security - CAC 智能卡重新验证

Question

我们有一个基于浏览器的应用程序，我们希望用户在输入该应用程序时重新进行身份验证。因此，当他们访问该 URL 时，我们希望向他们显示 PIN 提示，以便他们必须重新进行身份验证。有没有合理的方法来做到这一点？

添加信息:这适用于 CAC 卡，工作站上有 ActivIdentity 和 Tumbleweed。另外，如有必要，我可以向工作站添加服务。浏览器都是IE7。 Web 服务器是 IIS 6，页面(大部分)是用 ASP.NET 编写的。

Answer 1

这里涉及到一些不同的软件。

首先是卡片本身。要执行数字签名，CAC 必须处于“已验证”状态，这意味着在插入卡后输入了 PIN。除此之外，卡上的每个 key 都有一个标志，指示每次使用该 key 时是否都必须输入 PIN。我没有检查过，但我认为这是为 CAC 上的“电子邮件” key 对设置的。因此，您需要找到哪些 key 设置了“始终验证”标志，并将服务上的路径验证器配置为仅接受这些 key 。您可能能够在扩展 key 使用中需要特定的 OID，或者从路径构建中排除一些 DoD 中间证书(也许将它们标记为已撤销)。

与卡通信的机器上的中间件也可以缓存 PIN，并在卡指示在完成操作之前需要 PIN 时将其提供给卡。我认为 ActivClient 在版本 6 中一直通过其 PIN 缓存功能来实现此目的，但在版本 7 中，此选项似乎消失了。我在 Windows 内置 PIV 支持中没有发现类似的内容。这个“功能”可能会损害安全性，所以我的猜测是它是被故意删除的，并且不会有任何注册表黑客或其他方式来恢复该行为。这是您无法控制的，除非您管理用户的计算机；没有可用于强制输入 PIN 的 HTTP header 或 TLS 选项。但是，对于较新的系统，这应该不是问题。

在服务器端，必须进行完整的握手才能使客户端执行身份验证。如果存在有效的 TLS session ，则不会进行客户端身份验证。因此，您需要找到一种方法在请求身份验证之前使 TLS session (而不是应用程序 session ，它可能与 HTTP cookie 绑定(bind))失效，或者将身份验证请求定向到另一个未启用 session 的接口(interface)。