Mit CodeB SmartLogin kann die Zugangskarte eines Mitarbeiters in der CodeB-Wallet-App (myEUID) auf einem Android-Telefon liegen — statt oder neben einer Kunststoffkarte. An einem Windows-PC mit normalem NFC-Leser öffnet der Mitarbeiter die Karte in der App, entsperrt das Telefon und hält es auf den Leser — CodeB meldet an oder entsperrt Windows genau wie mit einer NFC-Karte aus Kunststoff, samt Karten-Token, Karten in Active Directory, Gemeinschaftskonten und Anmelde-Audit.
An Windows mit dem Telefon statt einer NFC-Karte anmelden
Die Funktion „Telefon als Anmeldekarte“ lässt ein Android-Telefon mit der CodeB Wallet am Windows-Anmeldebildschirm an die Stelle einer NFC-Zugangskarte aus Kunststoff treten. Der Mitarbeiter öffnet die Karte in der App („Use at reader“), entsperrt das Telefon und hält es auf einen normalen NFC-Leser; die CodeB-SmartLogin-Kachel meldet den Benutzer an oder entsperrt die Sitzung.
Alles, was mit einer Kunststoffkarte funktioniert, funktioniert mit dem Telefon: Karten-Token, in Active Directory gespeicherte Karten, mehrere Karten (und Telefone) für ein gemeinsames Konto, das Anmelde-Audit (Ereignisse 1100/1101 erfassen die ID der Telefonkarte) und CodeBAdminCLI /updatecards.
Diese Seite behandelt das Telefon als CodeB-NFC-Karte über die CodeB-Kachel. Wenn Sie die passwortlose Anmeldung ohne CodeB-Software auf dem PC möchten, siehe stattdessen das Telefon als PKI-Smartcard.
Warum ist es sicher?
- Es wird keine feste Nummer gesendet. Bei jedem Auflegen sendet der PC eine neue zufällige Challenge, und das Telefon signiert sie mit einem Schlüssel, der die sichere Hardware des Telefons (StrongBox / TEE) nie verlässt.
- Vom Aussteller signierte Kartendaten. Die Kartendaten sind vom Aussteller (CodeB) signiert, mit der Kette bis zum Zertifikat
CodeB IACA phone.codeb.io. Der PC prüft die gesamte Kette offline — zum Zeitpunkt der Anmeldung ist kein Internet nötig. - Bewusste, frische Vorlage. Das Telefon muss entsperrt sein, und die Karte muss in den letzten 60 Sekunden in der App gewählt worden sein.
- Pseudonym. Der PC erfährt nur eine pseudonyme Karten-ID — nie den Namen des Mitarbeiters oder andere personenbezogene Daten.
- Standards. ISO/IEC-18013-5-Daten (mdoc), ECDSA-P-256-Signaturen und FIPS-140-2-zugelassene Algorithmen auf dem PC.
Wie richten Sie es ein?
- Stellen Sie die Zugangskarte auf das Telefon des Mitarbeiters auf der CodeB-Admin-Seite aus (
phone.codeb.io, „NFC access cards“). Die Karte muss die Site-ID der PCs enthalten (zum Beispielwindows-logonoder den Standortnamen des Kunden). - Setzen Sie auf den PCs die unten genannten Registry-Werte unter
HKLM\SOFTWARE\WOW6432Node\CodeB\CAP1(REG_SZ, am besten per Gruppenrichtlinien-Einstellung).SiteIdist erforderlich; ohne sie ist die Telefonanmeldung aus. - Verknüpfen Sie die Telefonkarte genau wie eine Kunststoffkarte mit dem Windows-Konto: Telefon im CodeB-Kartenwerkzeug (
LinkNFCCard) auflegen oderCodeBAdminCLI /add2fs//add2admit der angezeigten Karten-ID verwenden. Der zum Verknüpfen genutzte PC braucht dieselbeSiteId. - Fertig. Der Mitarbeiter legt das Telefon am Anmeldebildschirm auf.
Welche Registry-Werte braucht die Telefonkarte?
Alle Werte sind REG_SZ unter HKLM\SOFTWARE\WOW6432Node\CodeB\CAP1. Siehe die vollständige Registry-Referenz.
| Wert | Bedeutung |
|---|---|
SiteId | Erforderlich. Die Site-ID, für die die Karte ausgestellt wurde. Ohne sie ist die Telefonanmeldung aus. |
RequiredGroup | Optionale Zugangsgruppe, die die Karte haben muss (zum Beispiel windows-logon). |
MaxStatusAgeDays | Optional, Standard 7: wie alt die neueste Sperrliste sein darf (für Offline-Laptops). |
ReaderId | Optionaler Name des PCs, der an das Telefon gesendet wird (Standard: Computername); erscheint im Verlauf des Telefons. |
Ein Kunde mit eigenem Ausstellerzertifikat kann sein IACA-Zertifikat als .pem/.cer-Datei in C:\ProgramData\CodeB\CAP1\ ablegen — verwendet werden nur Dateien, die normale Benutzer nicht ändern können. Mit DisableBuiltInIaca = 1 wird nur diesen Dateien vertraut.
Telefon mit einem Windows-Konto verknüpfen
Eine Telefonkarte wird genau wie eine NFC-Karte aus Kunststoff verknüpft. Legen Sie das Telefon in LinkNFCCard auf und lesen Sie die Karten-ID, oder skripten Sie es mit CodeBAdminCLI /add2fs (Karten-Token) oder /add2ad (Speicherung in Active Directory) mit dieser ID. Da eine Telefonkarte neben anderen Karten und Telefonen mit einem gemeinsamen Konto verknüpft werden kann, siehe Gemeinschaftskonten mit mehreren Karten für Schichtbetrieb und Token verknüpfen für die vollständige Linker-Referenz.
Offline-Nutzung und Sperrung
- Ohne Internet: Die Anmeldung funktioniert offline. Nur die Sperrliste muss hin und wieder aktualisiert werden (standardmäßig mindestens alle 7 Tage, siehe
MaxStatusAgeDays). - Verlorenes Telefon: Sperren Sie die Karte auf der CodeB-Admin-Seite und stellen Sie eine neue aus. Die PCs weisen die gesperrte Karte zurück, sobald sie die neue Sperrliste haben (sie holen sie im Hintergrund; Laptops arbeiten standardmäßig bis zu 7 Tage offline). Die neue Karte hat eine neue ID, also verknüpfen Sie sie erneut mit dem Konto.
Die CodeB Wallet ist für Android-Telefone mit NFC verfügbar. Das Telefon muss entsperrt sein. Eine Sperrung erreicht einen Offline-PC erst, wenn dieser die neue Sperrliste geholt hat.
Fehlerbehebung
Beim Auflegen des Telefons passiert nichts
Öffnen Sie die Karte in der CodeB Wallet („Use at reader“) und legen Sie innerhalb von 60 Sekunden auf; das Telefon muss entsperrt sein.
Die Telefonkarte wird abgewiesen
Prüfen Sie, ob die SiteId des PCs zu der Site passt, für die die Karte ausgestellt wurde, ob eine etwaige RequiredGroup auf der Karte vorhanden ist und ob die Sperrliste des PCs aktuell ist (innerhalb von MaxStatusAgeDays).
Häufige Fragen
Welche Telefone können verwendet werden?
Android-Telefone mit NFC und der CodeB-Wallet-App. Die App ist derzeit für Android verfügbar.
Welche Leser funktionieren?
Dieselben PC/SC-NFC-Leser wie für Kunststoffkarten.
Funktioniert die Telefonanmeldung ohne Internet?
Ja. Die Anmeldung wird offline geprüft; nur die Sperrliste muss hin und wieder aktualisiert werden (Standard mindestens alle 7 Tage).
Was geschieht mit dem Audit bei einem Telefon?
Das CodeB-Anmelde-Audit funktioniert wie bei einer Karte: Die Ereignisse 1100 (Erfolg) und 1101 (Fehlschlag) erfassen die pseudonyme ID der Telefonkarte, das Konto und den PC. Siehe Anmelde-Audit-Ereignisse.