スマートカード

[アーティクル]
07/13/2023

このトピックでは、ユニバーサル Windows プラットフォーム (UWP) アプリでスマートカードを使ってユーザーをセキュリティで保護されたネットワークサービスに接続する方法のほか、物理スマートカードリーダーにアクセスする方法、仮想スマートカードの作成方法、スマートカードとの通信方法、ユーザーの認証方法、ユーザーの PIN のリセット方法、スマートカードの取り外しや切断の方法などについて説明します。

アプリマニフェストを構成する

アプリでスマートカードや仮想スマートカードを使ってユーザーを認証するには、あらかじめプロジェクトの Package.appxmanifest ファイルで、共有ユーザー証明書機能を設定しておく必要があります。

接続されているカードリーダーとスマートカードへのアクセス

DeviceInformation に指定されているデバイス ID を SmartCardReader.FromIdAsync メソッドに渡すと、リーダーや装着されているスマートカードを照会することができます。返されたリーダーデバイスに現在装着されているスマートカードにアクセスするには、SmartCardReader.FindAllCardsAsync を呼び出します。

string selector = SmartCardReader.GetDeviceSelector();
DeviceInformationCollection devices =
    await DeviceInformation.FindAllAsync(selector);

foreach (DeviceInformation device in devices)
{
    SmartCardReader reader =
        await SmartCardReader.FromIdAsync(device.Id);

    // For each reader, we want to find all the cards associated
    // with it.  Then we will create a SmartCardListItem for
    // each (reader, card) pair.
    IReadOnlyList<SmartCard> cards =
        await reader.FindAllCardsAsync();
}

また、カードが挿入されたときのアプリの動作を処理するメソッドを実装して、アプリによる CardAdded イベントの監視を有効にする必要もあります。

private void reader_CardAdded(SmartCardReader sender, CardAddedEventArgs args)
{
  // A card has been inserted into the sender SmartCardReader.
}

その後、返された各 SmartCard オブジェクトを SmartCardProvisioning に渡すことで、その構成へのアクセスやカスタマイズを行うメソッドを使えるようになります。

仮想スマートカードの作成

アプリで SmartCardProvisioning を使って仮想スマートカードを作成するには、まずフレンドリ名、管理者キー、SmartCardPinPolicy を提供する必要があります。通常、フレンドリ名は既にアプリに用意されている可能性がありますが、アプリではさらに、管理者キーを提供し、現在の SmartCardPinPolicy のインスタンスを生成する必要があります。その後、これらの 3 つの値をすべて RequestVirtualSmartCardCreationAsync に渡します。

SmartCardPinPolicy の新しいインスタンスを作成します。
サービスまたは管理ツールから提供された管理者キーの値に対して CryptographicBuffer.GenerateRandom を呼び出して、管理者キーの値を生成します。
これらの値と FriendlyNameText 文字列を RequestVirtualSmartCardCreationAsync に渡します。

SmartCardPinPolicy pinPolicy = new SmartCardPinPolicy();
pinPolicy.MinLength = 6;

IBuffer adminkey = CryptographicBuffer.GenerateRandom(24);

SmartCardProvisioning provisioning = await
     SmartCardProvisioning.RequestVirtualSmartCardCreationAsync(
          "Card friendly name",
          adminkey,
          pinPolicy);

関連付けられた SmartCardProvisioning オブジェクトが RequestVirtualSmartCardCreationAsync から返されたら、仮想スマートカードのプロビジョニングが完了し、使う準備ができたことになります。

注意

UWP アプリを使用して仮想スマートカードを作成するには、アプリを実行するユーザーが Administrators グループのメンバーである必要があります。ユーザーが Administrators グループのメンバーでない場合、仮想スマートカードの作成は失敗します。

認証チャレンジの処理

スマートカードや仮想スマートカードを使って認証するには、カードに格納されている管理者キーのデータと、認証サーバーまたは管理ツールによって管理されている管理者キーのデータとの間で、チャレンジを完了する動作をアプリに実装する必要があります。

次のコードは、サービスのスマートカード認証をサポートする方法、または物理カードや仮想カードの詳細を変更する方法の例を示します。カードの管理者キーを使って生成されたデータ ("challenge") が、サーバーまたは管理者ツールから提供された管理者キーのデータ ("adminkey") と一致すれば、認証は成功します。

static class ChallengeResponseAlgorithm
{
    public static IBuffer CalculateResponse(IBuffer challenge, IBuffer adminkey)
    {
        if (challenge == null)
            throw new ArgumentNullException("challenge");
        if (adminkey == null)
            throw new ArgumentNullException("adminkey");

        SymmetricKeyAlgorithmProvider objAlg = SymmetricKeyAlgorithmProvider.OpenAlgorithm(SymmetricAlgorithmNames.TripleDesCbc);
        var symmetricKey = objAlg.CreateSymmetricKey(adminkey);
        var buffEncrypted = CryptographicEngine.Encrypt(symmetricKey, challenge, null);
        return buffEncrypted;
    }
}

このコードは、このトピックの残りの部分で説明する、認証操作を完了する方法や、スマートカードまたは仮想スマートカードの情報に変更を適用する方法の中で使われます。