Authentification par carte à puce

    Note : L'authentification par carte à puce est un Advanced Authenticator disponible dans le cadre de la édition Professional d'ADSelfService Plus.

    ADSelfService Plus propose l'authentification par carte à puce comme l'une de ses méthodes MFA pour vérifier l'identité des utilisateurs.

    Qu'est-ce qu'une carte à puce ?

    Une carte à puce est un outil de sécurité qui combine un certificat numérique avec une clé privée pour authentifier l'identité d'un utilisateur.

    • Un certificat numérique est un document électronique émis par une Autorité de Certification (CA) qui lie l'identité d'un utilisateur à une clé publique. Ce certificat est utilisé pour identifier un utilisateur et est distribué publiquement entre les entités pour prouver l'identité de l'utilisateur.
    • Une clé privée est un secret cryptographique associé à la clé publique. Elle est stockée en toute sécurité sur la carte à puce et n'est jamais distribuée. Elle est utilisée pour des opérations cryptographiques telles que la signature numérique des données pour vérifier leur authenticité ou le déchiffrement des données chiffrées avec la clé publique correspondante, authentifiant ainsi l'utilisateur.

    Types de cartes à puce

    Cartes à puce sur les machines : Il s'agit d'un fichier protégé par mot de passe (au format PFX ou autres formats de clés PKCS#12) dans le magasin de certificats personnel sur la machine de l'utilisateur, contenant le certificat numérique de l'utilisateur et la clé privée correspondante.

    Cartes à puce physiques :
    • Il peut s'agir de dispositifs matériels compatibles avec l'authentification par carte à puce ou par certificat, tels que les YubiKeys, les cartes à puce SafeNet IDPrime, ou des cartes Personal Identity Verification (PIV) similaires avec une puce intégrée, sur lesquelles le certificat et la clé privée sont stockés. Ces cartes à puce physiques sont en outre sécurisées par des codes PIN et distribuées aux utilisateurs par l'administrateur. Un lecteur de carte est nécessaire pour extraire les certificats numériques des cartes à puce physiques lors de l'authentification.
    • ADSelfService Plus prend en charge les cartes PIV, les Common Access Cards (CAC) et autres cartes à puce basées sur des certificats PKI (conformes X509). Veuillez contacter votre fournisseur de cartes à puce pour vérifier si vos dispositifs sont pris en charge.
    • Les cartes RFID (identification par radiofréquence) ou NFC (communication en champ proche) utilisées comme cartes d'accès pour la vérification d'identité ne prennent pas en charge le certificat X509 et ne peuvent pas être utilisées pour l'authentification par carte à puce.

    Comment fonctionne l'authentification par carte à puce

    Une fois qu'un utilisateur initie l'authentification en insérant sa carte à puce et en fournissant le PIN de la carte à puce, l'empreinte digitale ou toute autre méthode 2FA configurée, ADSelfService Plus vérifie son identité en comparant le fichier de certificat sur la carte à puce de l'utilisateur avec celui dans AD. Voici comment fonctionne le processus d'authentification :

    1. ADSelfService Plus demande le certificat numérique de l'utilisateur au navigateur (ou à l'agent de connexion dans le cas du MFA machine).
    2. Selon le type de carte à puce, le navigateur (ou l'agent) effectue l'une des actions suivantes :
      • Cartes à puce sur les machines des utilisateurs : Le navigateur ou l'agent de connexion récupère le certificat dans le magasin de certificats de la machine et invite l'utilisateur à saisir son mot de passe.
      • Cartes à puce physiques :
        • Note : Pour utiliser des cartes à puce physiques pour le MFA Endpoint sur Windows, le Minidriver Smart Card du fournisseur implémentant le Cryptographic Service Provider de Microsoft doit être installé sur la machine Windows. Veuillez vous référer à la documentation fournie par votre fournisseur de cartes à puce pour les étapes d'installation.
      • Le certificat et la clé privée sont automatiquement injectés dans le magasin de certificats de l'appareil lorsque le dispositif matériel est inséré dans la machine ou que le périphérique USB PIV est lu par un lecteur de carte. S'il y a plusieurs certificats sur la carte à puce, l'utilisateur est invité à sélectionner celui qui convient. Le navigateur ou l'agent récupère ensuite le certificat dans le magasin et demande la vérification du PIN pour déverrouiller la carte à puce ou le certificat pour l'authentification.
    3. Après une vérification réussie par le navigateur ou l'agent, le certificat est envoyé à ADSelfService Plus pour autorisation, qui vérifie si :
      • Le certificat est valide et a été émis par la CA de confiance configurée dans ADSelfService Plus.
      • Le certificat correspond à l'attribut userCertificate dans AD.

    Si le certificat passe ces vérifications, l'identité de l'utilisateur est confirmée et le MFA est réussi.

    Configuration de l'authentification par carte à puce via ADSelfService Plus

    Avec ADSelfService Plus, vous pouvez utiliser les cartes à puce de la manière suivante :

    • Sécuriser les identités des utilisateurs avec MFA : Les cartes à puce peuvent être utilisées comme facteur d'authentification pour protéger les applications d'entreprise, les machines Windows, les actions en libre-service telles que les réinitialisations de mot de passe et les déblocages de compte, les connexions OWA, les connexions VPN via des liens de vérification sécurisés, et les connexions à ADSelfService Plus. Cliquez ici pour apprendre à configurer le Smart Card Authenticator pour le MFA.
    • Activer les connexions sans mot de passe : Les administrateurs peuvent ajouter un bouton Smart Card à l'écran de connexion ADSelfService Plus, permettant aux utilisateurs d'accéder au portail en libre-service et aux applications en toute sécurité en un clic, sans nécessiter de nom d'utilisateur ni de mot de passe. Cliquez ici pour apprendre à configurer le Smart Card Authenticator pour les connexions sans mot de passe.