Innehållsförteckning

...

Observera

Obligatorisk uppgradering

Från och med 1 januari 2023 krävs minst version 2.0 av SITHS eID-Windowsapp.

Observera även att SITHS Admin och Mina sidor hos Telia är beroende av Net iD Enterprise för att fungera. Det är därför viktigt att installera rätt paket av SITHS eID-appen för Windows på datorer som används tillsammans med dessa tjänster (Inte MD-paketen). SITHS eID Portal som lanseras våren 2023 kommer att fungera med valfri paketering av SITHS eID-appen för Windows.

Info

Viktig information kring installation

Starta alltid om datorn efter avinstallation
Blanda inte paket:
- Det går att byta version inom samma paketering genom att bara installera över tidigare version
- Vill man byta paket måste man: 1. Avinstallera, 2. Starta om datorn, 3. Installera det nya paketet
Eftersom SITHS eID-appen inte är lika "känd" som programvaror från Microsoft eller andra stora utvecklare. Kan det hända att ni måste göra vissa undantag på er klientmiljö för att det ska gå att ladda ner och/eller installera och köra SITHS eID-appen.

...

Expandera

title	Visa beskrivning av olika paketeringar

Utdrag

Samtliga paket nedan stödjer följande funktioner i själva SITHS eID-appen:

Legitimering och underskrift med fristående underskriftstjänst med hjälp av autentiseringslösningen out-of-band i SITHS eID-appen
Upplåsning med puk-kod i SITHS eID-appen
Upplåsning med Mobilt SITHS eller vid fysiskt möte med id-administratör i SITHS eID-appen (endast kort utgivna från SITHS eID Portal)

Paketeringsnamn

Installationsfilens namn

Förklaring

Stödjer (tillägg)

Stödjer INTE

SITHS eID för Windows

SITHS_eID_for_Windows-Setup-<version>.exe

Paketering för vanliga användare. Fungerar endast för Produktionsmiljöer.

Att kombineras med Net iD Enterprise

Legitimering med dubbelriktad TLS (mTLS).
Underskrift med särskilt underskriftscertifikat via plugin-integration

SITHS eID för Windows – MD

SITHS_eID_for_Windows-MD-Setup-<version>.exe

Paketering för vanliga användare. Fungerar endast för Produktionsmiljöer.

MD = Minidriver

Legitimering med dubbelriktad TLS (mTLS) med hjälp av SAC minidriver
Inloggning till Windows med hjälp av SAC minidriver
Upplåsning med puk vid Windows inloggningsskärm med hjälp av SAC Credential Provider

Info
Kan INTE kombineras med Net iD Enterprise.

Underskrift med särskilt underskriftscertifikat via plugin-integration

SITHS eID för Windows – ENV

SITHS_eID_for_Windows-ENV-Setup-<version>.exe

Paketering för testare, systemutvecklare och förvaltare, samt annan personal som jobbar i flera olika driftsmiljöer.

ENV = Environment

Att kombineras med Net iD Enterprise
Byte av miljö mellan TEST, QA och Produktion

Legitimering med dubbelriktad TLS (mTLS).
Underskrift med särskilt underskriftscertifikat via plugin-integration

SITHS eID för Windows – MD-ENV

SITHS_eID_for_Windows-MD-ENV-Setup-<version>.exe

Paketering för testare, systemutvecklare och förvaltare, samt annan personal som jobbar i flera olika driftsmiljöer.

MD = Minidriver, ENV = Environment

Legitimering med dubbelriktad TLS (mTLS) med hjälp av SAC minidriver
Inloggning till Windows med hjälp av SAC minidriver
Upplåsning med puk vid Windows inloggningsskärm med hjälp av SAC Credential Provider
Byte av miljö mellan TEST, QA och Produktion

Info
Kan INTE kombineras med Net iD Enterprise.

Underskrift med särskilt underskriftscertifikat via plugin-integration

Installation

För fullständig Se även den tekniska dokumentationen på Thales sidor om du söker information om inställningar

Inställningar som kan göras för Thales Safenet Authentication Client (SAC)

...

- Se "Administrator guide"
Information om kompatibilitet för kortläsare och operativsystem för SAC minidriver i MD-paketeringarna av SITHS eID-appen för Windows - "Se Release Notes"

Under rubrikerna nedan har vi lyft fram några av de vanligaste inställningarna som man behöver förhålla sig till vid installation, användning och för konfiguration av SITHS eID-appen och SAC.

...

Expandera

title	Visa detaljerad information om installation och oövervakad/tyst installation

Utdrag

Certifikatinläsning för MD-paketering

För optimal hantering av autentiseringslösningar baserade på Dubbelriktad TLS/Mutual TLS (mTLS) bör Microsofts egen certifikatpropageringstjänst stängas av. Detta görs med fördel med hjälp av Microsoft grupp principer (GPO).

Gruppprincipen hittas här: Computer Configuration\Administrative templates\Windows Components\Smartcard

Följande inställningar ska inaktiveras:

Activate certificate propagation from smartcard
Activate root certificate propagation from smartcard

Även Microsofttjänsten CertPropSvc inaktiveras

Image Added

Installationsparameterar

Installationspaketet för SITHS eID Windowsklient levereras endast som en .exe fil. Detta beror på att att denna installation i sin tur består av ett antal MSI-paket från Ineras olika leverantörer. Installationspaketet stödjer ett antal flaggor som kan användas om installationen ska köras via en kommandotolk eller som en oövervakad installation. Vilka installationsflaggor som finns kan visas genom flaggan /?.

Exempel: <installationsfilensnamn> /?

Oövervakad/Tyst installation

Kan genomföras genom installationsflaggorna /quiet eller /passive

Varning om att lita programvara från Thales DIS

Info

Tyst installation av SITHS eID i MD-paketering kräver för tillfället installation av tillit till Thales kodsigneringscertifikat. Arbete pågår för att certifiera drivrutinerna från Thales hos Microsoft så att detta inte ska behövas i framtiden.

Se rubriken Installera tillit till Thales kodsigneringscertifikat för information om hur tillit installeras

Varningen kommer från hur Windows hanterar installation av drivrutiner som inte är certifierade av Microsoft. Drivrutinerna från Thales som används för autentiseringslösningen Dubbelriktad TLS/Mutual TLS (mTLS) är ännu inte certifierade av Microsoft. För användare som gör denna installation manuellt kan man gå vidare genom att välja "Installera" i användardialogen nedan.

Valet i rutan "Lita alltid på programvara från Thales DIS CPL USA, Inc." avgör huruvida tillit till Thales kodsigneringscertifikat ska installera permanent på aktuellt dator eller om datorn endast ska lita på certifikatet för den pågående installationen.

Installera tillit till Thales kodsigneringscertifikat

Ankare

	tillit_thales_kodsigneringscertifikat
	tillit_thales_kodsigneringscertifikat

För att kunna genomföra en oövervakad installation av behöver Thales kodsigneringscertifikat vara betrott på de datorer där SITHS eID i MD-paketering ska installeras. Thales kodsigneringscertifikat publiceras som en del av releasen och återfinns.

OBS! Säkerställ att installation av tillit sker i datorns certifikatslagring och INTE i användarens certifikatlagring. Certifikatet behöver installeras i datorns certifikatlagring under "Betrodda utgivare/Trusted publishers".

Här kan du Ladda ner Thales kodsigneringscertifikat

Tillit till dessa certifikat kan med fördel installeras med Microsoft grupp principer (GPO).

Firefox

Vid tyst installation på klientdatorer med webbläsaren Firefox får man två olika beteenden för Autentiseringslösningar baserade på mTLS beroende på om webbläsaren är öppen när den tysta installationen körs:

Firefox öppen:
- certifikatval hanteras av Firefox.
- pin-dialog hanteras av Windows.
Firefox stängd
- certifikatval hanteras av Firefox.
- pin-dialog hanteras av Firefox.

Dessa olika beteenden beror på att SAC PKCS#11 inte kan installeras om Firefox är öppen när den tysta installationen körs.

Avinstallation

Vid tyst avinstallation gäller det att tänka på att användarens dator måste startas om innan SITHS eID Windowsklient installeras på nytt.

Detta beror på att avinstallationen tar bort viktiga filer från datorn vid nästa omstart. Har man då redan installerat SITHS eID Windowsklient på nytt kommer viktiga filer att tas bort vid omstart och göra att SITHS eID Windowsklient inte kommer gå att använda.

...

Expandera

title	Visa konfiguration som kan justeras efter installation

Paketeringar som innehåller SAC minidriver (MD-paketen)

Info
Detta avsnitt gäller endast för autentiseringslösningar baserade på Dubbelriktad TLS (mTLS) och därmed de paket av SITHS eID-Windowsapp som innehåller SAC minidriver. Se mer information om hur certifikat läses från SITHS-kortet till datorn och de två olika autentiseringslösningarna på denna sida: Inläsning av SITHS-kort på Windows

Aktivera "PIN-SSO"

Vid installation kommer användarens pin-kod för legitimering att "cachas" av SAC minidriver för att användaren inte ska behöva ange sin pin-kod upprepade gånger.

Följande konfiguration i Windowsregistret styr denna timeout och är som standard konfigurerad till att PIN-SSO är Aktiv:

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL DWORD: SingleLogon value=2

PIN-SSO nollställs automatiskt när:

Den timeout som kan definieras enligt rubriken nedan uppnås, se Hantera timeout för SSO
Datorn startas om
När användaren drar ut sitt SITHS-kort ur kortläsaren

För att stänga av detta beteende justeras registervärdet enligt nedan

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL DWORD: SingleLogon value=0 (SSO AVSTÄNGD)

Info

Om ni lägger till ovan nämnda registervärden under ALLA användarprofiler på datorn (HKEY_CURRENT_USER) med hjälp av Grupprinciper/Group policies (GPO:er) i er miljö kan ni få PIN-SSO att nollställas även vid:

Strömsparläge/Viloläge
Låst användarsession

Möjliga värden för denna inställning är:

0 - SAC begär pin när det behövs
1 - SAC använder PIN-SSO för applikationer som använder Microsoft CAPI/CAPI2
2 - SAC använder PIN-SSO för applikationer som använder Microsoft CAPI/CAPI2 och PKCS#11

Hantera timeout för PIN-SSO
Ankare
timeout_sso
timeout_sso

Vid installation kommer cachningen av användarens pin-kod att upphöra efter en given tid

Följande konfiguration i Windowsregistret styr denna timeout och är som standard konfigurerad till en timeout om 4h:

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL DWORD: SingleLogonTimeout value=14400 (timeout i sekunder --> dvs 4h)

För att ändra detta beteende justeras registervärdet enligt nedan:

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL DWORD: SingleLogonTimeout value=<ange timeout i sekunder>

Utöver denna timeout nollställs pin-SSO när:

Datorn startas om
När användaren drar ut sitt SITHS-kort ur kortläsaren

Stäng av installation av rotcertifikat

Info
Efter att ni skapat denna registernyckel och registervärde behöver datorn startas om

Vid installation av MD-paketen kommer SAC minidriver som standard att vilja installera tillit till rotcertifikat som finns på SITHS-korten på användarens dator. Rotcertifikat fanns på SITHS-korten för 410-korten (produkter vars produktnummer börjar med "4" eller "9" (4XX resp. 9XX).

För att ändra detta beteende justeras registervärdet enligt nedan:

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\SafeNet\Authentication\SAC\CertStore\ DWORD: PROP_PROPAGATECACER value=0 (Installation inaktiverad)

Möjliga värden för denna inställning är:

0 - SAC försöker inte installera tillit till rotcertifikat från SITHS-kortet på användarens dator
1 - SAC försöker installera tillit till rotcertifikat från SITHS-kortet på användarens dator

Aktivera loggning för Dubbelriktad TLS/Mutual TLS (mTLS) - SAC minidriver

Info
Aktivera endast loggning när du försöker återskapa felet och ska ta ut en logg att skicka in till supporten. Detta eftersom loggningen skriver stora mängder loggar.

Skapa en registernyckel vid namn Log
På följande plats i Windows-registret: HKEY_LOCAL_MACHINE\SOFTWARE\SafeNet\Authentication\SAC
Under registernyckeln Log skapas nedan värden som 32-bitars värde (DWORD)
1. Enabled
  1. 0 - Logning avstängd
  2. 1 - Loggning startad
2. Days
  1. Antal dagar som loggen skapas
3. MaxFileSize
  1. Maxstorlek för loggfilen i bytesrespektive loggfil mappen
4. TotalMaxSize
  1. Maximal filstolek på hela mappen eToken.log
Starta om datorn för att börja fånga loggar
Loggarna Loggfilerna samlas i mappen C:\Windows\Temp\eToken.log på datorn

Loggning för Dubbelriktad TLS/Mutual TLS (mTLS) med SAC minidriver i Windows loggbok (event viewer)

Skapa värdet EnableLogEvents som ett 32-bitars värde (DWORD)
På följande plats i Windows-registret HKEY_LOCAL_MACHINE\SOFTWARE\SafeNet\Authentication\SAC\General
Dessa syns sedan i Windows Event Viewer i loggen Application med Source=SAC

Image Added

ENV-paketeringar (Stäng av miljöbytesmöjlighet)

Vid installation av ENV-paketen kan miljöbytesfunktionaliteten inaktiveras och appen styras mot en specifik miljö via Windowsregistret.

För att göra detta behöver:

Nedan 2st registervärden justeras
Appen startas om eller refreshas genom tangentbordsknappen F5 efter att värdena har ändrats

Stäng av miljöbyte

Möjliga värden:

True - Tillåter miljöbyte
False - Tillåter inte miljöbyte

Exempel för hur man stänger av miljöbytesfunktionaliteten genom att ändra följande strängvärde under HKLM.

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\Inera\AuthenticationClient\LocalConfiguration String: AllowConfigurationChange value=False

Styr standardmiljö

Info
För att ändring av detta registervärde ska innebära byte av miljö måste HKEY_LOCAL_MACHINE\SOFTWARE\Inera\AuthenticationClient\LocalConfiguration\[AllowConfigurationChange] vara satt till False

Möjliga värden:

Test
QA
Produktion

Exempel för hur man styr appen att alltid gå mot Produktionsmiljön genom att ändra följande strängvärde under HKLM.

Kodblock
HKEY_LOCAL_MACHINE\SOFTWARE\Inera\AuthenticationClient\LocalConfiguration String: LocalConfiguration value=Produktion

...

Jämförda versioner

Gammal version 180

Ny version 181

Nyckel

Innehållsförteckning