スマートカード

[アーティクル]
08/09/2024

このトピックでは、Windows アプリでスマートカードを使用して、物理的なスマートカードリーダーにアクセスする方法、仮想スマートカードを作成する方法、スマートカードと通信する方法、ユーザーを認証する方法、ユーザー PIN をリセットする方法、スマートカードを削除または切断する方法など、ユーザーをセキュリティで保護されたネットワークサービスに接続する方法について説明します。

スマートカード用の Windows ランタイム (WinRT) API は、Windows ソフトウェア開発キット (SDK)の一部です。これらの API は、ユニバーサル Windows プラットフォーム (UWP) アプリで使用するために作成されましたが、WinUI アプリや、WPF やWindows フォームなどのパッケージデスクトップアプリでも使用できます。 Windows デスクトップアプリで WinRT API を使用する方法の詳細については、「デスクトップアプリでの Call Windows ランタイム API」を参照してください。

アプリマニフェストを構成する

アプリでスマートカードまたは仮想スマートカードを使用してユーザーを認証するには、WinUI プロジェクトまたはパッケージ化プロジェクトの Package.appxmanifest ファイルで Shared ユーザー証明書 機能を設定する必要があります。

接続されているカードリーダーとスマートカードへのアクセス

DeviceInformation に指定されているデバイス ID を SmartCardReader.FromIdAsync メソッドに渡すと、リーダーや装着されているスマートカードを照会することができます。返されたリーダーデバイスに現在装着されているスマートカードにアクセスするには、SmartCardReader.FindAllCardsAsync を呼び出します。

string selector = SmartCardReader.GetDeviceSelector();
DeviceInformationCollection devices =
    await DeviceInformation.FindAllAsync(selector);

foreach (DeviceInformation device in devices)
{
    SmartCardReader reader =
        await SmartCardReader.FromIdAsync(device.Id);

    // For each reader, we want to find all the cards associated
    // with it. Then we will create a SmartCardListItem for
    // each (reader, card) pair.
    IReadOnlyList<SmartCard> cards =
        await reader.FindAllCardsAsync();
}

また、カードが挿入されたときのアプリの動作を処理するメソッドを実装して、アプリによる CardAdded イベントの監視を有効にする必要もあります。

private void reader_CardAdded(SmartCardReader sender, CardAddedEventArgs args)
{
  // A card has been inserted into the sender SmartCardReader.
}

その後、返された各 SmartCard オブジェクトを SmartCardProvisioning に渡すことで、その構成へのアクセスやカスタマイズを行うメソッドを使えるようになります。

仮想スマートカードの作成

アプリで SmartCardProvisioning を使って仮想スマートカードを作成するには、まずフレンドリ名、管理者キー、SmartCardPinPolicy を提供する必要があります。通常、フレンドリ名は既にアプリに用意されている可能性がありますが、アプリではさらに、管理者キーを提供し、現在の SmartCardPinPolicy のインスタンスを生成する必要があります。その後、これらの 3 つの値をすべて RequestVirtualSmartCardCreationAsync に渡します。

SmartCardPinPolicy の新しいインスタンスを作成します。
サービスまたは管理ツールから提供された管理者キーの値に対して CryptographicBuffer.GenerateRandom を呼び出して、管理者キーの値を生成します。
これらの値と FriendlyNameText 文字列を RequestVirtualSmartCardCreationAsync に渡します。

var pinPolicy = new SmartCardPinPolicy
    {
        MinLength = 6
    };

IBuffer adminkey = CryptographicBuffer.GenerateRandom(24);

SmartCardProvisioning provisioning = await
     SmartCardProvisioning.RequestVirtualSmartCardCreationAsync(
          "Card friendly name",
          adminkey,
          pinPolicy);

関連付けられた SmartCardProvisioning オブジェクトが RequestVirtualSmartCardCreationAsync から返されたら、仮想スマートカードのプロビジョニングが完了し、使う準備ができたことになります。

Note

パッケージ化された Windows アプリを使用して仮想スマートカードを作成するには、アプリを実行しているユーザーが管理者グループのメンバーである必要があります。ユーザーが Administrators グループのメンバーでない場合、仮想スマートカードの作成は失敗します。

認証チャレンジの処理

スマートカードや仮想スマートカードを使って認証するには、カードに格納されている管理者キーのデータと、認証サーバーまたは管理ツールによって管理されている管理者キーのデータとの間で、チャレンジを完了する動作をアプリに実装する必要があります。

次のコードは、サービスのスマートカード認証をサポートする方法、または物理カードや仮想カードの詳細を変更する方法の例を示します。カードの管理者キーを使って生成されたデータ ("challenge") が、サーバーまたは管理者ツールから提供された管理者キーのデータ ("adminkey") と一致すれば、認証は成功します。

static class ChallengeResponseAlgorithm
{
    public static IBuffer CalculateResponse(IBuffer challenge, IBuffer adminkey)
    {
        if (challenge == null)
            throw new ArgumentNullException("challenge");
        if (adminkey == null)
            throw new ArgumentNullException("adminkey");

        SymmetricKeyAlgorithmProvider objAlg = SymmetricKeyAlgorithmProvider.OpenAlgorithm(SymmetricAlgorithmNames.TripleDesCbc);
        var symmetricKey = objAlg.CreateSymmetricKey(adminkey);
        var buffEncrypted = CryptographicEngine.Encrypt(symmetricKey, challenge, null);
        return buffEncrypted;
    }
}

このコードは、このトピックの残りの部分で説明する、認証操作を完了する方法や、スマートカードまたは仮想スマートカードの情報に変更を適用する方法の中で使われます。