Explotación del Componente Cliente

Transcripción

1 Explotación del Componente Cliente Referencia: AST-EFIRMA-ExplotacionComponenteCliente.doc Autor: Sergio Loras Fecha de creación: 20/10/2008 Última actualización: 25/11/2008 Versión: v1.1 Clasificación: Uso Publico

2 Control del documento Registro de cambios Versión Fecha Autor Descripción V1.0 20/10/08 Sergio Loras Creación del documento inicial V1.1 10/11/08 Sergio Loras Modificaciones para integración con Firefox3 Revisores Nombre Área Lista de distribución Nombre Área Versión: v1.1 Pág. 2 de 15

3 Contenido 1. COMPONENTE CLIENTE REQUISITOS Lector criptográfico Tarjetas Criptográficas Certificados Raíz Java Runtime Environment (JRE) Permisos Navegador INSTALACIÓN Instalación en MS IExplorer Instalación en Firefox INTEGRACIÓN Carga del componente Diferencias de las funciones de firma Versión: v1.1 Pág. 3 de 15

4 1. Componente Cliente El componente cliente de la plataforma de firma, es el utilizado por las aplicaciones web para poder acceder a los almacene locales del equipo cliente Requisitos Para la correcta utilización del componente cliente y de sus funcionalidades es necesario tener en cuenta cierto número de requisitos previos Lector criptográfico Es necesario tener correctamente instalado el teclado con lector criptográfico y sus drivers. Administrador de dispositivos de MS Windows XP Tarjetas Criptográficas Disponer de una tarjeta criptográfica y haber instalado sus drivers, que son distintos para cada tipo de tarjeta (CERES, DNI Electrónico ). Estos drivers deben instalarse tanto para el MS Certificate Store como para los diversos clientes que no usen el MS Certificate Store y que puedan hacer uso de las tarjetas (Firefox, Thunderbird ). Versión: v1.1 Pág. 4 de 15

5 Tarjetas mas comunes DNI Electrónico Tarjeta CERES URL de descarga de sus drivers Los drivers de estas tarjetas son independientes de los certificados y claves privadas que contengan, ya que las tarjetas son solamente un contenedor. En el caso del DNI Electrónico, éste solamente contendrá los certificados y claves de firma y autenticación emitidos por la Dirección General de la Policía, mientras que en las tarjetas CERES, al poder escribirse en ellas, podrán contener todo tipo de certificados y claves, como las emitidas por FNMT, Camerfirma, Firmaprofesional, Ancert Para comprobar que sus correspondientes drivers han sido instalados correctamente, basta con observar si podemos ver los certificados alojados en las tarjetas desde los distintos navegadores. Certificados del DNI Electrónico en MS Certificate Store Versión: v1.1 Pág. 5 de 15

6 Certificados del DNI Electrónico en Firefox Estas tarjetas tienen funcionamientos diferentes respecto a su PIN. Mientras que la tarjeta CERES solo pide el PIN cuando se accede a una clave privada y éste se cachea temporalmente, el DNI Electrónico pide el PIN cada vez que tiene que acceder al propio chip criptográfico, ya sea solamente para acceder al certificado público o para usar la clave privada, adicionalmente cuando se vaya a hacer uso de la clave privada de firma, aparecerá un aviso para indicar que esta apunto de realizarse una firma electrónica reconocida (Ley 59/2003). Petición del PIN del DNI Electrónico Versión: v1.1 Pág. 6 de 15

7 Aviso del DNI Electrónico de creación de firma electrónica reconocida Certificados Raíz Los certificados raíz de las Autoridades de Certificación emisoras de los certificados con los que vamos a trabajar, deben estar instalados tanto en el MS Certificate Store como en los almacenes de los diversos clientes que no usen el MS Certificate Store (Firefox, Thunderbird ). Almacén de certificados de Firefox Versión: v1.1 Pág. 7 de 15

8 Almacén de certificados MS Certtificate Store En el MS Certificate Store el certificado raíz de la FNMT debe estar habilitado para soportar todos los propósitos: Versión: v1.1 Pág. 8 de 15

9 En el botón de Modificar propiedades de la pestaña Detalles de las propiedades de un certificado. Versión: v1.1 Pág. 9 de 15

10 Deben estar habilitados todos los propósitos para este certificado Java Runtime Environment (JRE) Para la utilización del componente cliente, será necesario tener instalada una JRE o superior, en el caso de querer utilizar DNI Electrónico, como mínimo será necesaria una JRE Permisos El grupo usuarios de un dominio NT (o Active Directory) por defecto no tiene permisos para instalar ActiveX. Debe instalarse el componente cliente por un usuario que tenga, como mínimo, permisos de Administrador de la maquina o prepararse el componente como seguro dentro del ActiveDirectory, consulte la documentación de Microsoft referente a tal efecto. En Firefox el usuario debe tener permisos para poder instalar y ejecutar un applet java Navegador Con la actual versión del componente cliente se soportan los siguientes navegadores: Versión: v1.1 Pág. 10 de 15

11 MS Internet Explorer 6.x y 7.x bajo MS Windows XP Mozilla Firefox 1.5.x, 2.0.x, 3.0.x bajo MS Windows XP y GNU/Linux 1.2. Instalación Cuando se acceda a una aplicación web que haga uso del componente cliente, si éste no estaba instalado con anterioridad en el equipo cliente o es una versión posterior al instalado, se lanzara el proceso de instalación Instalación en MS IExplorer Al acceder desde el MS IExplorer a una web que haga uso del componente cliente, de lo primero que nos advertirá es de que debemos tener privilegios de administrador para poder realizar la instalación del ActiveX: Si no disponemos de ellos se nos mostrara el siguiente error, ya que se estará intentando ejecutar el componente cliente sin que se haya podido realizar la instalación: Versión: v1.1 Pág. 11 de 15

12 Si disponemos de ellos, tendremos que pulsar en la barra superior amarilla para empezar la instalación del ActiveX: Una vez aceptada la instalación nos aparecerán los componentes a instalar: Versión: v1.1 Pág. 12 de 15

13 Una vez instalados estos componentes, la aplicación web podrá iniciar el componente cliente perfectamente Instalación en Firefox Al acceder desde el Firefox a una web que haga uso del componente cliente, se iniciara la ejecución del applet java: Versión: v1.1 Pág. 13 de 15

14 Una vez instalado, el componente cliente podrá iniciarse correctamente Integración Carga del componente Se han detectado problemas de sincronización en el motor javascript de Firefox3, con el fin de evitar dichos problemas se recomienda realizar la carga del código javascript de forma asíncrona. El código siguiente realiza la inicialización del componente clientey se mantiene en espera mientras el objeto no se encuentra completamente disponible (este control se realiza mediante la función iswsloaded()). function init(){ initwebsigner(st_pri_key); init_rec(); } function init_rec(){ if(iswsloaded()){ init_real(); }else{ window.settimeout(init_rec,2000); } } function init_real(){ //Código real del init. } Debido al problema anteriormente citado, se han detectado problemas con la sincronización por medio de onload, por lo que se recomienda controlar la existencia de la función init antes de realizar la llamada. El código siguiente verifica la existencia de la función init y se mantiene a la espera mientras esto no sea así. <body onload="function wait4init(){ if(window.init){ init(); }else{ window.settimeout('wait4init()',2000); }}; wait4init();"> Versión: v1.1 Pág. 14 de 15

15 Diferencias de las funciones de firma En este anexo se comentan las diferencias de las distintas clases de funciones que se encuentran disponibles para firmar un documento, además de cuando deben usarse. Nos encontramos con los tipos de función: sign, signfile y signfileonestep. Estos son los tres tipos de función de firma. La función sign recibe como datos a firmar una cadena de texto que es procesada y firmada. Devolverá un base64. Esta función es usada para firmar documentos de tamaño reducido. Las funciones signfile y signfileonestep se usan para documentos que no son de tamaño reducido y pueden llegar a tener un gran tamaño. Cuando las funciones normales (sign) muestran un bajo rendimiento se deben usar estas funciones. Las funciones signfile en las que se les pasa un base64 lo que hacen es coger ese base64 y convertirlo a binario (de este modo se evitan problemas de encoding). Las funciones OneStep abren el archivo binario directamente por path y no hacen esta conversión. Con las funciones OneStep se ahorra la conversión de Base64 a binario. Estas funciones son, en teoría, más rápidas (aunque la diferencia seguramente no sea apreciable). La diferencia de rendimiento de las funciones normales (sign) y las funciones File (signfile y signfileonestep) se encuentra en el modo de conversión de los datos. La función sign coge los datos originales (el texto) y lo convierte a base64 en Javascript. Este proceso es muy lento para un volumen elevado de datos. Por eso solo se debe usar para documentos de tamaño reducido. Las funciones File no tienen este problema, ya que signfile ya recibe los datos en base64, y signfileonestep directamente recibe los bytes del documento a firmar, por lo que no tienen que hacer ninguna codificación en base64 por medio de javascript. Versión: v1.1 Pág. 15 de 15