MTM eSEC-ENISE 26Oct - Framework DNIe y Cardmodule

León, 26 de Octubre de 2011
Mariano Tejedor Moreno
Coordinador Nuevo Contexto Digital
Red.es
Cardmodule
2011

Índice
1. Introducción Framework DNIe
2. Arquitectura plataforma FW
3. Aplicaciones Ejemplo y Portal
4. Introdución Cardmodule DNIe
5. Descripción proceso cardmodule
6. Funcionalidades y Ventajas
7. Windows Logo Program

1. Introducción –FW DNIe
Impulsar el desarrollo de soluciones con DNI electrónico, a
través de una completa plataforma en software de
fuentes abiertas para el desarrollo rápido y sencillo
de aplicaciones basadas en el uso del DNI electrónico,
que facilite a las PYMES TIC desarrollar y probar
aplicaciones y servicios.
Objetivos del proyecto
Linux
Windows
Php
C++
Mac OS
.Net
Java
Internet Explorer Mozilla Firefox

Con ello se busca facilitar la incorporación al mercado de
nuevas soluciones que potencien el uso de las capacidades
electrónicas del DNIe, minimizando la complejidad
tecnológica de este tipo de desarrollos, abstrayendo la
complejidad de los drivers y librerías existentes.
El software desarrollado se implementará conforme a las
directrices y reglas de los Perfiles de Protección EAL 1 y
3 del DNIe, facilitando en su caso la posterior
certificación.
pkcs11#
Cardmodule
Manuales de Comando
OpenDNIe
Base CSP
OpenSC

Elementos de la plataforma
 Framework de desarrollo (componentes desarrollados en
distintos lenguajes de programación).
 Aplicaciones de ejemplo.
 Otros elementos de soporte al desarrollo: documentación
detallada (manuales, guías, documentación seguridad),
asistente de generación, emulador DNIe, utilidades, etc.
 Elementos accesibles desde un portal web de información y
descarga.

1. Introducción - FW DNIe
 Fácil incorporación de nuevas aplicaciones de negocio, utilidades
webservices, basándose en el propio framework desarrollado.
 Estructura modular y sencillez en el diseño, permitiendo incorporar nuevas
funcionalidades o adaptaciones en el propio framework, de forma muy
rápida:
 OpenID
 OpenDNIe
 Sistemas de SSO.
 Nuevos tipos de firma…
Para el uso del DNIe
 Cualquier programador puede incorporar a sus desarrollos, funcionalidades
de uso del DNIe de forma muy sencilla. Desde esta perspectiva, una
empresa puede acometer la incorporación de estas funcionalidades con un
coste mucho menor.
Como plataforma

2. Arquitectura - FW DNIe
Driver base uso DNIe (pkcs11#, Cardmodule, CSP, OpenSC, OpenDNIe…)
Framework DNIe (interfaces, librerías y componentes)
Capa de Presentación
Interfaces
Externas
Lógica
Interna
Aplicación
Aplicación Sectorizada
Interfaces
Externas
Lógica
Interna
Aplicación
Aplicación Sectorizada N
C++
Arquitectura Framework DNIe
Sistema Operativo

 Conjunto de componentes implementados sobre distintas plataformas
de desarrollo (Java, .NET- C#, C++ y PHP) que abstraen la dificultad
de programar directamente sobre los drivers del DNIe.
 Incluye un modo emulación que permite probar el software sin
necesidad de disponer de un DNI físico: los DNIe se emulan mediante
ficheros XML.
 Un desarrollador sólo debe hacer
llamadas de alto nivel a métodos muy
sencillos de comprender y aplicar.
 El Framework DNIe se puede incluir
fácilmente en cualquier proyecto de
desarrollo que vaya a hacer uso del
DNIe.
Características
Facilidad de uso
2. Framework DNIe

2. Framework DNIe
 Importar paquetes DNIe
Para utilizar las clases del Framework DNIe, debemos importar los
paquetes necesarios, agregando los siguientes import a nuestro
proyecto:
import dnieframework;
import dnieframework.utiles.*;
 Instanciar el Framework
Una vez hemos importado los paquetes necesarios, debemos instanciar
la clase DNIeFramework:
DNIeFramework miDNIe = new DNIeFramework();
 Usar Funcionalidad
Mediante este objeto ya podremos acceder a todas las funcionalidades
del Framework, como firma, autenticación, etc.
miDNIe.autenticar(PIN);
Framework DNIe Java – Ejemplo de uso

2. Arquitectura – Emu FW DNIe
Emulador (Framework DNIe)
Interfaces
Externas
Lógica
Interna
Aplicación
Aplicación Sectorizada
Interfaces
Externas
Lógica
Interna
Aplicación
Aplicación Sectorizada N
C++
Arquitectura Emulador FW DNIe
Sistema Operativo
XML
DNIe Virtual

2. Framework DNIe
 DNIe Virtual ejemplo (se gestiona mediante un XML en una carpeta)
<?xml version="1.0" encoding="UTF-8"?>
<dnie>
<datos>
<publicos>
<CN>APELLIDO1 APELLIDO2, NOMBRE</CN>
<GN>NOMBRE</GN>
<SN>APELLIDO1</SN>
<SERIAL>DNI</SERIAL>
<C>ES</C>

<NB>2010-06-01</NB>
<NA>2012-06-01</NA>

<status>ok</status>

<serialnumber>111111111111111111111111111111111</serialnumber>
</publicos>
<privados>
<pin>codigopin</pin>
<intentos>0</intentos>
</privados>
</datos>
…
Emulador Framework DNIe Java – Ejemplo de uso
 Instanciar: como el Framework estándar, pero usando una E al final de cada método:
DNIeFramework miDNIe = new DNIeFramework();
miDNIe.autenticarE(PIN);

• Patrón Proxy
• Orientado a RAD
• Cliente
• Servidor
• Cliente/Servidor
• Multiplataforma
• Multibrowser *
Windows:
• CSP
• Cardmodule
• PKCS11# - DNIe
Linux:
• PKCS11# - DNIe
• OpenSCDNIe
Mac OS:
• PKCS11# - DNIe
• OpenSCDNIe
Sobre los lenguajes
y plataformas:
 .NET (C#)
 Java
 C++
 PHP
Arquitectura base Drivers y S.O. Entornos DVLP
Framework DNIe
Futuras versiones: soporte para OpenDNIe y OpenID
* Compatible con Mozilla, Internet Explorer, Google Chrome, Apple Safari,
Opera, Konqueror, Camino…
2. Framework DNIe

 Se han desarrollado diferentes aplicaciones de ejemplo, que muestran
como se puede hacer uso del framework de DNIe, desde aplicaciones
para usuario final.
 Las aplicaciones se pueden utilizar directamente (facilidad de
configuración y personalización) o como base para la implementación
de otras soluciones.
 Todas ellas comprueban la validez del DNIe (OCSP):
 Aplicación ejemplo de autenticación.
 Aplicación ejemplo de firma: inicialmente, realiza firma simple
(Raw sobre fichero o stream) y firma avanzada PAdES.
 Aplicación ejemplo de voto electrónico ejemplo de como se
pueden generar aplicaciones más complejas y con más
funcionalidades, basadas en el uso del DNIe.
 Igualmente, las aplicaciones están implementadas sobre distintos
lenguajes de programación y sobre distintas plataformas.
Características – Aplicaciones Ejemplo
3. Aplicaciones Ejemplo DNIe

Ejemplo Autenticación

Ejemplo Firma: RAW

Ejemplo Firma: PAdES

Ejemplo Voto Electrónico (Autenticación, Firma y OCSP)

3. Portal DNIe
 Próximamente: disponibilidad de la plataforma del Framework DNIe y
las Aplicaciones de ejemplo, en INTECO (Zonatic de usatudni.es) y en
la forja de CENATIC.
 https://zonatic.usatudnie.es
 http://forja.cenatic.es

3. Portal DNIe
 Documentación detallada:
 Documentación general del proyecto
 Guías de referencia de todo el software
 Guías de instalación y uso para entornos de desarrollo o
aplicaciones.
 Notas de seguridad
 Herramienta de asistente de generación:
 Herramienta de ayuda para la selección y generación del entorno
de desarrollo más adecuado a las necesidades del usuario.
 Código Fuente, manuales, herramientas:
 Visualización de información y la descarga de todos los
componentes: código fuente, aplicaciones, documentación,
herramientas auxiliares, etc.
Contenido Portal

3. Portal DNIe
 Asistencia a los desarrolladores a través de un soporte de nivel 2, así como FAQ,
redes sociales…
 Cada paquete estará firmado (sha1) para poder verificar la integridad del mismo.

4. Introducción – Cardmodule DNIe
 El sistema operativo Windows incluye una interfaz de
programación de aplicaciones (API) para acceder a servicios
criptográficos llamado Cryptography API (o también CryptoAPI o
CAPI, desde Windows NT).
 Se trata de un conjunto de bibliotecas dinámicas que proporcionan
una capa de abstracción y que permite a los programadores
desarrollar aplicaciones aislándose de la complejidad de las
operaciones y del hardware criptográfico.
 Incorpora servicios para cifrar y descifrar datos y para la gestión de
certificados digitales.
Introducción

 Desde el lanzamiento de Windows Vista, Microsoft presento una
actualización del API llamada CNG (Cryptographic API: Next
Generation), que entre sus principales novedades incorpora el
soporte de los nuevos algoritmos Suite B de la NSA (National
Security Agency), la criptografía de curva elíptica (ECC) y el
rediseño de su arquitectura para ser más modular y extensible.
 Aunque se continúa dando soporte a los CSPs (Cryptographic
Service Provider), en esta versión se incorpora una nueva
arquitectura que permite separar los algoritmos criptográficos
(contenidos de base en el Microsoft Base CSP) de los mecanismos
de acceso y comunicación con el hardware.
 Se incorporan en unos nuevos módulos denominados card
modules (inicialmente denominados mini drivers) lo que simplifica
enormemente a los fabricantes su desarrollo y mantenimiento.
Introducción

 Actualización del cardmodule desarrollado para el DNIe por la
FNMT a Windows 7 bajo la arquitectura CNG (CryptoAPI Next
Generation o CAPI de Microsoft)
 Desarrollo de las modificaciones necesarias del actual
cardmodule del DNIe con el fin de facilitar las actualizaciones
de los drivers del DNIe de forma automática en entorno
Windows. El desarrollo y su posterior testeo será supervisado
por la FNMT (Fábrica Nacional de Moneda y Timbre).
 Cumplimiento de los requisitos de Windows Logo Program para
su certificación posterior.
 Compatibilidad con diferentes versiones del DNIe.

5. Proceso – Cardmodule DNIe
Arquitectura
Smartcard Resource Manager Service
WinSCard API
Aplicación Aplicación Aplicación Aplicación
Smartcard
CSP
Microsoft Base CSP
Smartcard
Cardmodule
Smartcard
Cardmodule
Algoritmos
Criptográficos
Comandos
smartcard
MicrosoftCRYPTOAPI
Smartcard Resource Manager Service
WinSCard API
Microsoft Base CSP

 Una aplicación invoca a los servicios de CryptoAPI instanciando un
CSP de fabricante o el Microsoft Base CSP.
 En el caso de las tarjetas inteligentes, éstas registran un código
único de fabricante y modelo (ATR: Answer-To-Reset) en el sistema
y se asocian a un CSP o cardmodule instalado en el equipo.
Descripción del proceso

 La librería del CSP o cardmodule correspondiente, es cargada en
memoria y ejecutada, estableciendo la comunicación con el
hardware a través de los servicios de Windows WinSCard y
SmartCard Resource Manager Service para evitar el acceso directo
al hardware.
Descripción del proceso

6. Cardmodule DNIe
Novedades funcionales:
 Reducción del número solicitudes de PIN.
 Mejora del rendimiento en ciertas operaciones.
 Mecanismo de detección de versiones del DNIe.
 Notificaciones al usuario.
Mensaje de inserción de tarjeta.
Mensaje de próxima caducidad de certificados.
Mensaje de certificados caducados.
Mensaje de confirmación de firma.
Mensajes multi-idioma en lenguas co-oficiales e inglés.
 Nueva herramienta sencilla de verificación de la instalación.
 Versiones para plataformas de 32 y 64 bits.
 Tamaño de cada librería DLL menor a 1MB.
Nuevas funcionalidades y mejoras

6. Cardmodule DNIe
Mecanismos Incorporados:
 Separación de la ejecución de procesos de gestión de la tarjeta
(cardmodule) y gestión de interfaz de usuario (UI), para cumplir
con requisitos de Windows Logo Program con comunicación
segura entre procesos.
 Detección de versiones del DNIe y ajuste de la operativa.
 Detección de introducción y presencia de tarjetas DNIe con claves
de prueba y ajuste de la operativa del cardmodule (canal seguro,
tiempo de visualización de ventanas).

6. Cardmodule DNIe
Mecanismos Incorporados:
 Sistema de control de concurrencia de acceso a diferentes procesos
compartiendo el canal seguro del DNIe.
 Sistema completo de notificaciones al usuario basado en
ventanas flotantes con caducidad temporal.
 Replicación y eliminación de parte pública de certificados al store
local del usuario basado en eventos de inserción y extracción de la
tarjeta.

Certificación del driver para Windows:
 El programa Windows Logo ha sido diseñado para verificar la
compatibilidad y fiabilidad de los sistemas y dispositivos con el
sistema operativo Windows.
 Se realizan pruebas intensivas de los productos mediante un
completo conjunto de herramientas proporcionadas por Microsoft
para asegurar así una buena experiencia de usuario.
 Se tratan como un driver de dispositivo hardware.
Windows Logo Program – Winqual.com

Certificación del driver para Windows:
 Los binarios generados, deberán firmarse con un certificado
Autenticode de Verisign junto con el fichero de las pruebas
resultantes del entorno de Winqual y “submitir” a Microsoft para
su verificación y posterior despliegue en Windows Update.
 Portal Windows Quality Online Services (winqual.microsoft.com)
 Windows Logo Programs → Hardware Logo Programs
 Cualquier empresa u organismo puede solicitar la inclusión de
un dispositivo o aplicación.

Baterías de Pruebas ejecutadas y pasadas: Windows Logo Kit:
Smart Card Minidriver Certification
Test
USB System Suspend Resume Test Device Path Exerciser
USB Address Description Test
(Automated)
USB Disable Enable (Automated) Embedded Signature Verification
USB Descriptor test (Automated) USB Driver Level Re-Enumeration Test
IO Cancellation with Direct IO on
local disk
USB Device Control Requests
(Automated)
USB-IF Test Certification ID Check WDF Logo Tests - Final
USB Enumeration Stress
(Automated)
Device Install Check for Other Device
Stability
Verify WDF Coinstaller Version for
KMDF
USB Selective Suspend (Automated)
Device Install Check for System File
Consistency
[PREVIEW] Verify Driver Load Order
Group is not WdfLoadGroup
USB Specification Compliance
(Automated)
Run INFTest against a single INF Sleep Stress With IO
USB Isochronous Alternate Interface
Presence (Automated)
Plug and Play Driver Test Disable Enable With IO
USB Device Framework (CV)
(Manual)
CHAOS - Concurrent Hardware And OS
Test
Common Scenario Stress With IO
USB Serial Number (Automated) IO Cancellation with DevPathExer Reinstall With IO

35
Edificio Bronce,
Plaza Manuel Gómez Moreno s/n
28020 Madrid. España
Tel.: 91 212 76 20 / 25, Fax: 91 212 76 35
Mariano Tejedor Moreno
Coordinador Nuevo Contexto Digital
www.red.es
Gracias por su atención

MTM eSEC-ENISE 26Oct - Framework DNIe y Cardmodule

Más contenido relacionado

Destacado (20)

Similar a MTM eSEC-ENISE 26Oct - Framework DNIe y Cardmodule (20)

Último (20)

MTM eSEC-ENISE 26Oct - Framework DNIe y Cardmodule