| View previous topic :: View next topic |
| Author |
Message |
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
 Posted: Sun Jul 19, 2009 10:07 am Post subject: [mini-cómo] Instalación del DNIe en Gentoo |
 |
|
Como todos sabéis, el nuevo DNI electrónico o DNIe incorpora un chip que permite autenticación electrónica en páginas web, firma digital, etc. Aquí os dejo el manual para instalar los programas necesarios a través de portage.
El chip del DNIe le permite funcionar con cualquier lector de tarjetas smartcard. Por tanto, podremos utilizar cualquier lector de smartcard compatible con Linux. En principio, debería serlo cualquier lector que use el controlador estándar CCID. Además, se deben instalar los controladores de la tarjeta, en este caso los del DNIe, que sólo se distribuyen en formato binario.
1- Instalación del lector smartcard.
En mi caso, he utilizado un lector Cherry ST1210, aunque puede servir cualquier otro. En el caso del Cherry, hace falta instalar el paquete CCID y su dependencia pcsc-lite. En este caso las versiones instaladas son las más actuales estables en portage: ccid-1.3.10 y pcsc-lite-1.5.3. pcsc-lite lo instalaremos haciendo uso de la USE=hal, que ya activa por defecto:
| Code: | # emerge -pv pcsc-lite ccid
These are the packages that would be merged, in order:
Calculating dependencies... done!
[ebuild R ] sys-apps/pcsc-lite-1.5.3 USE="hal -static -usb" 0 kB
[ebuild R ] app-crypt/ccid-1.3.10 USE="-nousb -twinserial" 0 kB
Total: 2 packages (2 reinstalls), Size of downloads: 0 kB |
A continuación debemos ejecutar el demonio de pcscd, que podemos también poner en el runlevel default para que se inicie automáticamente al arrancar el sistema:
# /etc/init.d/pcscd start
# rc-update add pcscd default
Con esto, el sistema ya debería reconocer el lector. Una forma rápida de saber si ha sido reconocido es, desde las X, usar el programa usbview: el nombre de los dispositivos que no tienen el correspondiente controlador cargado aparece en rojo. Si todo está correcto aparecerá en negro.
Controlador no cargado: http://yfrog.com/0xlectorkoj --- Controlador cargado: http://yfrog.com/9flectorokj
2- Instalación del controlador para la tarjeta del DNIe
Lo primero que hemos de hacer es poner en el overlay del portage (que crearemos si no lo hemos hecho ya) el ebuild, que pondremos en /usr/local/portage/dev-libs/opensc-dnie/opensc-dnie-1.4.7.ebuild:
| Code: | # Copyright 1999-2009 Gentoo Foundation
# Distributed under the terms of the GNU General Public License v2
# $Header: $
DESCRIPTION="Controlador opensc para el DNI electrónico"
HOMEPAGE="www.dnie.es"
SITE="http://www.dnie.es/descargas/PKCS11_para_Sistemas_Unix"
SRC_URI="x86? ( ${SITE}/1.4.7.Ubuntu_Karmic_32/Ubuntu_Karmic_${PN}_1.4.7-2_i386.tar )
amd64? ( ${SITE}/1.4.7.Ubuntu_Karmic_64/Ubuntu_Karmic_${PN}_1.4.7-2_amd64.tar ) "
LICENSE="DGP"
SLOT="0"
KEYWORDS="~x86 ~amd64"
IUSE=""
DEPEND="=dev-libs/opensc-0.11.8
sys-devel/binutils
app-arch/tar"
RDEPEND="dev-lang/perl
=dev-libs/opensc-0.11.8"
src_install() {
if use amd64; then
ARQ="_amd64"
else
ARQ="_i386"
fi
ar -x ${PN}_1.4.7-1${ARQ}.deb || die "Extract failed"
cd ${D}
tar xvzf ${WORKDIR}/data.tar.gz || die "Install failed"
}
pkg_postinst() {
grep dnie /etc/opensc.conf >${T}/odc
if ( ! test -s ${T}/odc ); then
patch -b /etc/opensc.conf ${FILESDIR}/opensc-dnie.conf.patch
fi
}
pkg_postrm() {
if ( test -e /etc/opensc.conf.orig ); then
rm /etc/opensc.conf
mv /etc/opensc.conf.orig /etc/opensc.conf
fi
} |
O para la versión anterior 1.4.6:
| Code: | # Copyright 1999-2009 Gentoo Foundation
# Distributed under the terms of the GNU General Public License v2
# $Header: $
DESCRIPTION="Controlador opensc para el DNI electrónico"
HOMEPAGE="www.dnie.es"
SRC_URI="x86? ( http://www.dnielectronico.es/descargas/PKCS11_para_Sistemas_Unix/${PN}_1.4.6-2_i386.deb.tar )
amd64? ( http://www.dnielectronico.es/descargas/PKCS11_para_Sistemas_Unix/${PN}_1.4.6-2_amd64.deb.tar ) "
LICENSE="DGP"
SLOT="0"
KEYWORDS="~x86 ~amd64"
IUSE=""
DEPEND="=dev-libs/opensc-0.11.7
sys-devel/binutils
app-arch/tar"
RDEPEND="dev-lang/perl
=dev-libs/opensc-0.11.7"
src_install() {
if use amd64; then
ARQ="_amd64"
else
ARQ="_i386"
fi
ar -x ${PN}_1.4.6-2${ARQ}.deb || die "Extract failed"
cd ${D}
tar xvzf ${WORKDIR}/data.tar.gz || die "Install failed"
}
pkg_postinst() {
grep dnie /etc/opensc.conf >${T}/odc
if ( ! test -s ${T}/odc ); then
patch -b /etc/opensc.conf ${FILESDIR}/opensc-dnie.conf.patch
fi
}
pkg_postrm() {
if ( test -e /etc/opensc.conf.orig ); then
rm /etc/opensc.conf
mv /etc/opensc.conf.orig /etc/opensc.conf
fi
} |
También pondremos en /usr/local/portage/dev-libs/opensc-dnie/files/opensc-dnie.conf.patch el siguiente archivo:
| Code: | 49a50
> reader_drivers=pcsc;
121a123,128
> card_drivers = dnie;
>
> card_driver dnie {
> #The location of the driver library
> module = /usr/lib/libopensc-dnie.so;
> } |
A continuación haremos un emerge de opensc-dnie, que instalará como dependencia el paquete opensc-0.11.7 u opensc-0.11.8, dependiendo si estamos instalando la versión 1.4.6 o la nueva 1.4.7. Es importante no actualizar opensc a una versión posterior porque no funcionará. En ese caso firefox nos muestra en la consola un mensaje de error al iniciar el navegador:
[opensc-pkcs11] ctx.c:362:load_dynamic_driver: dynamic library '/usr/lib/libopensc-dnie.so': invalid module version
[opensc-pkcs11] ctx.c:462:load_card_drivers: Unable to load 'dnie'.
Podemos bajar la versión correcta de opensc de los siguientes enlaces:
0.11.7: http://sources.gentoo.org/viewcvs.py/*checkout*/gentoo-x86/dev-libs/opensc/opensc-0.11.7.ebuild
0.11.8: http://sources.gentoo.org/viewcvs.py/*checkout*/gentoo-x86/dev-libs/opensc/opensc-0.11.8.ebuild
Además debemos asegurarnos de que opensc se instala con la USE pcsc-lite, ya que de lo contrario no podrá comunicarse con nuestro lector smartcard.
Una vez instalado, en el menú Oficina de nuestro entorno X (xfce, kde, o el que sea) encontraremos un enlace para registrar el módulo PKCS#11 del DNIe en Firefox. Tras ejecutarlo, se abrirá Firefox y nos pedirá permiso para instalar el módulo de seguridad. Tras hacerlo, cerramos Firefox y se volverá abrir. En teoría, al hacerlo debería instalar el certificado raíz de la Dirección General de Policía, que se usará para validar los DNIe. Digo en teoría, porque en Firefox 3.0.11 no funciona, y deberemos instalarlo manualmente.
Para instalar el certificado raíz de la DGP manualmente, abrimos en Firefox el menú Editar -> Preferencias. Pulsamos en el icono Avanzado y en la pestaña Cifrado pulsamos el botón Ver certificados. En la ventana que sale nos vamos a la pestaña Autoridades, pulsamos el botón Importar e importamos el certificado raíz de la DGP que se encuentra en /usr/share/opensc-dnie/ac_raiz_dnie.crt. En la ventana que aparece marcaremos las 3 casillas y aceptamos.
En Firefox 3.5 es necesario añadir manualmente el dispositivo, ya que no se instala automáticamente. Para ello seguiremos los siguientes pasos:
1. En el menú Editar elegir la opción Preferencias
2. Seleccionar el icono Avanzado
3. En la pestaña Cifrado pulsar el botón Dispositivos de seguridad. Se mostrará la ventana del Administrador de dispositivos
4. Pulsar el botón Cargar
5. Introducir los datos del módulo:
* En Nombre del módulo escribir un nombre para el módulo (por ejemplo, DNIe)
* En Archivo del módulo escribir: /usr/lib/opensc-pkcs11.so 6. Pulsar el botón Aceptar para añadir el módulo.
7. En el administrador de dispositivos, pulsar de nuevo Aceptar.
8. Ya se puede cerrar la ventana de Preferencias.
3- Comprobación de la instalación:
La primera cosa a comprobar sería que el lector smartcard está correctamente reconocido por el sistema. Eso ya lo hemos hecho en el primer paso, al comprobar mediante usbview si el dispositivo salía en negro o rojo.
En segundo lugar, en el administrador de dispositivos de Firefox (la ventana a la que accedemos mediante el botón dispositivos de seguridad) en la lista de módulos de seguridad y dispositivos saldrá uno llamado DNIe que contendrá muchas entradas Virtual slot. Si tenemos conectado el lector smartcard, las 4 primeras aparecerán con el nombre del lector (en el caso del Cherry son 4, no sé si con otros lectores el número puede variar). Si con el lector conectado ninguno de los Virtual slot aparece renombrado con el nombre del lector, una causa posible puede ser que opensc se haya compilado sin el use pcsc-lite. Al introducir un DNIe en el lector, la primera de dichas entradas muestra que está introducido el DNIe.
Sin DNIe insertado: http://yfrog.com/elsindniej --- Con DNIe insertado: http://yfrog.com/5wcondniej
Por último hacemos una visita a la página http://www.dnie.es y al final de la página a la que accedemos pulsando en CÓMO UTILIZAR EL DNIE -> Verificar que funciona encontraremos un enlace para verificar su funcionamiento.
En la misma página, accediendo al enlace descargas -> Sistemas GNU/Linux y Sistemas MacOS podemos encontrar un enlace con el programa para cambiar el pin.
Notas:
1- No estoy seguro de si el ebuild está hecho de la mejor forma posible o no. Casi seguro que será mejorable, pero al menos lo he probado y consigue instalar correctamente el programa del DNIe tanto en x86 como en amd64. Cualquier sugerencia o mejora al ebuild será bienvenida.
2- En el paquete .deb hay un script que permite modificar el archivo /etc/opensc.conf al instalar opensc-dnie y dejarlo como estaba tras la desinstalación. Pero tras echarle un vistazo veo que usa cosas de Debian y por tanto no estoy seguro si funcionaría en Gentoo, por lo que he hecho un simple apaño en la funcion pkg_postinst del ebuild que simplemente modifica una sola vez dicho archivo, y no vuelve a hacerlo si se reinstala opensc-dnie si ya hace referencia al mismo.
---Actualizaciones---
21/07/2009 -> Cambio en el ebuild para recuperar el archivo /etc/opensc.conf original si se desinstala opensc-dnie
02/08/2009 -> Eliminada versión 0.11.7 de opensc en el portage, por un bug de seguridad. Puede bajarse el ebuild de http://sources.gentoo.org/viewcvs.py/*checkout*/gentoo-x86/dev-libs/opensc/opensc-0.11.7.ebuild y ponerlo en el overlay del portage. Espero que salga una nueva versión del controlador para el DNIe que solucione el problema.
20/02/2010: Añadido ebuild para la nueva versión 1.4.7 (usando paquetes de Ubuntu Karmic Koala) que depende de opensc-0.11.8 en vez de opensc-0.11.7. Algo es algo (esta version ha resuelto un importante bug de seguridad) aunque sigue siendo muy antigua y ya no está en portage, aunque podemos descargar el ebuild desde este enlace: http://sources.gentoo.org/viewcvs.py/*checkout*/gentoo-x86/dev-libs/opensc/opensc-0.11.8.ebuild
_________________
pcmaster
Last edited by pcmaster on Tue Feb 23, 2010 4:16 pm; edited 11 times in total |
|
| Back to top |
|
 |
darkevil
Tux's lil' helper
Joined: 02 May 2006
Posts: 104
Location: mv "en la capital Malacitana" "Marbella"
|
| Posted: Wed Jul 22, 2009 3:08 am Post subject: |
|
|
Hola,
hace un tiempo instalé el lector ltc31 con un pequeño manual que encontré en Kriptopolis, http://www.kriptopolis.org/dni-electronico-en-gentoo, pero, cuando insertaba el DNIe y la clave el firefox se me cerraba. Lo intenté con konqueror pero ocurria lo mismo.
El lector lo reconocía y los certificados estaban instalados ya que me pedía el pin cuando metía el dni.
No lo tengo a mano ahora mismo el lector, la semana que viene probaré a ver que tal.
Saludos.
_________________
Linuxuser #485039
Portatil AMD64 ML-34 Ati 200m 1Gb RAM 100Gb HDD
PC Athlon XP2400+ Nvidia GForce 5600 768Mbytes 40Gb+80GB HDD |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Wed Jul 22, 2009 9:10 am Post subject: |
|
|
La guía de kriptópolis hable de una versión más antigua del programa para el DNIe. Yo he hecho el ebuild para la última.
Una cosa: tras la instalación, revdep-rebuild falla porque un archivo del dnie necesita el paquete openct.
Pero openct hace lo mismo que ccid + pcsc-lite, así que en un principio no es necesario instalarlo. Es más, en algún foro dedicado a Ubuntu, cuando buscaba información opara hacer el ebuild, leí que si se instalaba openct podía ocurrir que dicho programa tomase el control del lector, y éste dejara de funcionar con ccid + pcsc-lite, si es el driver configurado para el DNIe.
Actualizo: si se instala openct con el use pcsc-lite, efectivamente al iniciarlo con /etc/init.d/openct start el lector deja de ser reconocido al conectarlo al USB. por algún motivo, el Cherry-ST-1210 funciona con el driver ccid con sólo instalarlo, pero no con el driver ccid de openct. Si alguien consigue configurarlo que diga cómo, así ya que hay que instalar openct podría prescindirse de ccid.
En fecha 29 de julio ha sido eliminada la versión 0.11.7 de opensc dejando como estable solamente la última 0.11.8. Dado que sólo conseguí instalarlo con la 0.11.7, he puesto un bug para que la re-añadan: http://bugs.gentoo.org/show_bug.cgi?id=280018
EDITO: En apenas unos minutos han cerrado el bug. La versión 0.11.7 no será vuelta a poner en el portage por un fallo de seguridad documentado en el bug 269920. En la respuesta dan como solución instalarlo en un overlay local (puede bajarse de http://sources.gentoo.org/viewcvs.py/*checkout*/gentoo-x86/dev-libs/opensc/opensc-0.11.7.ebuild)
_________________
pcmaster |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Mon Oct 26, 2009 4:43 pm Post subject: |
|
|
Actualización: En Firefox 3.5 es necesario añadir manualmente el dispositivo:
1. En el menú Editar elegir la opción Preferencias
2. Seleccionar el icono Avanzado
3. En la pestaña Cifrado pulsar el botón Dispositivos de seguridad. Se mostrará la ventana del Administrador de dispositivos
4. Pulsar el botón Cargar
5. Introducir los datos del módulo:* En Nombre del módulo escribir un nombre para el módulo (por ejemplo, DNIe)
* En Archivo del módulo escribir: /usr/lib/opensc-pkcs11.so 6. Pulsar el botón Aceptar para añadir el módulo.
7. En el administrador de dispositivos, pulsar de nuevo Aceptar.
8. Ya se puede cerrar la ventana de Preferencias.
_________________
pcmaster
Last edited by pcmaster on Tue Feb 23, 2010 4:20 pm; edited 7 times in total |
|
| Back to top |
|
|
mimosinnet
Guru
Joined: 10 Aug 2006
Posts: 372
Location: Barcelona, Spain
|
| Posted: Sat Feb 06, 2010 3:01 pm Post subject: |
|
|
Excelente post! Me ha funcionado perferctamente!
He tenido que cambiar el fichero /etc/opensc.conf tal y como señalas en el post DNI electrónico en Gentoo en la web de kriptopolis.
También, he tenido que salir y volver a entrar a firefox con el DNI en el lector.
Mil gracias! |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Sat Feb 06, 2010 3:59 pm Post subject: |
|
|
¿Has modificado el archivo opensc.conf manualmente como pone en la web de kiptópolis?
No es que no haya que modificarlo, sino que mi ebuid ya lo hace. Mira a ver si te has olvidado de poner el archivo opensc-dnie.conf.patch en /usr/local/portage/dev-libs/opensc-dnie/files/
_________________
pcmaster |
|
| Back to top |
|
|
mimosinnet
Guru
Joined: 10 Aug 2006
Posts: 372
Location: Barcelona, Spain
|
| Posted: Sat Feb 06, 2010 4:11 pm Post subject: |
|
|
| pcmaster wrote: | | Mira a ver si te has olvidado de poner el archivo opensc-dnie.conf.patch |
Pues sí que tenía el archivo.
| Code: | # ls /usr/local/portage/dev-libs/opensc-dnie/files/
opensc-dnie.conf.patch |
Igual es que había instalado antes el dev-libs/opensc-0.11.11 e instalado después la versión 0.11.7.
He estado mirando cómo usar el programa de cambio de contraseña:
Abrazos!
---
Por cierto, que vivimos bien cerca: http://www.gentoo-users.org/user/mimosinnet/ |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Sat Feb 06, 2010 4:31 pm Post subject: |
|
|
Sí, claro, al reinstalar opensc se re-escribe el archivo .conf. pero con reinstalar el programa del dnie se soluciona.
Por cierto, ya podrían los autores del programa actualizarlo para que funcione con versiones más modernas de opensc.
_________________
pcmaster |
|
| Back to top |
|
|
cameta
Guru
Joined: 04 Aug 2004
Posts: 331
|
| Posted: Sun Feb 07, 2010 2:10 pm Post subject: |
|
|
Mientras vayan con binarios habra este problema.
_________________
Si algo falla LEE el jodido manual, Si sigue fallando LEE BIEN el jodido manual. |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Sun Feb 07, 2010 2:22 pm Post subject: |
|
|
Sí, es cierto, aunque podrían al menos hacerlo al estilo que usan nvidia y ati en sus drivers binarios, que vienen en formato objeto, y al "compilarlos" lo que hace es enlazarlos para que funcionen con la versión del kernel que tengas instalada.
_________________
pcmaster |
|
| Back to top |
|
|
cameta
Guru
Joined: 04 Aug 2004
Posts: 331
|
| Posted: Mon Feb 08, 2010 1:10 pm Post subject: |
|
|
De todas maneras en muchas webs que usan el DNI-e se emplean también controles Active X
y me parece que eso no hay manera de hacerlo funcionar en linux. Corrigeme si me equivoco.
_________________
Si algo falla LEE el jodido manual, Si sigue fallando LEE BIEN el jodido manual. |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Mon Feb 08, 2010 3:28 pm Post subject: |
|
|
Bueno, supongo que eso depende de la web. Si existe software para linux es porque es posible utilizarlo. Pero lo de los controles ActiveX pueden llevarlos tantto si usan el dnie como si no.
_________________
pcmaster |
|
| Back to top |
|
|
cameta
Guru
Joined: 04 Aug 2004
Posts: 331
|
| Posted: Mon Feb 08, 2010 4:01 pm Post subject: |
|
|
En el tesoro público www.tesoro.es con la firma electrónica puedo acceder a mis inversiones, pero no puedo firmar para suscribir o renovar (y tengo que usar un windows) 
pirata evidentemente.
_________________
Si algo falla LEE el jodido manual, Si sigue fallando LEE BIEN el jodido manual. |
|
| Back to top |
|
|
mimosinnet
Guru
Joined: 10 Aug 2006
Posts: 372
Location: Barcelona, Spain
|
| Posted: Tue Feb 09, 2010 7:29 am Post subject: |
|
|
Por si a alguien le ocurre lo mismo:
Descargué el dispositivo de seguridad en el firefox (el que aparece cuando agregamos /usr/lib/opensc-pkcs11.so) y para volver a cargarlo he tenido que reinstalar el ebuild opensc-dnie.
Abrazos!
Edición: Añadido
Una cosa más: cuando se desconecta el lector el archivo .xsession-erros empieza a llenarse con estos mensajes:
| Code: | [opensc-pkcs11] reader-pcsc.c:877:pcsc_detect_readers: SCardListReaders failed: 0x8010002e
[opensc-pkcs11] reader-pcsc.c:996:pcsc_detect_readers: returning with: No readers found |
Abrazos! |
|
| Back to top |
|
|
pcmaster
Veteran
Joined: 04 Dec 2003
Posts: 1864
Location: Barcelona
|
| Posted: Sat Feb 20, 2010 12:07 pm Post subject: |
|
|
Añadido ebuild para la versión 1.4.7 usando el paquete de Ubuntu Karmic Koala. Utiliza la versión 0.11.8 de opensc en lugar de la 0.11.7.
_________________
pcmaster |
|
| Back to top |
|
|
|
|
You cannot post new topics in this forum
You cannot reply to topics in this forum
You cannot edit your posts in this forum
You cannot delete your posts in this forum
You cannot vote in polls in this forum
|
|
Spanish
