Problema

En muchas organizaciones se requiere que los usuarios inicien sesión en Windows mediante Smart Card (PIV) respaldado por YubiKey. El proceso estándar obliga a abrir certmgr.msc, seleccionar la plantilla de AD CS adecuada, generar la solicitud de certificado y escribirlo en la ranura 9A del token. Para usuarios sin conocimientos de PKI, cada paso es una fuente de error: selección incorrecta de plantilla, fallos al exportar la clave, o bloqueo del PIN. El resultado típico es una llamada al help‑desk de 20‑30 minutos por usuario, lo que escala rápidamente en despliegues de decenas o cientos de equipos.

El problema no es exclusivo de YubiKey; cualquier solución basada en PIV que dependa de la UI nativa de Windows sufre de la misma fricción. Cuando la política de la empresa exige renovación automática, la falta de una herramienta de verificación y notificación genera certificados caducados sin que el usuario lo note, provocando bloqueos de acceso inesperados.

Causa

  1. Interfaz manual de certmgr.msc – La consola está pensada para administradores, no para usuarios finales. No muestra de forma clara si el token ya posee un certificado válido ni permite iniciar la inscripción con un solo clic.
  2. Dependencia de la plantilla de certificado – La plantilla correcta (por ejemplo, SmartCardLogon) debe estar visible y seleccionada manualmente; un error de selección genera un certificado no utilizable para logon.
  3. Generación de claves fuera del token – Algunas guías recomiendan crear la clave en el equipo y luego importarla, lo que expone la clave privada a la memoria del host y rompe la premisa de “key‑on‑chip”.
  4. Falta de integración con herramientas de despliegue – SCCM, Intune o scripts de PowerShell no pueden invocar la UI de certmgr.msc de forma silenciosa, lo que impide automatizar la inscripción en flujos de CI/CD o políticas de cumplimiento.
  5. Gestión de expiración inexistente – Sin un mecanismo de notificación, los usuarios no saben cuándo su certificado está próximo a expirar, y el help‑desk termina renovando manualmente.

Solución

Una herramienta independiente que combine una GUI mínima para usuarios y una CLI silenciosa para automatización cubre todas las causas enumeradas. Los componentes clave son:

  1. Detección automática del token – Al iniciar, la aplicación enumera los dispositivos YubiKey conectados y verifica si la ranura 9A contiene un certificado válido. Si no lo hay, muestra un botón grande “Enroll”.
  2. Generación de CSR dentro del token – Utiliza la SDK oficial de Yubico (o BouncyCastle) para crear una clave RSA/ECC directamente en la YubiKey y generar un CSR PKCS#10 sin que la clave salga del chip.
  3. Envío del CSR al Windows CA – Un wrapper discreto de certreq.exe firma el CSR con la plantilla configurada (por ejemplo, SmartCardLogon) y devuelve el certificado. La herramienta debe permitir especificar la plantilla mediante parámetro o configuración centralizada.
  4. Importación automática al token – El certificado recibido se escribe de nuevo en la ranura 9A, completando el ciclo sin intervención del usuario.
  5. Modo headless – Parámetros como --silent, --check-expiry, --enroll-on-behalf-of <UPN> permiten ejecutar la herramienta desde SCCM, Intune o scripts de PowerShell. El proceso devuelve códigos de salida estándar (0 = éxito, 10 = certificado próximo a expirar, 1 = error).
  6. Notificaciones de expiración – Un pequeño agente programado (tarea programada) ejecuta --check-expiry y, si el certificado está a menos de X días de caducar, muestra una toast de Windows invitando al usuario a reenrolar.
  7. Distribución como binario auto‑contenedor – Compilar con .NET 8 (o Go) en modo single‑file elimina la necesidad de instalar runtimes adicionales; basta copiar el .exe a cualquier workstation.

Alternativas prácticas

  • PowerShell + CertEnroll – Si no se desea una GUI, se puede crear una función que invoque New-SelfSignedCertificate con -KeySpec Signature y -Provider "YubiKey PIV"; sin embargo, la gestión de la UI de selección de plantilla sigue siendo manual.
  • Uso de piv-tool (Linux) – En entornos mixtos, piv-tool permite generar CSR y escribir certificados, pero requiere scripts adicionales para interactuar con la CA de Windows.
  • Soluciones comerciales – Versasec o Entrust ofrecen portales web, pero el coste y la complejidad superan lo necesario para un despliegue estándar de AD Smart Card.

Cuándo aplicar esta solución

  • Entornos con cientos de usuarios que deben usar Smart Card para logon y donde el help‑desk está saturado con llamadas de enrolamiento.
  • Políticas de renovación automática que exigen notificar al usuario antes de la expiración.
  • Infraestructura basada en SCCM/Intune que necesita ejecutar tareas de enrolamiento sin interacción del usuario.
  • Escenarios donde la seguridad de la clave privada es crítica y se requiere generación on‑chip exclusivamente.

No es adecuada si:

  • Solo se necesita enrolar uno o dos usuarios esporádicamente; la sobrecarga de mantener una herramienta propia puede no justificar el esfuerzo.
  • La organización ya cuenta con una solución comercial que cubre todos los requisitos de auditoría y reporting.

Código

# Ejemplo de ejecución headless para renovación automática
yubi-enroller.exe --silent --check-expiry --threshold 15
# Salida:
# 0  -> certificado válido >15 días
# 10 -> caduca dentro de 15 días (se muestra toast)
# 1  -> error (log en %TEMP%\yubi-enroller.log)

Verificación

  1. Conecta la YubiKey y ejecuta la herramienta sin parámetros.
  2. Si el botón “Enroll” aparece, pulsa y verifica que la ventana indique “Certificate installed successfully”.
  3. Abre certmgr.msc → Personal → Certificates y comprueba que el certificado tiene la plantilla SmartCardLogon y la ranura 9A está marcada como “Valid”.
  4. Ejecuta yubi-enroller.exe --check-expiry y revisa el código de salida. Un código 10 debe generar una toast; confirma que al hacer clic en la notificación se abre la UI de enrolamiento.

Notas adicionales

  • Bloqueo del PUK – La herramienta puede desactivar temporalmente el PUK durante la inscripción para evitar que el usuario quede bloqueado por error. Documenta claramente la política de “wipe‑and‑re‑enroll” en caso de bloqueo.
  • Configuración de la plantilla – Mantén la plantilla de AD CS en un archivo de configuración (JSON o XML) para que los cambios de política no requieran recompilar la herramienta.
  • Logs – Redirige la salida de certreq.exe a un archivo de log; esto simplifica la depuración cuando la CA rechaza el CSR por motivos de autorización.
  • Pruebas de CI – Incluye pruebas unitarias que simulen la generación de CSR y la respuesta de la CA usando mocks; esto garantiza que futuras actualizaciones de la SDK no rompan la cadena de enrolamiento.
  • Compatibilidad de versiones – La herramienta funciona con Windows 10/11 y versiones de Windows Server 2016 en adelante; verifica que el módulo de PowerShell PKI está disponible en los hosts donde se ejecuta la CLI.