنية PIV بواسطة قارئ بطاقات. إذا كانت هناك عدة شهادات على البطاقة الذكية، يُطلب من المستخدم اختيار الشهادة المناسبة. يسترجع المتصفح أو الوكيل بعد ذلك الشهادة من المخزن ويطلب التحقق من رقم التعريف الشخصي (PIN) لإلغاء قفل البطاقة الذكية أو الشهادة بغرض المصادقة.

• الشهادة صالحة وتم إصدارها بواسطة سلطة التصديق الموثوقة المكوّنة في ADSelfService Plus.
• تتطابق الشهادة مع سمة userCertificate في AD.

إذا اجتازت الشهادة عمليات التحقق هذه، يتم التحقق من هوية المستخدم، وتنجح المصادقة متعددة العوامل.

إعداد مصادقة البطاقة الذكية عبر ADSelfService Plus

باستخدام ADSelfService Plus، يمكنك استخدام البطاقات الذكية بالطرق التالية:

• تأمين هويات المستخدمين باستخدام المصادقة متعددة العوامل (MFA): يمكن استخدام البطاقات الذكية كعامل مصادقة لحماية تطبيقات المؤسسات وأجهزة Windows وإجراءات الخدمة الذاتية مثل إعادة تعيين كلمات المرور وفك قفل الحسابات، وعمليات تسجيل الدخول إلى OWA، وعمليات تسجيل الدخول إلى الشبكة الخاصة الافتراضية (VPN) عبر روابط تحقق آمنة، وعمليات تسجيل الدخول إلى ADSelfService Plus. انقر هنا لمعرفة كيفية إعداد أداة مصادقة البطاقات الذكية للمصادقة متعددة العوامل.
• تمكين تسجيل الدخول بدون كلمة مرور: يمكن للمسؤولين إضافة زر البطاقة الذكية إلى شاشة تسجيل الدخول في ADSelfService Plus، مما يتيح للمستخدمين الوصول إلى بوابة الخدمة الذاتية وapplicationات بأمان بنقرة واحدة، دون الحاجة إلى اسم مستخدم أو كلمة مرور. انقر هنا لمعرفة كيفية تكوين مصدّق البطاقة الذكية لتسجيل الدخول بدون كلمة مرور.

الموضوع السابقالموضوع التالي