SecSign ID Plugin: Windows Credential Provider

Dieser Artikel bietet einen ersten Überblick über die Integration und Absicherung des Windows Logins mit der Zwei-Faktor Authentifizierung. Für das technische Tutorial folgen Sie bitte diesem Link

Mit der SecSign ID Zwei-Faktor Authentifizierung kann der Nutzer sich schnell und komfortable bei Windows anmelden – ganz ohne umständliche Codes.
Für den Login muss der Nutzer lediglich seine Benutzerdaten angeben – so wie er es gewohnt ist – und das entsprechende Symbol aus der App auf dem Desktop auswählen. Next-level Sicherheit mit minimalem Aufwand.

Bei Bedarf können auch mobile oder Email OTP (Einmalpasswörter) als alternative Authentifizierungsmethode genutzt werden.

Sie haben mehrere Optionen, Ihre Nutzer für die 2FA mit SecSign zu registrieren. In den meisten Fällen sollte die 2FA ID identisch zu dem bisher genutzten Windows Benutzernamen sein (zum Beispiel sAMAccountName oder userPrincipalName). Um automatisiert eine 2FA Aktivierung und eine Verknüpfung der 2FA mit dem AD Benutzer zu erhalten, bieten wir mehrere Onboarding-Möglichkeiten an. Die zwei populärsten werden im Folgenden erläutert.
Darüber hinaus sollten nur erfolgreich authentifizierte (mit Benutzernamen und Passwort) Nutzer einen 2FA Account erstellen können.
Das SecSign Onboarding ist einfach und komfortabel für die Nutzer und den Administrator.

Um Ihre Active Directory Nutzer für die 2FA zu registrieren haben Sie zwei Optionen:

Mit Schema Erweiterung um dem Nutzer im Active Directory ein 2FA Attribut hinzuzufügen, oder ohne Schemaerweiterung Schema Extension und beschränktem Lesezugriff vom SecSign ID Server auf Ihr Active Directory.

Bei beiden Optionen kann das Onboarding entweder über die Custom ID App oder eine individuelle Landing Page für den Nutzer realisiert werden.

Ein Überblick, wie das Active Directory mit Ihrem 2FA Setup integriert werden kann, ist hier verfügbar.

Mit dem SecSign ID Credential Provider Plugin wird dem Nutzer nach dem interaktiven Windows Login mit Nutzername und Passwort der SecSign ID Login angezeigt. Dies betrifft sowohl direkte Logins am PC als auch Remote Desktop Verbindungen.

Wenn Sie das SecSign ID Credential Provider Plugin ohne Active Directory Verknüpfung testen wollen, muss die SecSign ID gleich dem Benutzernamen sein. Diese Einstellung kann später mit der Verbindung zum Active Directory automatisch erzwungen werden.

Windows Login: Vorraussetzungen

Wenn sichergestellt ist, dass der SecSign ID Benutzername gleich dem Windows Login-Namen ist, startet das SecSign ID Credential Provider Plugin die 2FA, nachdem der Benutzer sich erfolgreich mit dem Benutzernamen und Passwort. z.B. gegen das AD authentifiziert hat.

Ist der Nutzeraccount noch nicht mit einer SecSign ID verbunden, wird der Nutzer aufgefordert, dieses nachzuholen. Dies kann der Nutzer entweder manuell tun, oder automatisch auf die Aktivierungswebsite weitergeleitet werden.

Folgende Vorraussetzungen gelten in diesem Fall:

• Der PC, auf dem sich der Nutzer anmeldet, muss ein Mitglied der Windows Domain sein
• Active Directory Konfiguration

Das Active Directory muss in bestimmten Fällen an den Inhouse ID Server angebunden werden. Die folgenden Situationen erfordern eine Verbindung vom Inhouse ID Server zum Active Directory:

• Wenn die SecSign ID automatisch gleich dem Windows Nutzernamen sein soll. Dies kann während der 2FA Registrierung der Nutzer erzwungen werden, wenn das Active Directory verbunden ist.
• Wenn die SecSign ID automatisch nicht gleich dem Windows Nutzernamen sein soll. Dies kann sowohl mit als auch ohne Active Directory Schemaerweiterung realisiert werden. Mit Active Directory Erweiterung kann das Plugin die dem Nutzer zugehörige ID aus dem AD erhalten, ohne Active Directory Erweiterung hat das Plugin dem Nutzer zugeordnete ID gespeichert.
• Wenn die 2FA nur für bestimmte Active Directory Gruppen oder IP Bereiche aktiviert werden soll. Die Einstellung dieser Funktion kann entweder direkt über das Plugin erfolgen, oder im ID Server aktiviert werden. Im letzteren Fall muss das Active Directory mit dem Inhouse Server verbunden werden. Dies ist auch erforderlich, wenn diese Einstellung zentral für mehrere Plugins vorgenommen werden soll.

Windows Login: Installation

Alle Windows Plugins sind auch als MSI für eine komfortable und schnelle Installation verfügbar.

Führen Sie SecSignCredProv-Setup.exe aus

Der Installationsassistent lädt automatisch Microsoft Visual Studio 2015 Komponenten sowie .Net 4 Runtime herunter, wenn diese noch nicht installiert sind.

Der SecSign ID Credential Provider nutzt die folgenden Registry Schlüssel, auf die Sie unter HKLM\SOFTWARE\SecSign\CredentialProvider zugreifen können. Bitte bearbeiten Sie die Schlüssel entsprechend Ihrer Umgebung:

• ServiceNameForSecSignApp: Der Name des Dienstes, der durch die SecSign ID geschützt wird. Die SecSignApp zeigt diesen Namen während des Logins an.
• ServiceAddressForSecSignApp: Die Adresse des Dienstes, dessen Login durch die SecSign ID abgesichert wird. Die SecSignApp zeigt diesen Namen während des Logins an. Normalerweise ist dies eine URL
• SecSignIDServerHostName: Der Host-Name des SecSign ID Servers.
• SecSignIDServerPort: Der Port am SecSign ID Server für mobile Geräte.
• UserGroupWithSecSignIDLogin: Der Name einer Benutzergruppe im Active Directory, für deren Mitglieder das SecSign ID Login nach der Windows-Passwort-Eingabe aktiv ist. Der SecSign ID Benutzername ist dabei der sAMAccountName des Windows-Benutzers. Wenn sich alle Nutzergruppen mit 2FA authentifizieren sollen, muss dieses Feld leer gelassen werden.

  In diesem Szenario wird empfohlen, eine kundenspezifische SecSignApp einzusetzen, die sicherstellt, dass eine SecSign ID mit einem bestimmten Namen nur angelegt werden kann, wenn der Benutzer das zugehörige Windows-Passwort kennt.
  Bei der Prüfung der Gruppenzugehörigkeit werden auch verschachtelte Untergruppen beachtet.

• RunAsDifferentUserSecSignIDProtected: wenn der Schlüssel den Wert 1 hat, dann erfolgt auch bei „ausführen als“ („run as a different user“) eine SecSign ID Abfrage. Wenn der Wert 0 ist, dann erfolgt in dieser Situation nur die normale Windows-Passwort-Abfrage.
• FallbackSecSignIDServerHostName: Der Host-Name des optionalen Sicherungsservers, falls einer betrieben wird.
• FallbackSecSignIDServerPort: Der Port am optionalen Sicherungsserver für mobile Geräte.

Windows Login: Login

Wenn der SecSign ID Credential Provider installiert ist, besteht der Windows Login aus:

1. Windows Benutzername- und Passworteingabe
2. SecSign ID Verifikation auf dem mobilen Endgerät

Das SecSign ID Login kann durch Antippen des richtigen Symbols in der SecSignApp bestätigt werden oder durch Eingabe des Einmalpassworts, das in einer Authenticator-App oder auf dem Display eines Hardware-ID-Tokens angezeigt wird. [/col]

Login mit Access Pass

Login mit OTP (one-time password)

Der SecSign ID Credential Provider ist nicht aktiv, wenn Windows im abgesicherten Modus gestartet wird. Daher muss sichergestellt werden, dass Benutzer Windows nicht im abgesicherten Modus starten können.

Wählen Sie das entsprechende Plugin aus, um mehr Informationen über die Absicherung mit 2FA zu erhalten