{"id":293,"date":"2009-07-16T13:54:50","date_gmt":"2009-07-16T11:54:50","guid":{"rendered":"http:\/\/guimi.net\/blogs\/hiparco\/?p=293"},"modified":"2014-01-14T10:23:12","modified_gmt":"2014-01-14T08:23:12","slug":"dnie-en-gnulinux-obsoleto","status":"publish","type":"post","link":"http:\/\/guimi.net\/blogs\/hiparco\/dnie-en-gnulinux-obsoleto\/","title":{"rendered":"DNIe en GNU\/Linux -Obsoleto-"},"content":{"rendered":"

ART\u00cdCULO OBSOLETO<\/strong>: Para una versi\u00f3n m\u00e1s actual puedes leer como instalar DNIe en GNU\/Linux<\/a>.<\/p>\n

Actualizado a Febrero de 2010<\/b>
\nUna vez instalado un lector de DNI-e, tambi\u00e9n nos sirve para utilizar tarjetas criptogr\u00e1ficas CardOs M4<\/a> como las que utiliza por ejemplo la Comunidad Valenciana a trav\u00e9s de la ACCV<\/a>.<\/p>\n

Actualizado a 30 de Noviembre de 2009<\/b>
\nYa est\u00e1 aqu\u00ed el DNI elect\u00f3nico o DNIe. Y por supuesto se puede hacer funcionar en GNU\/Linux, tanto para identificarse<\/b> en webs como para firmar documentos<\/strong> todo con plena validez legal<\/b>.
\n

\"DNIe\" \"DNIe\"<\/center>
\nNo hay que olvidar que el DNIe tiene sus limitaciones y pegas de seguridad. (Para los “paranoicos” se recomienda utilizar el DNIe \u00fanicamente desde sistemas de solo lectura como un CD con Knoppix<\/a>).
\nTampoco hay que olvidar que una firma “normal” es mucho m\u00e1s facil de falsificar que una firma electr\u00f3nica, pese a que ninguna sea totalmente segura.
\n 
\nLas siguientes instrucciones se han probado en Debian Lenny<\/a> y en Ubuntu Karmic Koala<\/a> con un lector C3PO LTC31<\/a> (de venta en las oficinas de correos por 19,90 €), con un “miniLector Bit4id<\/a>” del plan avanza2<\/a> (es un Advanced Card Systems ACR38-U<\/a> pero con una caja blanca) y con un lector Omnikey 3021<\/a>.
\n
\"C3PO_LTC31\" \"ACS_ACR38-U\" \"Omnikey<\/center>
\n <\/p>\n

INSTALACI\u00d3N DEL LECTOR<\/h2>\n

Descargamos los paquetes oficiales del DNIE<\/a> y los instalamos junto con los paquetes de la distribuci\u00f3n necesarios.<\/p>\n

$ sudo aptitude install libccid libopenct1 pcscd pcsc-tools mozilla-opensc\r\n# En el caso de Debian Lenny<\/font>\r\n$ tar xvf Debian_Lenny_opensc-dnie_1.4.6-2_i386.deb.tar \r\n# En el caso de Ubuntu Karmic Koala usamos los paquetes de Jaunty Jakalop<\/font>\r\n$ tar xvf Ubuntu_Jaunty_opensc-dnie_1.4.6-2_i386.deb.tar \r\nlibopensc2_0.11.7-7_i386.deb\r\nopensc-dnie_1.4.6-2_i386.deb\r\nopensc_0.11.7-7_i386.deb\r\n$ sudo dpkg -i libopensc2_0.11.7-7_i386.deb\r\n$ sudo dpkg -i opensc_0.11.7-7_i386.deb\r\n$ sudo dpkg -i opensc-dnie_1.4.6-2_i386.deb\r\n# En el caso de Ubuntu Karmic Koala bloqueamos los paquetes\r\n#+ para que no se actualicen, ya que los de la distribuci\u00f3n son\r\n#+ m\u00e1s modernos pero el DNIe no funciona con ellos<\/font>\r\n$ sudo aptitude hold opensc libopensc2<\/pre>\n
 
\nNos indica que hemos de registrar el m\u00f3dulo PKCS#11 en iceweasel\/firefox utilizando el enlace que nos crea en el men\u00fa principal del escritorio en “Oficina-> Registrar m\u00f3dulo DNIe PKCS#11<\/i>“.
\nIndicamos que confiamos en la nueva Autoridad Certificadora (CA) para las tres posibilidades.
\n 
\nPodemos comprobar si el sistema reconoce correctamente el lector con el comando “pcsc_scan” y probando a introducir y sacar el DNIe (u otras tarjetas similares):<\/p>\n
$ pcsc_scan\r\nPC\/SC device scanner\r\n[...]\r\nReader 0: ACS ACR 38U-CCID 00 00\r\n  Card state: Card inserted<\/b>, \r\n[...]\r\nPossibly identified card (using \/usr\/share\/pcsc\/smartcard_list.txt):\r\nXX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX XX\r\n\tDNI electronico (Spanish electronic ID card)<\/b>\r\n\thttp:\/\/www.dnielectronico.es\r\n\r\n Reader 0: ACS ACR 38U-CCID 00 00\r\n  Card state: Card removed<\/b>, \r\n<\/pre>\n
 
\nOtras pruebas que podemos hacer son (estas con una tarjeta CardOs M4):<\/p>\n
$ opensc-tool -l\r\nReaders known about:\r\nNr.    Driver     Name\r\n0      pcsc       C3PO LTC31 (00426664) 00 00\r\n$ opensc-tool -a\r\nUsing reader with a card: C3PO LTC31 (00426664) 00 00\r\nxx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx\r\n$ opensc-tool -n\r\nUsing reader with a card: C3PO LTC31 (00426664) 00 00\r\nCardOS M4\r\n<\/pre>\n
 
\nPara que funcione bien iceweasel\/firefox y detecte el m\u00f3dulo sin problemas se recomienda reiniciar la sesi\u00f3n gr\u00e1fica (no hace falta reiniciar el equipo).
\n 
\n <\/p>\n
USO Y DISFRUTE<\/h2>\n
Lo primero que hay que saber es que en el DNIe tenemos a nuestra disposici\u00f3n dos certificados, uno para identificarnos (certificado de autenticaci\u00f3n) y otro para firmar (certificado de firma), lo que son los dos principales usos del DNIe.<\/p>\n
Tambi\u00e9n es importante saber que cada aplicaci\u00f3n que utiliza el DNIe establece una “sesi\u00f3n” con el lector de tarjetas y que no puede haber dos sesiones abiertas a la vez. Es decir no podemos usar el DNIe en dos aplicaciones a la vez<\/b>. Sin embargo muchas aplicaciones no indican adecuadamente esta circunstancia y simplemente parece que no funcionan.
\nAs\u00ed por ejemplo si iniciamos sesi\u00f3n en iceweasel\/firefox para acceder a una web, no podemos firmar un archivo pdf con sinadura hasta cerrar sesi\u00f3n. Y al rev\u00e9s, tras firmar un fichero con sinadura no nos deja validarnos con iceweasel.
\nAnte la duda basta con extraer y volver a introducir el DNIe en el lector para asegurarse que est\u00e1 disponible el acceso<\/u>.
\n 
\nUn \u00faltimo recordatorio, si se introduce el PIN del DNIe err\u00f3neamente tres veces seguidas, \u00e9ste se bloquea. As\u00ed que al hacer pruebas con los programas y sus configuraciones hay que tener cuidado. A m\u00ed se me bloque\u00f3 haciendo pruebas con Sinadura (para desbloquearlo hay que pasar 5 minutos por una comisaria), as\u00ed que despu\u00e9s cada vez que hac\u00eda una prueba con un programa si no funcionaba perfectamente iniciaba sesi\u00f3n en iceweasel\/firefox.
\n <\/p>\n
Identificarse en sitios web con iceweasel\/firefox<\/h3>\n
El DNIe se puede utilizar al navegar para identificarse en un sitio web. As\u00ed por ejemplo si nos identificamos en la web de la seguridad social<\/a> podremos descargarnos al instante nuestra vida laboral.<\/p>\n
Primero debemos asegurarnos que hemos registrado en iceweasel\/firefox el m\u00f3dulo de DNIe PKCS#11 (usando el men\u00fa principal del escritorio en “Oficina-> Registrar m\u00f3dulo DNIe PKCS#11<\/i>“).
\nEn caso contrario podemos registrarlo a mano desde “Editar -> Preferencias -> Avanzado -> Cifrado -> Dispositivos de seguridad<\/i>“. Seleccionamos “Cargar”, indicamos un nombre, por ejemplo “DNIe – OpenSC PKCS#11”, y la ruta del m\u00f3dulo “\/usr\/lib\/opensc-pkcs11.so”.
\n\"DNIe\"
\n 
\nSi la instalaci\u00f3n ha sido correcta y tenemos el lector conectado con un DNIe introducido, nos habilitar\u00e1 la opci\u00f3n “Iniciar sesi\u00f3n” (\u00a1bien!). Si iniciamos sesi\u00f3n nos pedir\u00e1 el PIN, pero antes es mejor reiniciar el navegador para que nos pida instalar el certificado de la DGP (Direcci\u00f3n General de la Policia<\/a>).
\n 
\nComprobaciones<\/b>
\nPodemos probar nuestro DNIe en el navegador en la p\u00e1gina de verificaci\u00f3n del portal oficial<\/a> (el enlace para la verificaci\u00f3n est\u00e1 al final de esa p\u00e1gina).<\/p>\n
Si todo ha ido bien el navegador nos pide nuestro PIN para iniciar sesi\u00f3n (si no lo hemos introducido antes):
\n\"PIN<\/p>\n
Cuando conectamos con una web en la que debemos identificarnos nos pregunta cu\u00e1l de los dos certificados (el de firma o el de autenticaci\u00f3n) queremos utilizar. Para identificarnos usamos el de autenticaci\u00f3n.
\n\"Certificado<\/p>\n
Si el navegador nos indica:<\/p>\n
El otro extremo de la conexi\u00f3n SSL no puede verificar su certificado.
\n(C\u00f3digo de error: ssl_error_bad_cert_alert)<\/p><\/blockquote>\n
Es porque no hemos iniciado sesi\u00f3n correctamente (hemos fallado el PIN 3 veces, no lo hemos puesto, no est\u00e1 bien instalado el lector…).
\n 
\nLo recomendado es “Iniciar sesi\u00f3n” en el navegador solo cuando se necesita y “Terminar sesi\u00f3n” lo antes posible. Si visitamos una p\u00e1gina que requiere certificado sin haber iniciado sesi\u00f3n, el navegador nos solicitar\u00e1 el PIN autom\u00e1ticamente, pero para cerrar sesi\u00f3n hay que ir “a mano” a la opci\u00f3n “Dispositivos de seguridad<\/i>” del men\u00fa.
\n <\/p>\n
Firmar archivos PDF con Sinadura<\/h3>\n
Otro uso interesante del DNIe es firmar un archivo PDF. Esta firma tiene plena validez legal. Es decir, hasta ahora hab\u00eda que hacer un documento, imprimirlo y despu\u00e9s firmarlo a mano. Ahora podemos hacer un documento, guardarlo como PDF (por ejemplo con OpenOffice Writer<\/a>) y despu\u00e9s firmarlo con nuestro DNIe.
\nHay que insistir en que tiene plena validez legal<\/b>. Sirve para hacer contratos, compra ventas, reclamaciones…<\/p>\n
Primero descargamos Sinadura<\/a>, en mi caso he descargado la versi\u00f3n 2.0.0 para GNU\/Linux de 32 bits.<\/p>\n
Su instalaci\u00f3n es muy sencilla, basta con hacer:<\/p>\n
$ java -jar  sinadura-2.0.0-unix32-installer.jar<\/pre>\n
y seguir el t\u00edpico asistente de “siguiente”, “siguiente”, “siguiente”…<\/p>\n
Para configurarlo vamos a “Sinadura -> Preferencias -> Certificados<\/i>“, y elegir “Tarjeta Criptogr\u00e1fica<\/i>“.
\nTambi\u00e9n recomiendo ir a “Sinadura -> Preferencias -> Firma<\/i>” y seleccionar otra imagen ya que la que viene por omisi\u00f3n (el logo de Sinadura) apenas permite leer el texto insertado. Yo me he creado una imagen muy clarita del DNIe en grises<\/a>.
\n <\/p>\n
Utilizamos el bot\u00f3n “A\u00f1adir documentos<\/i>” para seleccionar el documento pdf a firmar, en mi caso “prueba.pdf” y pulsamos “Firmar<\/i>“.
\n\"DNIe\"<\/p>\n
El programa carga el certificado (la primera vez tarda un poco, si se cuelga probablemente sea por el problema de las sesiones que comentabamos al principio) y despu\u00e9s nos pide el PIN del DNIe.
\n\"DNIe\"<\/p>\n
Despu\u00e9s elegimos el certificado a utilizar, en este caso el certificado de firma:
\n\"DNIe\"<\/p>\n
Nos solicita una confirmaci\u00f3n:
\n\"DNIe\"<\/p>\n
Y ya est\u00e1. Podemos verificar cualquier documento firmado tambi\u00e9n desde Sinadura. Primero lo seleccionamos y despu\u00e9s utilizamos el bot\u00f3n “Validar<\/i>”
\n\"DNIe\"
\n <\/p>\n
M\u00e1s posibilidades<\/h3>\n
Una de las posibilidades que la gente busca es firmar y\/o cifrar correos electr\u00f3nicos con el DNIe.
\nHay que decir que t\u00e9cnicamente se puede pero que su validez legal es cuanto menos dudosa, y como lo que se busca con el DNIe es tener validez legal no es muy pr\u00e1ctico. Siempre se puede enviar un correo-e “normal” con un pdf firmado como adjunto, por ejemplo un contrato.<\/p>\n
Esto es porque t\u00e9cnicamente para firmar y\/o cifrar basta con tener un par de claves p\u00fablica\/privada, pero el est\u00e1ndar internacional PKI requiere, para firmar un correo-e, que el certificado de la clave indique una direcci\u00f3n de correo-e, que ser\u00e1 la \u00fanica que se “certificar\u00e1”. Sin embargo en el DNIe no se indica ninguna direcci\u00f3n de correo-e, por lo que no se puede utilizar las firmas del DNIe para este fin.
\nLo m\u00e1s recomendado es firmar y cifrar con claves GPG<\/a>, u obtener firmas de la FNMT<\/a>, que s\u00ed est\u00e1n preparadas para este prop\u00f3sito.
\nEn todo caso hay buenas y sencillas gu\u00edas en internet sobre c\u00f3mo conseguir, t\u00e9cnicamente, firmar correos-e con el DNIe (GMail+DNIe<\/a>; Thunderbird+DNIe<\/a>).<\/p>\n
Para consultar otras posibilidades tenemos el or\u00e1culo<\/a>, la p\u00e1gina de Servicios Disponibles<\/a> o la web Kriptopolis<\/a>.
\n 
\n 
\n<\/p>\n
Sobre este tutorial<\/h2>\n
Hay bastantes gu\u00edas en internet, pero en Julio de 2009 ninguna me daba buen resultado en Debian Lenny. B\u00e1sicamente parec\u00eda que todo iba bien, excepto por el navegador (Iceweasel\/Firefox) que “petaba” al introducir un DNIe en el lector. Al final encontr\u00e9 la soluci\u00f3n en Guadalinex<\/a> gracias a una pista de fontanon en univero emergya<\/a>.
\nTras publicar la primera versi\u00f3n de este tutorial con todos los pasos para que el lector funcione en Debian Lenny e indicando los problemas encontrados, se pusieron en contacto conmigo los fabricantes del lector C3PO LTC31 (ver los primeros comentarios a esta entrada) y descubrimos que el problema estaba en el empaquetado de las librer\u00edas de la DGT, cosa que a d\u00eda de hoy (Septiembre de 2009) ya est\u00e1 solucionada.
\nDespu\u00e9s he obtenido otro lector, he tenido problemas para firmar PDFs… y as\u00ed he ido modificando y haciendo crecer este tutorial hasta llegar a esta versi\u00f3n (Noviembre 2009).<\/p>\n
As\u00ed pues gracias a la gente de C3PO, de sinadura y a todos los que han puesto informaci\u00f3n en internet sobre como usar y configurar el DNIe.
\n <\/p>\n
dnie, dni electr\u00f3nico, linux, debian, lenny, C3PO LTC31, miniLector Bit4id, ACS ACR38-U<\/b><\/div>\n","protected":false},"excerpt":{"rendered":"
ART\u00cdCULO OBSOLETO: Para una versi\u00f3n m\u00e1s actual puedes leer como instalar DNIe en GNU\/Linux. Actualizado a Febrero de 2010 Una vez instalado un lector de DNI-e, tambi\u00e9n nos sirve para utilizar tarjetas criptogr\u00e1ficas CardOs M4 como las que utiliza por ejemplo la Comunidad Valenciana a trav\u00e9s de la ACCV. Actualizado a 30 de Noviembre de […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[28,16,30],"tags":[],"class_list":["post-293","post","type-post","status-publish","format-standard","hentry","category-debian","category-hardware","category-seguridad"],"_links":{"self":[{"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/posts\/293","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/comments?post=293"}],"version-history":[{"count":128,"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/posts\/293\/revisions"}],"predecessor-version":[{"id":1505,"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/posts\/293\/revisions\/1505"}],"wp:attachment":[{"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/media?parent=293"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/categories?post=293"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/guimi.net\/blogs\/hiparco\/wp-json\/wp\/v2\/tags?post=293"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}