...

• Inställningar som kan göras för Thales Safenet Authentication Client (SAC) - Se "Administrator guide"
• Information om kompatibilitet för kortläsare och operativsystem för SAC minidriver i MD-paketeringarna av SITHS eID-appen för Windows - "Se Release Notes"
• ADMX/ADML-filer som kan användas för styrning av inställningar för SAC minidriver via Grupp principer (GPO)

...

Certifikatinläsning för MD-paketering

För optimal hantering av autentiseringslösningar baserade på Dubbelriktad TLS/Mutual TLS (mTLS) ska Microsofts egen certifikatpropageringstjänst stängas av. OM den inte stängs av kan användare uppleva problem med att tidigare användares certifikat dyker upp som valbara på datorer som delas med andra användare. Dessa certifikat kan dock inte användas även om de kan väljas eftersom det privata nyckelmaterialet ligger på ett SITHS-kort som inte finns kvar i en kortläsare ansluten till datorn. Orsaken är att Windows egen tjänst bara lägger till certifikat, men inte har någon logik för att raderas dem när kortet avlägssnas från kortläsaren.

Avstängning av denna tjänst görs med fördel med hjälp av Microsoft grupp principer (GPO). 

Grupp-principen hittas här: Computer Configuration\Administrative templates\Windows Components\Smartcard

Följande inställningar ska inaktiveras:

• Activate certificate propagation from smartcard
• Activate root certificate propagation from smartcard

Image Removed

För att kunna genomföra en oövervakad installation av behöver Thales kodsigneringscertifikat vara betrott på de datorer där SITHS eID i MD-paketering ska installeras. Thales kodsigneringscertifikat publiceras som en del av releasen och återfinns.

OBS! Säkerställ att installation av tillit sker i datorns certifikatslagring och INTE i användarens certifikatlagring. Certifikatet behöver installeras i datorns certifikatlagring under "Betrodda utgivare/Trusted publishers".

Här kan du Ladda ner Thales kodsigneringscertifikat

Tillit till dessa certifikat kan med fördel installeras med Microsoft grupp principer (GPO).

Image Removed

Firefox

Vid tyst installation på klientdatorer med webbläsaren Firefox får man två olika beteenden för Autentiseringslösningar baserade på mTLS beroende på om webbläsaren är öppen när den tysta installationen körs:

• Firefox öppen:
  • certifikatval hanteras av Firefox.
  • pin-dialog hanteras av Windows. 
• Firefox stängd
  • certifikatval hanteras av Firefox.
  • pin-dialog hanteras av Firefox.

Dessa olika beteenden beror på att SAC PKCS#11 inte kan installeras om Firefox är öppen när den tysta installationen körs.

Avinstallation

Detta beror på att avinstallationen tar bort viktiga filer från datorn vid nästa omstart. Har man då redan installerat appen på nytt kommer viktiga filer att tas bort vid omstart och göra att appen inte kommer gå att använda.

Konfiguration efter installation

Efter installation kan vissa inställningar i Windowsregistret preferences göras för att justera hur SITHS eID-appen och SAC ska fungera.

Paketeringar som innehåller SAC minidriver (MD-paketen)

...

Aktivera "PIN-SSO"

Vid installation kommer användarens pin-kod för legitimering att "cachas" av SAC minidriver för att användaren inte ska behöva ange sin pin-kod upprepade gånger.

Följande konfiguration i Windowsregistret styr denna timeout och är som standard konfigurerad till att PIN-SSO är Aktiv:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL

DWORD: SingleLogon value=2

PIN-SSO nollställs automatiskt när:

• Den timeout som kan definieras enligt rubriken nedan uppnås, se /wiki/spaces/ST/pages/3733815473
• Datorn startas om
• När användaren drar ut sitt SITHS-kort ur kortläsaren

För att stänga av detta beteende justeras registervärdet enligt nedan

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL

DWORD: SingleLogon value=0 (SSO AVSTÄNGD)

Möjliga värden för denna inställning är:

• 0 - SAC begär pin när det behövs
• 1 - SAC använder PIN-SSO för applikationer som använder Microsoft CAPI/CAPI2
• 2 - SAC använder PIN-SSO för applikationer som använder Microsoft CAPI/CAPI2 och PKCS#11

...

Vid installation kommer cachningen av användarens pin-kod att upphöra efter en given tid

Följande konfiguration i Windowsregistret styr denna timeout och är som standard konfigurerad till en timeout om 4h:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL

DWORD: SingleLogonTimeout value=14400 (timeout i sekunder --> dvs 4h)

För att ändra detta beteende justeras registervärdet enligt nedan:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\SafeNet\Authentication\SAC\GENERAL

DWORD: SingleLogonTimeout value=<ange timeout i sekunder>

Utöver denna timeout nollställs pin-SSO när:

• Datorn startas om
• När användaren drar ut sitt SITHS-kort ur kortläsaren

Stäng av installation av rotcertifikat

...

.

...

SITHS

...

HKEY_LOCAL_MACHINE\SOFTWARE\SafeNet\Authentication\SAC\CertStore\
DWORD: PropagateCACertificates value=0 (Installation inaktiverad)

Möjliga värden för denna inställning är:

• 0 - SAC försöker inte installera tillit till rotcertifikat från SITHS-kortet på användarens dator
• 1 - SAC försöker installera tillit till rotcertifikat från SITHS-kortet på användarens dator

Aktivera loggning för Dubbelriktad TLS/Mutual TLS (mTLS) - SAC minidriver

1. Töm mappen C:\Windows\Temp\eToken.log på eventuella gamla loggfiler
2. Skapa en registernyckel vid namn Log
3. På följande plats i Windows-registret: HKEY_LOCAL_MACHINE\SOFTWARE\SafeNet\Authentication\SAC
4. Under registernyckeln Log skapas följande registervärden som 32-bitars värde (DWORD)
   1. Enabled = 1
      1. 0 - Loggning avstängd
      2. 1 - Loggning startad
5. Starta om datorn för att börja fånga loggar
6. Återskapa felet
7. Stäng av loggning igen genom att sätta Enabled= 0
8. Starta om datorn
9. Loggfilerna samlas i mappen C:\Windows\Temp\eToken.log på datorn
10. Spara mappen eToken.log som en zip-fil och bifoga den till ärendet
    1. Om filen blir stor kan vi behöva be Thales skapa en länk för uppladdning av filen. Denna kommer då att skickas direkt till den kontaktperson som skapade ärendet hos Inera support.

...

Övriga registervärden för logginställningar:

1. När loggning aktiverats kommer följande även följande defaultvärden användas.  Dessa kan justeras via egna 32-bitars värden (DWORD), men vi rekommenderar att ni låter dem vara kvar på default.
   1. Days = 1
      1. Antal dagar som loggen skapas
   2. MaxFileSize = 2000000 (2Mb)
      1. Maxstorlek för respektive loggfil i mappen eToken.log
2. Registervärdet TotalMaxSize = 20000000 (20 miljoner = 20Mb) kan skapas för att styra den totala maxstorleken på hela mappen eToken.log. Observera dock att denna inställning kan medföra att äldre loggar som behövs vid felsökning kan komma att skrivas över av nyare loggar.
   1. Maximal filstolek på hela mappen eToken.log

Loggning för Dubbelriktad TLS/Mutual TLS (mTLS) med SAC minidriver i Windows loggbok (event viewer)

1. Skapa värdet EnableLogEvents som ett 32-bitars värde (DWORD)
2. På följande plats i Windows-registret HKEY_LOCAL_MACHINE\SOFTWARE\SafeNet\Authentication\SAC\General
3. Dessa syns sedan i Windows Event Viewer i loggen Application med Source=SAC

Image Removed

För organisationer som inte använder AD-inloggning med SITHS eID på kort

OM ni inte använder AD-inloggning kan denna funktionalitet stängas av via följande registerinställningar

Inaktivera upplåsning med PUK (Lås upp PIN) vid Windows inloggningsskärm

Skapa ett REG_DWORD i underföljande registernyckel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\{673FACBC-6DF0-425b-B558-48DF53E95EC3}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\{673FACBC-6DF0-425b-B558-48DF53E95EC3}
DWORD: Disabled value=1 (Döljer valet att låsa upp ett blockerat kort med PUK-koden. Menyvalet vid namn "Lås upp PIN")

Möjliga värden för denna inställning är:

• 1 = Valet att låsa upp med puk är dolt
• 0 = Valet att låsa upp med puk syns

Image Removed

Inaktivera valet för användaren att logga in med smartkort vid Windows inloggningsskärm

Skapa ett REG_DWORD i underföljande registernyckel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\{8FD7E19C-3BF7-489B-A72C-846AB3678C96}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers\{8FD7E19C-3BF7-489B-A72C-846AB3678C96}
DWORD: Disabled value=1 (Döljer valet för smartkort)

Möjliga värden för denna inställning är:

• 1 = Valet att logga in med smartkort är dolt
• 0 = Valet att logga in med smartkort syns

Image Removed

SITHS eID-appen

HKEY_LOCAL_MACHINE\SOFTWARE\Inera\AuthenticationClient\LocalConfiguration
String: AllowConfigurationChange value=False

Kända fel

Visar kända fel i senaste versionen av SITHS eID-appen.

...