Winscard dll patch rdp windows 10 - Доктор Windows - ваш надежный помощник

AnBlast

18.12.19 — 14:15

День добрый.

Выкатил нам один из банков прикол — обязал перейти с ключей на диске на токены (смарт-карты).

Все бы ничего, но с этим КБ привыкли работать в разделенном режиме. Более того, люди мало того, что работают на терминальном сервере, так еще и из разных городов и даже стран. Но токен виден в терминале только тому, кто его воткнул в свою рабочую станцию с которой идет подключение к терминалу. Остальные курят бамбук (часто за тысячи километров).

Банк рекомендует выделить одного человека, который будет работать с токенами, а остальные должны ему говорить что делать и когда. Но это беда жеж…

Если токен воткнуть напрямую в сервак, то его увидят только те, кто напрямую на серваке работает, а для RDP-подключений их не будет видно.

Может есть вариант проброски токенов по RDP так, что бы их видели все?

Заранее Спасибо!

Kigo_Kigo

1 — 18.12.19 — 14:18

99% что нет

Провинциальный 1сник

2 — 18.12.19 — 14:20

Установить на сервере терминалов вмваре, в котором поднять винду, и пробросить туда usb с токеном. А пользователи будут работать с виртуальными машинами, которые и знать не знают, что работают на сервере терминалов.

Йохохо

3 — 18.12.19 — 14:20

юсб через айпи? или ключ в реестр. или токены с одноразовым пином

Провинциальный 1сник

4 — 18.12.19 — 14:22

(3) Проблема не в usb, а в том что при работе из rdp-сеанса аппаратно заблокированы функции криптоключей, непосредственно воткнутых в сервер. То есть, по usb в списке устройств их видно, но они не работают.

AnBlast

5 — 18.12.19 — 14:29

(3) токены простешие — типа флешки.

(2) так токен виртуалка как увидит? откуда ей на него смотреть?

Провинциальный 1сник

6 — 18.12.19 — 14:29

(4) Не аппаратно, а программно, конечно же..

Провинциальный 1сник

7 — 18.12.19 — 14:30

(5) Так же как видит хасп-ключи, подключенные к серверу. Как usb-устройство, проброшенное с хоста в гостевую ОС.

Kigo_Kigo

8 — 18.12.19 — 14:32

(7) Хасп ключи на ружу выставлены службой, для этого работающей, для токенов такой хрени нет

AnBlast

9 — 18.12.19 — 14:35

(7) ээээ… ну ща потестю. но нужен жеж какой-то сервис или служба? или нет???

Но тогда доп условие в задачу )) Сервак физически не под столом, а в колокейшене. Реальная железака в реальном датацентре или виртуальная машина в условном амазон-клауде. т.е. теоритически я могу конечно мотнуться в соседний город и воткнуть в сервак токен, но хочется что бы втыкание происходило в рабочую станцию, которая подключается к серваку. А то я ездить задолбаюсь )

mistеr

10 — 18.12.19 — 14:45

(9) Есть сторонние платные решения USB-over-IP.

Builder

11 — 18.12.19 — 14:47

(9) На 99% что не поможет. С токенами отдельная песня на терминалах.

Даже если терминалом в консоль подключаться, с ключом /admin

mistеr

12 — 18.12.19 — 14:47

(0) А вообще это не прикол, а так и должно быть. Токен должен выдаваться персонально, под личную ответственность, за все операции с ним совершенные.

mistеr

13 — 18.12.19 — 14:48

(12) Hint: у банка можно (и нужно) попросить несколько токенов.

Garykom

14 — 18.12.19 — 14:52

(0) USB over IP или воткни токен в сервер физический.

Еще есть вариант это снять дамп токена и в эмулятор его но это уже не совсем законно, точнее надо читать договор с банком.

Biker

15 — 18.12.19 — 14:56

(0) Скажи где работаешь. Устроюсь, переведу себе премию в пару тройку лямов со счета конторы .

Garykom

16 — 18.12.19 — 15:09

(15) Ты готов за 2-3 ляма (рублей) присесть на 5 лет?

arsik

17 — 18.12.19 — 15:16

(0) для вин экспи и для 7ки есть патч (подмена пары dll). Там суть такая криптомодуль «думает», что с ним работают не в терминале. Для серверов хз. Выше 7ки патча не видел.

arsik

18 — 18.12.19 — 15:21

Патчится 2 файла:

SCardSvr.dll

WinSCard.dll

Biker

19 — 18.12.19 — 15:34

(16) Уговорил, лярд сразу.

Шутки шутками, а дырень в безопасности такая не нехилая.

Builder

20 — 18.12.19 — 16:48

(18) Искал этот патч, что-то нашел, но не заработало.

Разработчик давно прикрыл эту тему.

Есть что рабочее и проверенное?

AnBlast

21 — 18.12.19 — 17:58

(18) тоже искал — не взлетело.

(12) конечно это правильно, но ты это бухам объясни ))

(10) не нашел… если попадались — можно ссыль? Заранее Спасибо!

mistеr

22 — 18.12.19 — 18:01

(21) А как искал? Гугл попробуй.

Сияющий в темноте

23 — 18.12.19 — 19:11

есть принт сервер,который реализует usb over ip,позволяя одному из клиентов подключиться к устройству и использовать его монопольно.

даже с йотой работало.

pessimist

24 — 19.12.19 — 11:02

(0) Токен вероятно содержит криптоконтейнер, с именным сертификатом. По уму его должен использовать тот на кого сертификат выдан. В крайнем случае тот кому токен передан. Общий доступ без контроля это плохо. Приблизительно так же плохо как лежащие в приёмной фирменные бланки с подписью директора куда каждый может вписать свой текст.

Если с банком работает разумное количество пользователей то можно запросить сертификаты на всех пользователей. Это не дорого или даже бесплатно.

pessimist

25 — 19.12.19 — 11:07

(12) Токен и выдаётся под личную ответственность того на кого сертификат выдан. По закону недоступность закрытого ключа он должен обеспечить. Но на практике могут быть нюансы.

AnBlast

26 — 21.12.19 — 15:33

апну как я темку.

может кто-то еще чего посоветует ))

платные решения за вменяемые разовые деньги тоже пойдут. Но их гугл выдает много. Может кто что подобное юзал/юзает?

Djelf

27 — 21.12.19 — 16:30

(26) Проброс через usb/ip не решит проблему.

Пробрасывал Рутокен с Юбунту на Винду, чтобы рса для Егаис перешить.

Но USB/IP хочет монопольного доступа, чтобы достучаться пришлось останавливать демона Рутокен на Юбунте.

Коммерческая версия USB Redirector тоже предупреждает об этом: https://www.incentivespro.com/helps/usb-redirector/features_inactivity_timeout.htm

Так что пробросить ключ по получится, а вот работать одновременно нет.

Разве что по очереди, но это все равно не то что нужно.

Патч SCardSvr.dll и WinSCard.dll скорее всего тоже не поможет, если будут запросы к ключу с разными параметрами, думаю, адские глюки неизбежны.

ololoraise

28 — 21.12.19 — 17:55

Писали программу, что то типа Амми админа и Тимвьевер. Но работать мог один пользователь.

Смотрящий

29 — 21.12.19 — 20:45

(26) Выдрать сертификаты с ключей, и влепить в личнное хранилище юзерам на рдп сервере

pessimist

30 — 22.12.19 — 12:33

(29) Это банковские токены. В банках с легко копируемми закрытыми ключами лет десять борьба ведётся. И банковские безопасники всегда были против того что закрытый ключ можно легко скопировать и по слухам ФСБ тоже против.

В лучшем случае выставлен флаг некопируемости. В этом случае теоретически можно скопировать, патчить криптопровайдер или пытаться закрытый ключ из памяти вытащить. Доступные сисадмину методы закончились лет восемь назад. Но там скорее всего всё ещё хуже, не флаг некопируемости выставлен а ключ не копируемый. Ключевая пара создана таким образом что нет документированного способа экспортировать закрытый ключ. Мало шансов что топикстартеру доступны недокументированные способы. Тогда только атаки по побочным каналам всякие.

У некоторых банков можно попросить копируемый ключ. Технически они могут.

Но смысла нет. Правильный ответ уже дали. Попросить у банка бесплатно или за деньги сертификаты на всех или на часть пользователей и выдать им полномочия юридически которые у них уже есть фактически.

Смотрящий

31 — 22.12.19 — 13:37

(30) Банки не идут на дубляж ключей, ни разу не видел такого.

На днях выдирал контейнеры «некопируемых» ключей от маркировки, с токенов. Причем все штатными средствами, без патчинга провайдера и лома памяти, так что инфа про закончились и лет восемь назад — неверна.

Банковские безопасники и фейсы могут быть против, за; могут все что захотят. Это не меняет текущие реалии. И да, от методики создания пары на токене ничего не зависит — выдираем контейнер целиком.

pessimist

32 — 22.12.19 — 13:40

(31) Забавно.

Как это делается, хотя бы какими инструментами?

Если не секрет, какой банк?

Смотрящий

33 — 22.12.19 — 14:37

(32) «от маркировки, с токенов»

pessimist

34 — 22.12.19 — 23:05

(33)

Так это не банк. Отчётность всякая в госорганы.

У вас там другой мир со своими правилами игры.

С чего вы взяли что у вас там есть хоть какая-то некопируемость?

У топикстартера банк:»Выкатил нам один из банков прикол…»

AnBlast

35 — 22.12.19 — 23:53

(33) а можно чуть подробнее про «от маркировки, с токенов»? плиз

Сияющий в темноте

36 — 23.12.19 — 09:05

копируемость и некопируемость определяется настройками токена.

собственно,ключевой контейнер,это блок памяти в несколько килобайт,и если токен криптооперации не внутри себя проводит,то он передает ключи для выполнения операций.

AnBlast

37 — 23.12.19 — 10:52

(36) …каторые можно перехватить на выходе? прально?

Смотрящий

38 — 23.12.19 — 11:18

(34) Яйца те же, только в профиль. Некопируемость есть, выставляют флажок по поводу и без (

Djelf

39 — 23.12.19 — 11:39

pessimist

40 — 23.12.19 — 13:20

(37) Большинство банковских токенов закрытый ключ наружу не отдают и все операции с закрытым ключом проделывают внутри «флешки».

Наиболее продвинутые вдобавок к этому умеют шифровать канал связи между приложением и токеном но я подозреваю что это банкам не особо нужно.

(38) Я по прежнему не понимаю почему вы считаете что у вас ключи не копируемые. Если вы получили «флешку» в банке то по умолчанию закрытый ключ или некопируемый или трудно копируемый, но если в удостоверяющем центре то по умолчанию закрытый ключ легко копируемый. В УЦ можно получить и некопируемый, но это отдельные деньги, отдельный геморрой в сравнении с которым часто деньги уже не так важны, частичная потеря совместимости и в итоге как правило не нужно никому.

(39) Скорее всего «облачный токен» потребует поддержки со стороны банка.

Смотрящий

41 — 23.12.19 — 13:29

(40) Крипто провайдер напрямую пишет мол не могу, ключ некопируемый

pessimist

42 — 23.12.19 — 15:23

(41) Я вижу два основных варианта:

1. При копировании не копируется закрытый ключ. Но поскольку закрытый ключ доступен всё работает.

2. Какой-то способ скопировать криптоконтейнер без использования криптопровайдера. Поскольку при работе ключ в память загружается это возможно. Это наиболее интересный вариант. На случай очередных проблем с Казначейством. Любопытно как именно.

И ещё один вариант, токена нет а есть съёмный диск. Тогда криптопровайдер откажется копировать закрытый ключ если выставлен флаг некопируемости. Но операционной системе эти все флаги глубоко безразличны, она о них даже не знает, для неё это просто файлы и копируются они как файлы.

Djelf

43 — 23.12.19 — 15:48

(40) А черт его знает. Может и сработает, т.к. алгоритмы по ГОСТ у них вроде все реализованы.

Пробовать нужно, статьи их читать… Много чего интересно у них на Хабре написано, в том числе и по поводу неизвлекаемости.

AnBlast

44 — 23.12.19 — 17:19

(43) я уже второй день извлекаю… пока по нулям. Причем как банковские, как и токены для доступу к сдаче отчетности какой-то государству.

pessimist

45 — 24.12.19 — 13:27

(44) Странно. Для сдачи отчётности обычно по умолчанию копируемые штатными средствами.

Большая часть отчётности на самом деле делегируется. То есть нужно не копировать криптоконтейнер а оформить документы. Типа сдача отчётности в Росстат поручена Иванову И.И., на Иванова И.И. выпускается сертификат. Иванов И.И. получает на руки «флешку» и инструкцию куда эту шнягу втыкать и куда не втыкать. В случае косяков с ИВанова И.И. можно спросить. Полномочия ограничены. И если злые хакеры украли закрытый ключ то они могут от вашего имени отправить отчётность в Росстат, могут не отправлять, но больше не могут ничего. Генеральный с практически неограниченными полномочиями по уставу типа не при делах.

Есть конечно вещи которые не делегируются.

С банками такое тоже прокатывает. Но там геморроя сильно больше. Банкам выгодна подпись Генерального потому что эта подпись на основании устава, который практически вечный, а подпись буха она на основании довереннности у которой есть срок и этот срок нужно не прошляпить уже самому банку.

Провинциальный 1сник

46 — 24.12.19 — 14:46

(45) В российской инфраструктуре ЭП понятие «делегирования подписи» в общем случае отсутствует, за исключением нескольких служб типа ФСС, да и то криво как-то, с прописыванием прав в ЛК. Правильное делегирование — это когда сотруднику оформляется сертификат ЭП самой организацией, с удостоверением сертификата электронной подписью организации, через авторизацию руководителя своим личным сертификатом. И с прописыванием в сертификате сотрудника области применения. То есть, цепочка доверия строится сотрудник-организация-удостоверяющий центр. А руководитель — должностное лицо, имеющее полномочия заверять подписи сотрудников подписью организации. К сожалению, нам до этого далеко..

Источник

: March 9 2014, 14:04

Categories:

Архитектура
Компьютеры
Cancel

Вот сколько я работаю с виндой, столько её и костерю. И что ни каждый день, то новый повод. На этот раз грабли вылезли в службе смарт-карт (SmartCard).

Сперва небольшой исторический экскурс. Начиная с версии Windows Vista и соответствующих ей серверных систем (Server 2008 R1) мелкомягкие полностью переделали архитектуру работающих со смарт-картами компонентов. Это коснулось в том числе и драйверов.

В первый раз с «нововведениями» я столкнулся, когда попытался сделать для пользователей доступ в локальную сеть через OpenVPN в неинтерактивном режиме с аутентификацией по eToken-у. В Windows XP оно прекрасно работало, в Vista и семерке — перестало. Совместно с аладдиновскими разработчиками причина тому была найдена. В той самой пресловутой «новой архитектуре» системные службы (и вообще все что выполняется не из контекста пользователя) больше не могут общаться с драйверами eToken в PKI-режиме, а драйвера режима ядра в принципе не умеют однофакторную (то есть без ввода пароля на токен) аутентификацию. Надо ли разъяснять, что в неинтерактивном режиме пароль вводить как бе и некому? Вот так было работающее отлаженное решение -> не стало решения.

Теперь я столкнулся с «усовершенствованиями» ещё раз, во всей их красе. Поводом стала ситуация, когда некоторые очень кривые криптопродукты (самый красочный пример — BSS) просто отвратительно работают со смарт-картами в RDP-сеансах. Проще говоря, дико тормозят и тупят. И это заметил не я один. Но поскольку дать [censored] рукожопым программистам из BSS я не в состоянии и отказаться от использования их продуктов — тоже, решил искать обходные пути. Например, редиректить токен на терминал-сервер не встроенным в RDP-клиента способом, а сторонним софтом, который на низком уровне заворачивает USB-шину в Ethernet. Ха-ха, не тут-то было!

Внезапно я узнал, что терминал-сервер так устроен, что локально подключенные к серверу смарт-карты в RDP-сеансах не доступны by design. То есть в самой WinSCard.dll, через которую проходят все вызовы API-функций работы со смарт-картами есть однозначное логическое ветвление. Если вызов приходит из нулевого сеанса (RDP с ключем «/admin», локально залогиненный пользователь, VNC или Radmin и т.д.), то в этой сессии доступны локально подключенные к серверу токены. В противном же случае (если номер RDP-сеанса ненулевой), то возможно работать только со смарт-картами RDP-клиента и только из того же самого сеанса. Пруф.

И дошло до того, что некоторые народные умельцы начали самостоятельно отлаживать и патчить пресловутую WinSCard.dll для того, чтобы можно было работать с физически подключенными к серверу токенами из RDP-сеанса (начало, продолжение). Но это ж онанизм и извращение, согласитесь. Особенно в корпоративных средах.

А на аладдиновских форумах регулярно всплывают вопросы «ой, а почему у меня не работает?» (раз, два).

Вот же «доулучшались», черти мелкомягкие. И чего у них зазудило, спрашивается? Хотели как лучше, а получилось как всегда?

Источник

Содержание

Как настроить проброс смарт карт rdp
Перенаправление нового, не поддерживаемого в WTware, устройства
Как настроить проброс смарт карт rdp
Как настроить проброс смарт карт rdp
Смарт-карты и службы удаленных рабочих столов
Перенаправление служб удаленного рабочего стола
RD Session Host server single sign-in experience
Удаленные службы настольных компьютеров и вход смарт-карт
Удаленные службы настольных компьютеров и вход смарт-карт в доменах

Как настроить проброс смарт карт rdp

WTware поддерживает наиболее распространенные USB-токены и ридеры смарт-карт rutoken, etoken, ASC и еще десяток других. Вы найдете полный список поддерживаемых устройств и порядок их подключения в инструкции.

Перенаправление нового, не поддерживаемого в WTware, устройства

Перенаправление каждого USB-токена и ридера смарт-карт через RDP нам приходится делать вручную. В лучшем случае достаточно прописать в WTware ответы windows-драйвера этого USB-токена или ридера смарт-карт о его имени и названии вендора. В более сложных случаях приходится повторять некорректное поведение windows-драйвера USB-токена или ридера. Если вам очень надо, чтобы WTware поддерживала ваш USB-токен или ридер смарт-карт, надо быть готовым скачать и поставить десяток новых сборок и отослать нам логи, процесс может занять месяц. Оно вам надо?

Если оно вам надо, начинаем:

Подключите USB-токен или ридер к комьютеру с Windows. Запустите mstsc.exe, подключитесь к терминальному серверу.
Добейтесь уверенной работы USB-токена или ридера, используя перенаправление смарт-карт в mstsc.exe (Параметры > Локальные устройства и ресурсы, галка «Смарт-карты»). Если программа, которая должна работать с вашим USB-токеном или ридером, не видит ее через mstsc, то надо связаться с разработчиком именно этой программы. То, что не работает через mstsc, не будет работать и через WTware.
В терминальной сессии mstsc.exe при подключенном к терминалу USB-токене или ридере со вставленной картой запустите это приложение.
То, что оно выдаст, скопируйте и отправьте письмом нам на электронную почту.
Затем подключите USB-токен или ридер к терминалу, загрузите на терминале WTware, снимите лог (через конфигуратор с windows-машины, на которую была установлена WTware, или зайдите интернет эксплорером на IP терминала). Лог отправьте тем же письмом.

Дальнейшие инструкции вы получите по электронной почте. И запаситесь терпением, оно вам понадобится.

Источник

Как настроить проброс смарт карт rdp

Текущие сертифицированные версии КриптоПро CSP не поддерживают работу с локальными смарт-картами(смарт-картами, вставленными в машину, к которой подключаемся) в RDP-сессии, настроек, позволяющих решить эту задачу Microsoft не предоставляет.

Поддержка функционала доступа к локальным смарт-картам по RDP доступна, начиная с КриптоПро CSP 4.0 R5 и КриптоПро CSP 5.0 R2.

Данная версия реализовывает работу с локальными смарт-картами при подключении по RDP для новых криптопровайдеров:

Crypto-Pro GOST R 34.10-2001 System CSP

Crypto-Pro GOST R 34.10-2012 System CSP

Crypto-Pro GOST R 34.10-2012 Strong System CSP

Учётная запись, которая обращается к локальным смарткартам, должна входить в локальную группу администраторов или «Привилегированные пользователи КриптоПро CSP» (CryptoPro CSP Power Users), которую можно создать при необходимости.

Для работы с данными провайдерами необходимо:

1) Использовать CSP версии КС1 с хранением ключей в памяти приложений, но доустановить службу хранения ключей с помощью панели управления CSP или команды:

2) Применить reg-файл, создающий специальный криптопровайдер и модифицирующий параметры службы хранения ключей. В частности, для CSP 4.0 (для CSP 5.0 «ProductCode»=»<50f91f80-d397-437c-b0c8-62128de3b55e>«)

Crypto-Pro GOST R 34.10-2012 System CSP:

Windows Registry Editor Version 5.00

;Register new CSP with SCARD media and system service endpoint

[HKEY_LOCAL_MACHINESOFTWAREMicrosoftCryptographyDefaultsProviderCrypto-Pro GOST R 34.10-2012 System CSP]

«CP Module Entry Point»=»DllStartServer»

«CP Module Name»=»cpcspr.dll»

«Image Path»=»C:\Program Files\Crypto Pro\CSP\cpcsp.dll»

«CP Service Name»=»CryptoPro CSP Service 0»

«CP Service UUID»=»6E57FEEE-08E0-46ad-98C6-266B632C03FE»

[HKEY_LOCAL_MACHINESOFTWAREWow6432NodeMicrosoftCryptographyDefaultsProviderCrypto-Pro GOST R 34.10-2012 System CSP]

«CP Module Entry Point»=»DllStartServer»

«CP Module Name»=»cpcspr.dll»

«Image Path»=»C:\Program Files (x86)\Crypto Pro\CSP\cpcsp.dll»

«CP Service Name»=»CryptoPro CSP Service 0»

«CP Service UUID»=»6E57FEEE-08E0-46ad-98C6-266B632C03FE»

;Set service no impersonate

;Disable pin cache

3) Перезапустить службу:

net stop cpcsp && net start cpcsp

4) Переустановить сертификаты, необходимые для работы по RDP, с привязкой к закрытому ключу на локальной смарт-карте с указанием провайдера Crypto-Pro GOST R 34.10-2012 System CSP.

5) Выключить службу распространения сертификатов CertPropSvc. (В противном случае сертификаты придется переустанавливать снова)

Для работы с контейнерами через панель КриптоПро CSP нужно в выпадающем списке указывать нужный провайдер.

Не все программные продукты умеют работать с новыми провайдерами.

Поддержка новых провайдеров в панели Инструменты КриптоПро есть, начиная с Криптопро CSP 5.0 R2.

Поддержка новых провайдеров в КриптоАРМ есть, начиная с КриптоАРМ 5.4.3.16.

Источник

Как настроить проброс смарт карт rdp

Возможно, эта информация будет интересна

Рутокен является персональным устройством и должен находиться у пользователя. Его удаленное использование противоречит самой идее применения аппаратных средств подписи и аутентификации.

Самым правильным является способ, когда ваш токен подключен к локальному компьютеру, а в программе терминального клиента (протокол RDP) настроен проброс смарт-карт.

Если же устройство Рутокен все-таки нужно использовать удаленно, в этой статье мы описали способы, как это сделать .

Начиная с Windows Vista при подключении к компьютеру с помощью «Удаленного рабочего стола» (Remote Desktop Protocol, RDP), токен или смарт-карта должны быть подключены к локальному компьютеру.

Работа со смарт-картами и токенами, подключенными к удаленной машине по протоколу RDP, невозможна.

Если токен или смарт-карта подключены к локальному компьютеру, а в программе на локальном компьютере настроен проброс смарт-карт, токен будет работать.

Если токен или смарт-карта подключены к удаленному компьютеру и к нему пытаются обратиться удаленно, то такая схема не будет работать.

Для корректной работы с моделью Рутокен S, драйверы Рутокен должны быть установлены и на терминале и на сервере.

При одновременном подключении пользователей по протоколу RDP, к удаленному компьютеру каждый пользователь работает только со своим Рутокеном и видит только свои ключи и сертификаты в Панели управлении Рутокен.

Установка драйверов Рутокен через RDP возможна на операционных системах, начиная с Windows Vista.

На более ранних операционных системах будет выдаваться сообщение, что установка запущена через удаленное подключение, и драйверы Рутокен устанавливаться не будут.

Для доменных систем: если проброс смарт-карт включен и схема использования токена правильная, а работать с токеном всё равно не получается, проверьте настройки групповых политик сервера:

«Конфигурация компьютераАдминистративные шаблоныКомпоненты WindowsСлужбы удаленных рабочих столовУзел сеансов удаленных рабочих столовПеренаправление устройств и ресурсовНе разрешать перенаправление устройства чтения смарт-карт» переведите в состояние «Отключить»

При подключении к Citrix работа со смарт-картами и токенами, подключенными к удаленной машине, как и по протоколу RDP, невозможна.

Источник

Смарт-карты и службы удаленных рабочих столов

Применяется к: Windows 10, Windows 11, Windows Server 2016 и выше

В этом разделе для ИТ-специалистов описывается поведение служб удаленного рабочего стола при внедрении входной карточки.

Содержимое в этом разделе относится к версиям Windows, указанным в списке Applies To в начале этой темы. В этих версиях логика перенаправления смарт-карт и API WinSCard объединяются для поддержки нескольких перенаправленных сеансов в один процесс.

Поддержка смарт-карт необходима, чтобы включить многие сценарии удаленных настольных служб. К ним можно отнести следующие.

Использование служб быстрого переключения пользователей или служб удаленного рабочего стола. Пользователь не может установить удаленное десктопное подключение на основе смарт-карт. То есть попытка подключения не удалась при быстром переключении пользователей или в сеансе удаленной службы настольных компьютеров.

Включение шифрования файловой системы (EFS) для поиска читателя смарт-карт пользователя в локальном органе безопасности (LSA) в процессе быстрого переключения пользователей или в сеансе удаленной службы настольных компьютеров. Если EFS не может найти читателя или сертификата смарт-карт, EFS не может расшифровать файлы пользователей.

Перенаправление служб удаленного рабочего стола

В сценарии удаленного рабочего стола пользователь использует удаленный сервер для запуска служб, а смарт-карта локализуется на компьютере, который использует пользователь. В сценарии регистрации смарт-карт служба смарт-карт на удаленном сервере перенаправляется на считыватель смарт-карт, подключенный к локальному компьютеру, на котором пользователь пытается войти.

Удаленное перенаправление настольных компьютеров

Заметки о модели перенаправления:

Этот сценарий — удаленный сеанс регистрации на компьютере с службами удаленного рабочего стола. В удаленном сеансе (помеченном как «Клиентская сессия»), пользователь запускает чистое использование /smartcard.

Стрелки представляют поток ПИН-кода после того, как пользователь ввел ПИН-код в командной подсказке, пока не достигнет смарт-карты пользователя в считывателье смарт-карт, подключенном к клиентского компьютера удаленного рабочего стола (RDC).

Проверка подлинности выполняется LSA в сеансе 0.

Обработка CryptoAPI выполняется в LSA (Lsass.exe). Это возможно, так как перенаправление RDP (rdpdr.sys) позволяет использовать контекст за сеанс, а не за один процесс.

Компоненты WinScard и SCRedir, которые были отдельными модулями в операционных системах раньше Windows Vista, теперь включены в один модуль. Библиотека ScHelper — это оболочка CryptoAPI, специфическая для протокола Kerberos.

Решение о перенаправлении принимается на основе контекста смарт-карты на основе сеанса потока, который выполняет вызов SCardEstablishContext.

Изменения в WinSCard.dll были внесены в Windows Vista для улучшения перенаправления смарт-карт.

RD Session Host server single sign-in experience

В соответствии с общими критериями клиент RDC должен быть настроен на использование диспетчера учетных данных для приобретения и сохранения пароля пользователя или ПИН-кода смарт-карты. Соблюдение общих критериев требует, чтобы приложения не получили прямой доступ к паролям или ПИН-коду пользователя.

Соблюдение общих критериев требует специально, чтобы пароль или ПИН-код никогда не оставьте LSA незашифрованным. Распределенный сценарий должен разрешить пароль или ПИН-код для перемещения между одним доверенным LSA и другим, и его нельзя расшифровать во время транзита.

Когда для сеансов удаленной службы настольных компьютеров используется один вход с включенной смарт-картой, пользователям по-прежнему необходимо войти для каждого нового сеанса служб удаленного рабочего стола. Однако пользователю не предложен пин-код для создания сеанса удаленной службы настольных компьютеров. Например, когда пользователь дважды щелкает значок Microsoft Word документа, который находится на удаленном компьютере, пользователю предлагается ввести ПИН-код. Этот ПИН-код отправляется с помощью защищенного канала, созданного SSP учетных данных. ПИН-код передается клиенту RDC по безопасному каналу и отправляется в Winlogon. Пользователь не получает дополнительных подсказок для ПИН-кода, если ПИН-код не является неправильным или есть ошибки, связанные с смарт-картами.

Удаленные службы настольных компьютеров и вход смарт-карт

Службы удаленного рабочего стола позволяют пользователям войти с помощью смарт-карты, введя ПИН-код на клиентский компьютер RDC и отправив его на хост-сервер сеанса RD таким образом, как проверка подлинности, основанная на имени пользователя и пароле.

Кроме того, для входа в смарт-карты необходимо включить параметры групповой политики, которые являются специфическими для служб удаленного рабочего стола.

Чтобы включить вход смарт-карты на сервер удаленного рабочего стола (RD Session Host), сертификат Центра рассылки ключей (KDC) должен присутствовать на клиентном компьютере RDC. Если компьютер не находится в одном домене или в группе, для развертывания сертификата можно использовать следующую команду:

certutil -dspublish NTAuthCA «DSCDPContainer«

Общее имя DSCDPContainer (CN) обычно является именем органа сертификации.

certutil -dspublish NTAuthCA «CN=NTAuthCertificates,CN=Public Key Services,CN=Services,CN=Configuration,DC=engineering,DC=contoso,DC=com»

Сведения об этом параметре для средства командной строки см. в пункте dsPublish.

Удаленные службы настольных компьютеров и вход смарт-карт в доменах

Чтобы включить удаленный доступ к ресурсам предприятия, корневой сертификат для домена должен быть задан на смарт-карте. С компьютера, который присоединяется к домену, запустите следующую команду в командной строке:

certutil -scroots update

Сведения об этом параметре для средства командной строки см. в пункте -SCRoots.

Для служб удаленного рабочего стола в различных доменах сертификат KDC хост-сервера сеанса RD также должен присутствовать в магазине NTAUTH клиентского компьютера. Чтобы добавить магазин, запустите следующую команду в командной строке:

certutil -addstore-enterprise NTAUTH

Где сертификата KDC.

Сведения об этом параметре для средства командной строки см. в книге -addstore.

**** Примечание Если вы используете SSP учетных данных на компьютерах с поддерживаемой версией операционной системы, указанной в списке Applies To в начале этого раздела. Чтобы войти со смарт-картой с компьютера, не присоединився к домену, смарт-карта должна содержать корневую сертификацию контроллера домена. Безопасный канал инфраструктуры общедоступных ключей (PKI) невозможно установить без корневой сертификации контроллера домена.

Вход в службы удаленного рабочего стола в домене работает только в том случае, если УПЛ в сертификате использует следующую форму: @

UpN в сертификате должен включать домен, который можно разрешить. В противном случае протокол Kerberos не может определить, к каков домену обращаться. Эту проблему можно решить, включив подсказки домена GPO X509. Дополнительные сведения об этом параметре см. в группе политики и реестра смарт-карт Параметры.

Источник

[My set up]

RDP Client (Win7) ——————RDP————————> Remote Server (Win2k8R2) with SmartCard

I’ve found countless answers that would suggest this is not possible. Alot of answers indicate that RDP was designed this way for security. The smartcards are locked which do not allow the device to be seen when connecting remotely with Remote desktop connection (RDP).

However I’ve found a useful link which appears to work for some but not all.

http://lifayk.blogspot.co.uk/2012/07/windows-smart-card-subsystem-and-remote.html

The guide shows how it’s possible (by editing the winSCard.dll — forcing the function to return local user not remote which allows the smartcard to be seen remotely) but lacks the detail for beginners like myself. I tried using the latest patch linked on the site however it fails to work on Windows Server 2008 R2.

My questions following the article are;

How do I edit winSCard.dll without a hex editor? (So I can see functions/methods) I’ve tried using Reflector however when I opened winSCard.dll it said not .NET file.
There was mention of turning off Windows File Protection — This appears to have changed, does simply changing ownership of the system32 folder and copying the new winSCard.dll file over allow the new .dll to work? (after restarting the smartcard service)

This is all new to me and any suggestions would be great!

Источник

Информация о системе:

На вашем ПК работает: …

Ошибка Winscard.dll: как исправить?

В начале нужно понять, почему winscard.dll файл отсутствует и какова причина возникновения winscard.dll ошибки. Часто программное обеспечение попросту не может функционировать из-за недостатков в .dll-файлах.

Что означает DLL-файл? Почему возникают DLL-ошибки?

DLL (Dynamic-Link Libraries) являются общими библиотеками в Microsoft Windows, которые реализовала корпорация Microsoft. Известно, что файлы DLL так же важны, как и файлы с расширением EXE. Реализовать DLL-архивы, не используя утилиты с расширением .exe, нельзя.

Файлы DLL помогают разработчикам применять стандартный код с информаций, чтобы обновить функциональность программного обеспечения, не используя перекомпиляцию. Получается, файлы MSVCP100.dll содержат код с данными на разные программы. Одному DLL-файлу предоставили возможность быть использованным иным ПО, даже если отсутствует необходимость в этом. Как итог – нет нужно создавать копии одинаковой информации.

Когда стоит ожидать появление отсутствующей ошибки Winscard.dll?

Когда перед пользователем возникает данное сообщения, появляются неисправности с Winscard.dll

Программа не может запуститься, так как Winscard.dll отсутствует на ПК.
Winscard.dll пропал.
Winscard.dll не найден.
Winscard.dll пропал с ПК. Переустановите программу для исправления проблемы.
«Это приложение невозможно запустить, так как Winscard.dll не найден. Переустановите приложения для исправления проблемы.»

Что делать, когда проблемы начинают появляться во время запуска программы? Это вызвано из-за неисправностей с Winscard.dll. Есть проверенные способы, как быстро избавиться от этой ошибки навсегда.

Метод 1: Скачать Winscard.dll для установки вручную

В первую очередь, необходимо скачать Winscard.dll на компьютер только с нашего сайта, на котором нет вирусов и хранятся тысячи бесплатных Dll-файлов.

Копируем файл в директорию установки программы только тогда, когда программа пропустит DLL-файл.
Также можно переместить файл DLL в директорию системы ПК (для 32-битной системы — C:WindowsSystem32, для 64-битной системы — C:WindowsSysWOW64).
Теперь следует перезагрузить свой ПК.

Метод не помог и появляются сообщения — «winscard.dll Missing» или «winscard.dll Not Found»? Тогда воспользуйтесь следующим методом.