Question

我正在尝试从一个工作站（本地）上的智能卡读取凭据，然后将其发送到另一个工作站（远程）并使用它从凭据提供程序中登录到该工作站。

我一直在搜索和研究几周，但没有找到任何人展示或告诉如何做到这一点。

我在https://www.idrix.fr/Root/Samples/LsaSmartCardLogon2.cpp找到了一些出色的工作，这是一个智能卡凭证提供商的工作代码，但不幸的是要求凭据提供者可以直接访问带有凭据的智能卡。

我正在使用的实际代码似乎有点长，以便包含在帖子中所以我想我尝试使用sudo代码提出问题。在本地工作站上：

MySendCredentialsFromSmartCard(){
    CryptAcquireContext(hProv, containerName, cardName, PROV_RSA_FULL, CRYPT_SILENT) 
    CryptGetUserKey(*hProv, AT_KEYEXCHANGE, &hCryptKey); 
    CryptGetKeyParam(hCryptKey, KP_CERTIFICATE, encodedCert, &size, 0); 
    MySendCertToRemote(encodedCert,size); 
}

在自定义凭据提供程序中运行的远程工作站上：

HRESULT CSampleCredential::GetSerialization( 
    _Out_ CREDENTIAL_PROVIDER_GET_SERIALIZATION_RESPONSE *pcpgsr, 
    _Out_ CREDENTIAL_PROVIDER_CREDENTIAL_SERIALIZATION *pcpcs, 
    _Outptr_result_maybenull_ PWSTR *ppwszOptionalStatusText, 
    _Out_ CREDENTIAL_PROVIDER_STATUS_ICON *pcpsiOptionalStatusIcon){ 

    MyReadCertFromRemote(&cert,&size); 
    CryptAcquireContext(&hCryptProv, NULL, NULL, PROV_RSA_FULL, 0); 
    CryptCreateHash(hCryptProv, CALG_SHA1, NULL, 0, &hHash); 
    CryptHashData(hHash, (BYTE *)cert, (DWORD)size, 0); 

    CERT_CREDENTIAL_INFO certInfo; 

    CryptGetHashParam(hHash, HP_HASHVAL, certInfo.rgbHashOfCert, &dwHashLen, 0); 
    CredMarshalCredential(CertCredential, &certInfo, marshalledCred); 
/****************************for debug only*****************************/ 
    LogonUser((*marshalledCred, NULL, NULL, LOGON32_LOGON_NEW_CREDENTIALS, LOGON32_PROVIDER_WINNT50, &userHandle); 
//this reuturns 1 (success) 
/**************************************************************************/ 
    KERB_INTERACTIVE_UNLOCK_LOGON kiul; 
    CREDENTIAL_PROVIDER_USAGE_SCENARIO cpus 
    KerbInteractiveUnlockLogonInit(L"", (PWSTR)marshaledCred, L"", cpus, &kiul);//(note:I've tried this with the third param set to the card's pin) 
    KerbInteractiveUnlockLogonPack(kiul, &pcpcs->rgbSerialization, &pcpcs->cbSerialization); 
    RetrieveNegotiateAuthPackage(&ulAuthPackage); 
    pcpcs->ulAuthenticationPackage = ulAuthPackage; 
    pcpcs->clsidCredentialProvider = CLSID_OfProvider; 
    *pcpgsr = CPGSR_RETURN_CREDENTIAL_FINISHED; 
}

LogonUI.exe显示“指定的登录会话不存在。它可能已经被终止。”此接缝对应于Windows错误代码1312.似乎大多数使用此错误代码的开发人员在使用SSL证书配置IIS时遇到问题。我没有找到与凭据提供程序相关的此错误的引用。各种线程似乎表明LogonUser通常是LSALogonUser的包装器，并且ICredentialProviderCredential :: GetSerialization的返回值将传递给LSALogonUser。我使用编组凭证对LogonUser的调用成功这一事实似乎表明我在正确的轨道上，但我无法验证这一点，也无法弄清楚我错过了什么。我想尝试避免需要将凭证存储在远程工作站上的解决方案，因为它通常是域管理员凭证。任何人的想法？有关如何进行的任何建议？

谢谢

Answer 1

我想您可以使用通信机制将数据从一个工作站发送到另一个工作站，而在远程工作中，您可以在SetSerialization（）而不是GetSerialization（）中序列化数据，准备所有字段并处理登录。

根据我的理解，Provider类（由ICredentialProvider继承的类）必须以某种方式等待这些凭证并将它们传递给SetSerialization

Windows凭据提供程序远程登录

1 个答案: