Připravme se na Opencard

5.9.2008 00:27 | Přečteno: 3872× | Linux |

Svět se nám rychle digitalizuje a v Praze si příští rok už bez smartkarty nepořídíme ani tramvajenku. Rozdává je hlavní město a zatím zdarma. V nabídce má dva typy, první je bezkontaktní a druhá je s kontaktním čipem. Obě stojí stejně a tak proč si nevzít tu s kontaktním čipem. Ta nám pak může navíc posloužit třeba jako úložiště certifikátů, což se může hodit. Já jsem si tedy podal žádost a dnes jsem se pokusil naladit Linux tak, aby si s mou OpenCard rozuměl.

Instalaci jsem provedl na záložním stroji IBM NetVista, na kterém je pro jednoduchost Ubuntu Linux. Z toho důvodu to nebyla ani nijaká zvláštní magie a byl jsem mile překvapen, jak snadno jsem se dostal k fungující čtečce chytrých karet. Čtečku mám GemPC410 na sériový port.
Tak pojďme na to.

Instalace
libopenct1 0.6.14, libpcsclite1 1.4.99, libopensc2 0.11.4, libpcsc-perl 1.4.6, opensc 0.11.4, libccid 1.3.1-1, pcsc-tools 1.4.11, pcscd 1.4.99, libc6 2.7, libgempc410 1.0.3

Po instalaci se v logu dočteme, že knihovna /usr/lib/pcsc/drivers/serial/libGemPC410.so.1.0.1 není k nalezení. Takže chybu opravíme nalinkováním novější knihovny:

cd /usr/lib/pcsc/drivers/serial
sudo ln -s libGemPC410.so.1.0.3 libGemPC410.so.1.0.1

A potom ji opravíme ještě lépe přímo v konfiguračním souboru:

vi /etc/reader.conf
FRIENDLYNAME      "GemPC410"
DEVICENAME        /dev/ttyS1
LIBPATH           /usr/lib/pcsc/drivers/serial/libGemPC410.so.1.0.3
CHANNELID         0

Vyzkoušíme, jestli nám čtečka funguje:

sudo pcscd -f -d -a
00000000 pcscdaemon.c:295:main() pcscd set to foreground with debug send to stderr
00000069 debuglog.c:236:DebugLogSetLevel() debug level=debug
00000013 debuglog.c:265:DebugLogSetCategory() Debug options: APDU
00000705 readerfactory.c:1116:RFInitializeReader() Attempting startup of GemPC410 00 00 using /usr/lib/pcsc/drivers/serial/libGemPC410.so.1.0.3
00000218 readerfactory.c:983:RFBindFunctions() Loading IFD Handler 3.0
00000058 ifdhandler.c:51:IFDHCreateChannelByName() lun: 0, device: /dev/ttyS1
00000042 gbpserial.c:354:OpenGBP() Lun: 0, device: /dev/ttyS1
00000165 gbpserial.c:540:OpenGBP() Serial port baudrate already set to 38400 (3)
00000012 GCCmds.c:407:GCCmdSetMode() 
00000021 -> 000000 42 00 03 01 00 01 41 
00009156 <- 000000 24 00 02 00 01 27 
00000042 gbpserial.c:546:OpenGBP() GCCmdSetMode success (4.a)
00000014 GCCmds.c:328:GCCmdGetOSVersion() 
00000015 -> 000000 42 40 05 22 05 3F E0 10 EF 
00023992 <- 000000 24 40 11 00 47 65 6D 43 6F 72 65 2D 52 31 2E 32 31 4D 43 51 3D 
00000274 GemPC410Utils.c:42:OpenGemPC410ByName() OS string: GemCore-R1.21MCQ
00000082 GCCmds.c:407:GCCmdSetMode() 
00000079 -> 000000 42 00 03 01 00 01 41 
00007504 <- 000000 24 00 02 00 01 27 
00000066 ifdhandler.c:572:IFDHICCPresence() lun: 0
00000019 GCCmds.c:389:GCCmdCardStatus() 
00000013 -> 000000 42 40 01 17 14 
00007929 <- 000000 24 40 07 00 04 02 00 00 00 00 65 
00000044 ifdhandler.c:630:IFDHICCPresence() Card present, just inserted
00000393 ifdhandler.c:572:IFDHICCPresence() lun: 0
00000050 GCCmds.c:389:GCCmdCardStatus() 
00000018 -> 000000 42 00 01 17 54 

Zdá se, že ano, blikací dioda trvale svítí a tak můžeme nastartovat obslužného démona:

sudo /etc/init.d/pcscd start

A je hotovo. Zítra musím zase do práce, takže bych se měl vyspat a proto dnes už víc nevyzkouším. Openkarta mi stejně dorazí až v říjnu, takže mám do té doby spoustu času vymýšlet, co všechno se s tím dá dělat.

       

Komentáře

[Luboš Doležel (Doli)]

Teď mě napadá, funguje platební karta jako klasická smart card? Ne že bych měl v plánu něco zapisovat, ale jestli nehrozí poškození, pokud to zkusím do čtečky nacpat.

[hufhendr]

Zajímavá myšlenka a něco na tom bude. Po zasunutí klasické platební karty pcscd -f -d -a vypíše Card inserted into GemPC410, při následném vytažení Card Removed From GemPC410.

[xkucf03]

Ještě se mi povedlo vypsat jakési id/typ karty, ale víc nic... Napsal jsem si na to program v Javě.

[hufhendr]

To je celkem zajímavé, co to všechno umí?

[xkucf03]

Příloha:

• Pokusy.java (4211 bytů)

Nic moc: vypíše čtečky, karty, rozpozná vložení/vyjmutí karty, vypíše ID karty.

Potřebuje libpcsclite.so. Zdroják přikládám.

Abych z toho dostal něco víc, tak je prý potřeba nějaká knihovna, co snad kdysi byla na opencard.org. Neměl jsem pak už moc času si s tím hrát, ale jestli se někdo dostal dál a dokázal si s kartou povídat, tak budu vděčný za jakékoli informace.

[hajma]

samozrejme

[kavol]

Já jsem si tedy podal žádost ...

jakže je to o tom dobrovolném a radostném přijetí znamení ďábla?

[Honza Jaroš]

Ďábel sám má problémy, momentálně je nejužším místem tiskárna která nestíhá, takže mají ke včerejšku cca 40 000 žádostí o karty, které už prošvihly termín vydání. A vypadá to, že do konce září to bude dvojnásobek. Je to klasická ukázka jak to vypadá, když se něco začne realizovat hurástylem bez rozmyslu. Ale to je ostatně celá Karta Pražana (jak se to původně jmenovalo) už od začátku před několika lety...

[Chocolate Bear]

A proč sis nevybral tu bezkontaktní? Kvůli tomu náhrání certifikátu? To by mi asi k ničemu nebylo. Je ještě nějakej jinej důvod?

[Honza Jaroš]

Ta zmiňovaná čtečka umí číst i bezkontaktní karty? A fungovalo by třeba to zjišťování trestných bodů pro řidiče? Čtečky v internetových kioscích na magistrátu v Jungmance by měly bezdrát umět (alespoň podle specifikací výrobce), ale přihlásit se bezkontaktně na ty stránky se stavem bodů se mi nepodařilo, zatímco s kontaktní nebyl problém. Možná byla chyba na mé straně, nevím...

[Chocolate Bear]

Ona ta kontaktní má údajně jenom něco navíc, takže by snad měla jít používat i jako bezkontaktní. Ale někde jsem zase, čet že většina lidí by si měla vybrat bezkontaktní, protože její vydání je kratší a umožňuje využívání všech služeb. Já vim, že ta věta neříká, že kontaktní využívání všech služeb neumožňuje a že když je to navíc jenom rozšíření, tak technicky by asi taky neměl být problém, ale když už vymysleli opencard, tak bych se nedivil, kdyby vymysleli ještě jinou míčovinu a tu kontaktní nějak omezili.

[Chocolate Bear]

Jo, tak obě by měly umožňovat využívat všechny služby.

http://www.praha.eu/jnp/cz/opencard/otazky_a_odpovedi/nejvetsi_myty_a_nedorozumeni.html

Pozn.: Můžu vám slíbit, že ani příště nebudu nejdřív zjišťovat a pak až psát

[Honza Jaroš]

Je zajímavé, že v souvislosti s bezkontaktní verzí nezmiňují tu jejich aplikaci Vím jak řídím. Nevím jak teď, ale ještě nedávno fungovala naopak jen s kontaktní kartou. Jinak ta kontaktní verze umí i fungovat i bezkontaktně, takže hledat omezení z tohohle směru je zbytečné. Bezkontaktní je pro ně výhodnější, protože je levnější na výrobu.

[Honza Jaroš]

Jo tak je to jasné, citát z výše odkazovaných stránek:

Karta opencard s kontaktním čipem obsahuje jak bezkontaktní tak i kontaktní čip a oproti standardní opencard nabízí navíc jen možnost uložení elektronického certifikátu.

Pro přístup do té webové aplikace s trestnými body je potřeba certifikát. Pokud na bezkontaktní verzi nejde nahrát, bude pro tenhle účel nepoužitelná. Takže v tom jejich FAQ kecají, bezkontaktní nejde použít pro všechny dostupné aplikace

[Chocolate Bear]

O&A:

Většině žadatelů doporučujeme zvolit standardní provedení karty. Její vydání je rychlejší a lze s ní využívat všechny služby v rámci programu opencard.

Buď kecaj nebo to, co zmiňuješ nepatří do programu opencard (formálně nepatří). Prostě kvůli takovejmhle chytákům je lepší se normálně blbě zeptat.

[Honza Jaroš]

Právě že patří, viz třeba zde. Ještě nedávno to byl dokonce jeden z taháků na to, aby si to lidi pořizovali (byť to, pokud se nepletu, stejně neevidovalo trestné body udělené mimo město). A protože to i tak skoro nikdo nechtěl, rozhodli se to nakonec vnutit lidem prostřednictvím elektronického jízdného.

Jenom raději upozorním, že s magistrátem jsem v dost těsném pracovním kontaktu a bohužel občas letmo přijdu do styku i s tím bordelem, který kolem OpenCard už nějakou dobu panuje. Takže o historii téhle drahé hračky něco málo vím...

[xkucf03]

Protože bezkontaktní karty jsou zlo - viz OpenCard

[Honza Jaroš]

Už jsem to tady psal, ale upozorním ještě jednou - ta čipovka funguje i bezkontaktně, takže je v tomto ohledu jedno, kterou verzi karty si objedná.

[xkucf03]

Už jsem si to přečetl, takže volba kontaktní karty v tomto ohledu nepomůže :(

[Chocolate Bear]

Prý to taky posílají poštou, nevíte jestli to posílají doporučeně? Kdyby to jenom hodili do schránky, tak bych si to nechal poslat, ale jinak radši půjdu na "kontaktní místo" než na poštu.

[Honza Jaroš]

Není to jedno?

[Chocolate Bear]

[Vladia]

Máte už někdo praktické zkušenosti s kontaktním čipem na Opencard a OpenSC? Dnes jsem si byl ten zázrak vyzvednout a aktuální OpenSC (0.11.6) kartu samotnou nezná. Nepochodil jsem ani když jsem zkusil manuálně vnutit jiný card driver. ATR byty karty jsou 3b:7e:94:00:00:80:25:a0:00:00:00:28:56:80:10:24:00:01:11 Tušíte někdo jakým způsobem jsou na kartě uloženy certifikáty? Jestli v pkcs#15 nebo nějakém jiném formátu? pkcs15-tool mi říká Unsupported card. Jo a mimochodem, karta se jim opravdu moc "povedla", je tlustší a do čtečky jsem ji musel strkat hrubou silou.

[SSem]

Zdravím, drivery (middleware) pro OpenCard jsou k dispozici jak pro Windows, tak pro Linux (balíček deb a rpm). Jedná se o kartu Gemalto s upraveným firmwarem, který dodává firma Monet+. Magistrát dává ovladače jen žadatelům o aplikaci s přehledem trestných bodů, kteří chtějí použít kartu na autentizaci. Bohužel link na ovladače není veřejně přístupný, dostal jsem informaci přes známého, že je ke stažení ZDE.

Najdete tam jednak knihovny pro CSP, tak pro rozhraní PKCS#11. Aplikace CryptoPlus umožní náhled na obsah karty. Je tam jednak certifikát Root CA (který má Praha), tak uživatelský certifikát, kde je v commonName uvedeno číslo karty (žádné osobní údaje). Karta je personalizovaná tak, že na ni lze nahrát jen certifikáty vydané pod cestou patřící rootu uloženému na kartě. To znamená, že si na ni nevystavíte vlastní certifikát.

Co je možné, je ale využít ve vlastních aplikacích certifikát, který už tam je k dispozici. Rozhraní CSP umožní spolupráci s MS aplikacemi (Outlook, IE), s PKCS#11 se zase dá pracovat ve Firefoxu či Thunderbirdu. Custom naprogramované aplikace připravené na PKI ho samozřejmě mohou využít také. Nevím jen, jak legálně, zda magistrát toto využití třetím stranám volně povoluje. Ale je to snad "open" card .