A SafeGuard Cerbalon hozzáadott termék-kiegészítője az Utimaco által gyártott SafeGuard Advanced Security (SGAS) szoftvernek. A SafeGuard Cerbalon tanúsítványt hoz létre a Windows platformokba (Win2000, XP, 2003 Server) történő bejelentkezés alapján egy chipkártya segítségével. A szoftverhez minden olyan chipkártya felhasználható, amelyik rendelkezik X.509v3 tanúsítvánnyal és PKCS#11 támogatással. A bejelentkezéshez csak a chipkártya PIN kódjára van szükség, melynek adatai (felhasználó azonosító, jelszó és domain név) a chipkártya tanúsítványával generálódnak. A bejelentkezéshez szükséges adatok generálási folyamata alatt a program ellenőrzi a tanúsítványt. A SafeGuard Cerbalon működési eljárást hoz létre a periodikus jelszó változtatás végrehajtásához. Amennyiben az aktiválódik, a jelszó automatikusan megváltozik a felhasználó közreműködése nélkül is, a bejelentkezési adatok generálása alatt.

1. A bejelentkezési adatok hogyan generálódnak?

Miután a megfelelő PIN kód megjelenik, a szoftver megkísérli elkészíteni az első tanúsítványt a chipkártyán. Ez a tanúsítvány a memóriába kerül. Ezt követően a szoftver megpróbálja leellenőrizni ezt a tanúsítványt a Cryptographic Service Provider (CSP) segítségével, mely a regisztrálási beállításoktól függően a Microsoft Enhanced Cryptographic Provider segítségével vagy a chipkártya ellátó cég (CSP) segítségével történik. A belépési adatok generálása csak a tanúsítvány sikeres érvényesítését követően indulhat el. Elsőként a felhasználó azonosító és a domain név generálódik a tanúsítvány tartalmából. A tanúsítványtól és a vevő szükségleteitől függően, a Megkülönböztető név (DN), a Felhasználói Vezér név (UPN) vagy a tanúsítvány sorozatszáma szükséges a feladat végrehajtásához. Végül a jelszó a tanúsítvány privát kulcsával, egy karaktersor aláírásával generálódik, mely olyan adatokat tartalmaz, mint például a felhasználó azonosító, domain név és az idő periódus azonosító.

2. A SG Cerbalon hogyan végzi a tanúsítvány ellenőrzését?

A tanúsítványellenőrzés a chipkártya ellátó cég (CSP) segítségével vagy a Microsoft Enhanced Cryptographic Service Provider (CSP) segítségével történik. Így a Cerbalon-nak egymagában nincs hatása a folyamatra. Alapvetően minden kibocsátott CA tanúsítványnak a tanúsítvány láncolatba kell települnie a helyi gép „Trusted Root Certification Authorities” tanúsítvány tárába a sikeres ellenőrzés garantálásának érdekében. A tanúsítvány visszavonási státusza néhány lépésben ellenőrizhető:

Néhány CSP támogatja az Online Tanúsítvány Státusz Protokollt (OCSP) a tanúsítvány visszavonási státusz ellenőrzéséért. A protokollok felhasználásához OCSP kiterjesztéssel rendelkező tanúsítványokra van szükség. Ha a kiterjesztés létezik, azon szerver URL-jét tartalmazza, mely rendelkezésre állítja a kért (OCSP válaszadó) szolgáltatást. Egy tanúsítvány érvényesítésekor a szoftver megpróbál kommunikálni ezzel az URL-el.

• A tanúsítvány visszavonási státusz ellenőrzéséhez a Microsoft leginkább a CRL Distribution Point (CDP)-t részesíti előnyben. Ez a kiterjesztés meghatározza a http vagy LDAP URL-et, ahol a jelenlegi CRL elérhető.

• A tanúsítvány visszavonási státuszt a helyi CRL miatt ellenőrizni kell. A naprakész CRL fenntartásához a CRL visszakeresési szolgáltatás használható, mely letölti a CRL SafeGuard Cerbalon szoftvert a kliens gépére az LDAP szolgáltatásból. Ennek a rendszernek nagy előnye az, hogy a tanúsítványnak nincs szüksége további kiterjesztésekre, mivel az időrabló letöltési folyamat nem a bejelentkezés alatt történik.

3. Hogyan tud megváltozni a jelenlegi jelszó egy másik generált jelszóvá?

A szoftver 64-byte-os jelszavakat generál. A jelszónak ismeretlennek kell lennie mind a felhasználó, mind az adminisztrátor előtt. Kettő lehetséges módja van a felhasználó jelszavának megváltoztatására: 

• Egy domain-be történő központi bejegyzéssel: A SG Cerbalon szoftver eszközt állít a rendelkezésre a generált jelszó beállítására bármelyik felhasználó számára a domain-en belül. A végrehajtást a domain bejegyzés alatt kell elvégezni a számítógépen, a művelethez a jelenlegi felhasználói jelszó ismerete szükséges. A Cerbalon-on keresztül történő jelszógeneráláshoz a felhasználó chipkártyája és a PIN kódja kell, így a SG Cerbalon használatához az újonnan bejegyzett kártya kiosztható a felhasználó számára.

Automatikus kiosztás: A felhasználó maga változtatja meg a jelszót. Ezt a műveletet a bejelentkezési procedúra alatt teheti meg, a felhasználói jelenlegi jelszava szükséges a művelet végrehajtásához. Ezt követően a SG Cerbalon megváltoztatja a jelszót az új generált jelszóra, majd a bejelentkezés folytatódik. A legközelebbi bejelentkezéshez a felhasználónak csak a chipkártyáját kell majd használnia.

4. SG Cerbalon telepítése

A SafeGuard Cerbalon termék-kiegészítője a SafeGuard Advanced Security (SGAS) szoftvernek, így a SG Cerbalon működéséhez egy telepített és konfigurált SGAS Base Modul verzióra van szükség. Amennyiben chipkártyát egy külsős kártya típussal használja, a chipkártya ellátó PKCS#11 modult és opcionálisan a saját CSP-t is szükséges telepíteni.