Pingviini veeb

Ehk keegi oskab aidata minul installeerida ID kaardi tarkvara Deepin 15.4 RC, mis on Debiani baasil. Proovisin ka Hirexi versiooni aga "add-apt-repository" commandit ei eksisteeri kahjuks.
Olen proovinud ka Lauri Võsandi versiooni.

Fedora all kah jama seoses FF uuendamisega. Kuni ametlikesse repodesse asi jõuab, võib kaeda sinna- (vaja chrome-token-signing ja hwcrypto-native, kompileeruvad probleemideta)
https://mihkel.fedorapeople.org/SRPMS/
ja sinna- (vajalik Chrome all autentimise käimasaamiseks)
https://github.com/open-eid/linux-insta ... date-nssdb


Viimases skriptis tuleb ära muuta teed- vastavalt siis lib64 (x86_64 jaoks) ja esteid/certs on need kohad.
Töötab.

NB! chrome-token-signing tekitab plugina ka FF jaoks!

Selleks, et Fedoras id-kaardiga allkirja anda, on vaja hwcrypto-native pakki (chrome-token-signing pole vaja.... see on sama, mis hwcrypto-native) ning hwcrypto-extension-t.
Kumbki pole hetke seisuga Fedora repodes, kuid on võimalik siit:
https://web-eid.com/
saada

Ehk pakub huvi, openSUSE Leap (mul 42.2) Firefoxis saab ID-kaardiga toimetada.
Sõprade ja siinse foorumi abiga sain nii käima:

opensc openSUSE repositooriumist
http://download.opensuse.org/repositories/security

/etc/sysconfig/security failis
POLKIT_DEFAULT_PRIVS="yes"
ja pärast seda 'set_polkit_default_privs'

FF plugin:
https://installer.id.ee/media/ubuntu/po ... rig.tar.xz
% make plugin
% cp npesteid-firefox-plugin.so /usr/lib64/browser-plugins/
% chmod 755 npesteid-firefox-plugin.so

PKCS-11 laadija Sander85 juhatatud veebiaadressilt
https://addons.mozilla.org/en-US/firefo ... cs11-load/

Sertifitseerimiskeskuse tervitus lehvitas, SEB-is sain makse PIN2-ga tehtud.

mait kirjutas: Mait kirjutas 2015:
OpenSUSE 13.2.
> lsusb
...
Bus 002 Device 003: ID 058f:9520 Alcor Micro Corp. EMV Certified Smart Card Reader
...
Näitab, et raudvara on olemas.
>opensc-tool --list-readers
No smart card readers found.

Sama kaardilugeja õnnestus mul openSUSE-13.1-s (x64) pcscd-d mitu korda uuesti startides käima meelitada ja siis käis kuni järgmise arvuti seismapanemiseni.
Uues openSUSE-s (42.2) on selle kaardilugejaga läbisaamine veel nutusem.
Peale väljalogimist uuesti sisse logides ei käi jälle:

% opensc-tool -l
No smart card readers found.

# service pcscd status
Jul 26 07:03:05 xxx systemd[1]: Started PC/SC Smart Card Daemon.
Jul 26 07:03:06 xxx pcscd[10946]: 00000000 ccid_usb.cControlUSB() control failed (5/3): -1 LIBUSB_ERROR_IO
Jul 26 07:03:06 xxx pcscd[10946]: 00024547 ccid_usb.c:836:ReadUSB() read failed (5/3): -9 LIBUSB_ERROR_PIPE
Jul 26 07:03:11 xxx pcscd[10946]: 05000432 ccid_usb.c:797:WriteUSB() write failed (5/3): -7 LIBUSB_ERROR_TIMEOUT
Jul 26 07:03:16 xxx pcscd[10946]: 05000457 ccid_usb.c:797:WriteUSB() write failed (5/3): -7 LIBUSB_ERROR_TIMEOUT
Jul 26 07:03:16 xxx pcscd[10946]: 00000019 ifdhandler.c:188:CreateChannelByNameOrChannel() failed
Jul 26 07:03:16 xxx pcscd[10946]: 00000243 readerfactory.cRFInitializeReader() Open Port 0x200000 Failed (usb:058f/9520:libudev:0:/dev/bus/usb/005/003)
Jul 26 07:03:16 xxx pcscd[10946]: 00000012 readerfactory.c:376:RFAddReader() Alcor Micro AU9520 init failed.
Jul 26 07:03:16 xxx pcscd[10946]: 00000064 hotplug_libudev.c:523:HPAddDevice() Failed adding USB device: Alcor Micro AU9520

Sisse logisin 06:59, mis toimus 07:03, seda ei oska arvata, võibolla startisin Firefoxi või proovisin opensc-tools-ga kaardilugejat näha, sest eile juba leidsin, et uuesti sisse logides kaardilugejat enam pole.

Seekord läks lihtsasti, piisas ainult korra service pcscd stop/start ja nüüd

% opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 No Alcor Micro AU9520 00 00

aga mõnikord ei saa lugejat ka viis korda pcscd stop/start tehes kontaktseks.


Mitu päeva hiljem
--------------------
Kogesin ilmselt systemd kummalist toimetamist, ja nii juba paar korda.
Peale 'service pcscd stop' ps-ga kontrollides on pcscd uue protsessinumbriga olemas ja Alcori kaardilugeja kontaktne.

% opensc-tool -l
Nr. Card Features Name
0 No Alcor Micro AU9520 00 00

# service pcscd status
● pcscd.service - PC/SC Smart Card Daemon
Loaded: loaded (/usr/lib/systemd/system/pcscd.service; indirect; vendor preset: disabled)
Active: active (running) since Mon 2017-07-31 08:46:10 +02; 6min ago
Main PID: 6630 (pcscd)
Tasks: 8 (limit: 512)
CGroup: /system.slice/pcscd.service
└─6630 /usr/sbin/pcscd --foreground --auto-exit
Jul 31 08:46:10 scorpion systemd[1]: Started PC/SC Smart Card Daemon.

Panin värskeima (42.3) op-süsteemi väljalaske sülerile OpenSUSE 42.1 asemele plaaditõmmisest ja FireFox ID-kaardi ei tunnista. Läbitud tee oli enamvähem järgmine peale süsteemi paigaldust.

Väline lugeja külge ja:
%dmesg akbgf soovitas sättida /etc/sysconfig/security faili, aga mul oli juba vaikimisi selle soovituse järele.
POLKIT_DEFAULT_PRIVS=""
## Type: list(yes,yast,no)
## Default: yes


Siis tuli lisaks paigaldada opensc-tool ja pcsc-ccid l. Tegin selle järel ka
% service pcsc restart

ja siis juba oli kaart masinale näha
%opensc-tool -a Huvipärast proovisin
% pkcs15-tool --list-certificates Aga teise ID-kaardi kohta, mis novembris aegub, andis sertifikaatide loendi. Ju siis uute ID-kaarditega see utiliit enam ei tööta.

Järgmine samm oli proovida ID-kaardi utiliiti. Hoidlas ei olnud valmis tükki, kompileerimisega oleks peaaegu saanud hakkama, aga jäin pidama "VersionInfo" puudumist kuulutava veateate juurde. Aga OpenSUSE 42.2 jaoks oli utiliit hoidlas olemas ja panin peale nii qesteidutil kui ka esteidcerts pakid. Saan kaarti lugeda ja oma pilti ka vaadata .

Nüüd akbgf soovituste järgi FireFoxis ID-kaarti käima ajama. Esmalt peale terve pakk arendusriistu ja teeke: make, gcc, gtk2.0, pcsc-lite-devel, libopenssl-devel.

Sain FF plugina kompileeritud ja kopeerisin sirviku pluginakausta.

FF-s näen lisade all "Estonian ID Card authentication module" ja "Firefox Token Signing".


Sertifitseerimiskeskuse lehtte avades saan aga:
.
või siis lihtsalt teate, et ID-kaarti ei leita.

Oskasin proovida veel sertifikaatide maha võtmist ja uuesti peale panemist https://www.sk.ee/repositoorium/sk-sertifikaadid/
ja lisasin ka
ESTEID-SK 2011
ESTEID-SK 2015
aga ei mingit muutust.

ElementaryOS ja ID kaardi värk!

1.laadisin alla vajaliku jubina: install-open-eid.sh
2.andsin (enda meelest) talle õiguse käivituda programmina (kõik näeb teistsugune välja kui Mintis, seetõttu ei ole kindel);
3.üritan avada, terminalis... aga ei juhtu üldse midagi... oskab keegi ehk juhendada?

Mait kirjutas:
> % pkcs15-tool --list-certificates
> PKCS#15 binding failed: Unsupported card
> Ju siis uute ID-kaarditega see utiliit enam ei tööta.

Mu ID-kaart on välja antud novembris 2016.
% pkcs15-tool --list-certificates
Using reader with a card: SCM Microsystems Inc. SCR 3310 [CCID Interface] ..
X.509 Certificate [Isikutuvastus] ..
X.509 Certificate [Allkirjastamine] ..

pkcs15-tool ütleb versiooni kohta "No Git revision info available"
pkcs15-tool on pakist opensc V. 0.16.0-54.1
Package Group: Productivity/Security
Distribution: security:chipcard / openSUSE_Leap_42.1
opensc sõltuvuste loetelu on üsna pikk. Kui soovid, võin kirja panna.

opensc-tool ütleb ka kaardi kohta nii mõndagi:
% opensc-tool -n
EstEID 3.0 (18.01.2011) warm
% opensc-tool -f
3f00 type: unknown, ef structure: unknown, size: 0
% opensc-tool --list-algorithms
Algorithm: rsa
Key length: 2048
Flags: padding ( pkcs1 ) hashes ( sha1 sha256 )

Kas mingid ID-kaardid on veel uuemad?


> OpenSUSE 42.2 jaoks oli utiliit hoidlas olemas (qesteidutil)

Ma ei taibanud seda SUSE repodest otsida, uskusin RIA juttu, et ID-kaart on toetatud ainult Ubuntus ja tegin ise https://github.com/open-eid/ lähtetekstidest koos kõigi vajalike teekidega.


> FF-s näen lisade all "Estonian ID Card authentication module" ja "Firefox Token Signing".
> Sertifitseerimiskeskuse lehte avades saan aga: SSL peer was unable to negotiate ..

Mul on FF-i pluginate all Firefox Token Signing 3.12.1, file npesteid-firefox-plugin.so,
tehtud lähtetekstist esteidfirefoxplugin_3.12.1.1142.orig.tar

ja laienduste all Estonian ID Card authentication module By Raul Metsma 3.11.0.6179.1-signed veebilehelt https://addons.mozilla.org/en-US/firefo ... cs11-load/

Ilmselt oleks need kaks saanud teha samuti kui muud ID-vahendid https://installer.id.ee/-s viidatavast lähtetekstist https://github.com/open-eid/chrome-token-signing "Chrome and Firefox extension for signing with your eID on the web".
See moodul on ka openSUSE Leap 42.2 repos olemas, proovi ehk seda.

Lähtetekstist tegemine käib kõigi moodulite korral üsna ühtemoodi:

% git clone --recursive https://github.com/open-eid/chrome-token-signing
% cd chrome-token-signing
% mkdir build && cd build
% cmake .. && make

Kui on rahuldamata sõltuvusi, siis tekib tõrge. Peale puuduva paki paigaldamist läheb vist valutumalt, kui build kaust tühjaks kustutada ja siis uuesti 'cmake ..'.

Rooduna
# make install

Kummaline, https://software.opensuse.org/package/opensc pakub ainult V 0.13 .

Nojah, neid ma ei proovinud ja:
% opensc-tool -f
% opensc-tool -n
annavad vastuseks, et
Failed to connect with a card: Card command failed.

Siin võibki probleem olla ...
... veidi hiljem.
opensc V 0.13 maha ja uuest hoidlas http://download.opensuse.org/repositori ... Leap_42.3/ tuli opensc V0.16.

opensc-tool, pkcs11-tool ja pkcs15-tool oskavad nüüd ka kaarti lugeda Aga FF annab sertifitseerimiskeskuse testlehel (https://www.sk.ee/id/index2.php) ikka veel veateate "Secure Connection Failed".

... veel veidi hiljem.

Panin FF kinni ja uuesti käima. Kaardilugeja tuli oli kustunud. Sertifitseerimiskeskuse testlehte katsudes ei hakka FF kaardilugejat üldse käivitama. opensc-tool paneb aga kohe tulukese vilkuma ja annab ka positiivse vastuse.

Paigaldasin veel firefox-pkcs11-loader OpenSUSE hoidlast. Süsteemile restart ka, kuigi seda vist pole vaja. Aga Sertifitseerimiskeskuse testleht annab ikka " Error code: SSL_ERROR_HANDSHAKE_FAILURE_ALERT" . FF ei pöördu kaardilugeja poole - tuli ei lähe põlema.

Rohkem kuskilt otsida ei oska.

mait kirjutas:Rohkem kuskilt otsida ei oska.

Mu sülearvuti Ubuntus peab enne FF-i käivitamist kaardilugeja ja kaart küljes olema, muidu ei võta jutule. Tööarvuti Leap-42.2-s vist seda muret pole. pcscd peab igal juhul käima ja opensc-tool -l kaardilugeja olemasolu näitama ja FF-i laiendustes PKCS11 loader ja Token signing aktiivsed. Ubuntul on nad mõlemad 'Extensions', Leap-is on mul üks Extension, teine plugin. Sertifitseerimiskeskuse tervituse lehvitama saamiseks on ainult PKCS11 laadijat vaja.
Ega ei oska ka enam palju soovitada. Järgmised sammud oleks nende vahendite logitaseme tõstmine - ehk ütleb midagi, mis võiks edasi aidata või proovida PKCS11 laadija RIA lähtetekstist teha või teha virtuaalmasin Ubuntuga ja seal võtta RIA komplekt.

Mul on visuaalselt FF-s sama pilt. Korra proovisin ka OpenSUSE ametlikust hoidlast tulevat PKCS11 laadimise komponenti, aga FF keelas selle. Panin https://addons.mozilla.org/en-US/firefo ... kcs11-load peale tagasi.

Hetkel tuleb vist teha selline kokkuvõte, et OpenSuSE Leap 42.3 komplektis olev FF (52.2.0 (64-bit)) abil ID kaarti kasutada ei saa.

------------------------------------------------------------------------------
Proovisin vahelduseks chrome OpenSuSE hoidlast.

Esmalt tuli lisaks panna mozilla-nss-tools ja siis sai paigaldada sertifikaadid, mis olid ka FF-s:
Siis leidsin pingviinifoorumist veel, et vaja on :
Ja kui esmalt ühendada kaardilugeja ja siis käivitada chrome, saan PIN1-ga seonduvaid toiminguid teha. Allkirjastamine ei tööta.

Terminaliaknasse jäävad sellised veateated kohe chrome käivitamisel (ehk keegi oskab neid tõlgendada): Hea, et saab testmasinas katsetada. Teistes masinates, kus on vanemad OpenSuSE versioonid, saan veel ID-kaarti kasutada.

mait kirjutas:Hetkel tuleb vist teha selline kokkuvõte, et OpenSuSE Leap 42.3 komplektis olev FF (52.2.0 (64-bit)) abil ID kaarti kasutada ei saa.

Kas FF-i seadetes 'Advanced/Certificates/Security_Devices' all on ID-kaardi moodul näha? See peaks vist vajalik olema, selleks on /usr/lib64/onepin-opensc-pkcs11.so ja see peab olema kõigile loetav ja vist ka täidetav - chmod 755. Kui seda pole, siis saab lisada, näidates täieliku asukoha.

Kõik hakkasgi tööle FF-s.

Kunagi alguses mõtlesin ka sellele seadistusele, aga millegipärast arvasin, et küllap ID-kaardi jaoks vajalik PKCS11 laadija võtab ise selle teegi külge, ja nii ta ununes.

Aitähh!!


See autentija https://addons.mozilla.org/en-US/firefo ... kcs11-load võiks anda veateate, kui tal sobivat tükki nimekirjast laadida ei ole.

Oskab keegi vihjata, Fedora 25 / 26 ei tööta FF all järsku enam allkirjastamine. Chrome'i all käib kõik O.K. Nii loader kui signing komponent ilusti lubatud ja halduris näha, aga ikooni tööriistaribal ei paista.

Paigaldatud on chrome-token-signing 1.0.4, uuemaga (sai git'iga tiritud ja kokku lastud, läks suht valutult, kui sõltuvused ja qt5bin tee oli paigas) miskipärast pole ei FF ega C nõus töötama. Plugina versiooniks näitab FF 0.0.23, aga Chrome 0.0.26 ?? (ilmselt on siis poe kaudu uuendanud). Muidu see git versioon oli vist 0.0.27.

Miks te ei kasuta PIN kalkulaatorit?
www.seb.ee/ariklient/igapaevapangandus/ ... kasutamine

Kuna koodikaarte enam ei väljastata, siis on PIN kalkulaator, mis ei vaja mingeid debiilseid ID-kaardi ja uuendusi.. töötab nii kaua kui aku kestab.
2-3 aastat.

Mingi uitmõtte sunnil sai korra lubatud FF all web-eid .... ja vähemalt panka õnnestus sisse logida. Täiesti uskumatu.

Küsimus selles, et olen seda proovinud käima saada, aga ei õnnestunud (kaardi poole isegi ei pöördutud) ja sai plugin lihtsalt keelatud.

Teine asi on see, et vaadates softi versioone on asjad ikka väga veidrad- pean silmas nt git seisu vs veebipoodides olevaid pluginaid vs distrote pakke jne.

Näiteks, pkcs11-loader FF veebipoes on versiooni järgi vanem kui mul olemasolev (3.12.0), mis aga väidab ennast olevat aeguva??????

Enivei, Fedora all on asjad käima saadavad vastu hwcrypto-native-17.3.15-1 pakki (viidatud SRPM'ist). Chrome'i mul pole õnnestunud millegi muuga tööle saada, kui chrome-token-signing-1.0.4-1 pluginaga. Hetkel on see konbinatsioon kontrollitavalt paigaldatav. Selles mõttes, et asi on iga kord tööle hakanud ja paigaldusi on olnud oluliselt rohkem kui üks.


Lohutus on, et muudel platvormidel on see jant vaat et veel hullem, OS X puhul on kaardi töötamine täiesti ettearvamatu ja masinaspetsiifiline (sama OS versiooni korral!).

Lisaks ka teemast väljuvalt seda, et kõikvõimalike infosüsteemide kasutamisel on siiamaani vaja tihtipeale konkreetset browserit pruukida. On küsimus printimises, mingi rakenduse töötamises või siis milleski muus.

al(tm) kirjutas: Küsimus selles, et olen seda proovinud käima saada, aga ei õnnestunud (kaardi poole isegi ei pöördutud) ja sai plugin lihtsalt keelatud.

Minul näiteks Delli süleri sisemine lugeja enam uute ID-kaartidega ei tööta. Välise, USB-pessa käiva lugejaga probleeme pole olnud - proovi erinevaid ID-kaardi lugejaid.

Kontrolli, et opensc oleks värske. Näiteks OpenSUSE kõige uuema versiooniga tuleb ikka kaasa igivana ID-kaardiga mittetöötav opensc versioon.

Kas pcscd käib teenusena?

Mida näitavad peale kaardi lugejasse sisestamist

lsusb

opensc-tool -l
opensc-tool -f
opensc-tool -n

ja
pkcs15-tool --list-certificates
?

Kustuta Firefoxis ära kõik iganenud sertifikaadid.

Mul näiteks ununes see:

akbgf kirjutas: Kas FF-i seadetes 'Advanced/Certificates/Security_Devices' all on ID-kaardi moodul näha? See peaks vist vajalik olema, selleks on /usr/lib64/onepin-opensc-pkcs11.so ja see peab olema kõigile loetav ja vist ka täidetav - chmod 755. Kui seda pole, siis saab lisada, näidates täieliku asukoha.

OpenSUSE 42.3 all sain lõpuks käima kõik - veebis allkirjastamise, ID-kaardi haldamise programmi qesteidutil (isegi ID-kaardi sertifikaadid said uuendatud) ja oma masinas dokumentide allkirjastamise programmi qdigidocclient.

Fedoraga pole riistvara poolega probleeme olnud, mul käivad (erinevates masinates) ilusti nii sisemised kui välimised lugejad ja isegi Lenovo klaviatuuri lugeja (vaid pinpadi peab ära keelama).
Asi browserite erinevas käitumises.

Probleem selles, et estonianidcard pakendajat hetkel Fedora jaoks ei ole

Siit saab kõik vajaliku. Kompileerimine õnnestus lma erilise trikitamiseta, ainult arenduspakke (*devel) tuli tublisti alla laadida. Paigaldusskriptid on ID-kaarditarkvaral kenasti kaasas.

Firefox-i jaoks on vaja 1) (https://addons.mozilla.org/en-US/firefo ... kcs11-load ) ja 2) pluginat, mille algtekstid asuvad https://installer.id.ee/media/ubuntu/po ... foxplugin/ (akbgf kirjutas 12/7/2017, kuidas seda kompileerida ja paigaldada).

Kokku lähebki ilusti(plugin siis), vaid KDE teekide tee tuli anda (ja mõned devel pakid on veidi teiste nimedega Fedoras), lihtsalt ei tööta.

Aega tekib pärast aasta algust (st septembri keskel), teen ühe vanilla installi ekstra katsetamiseks, töötavaid süsteeme ei taha ära solkida. Ilmselt kui suuremaks jantimiseks läheb, siis teeb juba RPM'id, kuna mul masinaid rohkem kui üks mida vaja sättida.

Mul põhimõtteliselt töötabki hetkel kõik, kahe nüansiga- tegu on upgradetud süsteemidega ja estonianidcard grupp (k.a. DigiDoc klient) on F25 oma ja, Firefox lakkas ühel hetkel pluginaid tunnistamast, Chrome töötab probleemideta edasi. Päris suvaliselt neid git'is olevaid asju kokku lasta Fedoras siiski ei saa.

P.S. mozilla store'is oleva pkcs11 loader (Version 3.11.0.6179.1-signed) on blokeeritud ja seda ei saa paigaldada Fedora all. Mis käib, on 3.12.0. Päritolu ilmselt Fedora 24 või 25 pakist.

LISATUD: Proovisin huvi pärast, loaderi RPM'i sai probleemideta tekitada ja paigaldada, võtsin git'ist sortsu ja kasutasin olemasolevat SPEC faili. Ikkagi jääb müstiliseks, miks git versioon (teoorias ju kõige värskem) on 3.12.0, aga siinsamas lõngaski räägitakse uuematest?

Ja veel täienduseks, sportlikust huvist veidi torkisin, aga üsna ruttu jäin hätta. F26 peal ei lähe libdigidoc ja libdigidocpp kokku (tundus mingi (liiga uue, on openssl-1.1 ?) SSL kala olevat), samuti ei õnnestu qdigidoc ja qesteidutil kompileerimine.
Kaardi saab tööle, kui kasutada F25 repo vastavaid pakke.

Äkki kellelgi abiks.