Certifikatinläsning för MD-paketering

För optimal hantering av autentiseringslösningar baserade på Dubbelriktad TLS/Mutual TLS (mTLS) ska Microsofts egen certifikatpropageringstjänst stängas av. OM den inte stängs av kan användare uppleva problem med att tidigare användares certifikat dyker upp som valbara på datorer som delas med andra användare. Dessa certifikat kan dock inte användas även om de kan väljas eftersom det privata nyckelmaterialet ligger på ett SITHS-kort som inte finns kvar i en kortläsare ansluten till datorn. Orsaken är att Windows egen tjänst bara lägger till certifikat, men inte har någon logik för att raderas dem när kortet avlägssnas från kortläsaren.

Avstängning av denna tjänst görs med fördel med hjälp av Microsoft grupp principer (GPO). 

Gruppprincipen Grupp-principen hittas här: Computer Configuration\Administrative templates\Windows Components\Smartcard

Följande inställningar ska inaktiveras:

• Activate certificate propagation from smartcard
• Activate root certificate propagation from smartcard

Även Microsofttjänsten CertPropSvc inaktiveras

Installationsparameterar

Installationspaketet för appen levereras endast som en .exe fil. Detta beror på att att denna installation i sin tur består av ett antal MSI-paket från Ineras olika leverantörer. Installationspaketet stödjer ett antal flaggor som kan användas om installationen ska köras via en kommandotolk eller som en oövervakad installation. Vilka installationsflaggor som finns kan visas genom flaggan /?.

Exempel: <installationsfilensnamn> /?

Oövervakad/Tyst installation

Kan genomföras genom installationsflaggorna /quiet eller /passive

Varning om att lita programvara från Thales DIS

För äldre versioner av SITHS eID-appen för Windows i MD-paketering (SAC minidriver) måste man för tyst installation installera tillit till Thales kodsigneringscertifikat.

Se rubriken Installera tillit till Thales kodsigneringscertifikat för information om hur tillit installeras

Varningen kommer från hur Windows hanterar installation av drivrutiner som inte är certifierade av Microsoft. Drivrutinerna från Thales som används för autentiseringslösningen Dubbelriktad TLS/Mutual TLS (mTLS) är ännu inte certifierade av Microsoft. För användare som gör denna installation manuellt kan man gå vidare genom att välja "Installera" i användardialogen nedan.

Valet i rutan "Lita alltid på programvara från Thales DIS CPL USA, Inc." avgör huruvida tillit till Thales kodsigneringscertifikat ska installera permanent på aktuellt dator eller om datorn endast ska lita på certifikatet för den pågående installationen.

Installera tillit till Thales kodsigneringscertifikat 

För att kunna genomföra en oövervakad installation av behöver Thales kodsigneringscertifikat vara betrott på de datorer där SITHS eID i MD-paketering ska installeras. Thales kodsigneringscertifikat publiceras som en del av releasen och återfinns.

OBS! Säkerställ att installation av tillit sker i datorns certifikatslagring och INTE i användarens certifikatlagring. Certifikatet behöver installeras i datorns certifikatlagring under "Betrodda utgivare/Trusted publishers".

Här kan du Ladda ner Thales kodsigneringscertifikat

Tillit till dessa certifikat kan med fördel installeras med Microsoft grupp principer (GPO).

Firefox

Vid tyst installation på klientdatorer med webbläsaren Firefox får man två olika beteenden för Autentiseringslösningar baserade på mTLS beroende på om webbläsaren är öppen när den tysta installationen körs:

• Firefox öppen:
  • certifikatval hanteras av Firefox.
  • pin-dialog hanteras av Windows. 
• Firefox stängd
  • certifikatval hanteras av Firefox.
  • pin-dialog hanteras av Firefox.

Dessa olika beteenden beror på att SAC PKCS#11 inte kan installeras om Firefox är öppen när den tysta installationen körs.

Avinstallation

Vid tyst avinstallation gäller det att tänka på att användarens dator måste startas om innan appen installeras på nytt.

Detta beror på att avinstallationen tar bort viktiga filer från datorn vid nästa omstart. Har man då redan installerat appen på nytt kommer viktiga filer att tas bort vid omstart och göra att appen inte kommer gå att använda.