abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 17:02 | Pozvánky

Přijďte si popovídat o open source obecně a openSUSE konkrétně s dalšími uživateli a vývojáři. Oslava nového vydání openSUSE Leap se uskuteční 16. prosince od 17:00 v nových prostorách firmy SUSE v Praze. K dispozici bude nějaké občerstvení a DVD pro ty, kdo je sbírají nebo ještě mají mechaniku. Po párty v kanceláři se bude pokračovat v některé z hospod v okolí.

Miška | Komentářů: 6
dnes 14:55 | Zajímavý software

Byla vydána verze Alpha 1.0 otevřeného operačního systému pro chytré hodinky AsteroidOS. Podporovány jsou hodinky LG G Watch, LG G Watch Urbane, Asus ZenWatch 2 a Sony Smartwatch 3. Ukázka ovládání hodinek na YouTube. Jaroslav Řezník přednášel o AsteroidOS na chytrých hodinkách (videozáznam) na letošní konferenci OpenAlt.

Ladislav Hagara | Komentářů: 0
dnes 13:30 | Zajímavý software

Byly uvolněny zdrojové kódy známé rogue-like hry DoomRL. Počátky hry jsou v roce 2002. Je napsána ve FreePascalu a zdrojový kód je nyní k dispozici na GitHubu pod licencí GNU GPL 2.0. Autor pracuje na nové hře Jupiter Hell, která je moderním nástupcem DoomRL a na jejíž vývoj shání peníze prostřednictvím Kickstarteru.

Blaazen | Komentářů: 0
dnes 13:15 | Pozvánky

Přijďte s námi oslavit vydání Fedory 25. Na programu budou přednášky o novinkách, diskuse, neřízený networking atd. Release Party se bude konat 16. prosince v prostorách společnosti Etnetera. Na party budou volně k dispozici také propagační materiály, nová DVD s Fedorou 25 a samozřejmě občerstvení. Přednášky budou probíhat v češtině. Pro více informací se můžete podívat na web MojeFedora.cz. Jen připomínám, že tentokrát jsme zavedli

… více »
frantisekz | Komentářů: 0
včera 16:38 | Komunita

Byly zveřejněny videozáznamy přednášek a workshopů z letošní konference OpenAlt konané 5. a 6. listopadu v Brně. K videozáznamům lze přistupovat ze stránky na SuperLectures nebo přes program konference, detaily o vybrané přednášce nebo workshopu a dále kliknutím na ikonku filmového pásu. Celkově bylo zpracováno 65 hodin z 89 přednášek a workshopů.

Ladislav Hagara | Komentářů: 0
včera 11:30 | Komunita

Bylo oznámeno, že bude proveden bezpečnostní audit zdrojových kódů open source softwaru pro implementaci virtuálních privátních sítí OpenVPN. Audit provede Matthew D. Green (blog), uznávaný kryptolog a profesor na Univerzitě Johnse Hopkinse. Auditována bude verze 2.4 (aktuálně RC 1, stabilní verze je 2.3.14). Audit bude financován společností Private Internet Access [reddit].

Ladislav Hagara | Komentářů: 4
včera 06:00 | Komunita

Na YouTube byl publikován Blender Institute Reel 2016, ani ne dvouminutový sestřih z filmů, které vznikly za posledních 10 let díky Blender Institutu. V institutu aktuálně pracují na novém filmu Agent 327. Dění kolem filmu lze sledovat na Blender Cloudu. Videoukázka Agenta 327 z června letošního roku na YouTube.

Ladislav Hagara | Komentářů: 0
včera 01:02 | Zajímavý článek

Minulý týden byly vydány verze 1.2.3 a 1.1.7 webového poštovního klienta Roundcube. V oznámení o vydání bylo zmíněno řešení bezpečnostního problému nalezeného společností RIPS a souvisejícího s voláním funkce mail() v PHP. Tento týden byly zveřejněny podrobnosti. Útočník mohl pomocí speciálně připraveného emailu spustit na serveru libovolný příkaz. Stejně, jak je popsáno v článku Exploit PHP’s mail() to get remote code execution z roku 2014.

Ladislav Hagara | Komentářů: 1
8.12. 16:00 | Nová verze

Byla vydána verze 0.98 svobodného nelineárního video editoru Pitivi. Z novinek lze zmínit například přizpůsobitelné klávesové zkratky. Videoukázka práce s nejnovější verzí Pitivi na YouTube.

Ladislav Hagara | Komentářů: 1
8.12. 15:00 | Zajímavý software

Stop motion je technika animace, při níž je reálný objekt mezi jednotlivými snímky ručně upravován a posouván o malé úseky, tak aby po spojení vyvolala animace dojem spojitosti. Jaký software lze pro stop motion použít na Linuxu? Článek na OMG! Ubuntu! představuje Heron Animation. Ten bohužel podporuje pouze webové kamery. Podpora digitálních zrcadlovek je začleněna například v programu qStopMotion.

Ladislav Hagara | Komentářů: 5
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 808 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: Použití ICA smart cards v Linuxu

14.11.2013 03:06 Libor Chocholaty | skóre: 12
Použití ICA smart cards v Linuxu
Přečteno: 865×
Ahoj, používáte někdo v Linuxu pro podepisování čipové karty? Pokud ano, podělili byste se o zkušenosti? Používám čtečku Gemalto GemPC Twin, pcsc_scan z pcsc-tools (ver. 1.4.18 plus aktuální smartcard_list.txt) mi ji najde a kartu od ICA identifikuje jako:
Possibly identified card (using /usr/share/pcsc/smartcard_list.txt):
3B BB 18 00 C0 10 31 FE 45 80 67 04 12 B0 03 03 00 00 81 05 3C
        Philips Smart MX
        Szczecin University of Technology in Poland student identity card (Elektroniczna Legitymacja Studencka = student identity card)
        CSOB bank, Czech Republic
        CATCert (Agència Catalana de Certificació) catalan government workers identity card
Takže se nejspíš jedná o nějakou verzi Starcos karty, protože tu jsem měl za blahé paměti v ČSOB. Dál jsem se však nedostal. Jsem čerstvým držitelem kvalifikovaného certifikátu na té kartě, ale jak se k těm certifikátům dostat... OpenSSL umožňuje používat čipové karty pomocí externího pkcs11 engine, ale openSC z Ubuntu tyhle Starcos karty nějak nedokáže používat.
Seznam instalovaného softu:
libengine-pkcs11-openssl                 0.1.8-2build1                            OpenSSL engine for PKCS#11 modules
libpkcs11-helper1                        1.09-1                                   library that simplifies the interaction with PKCS#11
opensc                                   0.12.2-2ubuntu1                          Smart card utilities with support for PKCS#15 compatible cards
Tuší někdo co s tím dál?

Řešení dotazu:


Odpovědi

14.11.2013 18:21 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu

Používám USB věc. Takže mohu říci, že engine-pkcs11 obsahuje mraky chyb, sám jsem na něj napsal řadu patchů a nejsem jediný a upstream nijak nereaguje. Takže než se vrhnete na OpenSSL, tak začněte o patro níže s OpenSC.

Čtečka je podporovaná, ale o kartě těžko říci. Začněte Supported hardware. V podstatě potřebujete dosáhnout toho, aby pkcs15-tool nebo pkcs11-tool (podle toho, který „formát“ je na kartě) ukazoval seznam certifikátů (a po zadání hesla) i soukromých klíčů.

14.11.2013 18:28 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Jsem čerstvým držitelem kvalifikovaného certifikátu na té kartě.

A jak jste na kartu dostal soukromý klíč? A kdy jste si na ní nastavil PIN? Jestli to byla tak, jak si myslím, tak za prvé to není vůbec bezpečné a za druhé jste tím porušil zákon o elektronickém podpisu.

15.11.2013 12:19 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Jo asi jo. Nicméně soukromý klíč je generovaný na kartě a nelze ho exportovat. Takže myslím, že zrovna v tomto případě to nebude tak žhavý. Od toho tu přece tyhle kartičky jsou, ne?
14.11.2013 18:35 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Podle ICA na kartě je Starcos 3.0.
15.11.2013 12:25 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
A podle supported hardware mám tímto pádem smůlu :-(
No nic, už jsem přišel o víc.
Snaži jsem se trochu hledat kolem a nic kromě udělátek, který vám umožněj posílat APDU na kartu a zobrazovat výsledky jsem nenašel. Koukám, že do tohohle segmentu standardizace ještě nedospěla.
Ale prej je výrobce celkem komunikativní a manuál podporovaných APDU je k dispozici. :-D
Pro začátek by mě zajímalo, kde koupit kartičku, která už podporovaná je a umí uložit aspoň 2048bit RSA a umí SHA-2.
Koukal jsem se na několik odkazů z toho hardware supported listu a technický specifikace těch kartiček nebyly dostupný. Oni teda nebyly dostupný ani ty kartičky. :-(
17.11.2013 17:14 vit hnilica
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
mrknete treba sem http://www.gooze.eu/
17.11.2013 17:23 vit hnilica
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
aha, nak jim ten web uz nejede
18.11.2013 14:43 Joe
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Jestli chces ePass 2003, tak se mi doma vali 3 nepouzite (sam uspesne pouzivam s certifikatem od ICA pro datovou schranku, dane, atp. jak na linuxu, tak na woknech), kus za 600, jsem z Prahy.
20.11.2013 18:24 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Dík za nabídku, 1-2 kousky bych si koupil. Kde se potkáme? libor (na) mts.cz
17.11.2013 18:43 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu

Já jsem kdysi koupil USB šifrovací modul ASEkey od Atheny, který měl otevřený ovladač. Možná by vás oslovila i její současná nabídka.

18.11.2013 11:00 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Díky za tip. Jejich nabídka vypadá víc než pěkně. Když píšou PKCS#11 lib pro Linux, to znamená něco s čím si třeba openssh poradí?
18.11.2013 20:08 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
PKCS#11 je API, jak volat manipulovat s klíči na kartě a jak volat kryptografické operace. Nevím, jestli OpenSSH umí delegovat kryptografii na PKCS#11 modul, ale používá OpenSSL, která to umí.
19.11.2013 11:12 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Ups, měl jsem na mysli openssl. Mozek myslí a ruce píšou na co jsou zvyklejší.
19.11.2013 22:25 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu

OpenSSL přistupuje ke kryptografickým operacím skrze tak zvaný engine. Což je v podstatě sada funkcí s daným API. Samozřejmě OpenSSL má vlastní formát a nepoužívá PKCS#11, jak je v tomto světě obvyklé. Právě na to existuje engine_pkcs11, což je obálka která zvenku implemetuje OpenSSL engine a zevnitř volá PKCS#11.

Některé enginy jsou přímo součástí OpenSSL, ostatní se dají nahrát jako modul. Nakonfigurované enginy lze vypsat příkazem openssl engine -t.

Konfigurace dalších enginů se dá udělat jednorázově (pokud to OpenSSL aplikace podporuje), ale pohodlnější je přidat ji do globálního konfiguráku. Například:

openssl_conf = openssl_def

[ openssl_def ]
engines         = engine_section

[engine_section]
pkcs11 = pkcs11_section

[pkcs11_section]
engine_id = pkcs11
dynamic_path = /usr/lib/engines/engine_pkcs11.so
MODULE_PATH = /usr/lib/opensc-pkcs11.so
init = 0

přidá engine s názvem pkcs11, který je implementován knihovnou engine_pkcs11, která z parametru MODULE_PATH bere konkrétní PKCS#11 modul. Je to stejný modul, který se třeba cpe do konfigurace NSS ve Firefoxu. V tomto případě je to PKCS#11 obálka nad OpenSC.

Když vše funguje, tak výstup vypadá takto:

$ openssl engine -t
(rsax) RSAX engine support
     [ available ]
(dynamic) Dynamic engine loading support
     [ unavailable ]
(pkcs11) pkcs11 engine
     [ available ]

Takhle to má OpenSSL. Je to docela humpolácké. A je třeba se připravit, že engine_pkcs11 obsahuje hodně chyb. Podívejte se na mailing list OpenSC, v srpnu jsem tam posílal 10 patchů, které ji dělají použitelnou.

Lépe to má vyřešené GnuTLS, které implementuje novější způsob, jak pracovat s PKCS#11 moduly, a to skrze zvláštní URL, které obsahuje přímo název modulu, čtečky, karty a objektů na kartě, takže nic není nutné zapisovat do magických konfiguračních souborů. Navíc ta zvláštní URL není nějaký proprietární výmysl jako zpola dokumentované enginy u OpenSSL, ale je to standard.

20.11.2013 12:04 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Za tohle vám patří můj velký dík.
Takže teď už jenom počkat až dorazí ty karty. :-)
Řešení 1× (Libor Chocholaty (tazatel))
26.11.2013 11:18 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Karty dorazily a při postupu dle návodu fungují.
Je třeba použít opensc verze 0.13.0 a opravit konfiguraci.
Zatím zkoušeny utility pkcs15-init a pkcs15-tool.

linky:
http://www.aventra.fi/English/products_MyEID_E.html
https://github.com/OpenSC/OpenSC/wiki/Aventra-MyEID-PKI-card
18.11.2013 18:50 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Nakonec jsem objednal Aventra MyEID PKI Card, která má deklarovanou podporu přímo pro OpenSC. I návod na inicializaci byl dostatečně podrobný, tak snad budu mít větší kliku.
18.11.2013 20:01 petr_p | skóre: 59 | blog: pb
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Ta vypadá taky dobře. Jen tam nikde nevidím podporu SHA-256. Sice mě nenapadá, k čemu potřebuje karta počítat hashe, když kvůli rychlosti se stejně používá jen na RSA.
19.11.2013 11:09 Libor Chocholaty | skóre: 12
Rozbalit Rozbalit vše Re: Použití ICA smart cards v Linuxu
Jasně, závisí na míře paranoi, zda se má hash také počítat na kartě. Ale to už se dostáváme do místa, zda věřit, že jsme na kartu poslali, co jsme chtěli, že?

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.