Hiparco

DNIe en Debian GNU/Linux Wheezy

Güimi — Fri, 24 May 2013 11:52:35 +0000

Este artículo muestra cómo instalar el DNIe en Debian GNU/Linux Wheezy.
Otras versiones:
- DNIe en Debian Lenny
- DNIe en Ubuntu Karmic Koala
- DNIe en GNU/Linux.

Una vez instalado un lector de DNI-e, también nos sirve para utilizar tarjetas criptográficas CardOs M4 como las que utiliza por ejemplo la Comunidad Valenciana a través de la ACCV.

El DNI electónico o DNIe se puede hacer funcionar en GNU/Linux, tanto para identificarse en webs como para firmar documentos todo con plena validez legal. El problema es que a la hora de hacer los drivers hubo varias chapuzas, problemas con las licencias libres, utilización de librerías incorrectas… Así que para instalarlo en Debian Squeeze hace falta utilizar un poco de magia ;-) Que es un modo más bonito de decir que hay que parchear la instalación para que funcionen los paquetes.

No hay que olvidar que el DNIe tiene sus limitaciones y pegas de seguridad. (Para los “paranoicos” se recomienda utilizar el DNIe únicamente desde sistemas de solo lectura como un CD con Knoppix).
Tampoco hay que olvidar que una firma “normal” es mucho más facil de falsificar que una firma electrónica, pese a que ninguna sea totalmente segura.

Las siguientes instrucciones se han probado en Debian Squeeze con un lector C3PO LTC31 (de venta en las oficinas de correos por 19,90 €), con un “miniLector Bit4id” del plan avanza2 (es un Advanced Card Systems ACR38-U pero con una caja blanca) y con un lector Omnikey 3021.

INSTALACIÓN DEL LECTOR

Básicamente vamos a instalar los paquetes de Debian Lenny en nuestro Squeeze.

$ wget http://www.dnielectronico.es/descargas/PKCS11_para_Sistemas_Unix/1.4.6.Debian_Lenny_32/Debian_Lenny_opensc-dnie_1.4.6-2_i386.deb.tar

Para hacerlos funcionar necesitaremos un par de librerías del repositorio de Lenny:

$ wget http://ftp.es.debian.org/debian/pool/main/libt/libtool/libltdl3_1.5.26-4+lenny1_i386.deb
$ wget http://ftp.es.debian.org/debian/pool/main/o/openct/libopenct1_0.6.14-3_i386.deb

Instalamos los paquetes:

$ tar xvf Debian_Lenny_opensc-dnie_1.4.6-2_i386.deb.tar
libopensc2_0.11.7-7_i386.deb
opensc-dnie_1.4.6-2_i386.deb
opensc_0.11.7-7_i386.deb
# dpkg -i libltdl3_1.5.26-4+lenny1_i386.deb
# dpkg -i libopenct1_0.6.14-3_i386.deb
# dpkg -i libopensc2_0.11.7-7_i386.deb
# dpkg -i opensc_0.11.7-7_i386.deb
# aptitude install pinentry-gtk2
# dpkg -i opensc-dnie_1.4.6-2_i386.deb
# Bloqueamos los paquetes
#+ para que no se actualicen, ya que los de la distribución son
#+ más modernos pero el DNIe no funciona con ellos
# aptitude hold libltdl3 libopenct1 libopensc2 opensc opensc-dnie

Nos indica que hemos de registrar el módulo PKCS#11 en iceweasel/firefox utilizando el enlace que nos crea en el menú principal del escritorio en “Oficina-> Registrar módulo DNIe PKCS#11“.
Indicamos que confiamos en la nueva Autoridad Certificadora (CA) para las tres posibilidades.

Podemos comprobar si el sistema reconoce correctamente el lector con el comando “pcsc_scan” y probando a introducir y sacar el DNIe (u otras tarjetas similares):

# aptitude install pcscd pcsc-tools
$ pcsc_scan
PC/SC device scanner
[...]
Reader 0: ACS ACR 38U-CCID 00 00
  Card state: Card inserted,
[...]
Possibly identified card (using /usr/share/pcsc/smartcard_list.txt):
XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX
	DNI electronico (Spanish electronic ID card)

http://www.dnielectronico.es

 Reader 0: ACS ACR 38U-CCID 00 00
  Card state: Card removed,

Otras pruebas que podemos hacer son (estas con una tarjeta CardOs M4):

$ opensc-tool -l
Readers known about:
Nr.    Driver     Name
0      pcsc       C3PO LTC31 (00426664) 00 00
$ opensc-tool -a
Using reader with a card: C3PO LTC31 (00426664) 00 00
3b:f2:98:00:ff:c1:10:31:fe:55:c8:04:12
$ opensc-tool -n
Using reader with a card: C3PO LTC31 (00426664) 00 00
CardOS M4

Para que funcione bien iceweasel/firefox y detecte el módulo sin problemas es necesario reiniciar el navegador.

USO Y DISFRUTE

Lo primero que hay que saber es que en el DNIe tenemos a nuestra disposición dos certificados, uno para identificarnos (certificado de autenticación) y otro para firmar (certificado de firma), lo que son los dos principales usos del DNIe.

También es importante saber que cada aplicación que utiliza el DNIe establece una “sesión” con el lector de tarjetas y que no puede haber dos sesiones abiertas a la vez. Es decir no podemos usar el DNIe en dos aplicaciones a la vez. Sin embargo muchas aplicaciones no indican adecuadamente esta circunstancia y simplemente parece que no funcionan.
Así por ejemplo si iniciamos sesión en iceweasel/firefox para acceder a una web, no podemos firmar un archivo pdf con sinadura hasta cerrar sesión. Y al revés, tras firmar un fichero con sinadura no nos deja validarnos con iceweasel.
Ante la duda basta con extraer y volver a introducir el DNIe en el lector para asegurarse que está disponible el acceso.

Un último recordatorio, si se introduce el PIN del DNIe erróneamente tres veces seguidas, éste se bloquea. Así que al hacer pruebas con los programas y sus configuraciones hay que tener cuidado. A mí se me bloqueó haciendo pruebas con Sinadura (para desbloquearlo hay que pasar 5 minutos por una comisaria), así que después cada vez que hacía una prueba con un programa si no funcionaba perfectamente iniciaba sesión en iceweasel/firefox.

Identificarse en sitios web con iceweasel/firefox

El DNIe se puede utilizar al navegar para identificarse en un sitio web. Así por ejemplo si nos identificamos en la web de la seguridad social podremos descargarnos al instante nuestra vida laboral.

Primero debemos asegurarnos que hemos registrado en iceweasel/firefox el módulo de DNIe PKCS#11 (usando el menú principal del escritorio en “Oficina-> Registrar módulo DNIe PKCS#11“).
En caso contrario podemos registrarlo a mano desde “Editar -> Preferencias -> Avanzado -> Cifrado -> Dispositivos de seguridad“. Seleccionamos “Cargar”, indicamos un nombre, por ejemplo “DNIe – OpenSC PKCS#11″, y la ruta del módulo “/usr/lib/opensc-pkcs11.so”.

Si la instalación ha sido correcta y tenemos el lector conectado con un DNIe introducido, nos habilitará la opción “Iniciar sesión” (¡bien!). Si iniciamos sesión nos pedirá el PIN, pero antes es mejor reiniciar el navegador para que nos pida instalar el certificado de la DGP (Dirección General de la Policia).

Comprobaciones
Podemos probar nuestro DNIe en el navegador en la página de verificación del portal oficial (el enlace para la verificación está al final de esa página).

Si todo ha ido bien el navegador nos pide nuestro PIN para iniciar sesión (si no lo hemos introducido antes):

Cuando conectamos con una web en la que debemos identificarnos nos pregunta cuál de los dos certificados (el de firma o el de autenticación) queremos utilizar. Para identificarnos usamos el de autenticación.

Si el navegador nos indica:

El otro extremo de la conexión SSL no puede verificar su certificado.
(Código de error: ssl_error_bad_cert_alert)

Es porque no hemos iniciado sesión correctamente (hemos fallado el PIN 3 veces, no lo hemos puesto, no está bien instalado el lector…).

Lo recomendado es “Iniciar sesión” en el navegador solo cuando se necesita y “Terminar sesión” lo antes posible. Si visitamos una página que requiere certificado sin haber iniciado sesión, el navegador nos solicitará el PIN automáticamente, pero para cerrar sesión hay que ir “a mano” a la opción “Dispositivos de seguridad” del menú.

Firmar archivos PDF con Sinadura

Otro uso interesante del DNIe es firmar un archivo PDF. Esta firma tiene plena validez legal. Es decir, hasta ahora había que hacer un documento, imprimirlo y después firmarlo a mano. Ahora podemos hacer un documento, guardarlo como PDF (por ejemplo con OpenOffice Writer) y después firmarlo con nuestro DNIe.
Hay que insistir en que tiene plena validez legal. Sirve para hacer contratos, compra ventas, reclamaciones…

Primero descargamos Sinadura, en mi caso he descargado la versión 2.0.0 para GNU/Linux de 32 bits.

Su instalación es muy sencilla, basta con hacer:

$ java -jar  sinadura-2.0.0-unix32-installer.jar

y seguir el típico asistente de “siguiente”, “siguiente”, “siguiente”…

Para configurarlo vamos a “Sinadura -> Preferencias -> Certificados“, y elegir “Tarjeta Criptográfica“.
También recomiendo ir a “Sinadura -> Preferencias -> Firma” y seleccionar otra imagen ya que la que viene por omisión (el logo de Sinadura) apenas permite leer el texto insertado. Yo me he creado una imagen muy clarita del DNIe en grises.

Utilizamos el botón “Añadir documentos” para seleccionar el documento pdf a firmar, en mi caso “prueba.pdf” y pulsamos “Firmar“.

El programa carga el certificado (la primera vez tarda un poco, si se cuelga probablemente sea por el problema de las sesiones que comentabamos al principio) y después nos pide el PIN del DNIe.

Después elegimos el certificado a utilizar, en este caso el certificado de firma:

Nos solicita una confirmación:

Y ya está. Podemos verificar cualquier documento firmado también desde Sinadura. Primero lo seleccionamos y después utilizamos el botón “Validar”

Más posibilidades

Una de las posibilidades que la gente busca es firmar y/o cifrar correos electrónicos con el DNIe.
Hay que decir que técnicamente se puede pero que su validez legal es cuanto menos dudosa, y como lo que se busca con el DNIe es tener validez legal no es muy práctico. Siempre se puede enviar un correo-e “normal” con un pdf firmado como adjunto, por ejemplo un contrato.

Esto es porque técnicamente para firmar y/o cifrar basta con tener un par de claves pública/privada, pero el estándar internacional PKI requiere, para firmar un correo-e, que el certificado de la clave indique una dirección de correo-e, que será la única que se “certificará”. Sin embargo en el DNIe no se indica ninguna dirección de correo-e, por lo que no se puede utilizar las firmas del DNIe para este fin.
Lo más recomendado es firmar y cifrar con claves GPG, u obtener firmas de la FNMT, que sí están preparadas para este propósito.
En todo caso hay buenas y sencillas guías en internet sobre cómo conseguir, técnicamente, firmar correos-e con el DNIe (GMail+DNIe; Thunderbird+DNIe).

Para consultar otras posibilidades tenemos el oráculo, la página de Servicios Disponibles o la web Kriptopolis.

dnie, dni electrónico, linux, debian, squeeze, C3PO LTC31, miniLector Bit4id, ACS ACR38-U

Habilitar plug-in Java en Iceweasel (Mozilla Firefox) – Wheezy

Güimi — Fri, 24 May 2013 11:47:51 +0000

Descargamos Java 7 desde la web de sun.
Como superusuario, descomprimimos el paquete en una ruta adecuada:

cd /usr/lib/jvm/
wget jre-7u21-linux-i586.tar.gz
tar xzf jre-7u21-linux-i586.tar.gz
rm jre-7u21-linux-i586.tar.gz

Enlazamos el plug-in y… ¡ya está!

ln -s /usr/lib/jvm/jre1.7.0_21/lib/i386/libnpjp2.so /usr/lib/mozilla/plugins/

Podemos probarlo en la web de java.

Recuperar archivos borrados en GNU/Linux (undelete ext3/ext4)

Güimi — Wed, 22 May 2013 16:10:20 +0000

Cuando se borran archivos accidentalmente lo primero que hay que intentar es que nada sobre-escriba el espacio que ocupaban.

A veces al instalar el programa que recupera archivos podemos sobreescribirlos. Por eso recomiendo instalar la aplicación en cualquier sistema, sin esperar a necesitarlo.

SI EL ARCHIVO TODAVÍA ESTÁ ABIERTO
Si hemos borrado un archivo que está abierto, hay una copia de él. No cierres la aplicación que lo tiene abierto.
Comprobamos si es el caso, por ejemplo con

 lsof | grep Hank_Mobley

totem     25655         guimi   21u      REG                8,4  5477902   55689957 /home/guimi/Hank_Mobley-Soul_Station/01-Remember_(Irving_Berlin)-Hank_Mobley.mp3

Nos fijamos en que el proceso que tiene abierto el fichero es el 25655 y le ha asignado el número 21.
Recuperamos el fichero con:

cp /proc/25655/fd/21 otra/ubicacion/01-Remember_(Irving_Berlin)-Hank_Mobley.mp3

INSTALACIÓN DE EXTUNDELETE
En este caso la aplicación que vamos a utilizar es extundelete.
Otra herramienta, solo para ext3, es ext3grep.

Necesitaremos las librerías de ext2fs:

 aptitude install e2fslibs-dev

Si no tenemos esta librería, la instalación nos indicarña:

Can't find ext2fs library

Después seguimos la secuencia típica:

tar xjvf extundelete-0.2.4.tar.bz2
cd extundelete-0.2.4
./configure
make
make install

USO
Supongamos que tenemos la partición “/dev/sda4″ montada como “/home” y que hemos borrado el archivo “/home/guimi/ejemplo.txt”. Por tanto la ruta relativa del fichero en el dispositivo es guimi/ejemplo.txt.

Primero desmontamos la partición implicada:

 umount /dev/sda4

Considera la opción de copiar toda la partición con dd.

Después recuperamos el archivo con:

 extundelete --restore-file guimi/ejemplo.txt /dev/sda4

Si queremos recuperar el contenido de directorio entero, por ejemplo “/home/guimi/ejemplo/” ejecutamos:

 extundelete --restore-directory guimi/ejemplo /dev/sda4

Otras opciones interesantes son –before y –after.

OTRAS OPCIONES
También se puede probar a usar photorec.

Menús contextuales en Gnome 3

Güimi — Sun, 19 May 2013 12:27:32 +0000

¡¡¡Los menús contextuales han desaparecido en Gnome 3!!!
¡Ah no! Solo los han escondido.
Ahora hay que pulsar Alt+Botón derecho.

Instalar una impresora

Güimi — Sun, 19 May 2013 12:15:39 +0000

Instalar una impresora hoy día en Debian y Gnome es una de las cosas más sencillas. Si la conexión es USB simplemente hay que conectarla y el sistema la detecta e instala en un menos de un minuto. Sin preguntas, sin problemas… nada, la instala.

Si se desea una mejor compatibilidad con impresoras HP, ésta compañía facilita el uso de sus impresoras en GNU/Linux mediante el proyecto HP Linux Imaging and Printing (HPLIP) y los drivers HPIJS.
Para ello:

Instalamos los paquetes con

 aptitude install hplip hpijs foomatic-db-hpijs

Conectar la impresora y ¡Ya está! La instala sola sin molestarte con siguiente, siguiente ni nada ¡Así debería ser siempre! :-)
Si por un casual no basta con pinchar la impresora podemos utilizar el comando hp-setup (Intro, intro, intro…)

Instalar controladores gráficos en GNU/Linux.

Güimi — Sun, 19 May 2013 12:09:13 +0000

Controlador propietario NVIDIA

En Debian se puede configurar el driver de NVIDIA de manera sencilla, con permisos de administrador (root), con:

 module-assistant update
 module-assistant prepare
 module-assistant auto-install nvidia

Para ajustar la configuración:

 aptitude install nvidia-xconfig nvidia-settings
 nvidia-xconfig

Reiniciamos el entorno gráfico.

 nvidia-settings

Si funciona correctamente debería cargar el logo de NVIDIA al cargar el gestor gráfico.

Controlador Catalyst para tarjetas ATI

En Debian se puede configurar el driver Catalyst de ATI de manera sencilla con:

 aptitude -r install fglrx-control fglrx-driver
 aticonfig --initial

Aceleración gráfica en GNU/Linux

Güimi — Sun, 19 May 2013 12:05:44 +0000

Instalamos las utilidades de MESA para verificar el uso de la aceleración gráfica:

 aptitude install mesa-utils

Verificamos el uso de aceleración gráfica (Direct Rendering):

 glxinfo | grep -i direct

direct rendering: Yes

Si no indica “Yes” no tenemos aceleración gráfica 3D y necesitaremos otro controlador gráfico:
Instalar controladores gráficos en GNU/Linux.

Hacemos una prueba rápida de funcionamiento:

 glxgears [-printfps]

Según la versión es necesaria la opción o no.

7095 frames in 5.0 seconds = 1418.880 FPS
6991 frames in 5.0 seconds = 1398.073 FPS

Una vez activada la aceleración gráfica se puede activar el escritorio 3D y efectos (Compiz Fusion), cuyo rendimiento dependerá mucho de la tarjeta y el controlador utilizados.

Flash Player / Flash Plugin en GNU/Linux

Güimi — Sun, 19 May 2013 12:01:31 +0000

Debian viene con un programa libre de flash instalado (si instalas el servidor X y un escritorio por la vía simple) que lamentablemente todavía no funciona todo lo bien que debería. En concreto no reproduce bien vídeos, que es prácticamente lo único que yo uso.

Para instalar el Adobe Flash Player basta con hacer:

 aptitude install flashplugin-nonfree

Si se desea instalar manualmente (no hay porqué) se descarga de su web, se descomprime el archivo y se copia en la carpeta correspondiente.
Por ejemplo, para sistemas 32 bits, hay que bajar y descomprimir el Flash Player para linux de la página de Adobe y descomprimirlo:

 wget http://fpdownload.macromedia.com/get/flashplayer/pdc/11.1.102.55/install_flash_player_11_linux.i386.tar.gz

 tar xzf install_flash_player_11_linux.i386.tar.gz

Copiamos el plugin en el directorio común:

 cp libflashplayer.so /usr/lib/mozilla/plugins/

Solo falta reiniciar el navegador si estaba abierto.

Flash Player para 64 bits

Receta original de enchufado.

Primero realizamos la instalación normal del plug-in vista arriba.
Después instalamos el wrapper para plugins netscape:

 aptitude install nspluginwrapper

Por último generamos el envoltorio para el plugin de adobe:

 nspluginwrapper -i /usr/lib/mozilla/plugins/libflashplayer.so

Solo falta reiniciar el navegador si estaba abierto.

Fijar la tarjeta de sonido con alsactl

Güimi — Sun, 19 May 2013 11:58:27 +0000

Si disponemos de más de una tarjeta de sonido puede ser necesario utilizar alsaconf para indicar al sistema qué tarjeta deseamos usar.
Después con alsamixer ajustamos los volúmenes.

Para que el sistema ‘recuerde’ lo que le hemos indicado debemos ejecutar:

 alsactl store

Para recuperar la configuración usamos:

 alsactl restore

Esto último puede indicarse en un script de inicio (en init.d) o al inicio de la sesión gráfica, por ejemplo.

En Gnome ‘Escritorio->Preferencias->Sesiones->Programas al inicio‘.

Gestionar iconos del escritorio Gnome 3

Güimi — Sun, 19 May 2013 11:43:14 +0000

Para gestionar los iconos del escritorio de Gnome 3 (incluir algunos, otros no…) vamos a utilizar “gnome-tweak-tool” que lo podemos localizar en:
Aplicaciones -> Herramientas del sistema -> Preferencias -> Configuración avanzada
Ahí, en la sección “Escritorio” marcamos “Have manager handle the desktop” y ya podemos utilizar el resto de opciones.
Atención: El resto de opciones no funcionará si no activamos la primera.

iconos, gnome