ID tarkvara

[akbgf]

OpenSUSE 42.3. Tõmbasin git-st ja kompileerisin opensc ja libdigidoc, libdigidocpp ja digidoc4. Vanu ID-kaarte saab kasutada probleemideta, aga äsja saadud uue kaardi kohta ütleb, et:

Kood: Vali kõik

opensc-tool -n
Using reader with a card: Broadcom Corp 5880 [Contacted SmartCard] (0123456789ABCD) 01 00
Unsupported card

Millest alustada?

Veebilehel 'ID-tarkvara komponentide kõige uuemad versioonid' vaatab linuxite rubriigis vastu awp (idemia) 5.3.0.18.04.75,
aga kust saada muud kui .deb, pole aimugi.

[tonks]

Kas awp pakk on paigaldatud, see peaks otseselt olema seotud uute kaartidega, vanadel pole seda vaja.

[Gomi]

Alien pakiga saab ehk AWP .deb paki muuta .rpm'iks. Kui absoluutselt mingit muud võimalust ei ole, siis on võimalik ka vajalikud failid lihtsalt .deb'ist ekstraktida.

[mait]

Uurin seda AWP pakki.

Aga kas opensc-tools ja pkcs11-tool ja pkcs15-tool uusi ID-kaarte enam ei tunnegi ära? Nende vahendite abil oli lihtne testida, kas kaart on üldse kasutatav enne kui näiteks veebis allkirjastamise probleemide juurde asuda.

... hiljem ...

Raske on uue ID-kaardiga. Miks ei võiks see awp olla githubis saadaval? Või siis vähemalt mõned selged vihjed, et kuidas saaks. Praegu tundub dokumentatsioon täiesti unustatud olevat

Kood: Vali kõik

https://github.com/OpenSC/OpenSC/wiki/Estonian-eID-%28EstEID%29
Estonian eID (EstEID)
Viktor Tarasov edited this page on 11 Dec 2012 · 3 revisions 

[mckevin]

kui tahad et midagi muutuks pead nii palju kära sellest tegema et delfi esilehele pääsed. Ilma selleta ei liigu midagi.

[sander85]

Uurin seda AWP pakki.

Aga kas opensc-tools ja pkcs11-tool ja pkcs15-tool uusi ID-kaarte enam ei tunnegi ära? Nende vahendite abil oli lihtne testida, kas kaart on üldse kasutatav enne kui näiteks veebis allkirjastamise probleemide juurde asuda.

See arendus on töös ja peaks lähikuudel ehk ka kasutajateni jõudma.

[mait]

Jätkan OpenSUSE ja uue Idema kiibiga ID-kaardi teemat. Vanemat tüüp Gemalto kaardiga kõik töötab.

... Kui absoluutselt mingit muud võimalust ei ole, siis on võimalik ka vajalikud failid lihtsalt .deb'ist ekstraktida.

Lihtsalt pakkisin lahti ja kopeerisin kaustadesse failid

Kood: Vali kõik

 /usr/lib64/mozilla/native-messaging-hosts/idemiapkcs11firefox.json
/usr/lib64/mozilla/extensions/{ec8030f7-c20a-464f-9b0e-13a3a9e97384}/{2F45F62B-CF18-414D-AC42-47F3D67F468B}.xpi 

Failis demiapkcs11firefox.json kirjutasin

Kood: Vali kõik

  "path": "/usr/local/lib64/AWP/libOcsPKCS11Wrapper.so"

ja kopeeerisin kausta /usr/local/lib64/AWP/ libOcs*.so failid.

Praeguseks on nii, et Firefox näitab laienduste rubriigis

Kood: Vali kõik

IDEMIA PKCS11 loader 2.0.6
Configures Firefox to use PKCS11

Veebis allkirjastamiseks sisselogimine ID-kaardiga aga ei õnnestu. https://app.dokobit.com/login#sc-login-form teatab õlpuks, et "Palun kontrollige, et ID-kaart on korrektselt sisestatud."

Ei osanud FF-i panna võimalikke veateateid logima ja seetõtttu ei oskagi rohkem midagi siia selgituseks lisada. kahtlustan, et FF otsib *.so faile kuskilt mujalt, agamillisest kaustast, seda ära arvata si oska.

[akbgf]

Ei osanud FF-i panna võimalikke veateateid logima ja seetõtttu ei oskagi rohkem midagi siia selgituseks lisada. kahtlustan, et FF otsib *.so faile kuskilt mujalt, agamillisest kaustast, seda ära arvata si oska.

Kas FF Web developer alt ei leia midagi, kus näeks, mis toimub?
Opensc logimistaset sai ka tõsta vist kuni 9-ni, aga siis kirjutab ka PIN-id logifaili.

[yltsTux]

Leidsin, et IDEMIA OpenSC tugi on töös ja varsti saab ilma AWP jubinat kasutamata läbi.
OpenSC EstEID 2018+ driver #1635
chrome-token-signing WIP: Use OpenSC PKCS11 driver for IDEMIA cards
DigiDoc4-Client WIP: Use OpenSC PKCS11 driver for IDEMIA cards
browser-token-signing WIP: Use OpenSC PKCS11 driver for IDEMIA cards
linux-installer WIP: Use OpenSC PKCS11 driver for IDEMIA cards

[Gomi]

Leidsin, et IDEMIA OpenSC tugi on töös ja varsti saab ilma AWP jubinat kasutamata läbi.
OpenSC EstEID 2018+ driver #1635
chrome-token-signing WIP: Use OpenSC PKCS11 driver for IDEMIA cards
DigiDoc4-Client WIP: Use OpenSC PKCS11 driver for IDEMIA cards
browser-token-signing WIP: Use OpenSC PKCS11 driver for IDEMIA cards
linux-installer WIP: Use OpenSC PKCS11 driver for IDEMIA cards

Ilusad uudised! Tänud jagamise eest.

[mait]

Kas FF Web developer alt ei leia midagi, kus näeks, mis toimub?
Opensc logimistaset sai ka tõsta vist kuni 9-ni, aga siis kirjutab ka PIN-id logifaili.

Opensc ütleb

Kood: Vali kõik

# :~> opensc-tool -a
Using reader with a card: Alcor Micro AU9520 00 00
3b:db:96:00:80:b1:fe:45:1f:83:00:12:23:3f:53:65:49:44:0f:90:00:f1

:~> opensc-tool -n
Using reader with a card: Alcor Micro AU9520 00 00
Unsupported card 

FF-i menüüs olevast veebiarendajate tööriistakastist ei leidnud midagi, mis näitaks, milliseid faile ja kustkohast lisad otsivad.

eesti.ee ütleb uue id-kaardi kohta kohe, et: "Sertifikaati ei leitud.Kontrolli, kas kaart on lugejas".

Tegin veel niisuguse katse, et kopeerisin AWP pakist kogu libOcs*.so komplekti /usr/lib64 alla. FF-i lisa kirjelduses (idemiapkcs11firefox.json) muutsin ka kataloogi. See ei aidanud.

Siis vaatasin sisse AWP pakis olevasse {2F45F62B-CF18-414D-AC42-47F3D67F468B}.xpi faili. Seal on binaarkoodi vahel ka selline loetav tekst

Kood: Vali kõik

 ... noppeid funktiooni tekstist:  
 var modname = "idemiapkcs11firefox";
...   
    console.log("module installed: " + modname);
...
    console.error("Unable to load module: ", e);

    await browser.pkcs11.installModule(modname, 0x1<<28);
...
    console.log("Loaded module " + modname);
...
    console.error("Unable to load module: ", e);

FF-i konsooli (CTRL+SHIFT+K) aga mingeid teateid ei ilmu.

[123to]

Nagu eespool juttu, siis opensc ei toeta veel uut kaarti, arendus käib.

Minul on FF seadmehalduris sisse loetud
/usr/local/AWP/lib/libOcsPKCS11Wrapper.so

kogu AWP sisu on:
ls /usr/local/AWP/lib
libOcsAuthentIC22Mod.so libOcsPIVMod.so libOcsReaderPCSC2PTG.so libOcsReaderStdIT.so
libOcsAuthentICV3Mod.so libOcsPKCS11Wrapper.so libOcsReaderPCSC2RUS.so libOcsReaderStdPTG.so
libOcsCryptoki.so libOcsReaderPCSC2ESP.so libOcsReaderPCSC2.so libOcsReaderStdRUS.so
libOcsIASMod.so libOcsReaderPCSC2EST.so libOcsReaderStdESP.so libOcsReaderStd.so
libOcsIDOneClassicMod.so libOcsReaderPCSC2FRA.so libOcsReaderStdEST.so
libOcsMSFTMod.so libOcsReaderPCSC2IT.so libOcsReaderStdFRA.so

chromiumi jaoks on
cat /home/123to/.pki/nssdb/pkcs11.txt
library=
name=NSS Internal PKCS #11 Module
parameters=configdir='sql:/home/123to/.pki/nssdb' certPrefix='' keyPrefix='' secmod='secmod.db' flags
=optimizeSpace updatedir='' updateCertPrefix='' updateKeyPrefix='' updateid='' updateTokenDescriptio
n=''
NSS=Flags=internal,critical trustOrder=75 cipherOrder=100 slotParams=(1={slotFlags=[ECC,RSA,DSA,DH,R
C2,RC4,DES,RANDOM,SHA1,MD5,MD2,SSL,TLS,AES,Camellia,SEED,SHA256,SHA512] askpw=any timeout=30})

library=/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so
name=opensc-pkcs11
NSS=slotParams={0x00000000=[slotFlags=PublicCerts ] }

library=/usr/local/AWP/lib/libOcsPKCS11Wrapper.so
name=idemia-pkcs11
NSS=slotParams={0x00000000=[slotFlags=PublicCerts ] }

[mait]

Minul on FF seadmehalduris sisse loetud
/usr/local/AWP/lib/libOcsPKCS11Wrapper.so

Kui libOcsPKCS11Wrapper.so turvaseadmete alla lisan, siis otsuse kinnitamise peale kukub mul FF (60.6.2esr (64-bitine)) kokku.

[123to]

mul töötab 66.0.3 (64-bit), võibolla 60.06.2esr on liiga vana selle jaoks,
kunagi üks vanem versioon viskas küll pildi kotti

aga proovi chromiumiga, sellel peab moodulid lisama käsuga, kaartid sees
modutil -dbdir sql:$HOME/.pki/nssdb -add idemia-pkcs11 -libfile /usr/local/AWP/lib/libOcsPKCS11Wrapper.so -mechanisms FRIENDLY
modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so -mechanisms FRIENDLY

[akbgf]

Kui ikka kuidagi ei saa, siis üks tagumine võimalus on
virtuaalmasinasse Ubuntu baas-süsteem
minimaalse X-iga ja lihtsa keskkonnaga (näiteks LXDE)
ning selles RIA toetatud ID-tarkvara.
Sain kunagi niisuguse koosluse openSUSE-s käima.

[imre]

Üks võimalik lahendus oleks ka "konteinerit" kasutada
https://github.com/version6net/open-eid

[mait]

aga proovi chromiumiga, sellel peab moodulid lisama käsuga, kaartid sees
modutil -dbdir sql:$HOME/.pki/nssdb -add idemia-pkcs11 -libfile /usr/local/AWP/lib/libOcsPKCS11Wrapper.so -mechanisms FRIENDLY
modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Peale sai Chromium Versioon 74.0.3729.108 (openSUSE Build) (64-bitine).
Käsurealt:

Kood: Vali kõik

~> modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile /usr/lib64/onepin-opensc-pkcs11.so -mechanisms FRIENDLY

WARNING: Performing this operation while the browser is running could cause
corruption of your security databases. If the browser is currently running,
you should exit browser before continuing this operation. Type 
'q <enter>' to abort, or <enter> to continue: 

ERROR: Failed to add module "opensc-pkcs11". Probable cause : "Failure to load dynamic library".

~> dir /usr/lib64/onepin-opensc-pkcs11.so
-rwxr-xr-x 1 root root 751904 30. okt    2017 /usr/lib64/onepin-opensc-pkcs11.so

Aga eesti.ee küsib vana kaardiga PIN1 ja lubab sisse.
Uue, IDEMIA kiibiga kaardi puhul aga küsib, et kas kaart on sisestatud.


Proovin awp pakist moodulit lisada:

Kood: Vali kõik

~> modutil -dbdir sql:$HOME/.pki/nssdb -add idemia-pkcs11 -libfile /usr/local/lib64/awp/libOcsPKCS11Wrapper.so -mechanisms FRIENDLY      

WARNING: Performing this operation while the browser is running could cause
corruption of your security databases. If the browser is currently running,
you should exit browser before continuing this operation. Type 
'q <enter>' to abort, or <enter> to continue: 

Segmentation fault (core dumped)

Praegu jäävad siis järgi lihtsamatest lahendustest proovimiseks kas ubuntu virtuaalmasin või dokker.

[imre]

dockeri kasuks räägib kiirus. Virtualbox puhul pead sa terve VM kõigelpealt installima, käima ajama ja vb isegi sisse logima. Virtualbox puhul aga saad ka muid rakendusi installida/kasutada.
Sõltub mis on eesmärk. Kui ainult ID-kaardi tugi, siis isiklikult soovitan dockerit.
https://github.com/version6net/open-eid toodud lahendus on 676MB, aga ma trimmisin selle omal väiksemaks 506MB peale.

[mait]

mul töötab 66.0.3 (64-bit)...

Mozilla enda lehelt võtsin
firefox-66.0.5.tar.bz2

Kodukaustast .cache/mozilla kustutasin. Kataloogi .mozilla liigutasin korraks mujale. Vana FF-i installi ma ei eemaldanud. Käivitasin FF66 lihtsalt käsurealt.

~> ./firefox-bin
Teabeleht ütleb, et on 66.0.5 (64-bit).
FF paigaldas kohe ise Token signing lisa.

Proovin lisada turvaseadmete alla libOcsPKCS11Wrapper.so
<Sobib>
... FF kukkus kokku.

[akbgf]

Teabeleht ütleb, et on 66.0.5 (64-bit).
Proovin lisada turvaseadmete alla libOcsPKCS11Wrapper.so
<Sobib>
... FF kukkus kokku.

Mul on openSUSE-s FF-65.0.1 ja käib päris hästi. Pakub küll uuendamist,
aga Ubuntus FF-66.0.2 kukub üsna sageli kokku, sellepärast ei kipu SUSE-s uuendama.