U NETSIGNER 2.0 U NetSigner Applet FAQS Creación Última Actualización Versión 02 de marzo de 2016 21 de abril de 2016 1.0 www.cc3m.com [Escriba texto]
Contenido 1 Generales... 4 1.1 Qué es U NetSigner?... 4 1.2 Comprobación de requisitos... 4 1.2.1 Navegador no soportado... 6 1.2.2 Sistema operativo no soportado... 8 1.2.3 Versión de Java incorrecta... 8 1.2.4 Ventanas emergentes desactivadas... 10 1.2.5 No hay permisos de ejecución de JavaScript... 10 1.3 Pérdida de foco en ventanas... 12 1.4 Desinstalación de U NetSigner... 12 2 Windows... 15 2.1 U NetSigner no funciona con la máquina virtual de 64 bits... 15 2.1.1 Navegador Firefox... 15 2.1.2 Navegador Chrome... 15 2.1.3 Navegador Internet Explorer... 16 3 Linux... 21 3.1 Instalación de OpenDNIe... 21 4 Mac OS... 22 4.1 Safari 6.1.4... 22 4.2 Instalación de drivers de SmartCard... 25 Página 2 de 35
5 Chrome... 28 5.1 No funciona correctamente en Linux... 28 6 Opera... 29 6.1 No funciona correctamente en Linux... 29 6.2 Donde localizo los certificados... 29 7 DNI Electrónico... 30 7.1 No puedo realizar un cifrado con el DNI... 30 7.2 Al tener el DNI insertado en el lector se ralentiza la carga... 31 8 Firmas... 32 8.1 No verifica firmas CAdES secuenciales generadas por otras plataformas... 32 Este documento presenta los problemas más típicos con la utilización de U NetSigner diferenciado por entornos de ejecución. Página 3 de 35
1 Generales 1.1 Qué es U NetSigner? U NetSigner es un componente cliente que se instala en el ordenador del usuario, bien a través del navegador o de un instalador local, y permite realizar operaciones de firma, verificación, cifrado y descifrado en cliente. 1.2 Comprobación de requisitos Para facilitar tanto la instalación como el uso de U NetSigner para el usuario, se pueden comprobar los requisitos desde la página principal de U NetSigner. Si el proceso de instalación y verificación es correcto debería aparecer la siguiente página Página 4 de 35
Página 5 de 35
En caso contrario, puede deberse a algún problema con alguno de los siguientes requisitos 1.2.1 Navegador no soportado U NetSigner dispone de una serie de navegadores, en función del sistema operativo, a los cuales les da soporte. Además, debido a los posibles cambios que realizan, solo se garantiza un funcionamiento completo si las versiones de los navegadores son coincidentes. Si se utiliza un navegador no soportado por U NetSigner (En la propia página existe un listado con los navegadores actualmente soportados), aparecerá una ventana similar a esta en la cual se indica que se debe utilizar un navegador soportado: Página 6 de 35
Página 7 de 35
1.2.2 Sistema operativo no soportado Al igual que en el apartado anterior, U NetSigner dispone de una serie de sistemas operativos donde se garantiza el correcto funcionamiento del componente. Si dicha página se ejecuta con un sistema operativo no soportado aparecerá una ventana similar a la anterior recomendando el uso de un sistema operativo válido. 1.2.3 Versión de Java incorrecta Para poder ejecutar el componente U NetSigner se necesita tener instalada la JRE de Java, ya que al tratarse de un Applet (cargado mediante JNLP) es necesario disponer de esta utilidad. En el caso de no tener instalada ninguna versión de Java, o dicha versión no es una de las que se indica como soportadas, aparecerá un mensaje de error que recomendará dirigirse a la página web de Java para descargarse la versión adecuada En el caso de que ya se disponga de la última versión de Java y se indique desde la página que no está soportada, se puede deber a que, al ser una versión demasiado actual, no se ha podido garantizar su correcto funcionamiento. En este caso aparecerá un mensaje de advertencia en lugar de error ya que es probable que funcione con dicha versión. Página 8 de 35
Página 9 de 35
1.2.4 Ventanas emergentes desactivadas El componente necesita tener las ventanas emergentes activadas para el sitio que se está integrando con U NetSigner Applet. Según versiones del navegador avisa de que se está intentando mostrar una pantalla y en otras muestra un icono en la barra de estado. Independientemente se debe permitir mostrar pantallas emergentes al sitio. 1.2.5 No hay permisos de ejecución de JavaScript Hay que permitir ejecutar JavaScript para que funcione correctamente. Dependiendo del navegador utilizado, esta utilidad se activa de una manera u otra. En todos los navegadores viene activada por defecto por lo que no debería existir ningún problema salvo que esta propiedad se modifique. Página 10 de 35
Página 11 de 35
1.3 Pérdida de foco en ventanas En ocasiones, las ventanas del cliente pierden el foco, haciendo imposible la interacción del usuario. Este error bloquea ciertas ventanas Java en Internet Explorer y Mozilla, perdiendo el foco y haciendo imposible la interacción con el usuario. En muchos casos este error se solventa al cambiar el foco a otras ventanas, o minimizar/maximizar el navegador, para intentar que recupere el foco, pero si ni aun así se corrige el problema se recomienda reiniciar el navegador 1.4 Desinstalación de U NetSigner En caso de querer desinstalar U NetSigner, es suficiente con descargarse el instalador local desde la página de instalación Página 12 de 35
Página 13 de 35
Al descargarlo, se puede ver un archivo.zip que contiene tanto el instalador como el desinstalador. Para poder desinstalar la aplicación es suficiente con ejecutar el script (_Uninstall) dependiendo del sistema operativo utilizado. Página 14 de 35
2 Windows 2.1 U NetSigner no funciona con la máquina virtual de 64 bits Para el correcto funcionamiento del componente en Windows 64 bits es necesario instalar un entorno de ejecución de Java en 32 bits, y no una variante de 64 bits (tanto del navegador como de la máquina virtual de Java). Todos los puntos a continuación descritos se basan en diferentes casuísticas donde la arquitectura base es siempre una máquina con arquitectura de 64 bits. 2.1.1 Navegador Firefox Características de arquitectura desde el punto de vista de 32/64 bits: Firefox no tiene versión oficial propia para 64 bits, esto es, Firefox solo tiene versión x86. Firefox x86 requiere de JRE x86. Firefox x86 funciona correctamente en una máquina con arquitectura de 64 bits al igual que cualquier aplicación de 32 bits compatible con 64 bits. U NetSigner funciona correctamente en una máquina de arquitectura de 64 bits donde hay un Firefox x86 instalado con una JRE x86. 2.1.2 Navegador Chrome Características de arquitectura desde el punto de vista de 32/64 bits: Chrome no tiene versión oficial propia para 64 bits, esto es, Chrome solo tiene versión x86. Página 15 de 35
Chrome x86 requiere de JRE x86. Chrome x86 funciona correctamente en una máquina con arquitectura de 64 bits al igual que cualquier aplicación de 32 bits compatible con 64 bits. U NetSigner funciona correctamente en una máquina de arquitectura de 64 bits donde hay un Chrome x86 instalado con una JRE x86. 2.1.3 Navegador Internet Explorer Para este navegador se describen 2 casos diferenciados, ya que dicho navegador si tiene versión de 32 bits y versión de 64 bits diferenciadas. 2.1.3.1 Internet Explorer x86 Características de arquitectura: Internet Explorer no permite la combinación de su versión en 32 bits con la JRE de 64 bits, esto es: Internet Explorer x86 requiere de JRE x86. U NetSigner funciona correctamente en una máquina de arquitectura de 64 bits donde hay un Internet Explorer x86 instalado con una JRE x86. 2.1.3.2 Internet Explorer 64 bits Características de arquitectura: Página 16 de 35
Internet Explorer no permite la combinación de su versión en 64 bits con la JRE de 32 bits, esto es: Internet Explorer 64 bits requiere de JRE 64 bits. U NetSigner NO funciona correctamente en una máquina de arquitectura de 64 bits donde hay un Internet Explorer 64 bits instalado con una JRE 64 bits. Consideraciones sobre esta combinación que no funciona: En máquinas Windows de 64 bits la versión de Internet Explorer que se ejecuta por defecto es la de 32 bits, esto es, la combinación que si funciona. En máquinas Windows de 64 bits, para ejecutar la versión de 64 bits de Internet Explorer, no solo es que no sea la de por defecto sino que hay que buscar como lanzarla bastante. o En el caso de ejemplo de Windows 7, anteriormente existía en las opciones de Inicio la posibilidad de ejecutar Internet Explorer en su versión de 64 bits, concretamente aparecía el mismo icono y mismo nombre que en la opción de 32 bits pero al final del nombre aparecía concatenado: (64 bits). Actualmente esta opción ha desaparecido, alguna actualización (no tenemos identificado su número) automática de Windows Update ha eliminado esta entrada del Inicio. Nuestra impresión (no deja de ser una interpretación propia) es que Microsoft con esta acción no puede perseguir otro objetivo que no sea intentar que los usuarios no ejecuten a ser posible la versión de 64 bits. Página 17 de 35
o En el caso de ejemplo de Windows 7, actualmente para forzar el lanzamiento de Internet Explorer en su versión de 64 bits hay que realizar lo siguiente: Herramientas Opciones de Internet: Opciones Avanzadas Habilitar el modo protegido mejorado *: Página 18 de 35
Como se puede observar además del cambio hay que reiniciar la máquina (no basta con el navegador). Página 19 de 35
Nuestra impresión es que Microsoft ha escondido bastante la opción para ejecutar en 64 bits, además le ha dado un nombre también que nos atreveríamos afirmar es poco intuitivo ( Habilitar el modo protegido mejorado ), y aparte dicha configuración es una de las que fuerza al reinicio de la máquina (no siendo así en la mayoría de las otras opciones), lo que refuerza nuestra interpretación de que con esta acción no puede perseguir otro objetivo que no sea intentar que los usuarios no ejecuten a ser posible la versión de 64 bits. Oficialmente, la recomendación del fabricante de la JRE, en este caso Oracle, es usar siempre la JRE de 32 bits: Link oficial: https://www.java.com/es/download/faq/java_win64bit.xml "Sistemas operativos Windows de 64 bits (que pueden ser Windows 7, Vista o XP) incluyen un explorador de Internet Explorer (IE) de 32 bits como el estándar (por defecto) para visualizar las páginas web. Estos sistemas operativos también incluyen un explorador Internet Explorer de 64 bits, su uso es opcional y se debe seleccionar de forma explícita para ver las páginas web. Tenga en cuenta que algún contenido web puede no funcionar correctamente en un explorador de 64 bits. Se recomienda utilizar el explorador de 32 bits y descargar Java de 32 bits." Página 20 de 35
3 Linux 3.1 Instalación de OpenDNIe Una vez instalados los drivers de OpenDNIe, para permitir que Java acceda a los lectores PKCS#11 es necesario editar el siguiente archivo: $ sudo vi /etc/opensc/opensc.conf Y eliminar el caracter # de la línea donde pone "# plug_and_play = false;" # Parameters for the OpenSC PKCS11 module app opensc-pkcs11 { pkcs11 { # Should the module support hotplug of readers as per PKCS#11 v2.20? # This affects slot changes and PC/SC PnP, as v2.11 applications # are not allowed to change the length of the slot list. # Default: true # plug_and_play = false; plug_and_play = false; Página 21 de 35
4 Mac OS 4.1 Safari 6.1.4 Desde la actualización de Safari 6.1.4 se ha detectado que el navegador impide por defecto leer y escribir ficheros con java, por lo que falla la instalación y la ejecución de U NetSigner si se inhabilita el modo inseguro de Java. La solución alternativa a este problema, consiste en modifica las preferencias de seguridad del sitio web para que pueda ejecutarse en el modo inseguro en este navegador. Los pasos son los siguientes: 1. Preferencias de Safari: Página 22 de 35
2. En la pestaña de seguridad, pulsar en Manage Website Settings 3. En la opción de seguridad, hay que modificar la configuración, que por defecto esta Allow Página 23 de 35
4. Modificar el combo de esta forma: Página 24 de 35
4.2 Instalación de drivers de SmartCard Mozilla Firefox no usa los almacenes de claves del Sistema Operativo, para acceder a otros almacenes que no sean los suyos utiliza el estándar PKCS#11 por lo que la instalación de los mismos difiere respecto a la instalación sobre el resto de navegadores. Para instalar los drivers de una SmartCard determinada sobre Mozilla Firefox es necesario realizar los siguientes pasos: Ir a herramientas -> Opciones -> Pestaña Avanzado -> Dispositivos de seguridad -> Cargar Página 25 de 35
Página 26 de 35
En la ventana de cargar se deberá seleccionar un nombre identificativo de la SmartCard (DNI, FNMT, Tarjeta de empleado de empresa X, etc.) y se debe seleccionar el driver PKCS11 que proporcionará el distribuidor de las tarjetas. Normalmente en Windows es un fichero con extensión.dll mientras que en Linux es un fichero con extensión.so Página 27 de 35
5 Chrome 5.1 No funciona correctamente en Linux Actualmente no se proporciona soporte a este navegador bajo el sistema operativo Linux debido a que el almacén de certificados del navegador, además de ser de reciente creación para este S.O., es distinto que para el resto de sistemas. Para próximas versiones se está desarrollando una evolución del componente para poder dar un soporte completo. Página 28 de 35
6 Opera 6.1 No funciona correctamente en Linux Actualmente no se proporciona soporte a este navegador bajo el sistema operativo Linux. 6.2 Donde localizo los certificados Los certificados utilizados por el componente para este navegador son los contenidos en el almacén del sistema (en Windows el almacén de Windows, en MacOS el llavero). Página 29 de 35
7 DNI Electrónico 7.1 No puedo realizar un cifrado con el DNI El DNI electrónico no permite realizar operaciones de cifrado ya que sus certificados no contienen dicho uso de clave. Los certificados que contiene tienen uso de clave de firma digital (Certificado de autenticación) y uso de clave de No repudio (Certificado de firma) Página 30 de 35
7.2 Al tener el DNI insertado en el lector se ralentiza la carga Al realizar la carga de los certificados de U NetSigner e insertar el DNI electrónico en el lector, es probable que la carga de los mismos se vea ralentizada. Esto es debido al acceso de los drivers al contenido del DNI lo que implica que este comportamiento sea normal. Puede ocurrir este comportamiento con otros proveedores de SmartCards. Página 31 de 35
8 Firmas 8.1 No verifica firmas CAdES secuenciales generadas por otras plataformas Si al verificar una firma secuencial CAdES con varios firmantes, U NetSigner únicamente devuelve uno de ellos, puede ser debido a que la firma esta generada por una plataforma que realiza las firmas secuenciales utilizando el atributo CounterSignature (no soportado actualmente por U NetSigner). Para comprobar esto se puede utilizar un visor de firma (por ejemplo BerViewer) y analizar lo siguiente: Página 32 de 35
Si existe una línea similar a la marcada en negrita (atributo CounterSignature), solamente se devolverá una de las firmas, en cambio, si la firma es generada por U NetSigner tiene la siguiente apariencia: Página 33 de 35
Página 34 de 35
Página 35 de 35