MFA nie współpracuje z kartą inteligentną

MFA niewspółpracujące z kartą inteligentną wskazuje na brak zainstalowanego middleware producenta karty lub nieaktualny sterownik czytnika.

MFA a karta inteligentna: na czym polega problem

Komunikat „MFA nie współpracuje z kartą inteligentną” oznacza, że uwierzytelnianie wieloskładnikowe nie potrafi poprawnie wykorzystać karty jako jednego z wymaganych elementów logowania. Karta inteligentna przechowuje certyfikat, klucz prywatny albo inne dane kryptograficzne, a dostęp do nich odbywa się za pośrednictwem czytnika, sterownika oraz dodatkowego oprogramowania. Samo włożenie karty do czytnika nie wystarcza, aby system operacyjny i usługa MFA mogły ją rozpoznać.

W praktyce występuje kilka niezależnych warstw. Czytnik musi być wykryty przez komputer, karta musi zostać rozpoznana przez odpowiedni interfejs, certyfikat powinien być widoczny dla systemu, a aplikacja obsługująca MFA musi umieć korzystać z tego certyfikatu. Błąd może pojawić się na dowolnym etapie. Dlatego identyczny komunikat może wskazywać zarówno na brak właściwego middleware producenta karty, jak i na niezgodność wersji sterownika, uszkodzenie profilu certyfikatu, niewłaściwą konfigurację przeglądarki albo problem z samym czytnikiem.

Nie należy utożsamiać karty inteligentnej z typowym kodem jednorazowym wysyłanym wiadomością ani z aplikacją generującą kody na telefonie. Karta korzysta z mechanizmów kryptograficznych i często wymaga podania numeru PIN. Jeżeli aplikacja MFA oczekuje tokena programowego, a środowisko udostępnia wyłącznie kartę przez interfejs kryptograficzny, logowanie może zostać odrzucone mimo prawidłowego PIN-u.

MFA niewspółpracujące z kartą inteligentną a warstwy zgodności

Najważniejsza różnica dotyczy sposobu komunikacji. Karta może być obsługiwana przez standard PC/SC, moduł PKCS#11, dostawcę CSP albo interfejs CNG. Konkretna aplikacja MFA może wymagać tylko jednego z tych mechanizmów. Czytnik będzie wtedy widoczny w systemie, lecz usługa logowania nie zobaczy certyfikatu albo nie będzie mogła użyć klucza prywatnego. Taki przypadek bywa mylący, ponieważ narzędzie systemowe może pokazywać obecność karty, a ekran logowania nadal zgłasza brak zgodnego składnika uwierzytelniania.

Ważna jest również zgodność pomiędzy systemem operacyjnym, middleware, sterownikiem czytnika i aplikacją używaną do logowania. Aktualizacja jednego elementu może zmienić sposób rejestrowania dostawcy kryptograficznego, lokalizację certyfikatów albo zasady dostępu do klucza prywatnego. Problem może wystąpić po aktualizacji systemu, wymianie przeglądarki, przejściu na inną wersję aplikacji MFA lub podłączeniu czytnika do innego portu USB.

Warto rozróżnić trzy sytuacje. W pierwszej czytnik nie pojawia się w systemie, więc należy sprawdzić sterownik, przewód, port i zasilanie. W drugiej czytnik działa, ale karta nie jest wykrywana, co może wiązać się ze stykami, orientacją karty, profilem użytkownika lub middleware. W trzeciej karta jest widoczna, jednak nie pojawia się właściwy certyfikat albo nie można użyć klucza prywatnego. Wtedy większe znaczenie ma konfiguracja certyfikatów, łańcuch zaufania, uprawnienia i sposób integracji z MFA.

Karta inteligentna różni się też od klucza sprzętowego USB. Oba rozwiązania mogą chronić klucz prywatny przed eksportem, ale korzystają z innych sterowników i bibliotek. Instrukcja przeznaczona dla klucza sprzętowego nie musi pasować do karty, nawet jeśli oba urządzenia służą do logowania wieloskładnikowego. Podobnie certyfikat używany do podpisu dokumentu nie zawsze może zostać użyty do uwierzytelniania w konkretnej usłudze.

Typowe objawy, gdy MFA nie rozpoznaje karty inteligentnej

Objawy zależą od miejsca, w którym pojawia się niespójność. Przy braku sterownika czytnik może pozostać niewidoczny w menedżerze urządzeń albo być oznaczony jako urządzenie nierozpoznane. Czasem system sygnalizuje podłączenie sprzętu, ale nie udostępnia usług karty. W takim przypadku aplikacja MFA nie ma dostępu do certyfikatów, ponieważ nie działa podstawowy kanał komunikacji.

Gdy middleware jest nieobecny lub nieprawidłowy, karta może być wykrywana jako urządzenie, lecz nie będzie widoczna w narzędziu producenta. Może też pojawić się monit o PIN, po którym następuje błąd bez możliwości wyboru certyfikatu. Zdarza się również, że jeden program widzi kartę, a inny jej nie wykrywa. Zwykle wskazuje to na korzystanie z różnych dostawców kryptograficznych, odmienne ustawienia magazynu certyfikatów lub brak integracji z biblioteką PKCS#11.

Inny wariant polega na wyświetlaniu certyfikatu, ale odrzucaniu logowania po jego wybraniu. Przyczyną może być certyfikat po terminie, brak odpowiedniego przeznaczenia klucza, niepełny łańcuch certyfikacji, niedostępny urząd certyfikacji albo niezgodna nazwa użytkownika. W niektórych systemach karta wymaga osobnego certyfikatu do logowania, a certyfikat podpisu lub szyfrowania nie będzie akceptowany przez MFA.

Należy zwrócić uwagę na zachowanie po wpisaniu PIN-u. Wielokrotne próby bez sprawdzenia ustawień mogą doprowadzić do zablokowania karty. Jeżeli PIN jest przyjmowany, lecz logowanie nadal się nie kończy, problem może leżeć po stronie certyfikatu lub polityki MFA, a nie samego kodu. Jeżeli monit o PIN nie pojawia się wcale, warto rozpocząć od sprawdzenia czytnika, middleware i dostawcy kryptograficznego.

Jak sprawdzić MFA i kartę inteligentną krok po kroku

Najpierw należy odłączyć kartę, ponownie uruchomić komputer i podłączyć czytnik bezpośrednio do sprawnego portu. Następnie warto sprawdzić, czy system wykrywa urządzenie bez ostrzeżenia oraz czy właściwy sterownik jest aktywny. Podłączanie przez pasywny koncentrator USB może utrudniać diagnozę, dlatego na czas testu lepiej użyć portu znajdującego się bezpośrednio w komputerze.

Kolejnym krokiem jest sprawdzenie oprogramowania producenta karty. Należy ustalić, czy zainstalowany jest właściwy middleware dla danego modelu karty i systemu, a także czy jego usługi działają po ponownym uruchomieniu. Nie powinno się instalować przypadkowych pakietów o podobnej nazwie, ponieważ kilka konkurencyjnych bibliotek może przejmować ten sam interfejs i powodować konflikt.

Po wykryciu karty należy sprawdzić, czy dostępny jest certyfikat przeznaczony do uwierzytelniania. Weryfikacji wymagają między innymi termin ważności, przeznaczenie klucza, obecność klucza prywatnego oraz poprawność łańcucha zaufania. Jeżeli certyfikat jest widoczny, ale nie można wykonać operacji kryptograficznej, należy sprawdzić, czy karta nie jest zablokowana i czy użytkownik ma prawo korzystać z odpowiedniego dostawcy.

Warto wykonać test w aplikacji wskazanej przez dostawcę usługi MFA, a następnie porównać wynik z próbą w innej aplikacji korzystającej z certyfikatu. Taka różnica pomaga ustalić, czy problem dotyczy sprzętu, czy integracji z konkretną usługą. Należy także sprawdzić ustawienia przeglądarki, rozszerzenia bezpieczeństwa, magazyn certyfikatów oraz zasady wymagające określonej metody logowania. Po każdej zmianie trzeba ponownie uruchomić aplikację, ponieważ część bibliotek jest ładowana tylko podczas startu.

Przydatne jest zapisanie dokładnego komunikatu, czasu wystąpienia problemu, nazwy aplikacji, modelu czytnika i informacji o ostatnich aktualizacjach. Pozwala to uniknąć wymiany sprawnych elementów na podstawie samego ogólnego komunikatu MFA. Jeżeli karta działa na innym komputerze, porównanie wersji middleware, sterowników i ustawień certyfikatów może szybko wskazać różnicę.

Kiedy zgłosić MFA z kartą inteligentną do serwisu

Do serwisu warto zgłosić się wtedy, gdy czytnik jest wykrywany niestabilnie, karta działa tylko w wybranych aplikacjach, certyfikat znika po aktualizacji albo logowanie przestaje działać mimo prawidłowego PIN-u. Pomoc techniczna jest szczególnie przydatna, gdy konieczne jest rozdzielenie problemu sprzętowego od błędu konfiguracji MFA, bez wielokrotnego instalowania przypadkowych sterowników i bez ryzyka zablokowania karty.

W ramach przygotowania należy przekazać model czytnika, rodzaj karty, nazwę używanej usługi MFA, system operacyjny, treść komunikatu oraz informację, czy karta działała wcześniej. Nie należy przekazywać PIN-u ani klucza prywatnego. Jeżeli wymagane są pliki diagnostyczne, powinny zostać przygotowane zgodnie z zasadami bezpieczeństwa, z pominięciem danych uwierzytelniających.

W Warszawie można skorzystać z pomocy Warszawskiego Pogotowia Komputerowego 24/7, kontaktując się pod numerem +48 22 100 48 29. Przed przekazaniem sprzętu warto ustalić, czy potrzebne będzie sprawdzenie samego komputera, czy także czytnika, karty i oprogramowania dostawcy. Po uporządkowaniu sterowników, middleware oraz ustawień certyfikatów można ponownie skonfigurować MFA i sprawdzić logowanie w warunkach odpowiadających codziennemu użyciu.