E-administración
Alcance de las funcionalidades
Soporte para el DNIe y lectores de C3PO en Firefox, Evolution y OpenOffice
Soporte para certificados digitales en archivos p12 que se encuentren en una memoria USB
Soporte para importar los certificados raiz de la Policía Nacional y de la FNMT en Firefox de forma sencilla
Configuracion de las librerías de Java necesarias para que los trámites con la Junta de Andalucía que las requiren funcionen: JSS3.3
Tareas pendientes
Cambios realizados
Cambio de una opción por defecto de Firefox: debe preguntar siempre qué certificado se tiene que usar cuando una web le pide uno.
Los usuarios nuevos pertenecen al grupo scard (smart cards)
El fichero /etc/libccid_Info.plist ha sido modificado para que funcionen los nuevos lectores de C3PO
Hermes ha sido moficiado para que pueda ejecutar más de un actor en un mismo dispositivo hardware (memorias USB)
El DNIe no permite firmar correos electrónicos ni tampoco cifrar mensajes. Para que pudiera firmar correos sería necesario que la dirección de correo electrónico del usuario estuviera almacenada dentro del DNIe.
Banco de pruebas
NOTAS
Documentación relevante
General:
Certificados:
-
-
-
signtool (
doc) y
certutil (
doc) están dentro del
paquete libnss3-tools, que depende de libnspr4-0d y libnss3-0d (todos en Universe)
Mirar
Chapter 2: Security, concretamente el hack #17, de
Firefox Hacks para una explicación de cómo manejar los certificados de Firefox desde la línea de comandos.
-
-
Tarjetas:
Lectores:
Antiguo (obsoleto):
Firma de PDFs (actualmente fuera de alcance):
Recursos de e-administración:
Resultados y tareas en curso
Dispositivos lectores SmartCard
Lista de lectores
Lectores externos
Lectores teclado
Lectores portátiles
móviles
Mejorar soporte de detección
estudiar Hermes
estudiar posibilidad de tener paquetes preinstalados: pcscd, pcsc-tools, libccid
comprobar si el evento de inserción de tarjetas pasa a través de hald: No (probado con hermes_hardware.py corriendo, y sudo pcscd -f -d)
estudiar cómo realizar las notificaciones para inserción a tarjetas
Alternativa 1: a través libccid, notificando al kernel que lo notifica a través de hald por dbus
Alternativa 2: a través de pcscd, insertando un mensaje en dbus
Alternativa 3 ?: a través de OpenCT
pcscd y drivers:
carga de los drivers puerto serie RS232: config en /etc/readers.conf, drivers en: /usr/lib/pcsc/drivers
carga de los drivers USB: sin modificar /etc/readers.conf, drivers vienen bundles, usa: if-ccid.bundle (libccid)
libccid (para protocolo CCID con lector Smartcard), soporte de lectores se puede ver son apt-cache show libccid
para C3PO LTC31 USBv2 es necesario modificar el /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.list == /etc/libccid_Info.plist (para incluir vendorid:productid, podría hacerse con parche)
TODO: incluir lista VendorId/ProductId lectores en pcsc
Tarjetas
para ver tipo de tarjeta insertada, usar: pcsc_scan
ruta lista tarjetas: dapper: /usr/lib/pcsc/smartcard_list.txt, en Edgy: /usr/share/pcsc/smartcard_list.txt (! ha cambiado !)
mandado correo a FNMT para obtener lista de tarjetas con sus ATR. Obtenido respuesta de Josep Monés con los ATR de 3 tarjetas.
mandado correo a ludovic para incluir tarjeta FNMT-WG10 y los que me ha dado Josep. (2-11-06)
TODO: verificar e incluir nuevo smartcard_list.txt
-
Hay en producción una nueva versión con versiones actualizadas para DNI-e y tb tarjetas FNMT-Ceres
OpenSC+drivers (DNI-e + Ceres) nuevos redistribuibles? En principio sí.
mandado otro correo a Juan Antonio Martínez (31-10-06), recibido respuesta 31-10-06
mandado correo a oficinatecnica@dnielectronico.es y a tarjetas@fnmt.es (2-11-06)
charla telefónica con Josep (2-11-06)
Es necesario OpenSC-Ceres para tarjetas FNMT para soporte pkcs#11
OpenSC-Ceres no está mantenido / actualizado. Se puede recompilar, pero necesita OpenSC-0.8.1 (se puede obtener desde repositorio OpenSC)
estudiar OpenCT: ¿es alternativa a pcscd? TODO
¿Qué es pkcs#11/Cryptoki? Estándar RSA para accesos a dispositivos (token) criptográficos (tarjetas), para firmar, comprobación de firma, etc. define
API en C
Sitio RSA ¿Qué es pkcs#15? Estándar RSA de cómo almacenar la información en una tarjeta (token criptográfico)
¿hace falta OpenSC-ceres para usarlo con tarjetas FNMT pkcs#11? Sí.
Notas sobre los paquetes Debian del DNIe
El paquete opensc-dnie hace cosas especiales en el script de postinstalacion:
Modifica algunos archivos de configuracion de opensc
Modifica la sesion por defecto de GNOME y KDE.
Pide al usuario que cierre la sesion actual y vuelva a entrar.
En el siguiente inicio de sesion se lanza el Firefox dos veces:
Se ha reempaquetado el paquete opensc-dnie para evitar estos problemas y cambiar sus dependencias a los paquetes mainstream.
Comandos utiles para manejar la base de datos de seguridad de Firefox (y Evolution)
Estos comandos se encuentran en el paquete libnss3-tools, que depende de libnspr4-0d y libnss3-0d. Todos estos paquetes estan en Universe.
* Para agregar un certificado raiz de una CA:
certutil -A -a -d "." -i /usr/share/ca-certificates/fnmt/FNMTClase2CA.crt -n "FNMT" -t "TCu,Cu,Cu"
Importante: a diferencia de lo que dice el hack 17 de los Firefox hacks, el certificado no puede estar en formato DER. Tiene que ser en ASCII.
* Para agregar un certificado de usuario:
pk12util -i /home/lgs/micertificado.pk12 -d "." -w fichero_con_el_password
* Para listar los certificados:
certutil -L -d "."
* Para incluir el modulo criptografico del DNIe:
modutil -add DNIe -libfile /usr/lib/opensc-pkcs11.so -mechanisms FRIENDLY -dbdir "."
* Para listar los modulos criptograficos:
modutil -list -dbdir "."
* Para crear un profile de Firefox en caso de que no hubiera ninguo creado aun:
firefox -CreateProfile "nombre"
Uso de firmas digitales en aplicaciones y unificación de fuentes de certificados
Contactos
