Interoperabilidad de los servicios telemáticos de la Administración Pública de la CAC Página 1 de 21 MARCO DE REFERENCIA PARA LA PLATAFORMA DE INTEROPERABILIDAD Tratamiento de incidencias sobre Firma Digital en Platino Rev. Fecha Descripción 0 04/04/13 Versión inicial 1 30/04/13 Se explica mejor la ejecución como administrador. 2 13/11/13 Se rehace el documento para adaptarlo a @firma 3 27/01/14 Se incorpora procedimiento para Cliente @firma y MiniApplet @firma 4 19/05/14 Lista de exclusiones de sitios en el Panel de Control de Java Documento : Tratamiento_de_incidencias_sobre_Firma_Digital_en_Platino.pdf Ubicación en eroom: Preparado por Revisado por Aprobado por D. Gral. de Telecomunicaciones y Nuevas Tecnologías Fecha: 14/11/13 ID. Gral. de Telecomunicaciones y Nuevas Tecnologías Fecha: Fecha:
Página 2 de 21 INDICE 1. Introducción... 3 2. Reconocer tipo de componente... 3 3. Tratamiento de errores: Websigner... 6 3.1. Verificación inicial... 6 3.2. Requisitos que deben verificarse en esta página... 6 3.3. Acciones a seguir... 7 3.3.1. JAVA... 7 3.3.2. Componente... 8 4. Tratamiento de errores: Cliente @firma... 9 4.1. Requisitos de utilización... 9 4.2. Verificación inicial... 11 4.3. Requisitos que deben verificarse en esta página... 13 4.4. No aparece el certificado del usuario... 14 5. Tratamiento de errores: MiniApplet @firma... 15 5.1. Requisitos de utilización... 15 5.2. Verificación inicial... 16 5.3. Requisitos que deben verificarse en esta página... 17 6. Problemas con la instalación del certificado... 19
Página 3 de 21 1. INTRODUCCIÓN Actualmente Platino pone a disposición de los integradores 3 tipos de componentes para la firma digital en cliente (en el equipo del usuario). Son los integradores los que pueden elegir cuál de estos tres componentes utilizar en su web. Por ello a la hora de detectar y solucionar posibles problemas relacionados con la firma digital es necesario realizar primero un estudio para reconocer qué tipo de componente se está utilizando. Los componentes pueden ser: Websigner: es el componente de firma utilizado hasta ahora. Cliente de @firma: uno de los nuevos componentes que pueden usar las webs de Gobierno. Su integración es fácil por tener una interfaz similar al antiguo Websigner, pero presenta algunas características de mantenimiento diferenciadas. MiniApplet @firma: una opción más ligera para la firma electrónica, con las funcionalidades indispensables, pero con una interfaz algo diferente. Este manual dividirá el proceso de tratamiento de errores según el componente utilizado. Pero primero aprendamos a diferenciarlos. 2. RECONOCER TIPO DE COMPONENTE En el momento de la carga de la página, si es la primera vez o no se pedido que se oculte el mensaje, aparecerá un aviso diferente para cada componente:
Página 4 de 21 Websigner: Cliente @firma: Miniapplet @firma:
Página 5 de 21 Este mensaje puede haber sido ocultado. Para distinguir si es Websigner puede observar si aparece momentáneamente el banner de ASF, propio del componente Websigner: Para los otros dos componentes, Cliente de @firma y Miniapplet @firma, no existe una ventana similar. Directamente aparecerá la página web disponible para ser utilizada. La diferencia principal a nivel visual entre los dos nuevos componentes es que: El Cliente de @firma mantiene, al igual que Websigner, una lista desplegable con los certificados disponibles, entre los cuales debe seleccionarse el que será utilizado en la firma. El MiniApplet @firma no presenta una lista desplegable de certificados. Es en el momento de invocar a la firma cuando una ventana con certificados instalados aparecerá. Por ello, si aparece una lista de certificados y no es Websigner, será el Cliente de @firma. Si no aparece una lista de certificados será el MiniApplet de @firma. Si aún así no se está seguro del componente utilizado, por ejemplo porque el problema es que no se carga ningún componente, puede acudirse al código fuente de la página web que debe cargarlo. Para los distintos componentes aparecerán los siguientes fragmentos en el código fuente: Websigner: <script platino/servicios/sfst/js/sfest.base.js > Cliente @firma: <script platino/cliente_afirma/js/sfest.base.js > Miniapplet @firma: <script platino/cliente_afirma/mini/js/sfest.base.js >
Página 6 de 21 3. TRATAMIENTO DE ERRORES: WEBSIGNER 3.1. VERIFICACIÓN INICIAL Deberá acceder a la página de verificación de los requisitos del componente WebSigner 6.3 (componente de firma que se descarga e instala en el cliente) para detectar posibles problemas en la instalación de dicho componente. La URL es: http://www.gobiernodecanarias.org/platino/servicios/sfst/ Si el componente no está instalado se intentará instalar al acceder a la página como paso inicial. 3.2. REQUISITOS QUE DEBEN VERIFICARSE EN ESTA PÁGINA 1. Plataforma del navegador : debe ser Win32.
Página 7 de 21 2. Navegador : debe ser uno de los indicados en la página de requisitos: http://www.gobiernodecanarias.org/platino/requisitos.html. 3. Último JRE instalado : debe ser cualquier versión igual o superior a 1.6.0_30. Explícitamente aclarar que tampoco es válida la versión 1.6.0. 4. Bloque Carga/Inicialización : debe tener los valores OK, OK, OK, (versión), (versión), OK. Puede mostrarse un error en la siguiente fila, pero éste no implica fallo en la instalación, es un error del verificador. 5. Desplegable al final del bloque Carga/Inicialización : debe contener los certificados que el usuario tiene disponibles para usar en Platino. Si hay algún problema en los puntos 1 a 4, el componente no está instalado correctamente. Si hay algún problema en el punto 5, el componente está instalado correctamente y no hay certificados que el componente encuentre como válidos. 3.3. ACCIONES A SEGUIR 3.3.1. JAVA Si la versión de Java no es la adecuada debe instalarse la que cumpla las restricciones. Además, al Panel de Control del Java que están usando se deben incorporar las direcciones en las que se confía y que utilizan el plugin. Para ello, en la pestaña de Seguridad, deben añadirse los sitios dentro de la lista de excepciones de sitios, tal como aparece en la siguiente imagen:
Página 8 de 21 Las direcciones más comunes son: https://www.gobiernodecanarias.org http://www.gobiernodecanarias.org https://www.gobiernodecanarias.net http://www.gobiernodecanarias.net https://sede.gobcan.es http://sede.gobcan.es 3.3.2. COMPONENTE Si el componente no está instalado correctamente deberá desinstalarse en "Desinstalar programas" la aplicación WebSigner6.3 si existe. A continuación debe acceder al directorio de java c:\archivo de programas\java\jre6\lib\ext\ y al directorio c:\archivo de programas\java\jre7\lib\ext\ para borrar todos los ficheros con prefijo ws63_ y ws_62.
Página 9 de 21 Una vez realizado este proceso se deberá instalar el componente, con dos opciones posibles: A través de un instalador independiente que puede descargar. A través del propio navegador. El instalador independiente lo puede encontrar en la dirección http://www.gobiernodecanarias.org/platino/app/ws63.msi y sirve tanto para instalar como para desinstalar el componente Websigner. En caso de estar previamente instalado, lo detectará y mostrará las opciones para reparar o desinstalar, mientras que si no encuentra una versión previa, únicamente podrá instalar. Esta instalación debe realizarse con un usuario administrador de Windows. También puede instalarse automáticamente abriendo el navegador en modo administrador y accediendo a la dirección: http://www.gobiernodecanarias.org/platino/servicios/sfst/. También en este modo de instalación es necesario ejecutar el navegador como administrador. No basta con que el usuario actual sea administrador. Deberá hacer click derecho sobre el icono de Internet Explorer y elegir en el menú que aparece la opción Ejecutar como administrador. Una vez que accede a la página aparece la ventana de instalación con un progreso que debe llegar a 100%. Después de que se instale el componente debe cerrar el navegador y volver a abrirlo para que se arranque adecuadamente la nueva versión del componente. A partir de aquí ya no será necesario ejecutar como administrador. Con cualquier usuario válido el componente debe cargar adecuadamente. 4. TRATAMIENTO DE ERRORES: CLIENTE @FIRMA 4.1. REQUISITOS DE UTILIZACIÓN Se soportan las siguientes tecnologías:
Página 10 de 21 Componente Soportado Sistema Operativo Windows XP SP3 / Vista SP2 / 7 SP1 / Server 2003 SP2 / Server 2008 SP2 / 8 y superiores (no es compatible con Windows 8 RT) Linux 2.6 (Guadalinex y Ubuntu) y superiores Mac OS X 10.6.8 y superiores (Snow Leopard, Lion y Mountain Lion) Firefox 3.0 y superiores Navegador Internet Explorer 7 o superior, en 32 y 64 bits Google Chrome 4 o superior (no soportado em Mac OS X) Apple Safari 4 o superior (únicamente soportado em Mac OS X) JRE Certificado digital JRE 6 de 32 bits (1.6 update 71 o superior recomendada) instalado en el navegador JRE 7 de 32 bits o 64 bits (1.7 update 51 o superior recomendada) instalado en el navegador Siempre accederá al almacén de certificados del sistema operativo en el que se ejecute, salvo cuando se ejecute sobre Mozilla Firefox, en cuyo caso accederá al almacén de este navegador Los desarrolladores de @firma han realizado pruebas satisfactorias en las combinaciones de componentes reflejados en la siguiente matriz:
Página 11 de 21 Para una información más detallada puede acudir al documento realizado por los creadores, en su apartado 3, de requisitos mínimos: http://forjactt.administracionelectronica.gob.es/file/frs/download.php/1830/cfv3.3.1_manualintegrador_es.pdf 4.2. VERIFICACIÓN INICIAL El componente no necesita una instalación especial (no tiene por qué utilizar usuario administrador), así que la primera vez que se acceda se descargarán las librerías y se instalarán de forma transparente. Deberá acceder a la página de test del cliente @firma (componente de firma que se descarga e instala en el cliente) para detectar posibles problemas en la instalación de dicho componente. La URL es: http://www.gobiernodecanarias.org/platino/cliente_afirma/test.html
Página 12 de 21 Como se ve, la información está dividida en 3 zonas: La zona de fondo azulado, con funcionalidades establecidas tal como pudiera aparecer en una web real. La zona de fondo rojizo, con funcionalidades similares a la azulada, pero con el filtro de certificados deshabilitado. Por ello en esta zona deben aparecer todos los certificados instalados, estén o no caducados, revocados o sin confianza. La zona de fondo grisáceo, que incluye un registro de las acciones que ha realizado el componente.
Página 13 de 21 4.3. REQUISITOS QUE DEBEN VERIFICARSE EN ESTA PÁGINA En la zona de Registro de acciones se mostrarán líneas según se vayan pasando fases de la inicialización. Un ejemplo de registro es el siguiente: JavaScript habilitado. Utilidades de firma accesibles. Utilidades Java accesible. Navegador: MSIE Navegador (completo): Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2;.NET CLR 2.0.50727;.NET CLR 3.5.30729;.NET CLR 3.0.30729; Media Center PC 6.0) Plugin java instalado? SI Plugin java habilitado? SI JRE instalado: 1.7.0_51 Base de firma accesible. CAValidas accesible. Inicializando cliente de Firma... Cliente de Firma inicializado. Consultando si el cliente de firma esta cargado... Cliente de firma cargado:true (continúa con información sobre certificados) Si no aparece ninguna línea, el javascript está deshabilitado. Javascript es necesario para cualquier componente de firma y debe habilitarse. Si no aparece Utilidades de firma accesibles o Utilidades Java accesible, existe algún problema con el acceso de red del navegador a los recursos de firma de Platino. A continuación aparece información sobre el navegador utilizado. Si a la pregunta Plugin java habilitado? la respuesta es NO, es posible que los applets Java estén deshabilitados en el navegador. Es necesario para cualquier componente de firma que los applets Java estén habilitados. Comprobar en http://www.java.com/es/download/installed.jsp si aparece adecuadamente el applet que verifica la versión de Java, y esta está actualizada.
Página 14 de 21 Si no aparece Base de firma accesible, existe algún problema con el acceso de red del navegador a los recursos de firma. Si no aparece CAValidas accesible, existe algún problema con el acceso de red del navegador al frontal de Gobierno. Luego debe aparecer: Inicializando cliente de Firma... Cliente de Firma inicializado. Consultando si el cliente de firma está cargado... Cliente de firma cargado:true Si no es así existe algún problema con la ejecución del componente. Verificar que se ha instalado correctamente. 4.4. NO APARECE EL CERTIFICADO DEL USUARIO Si se ha estudiado el punto anterior y se ha determinado que el componente se ha inicializado bien, puede existir algún problema con la validación de certificados. Existen dos listados desplegables, uno sobre fondo azulado en el que aparecen solo los certificados filtrados y otro sobre fondo rojizo donde aparecen todos los instalados. Dependiendo de que aparezcan en uno u otro el problema es diferente: Aparece No Aparece Aparece Todo correcto. No parece ser un error del componente. Error interno. No debería darse esta posibilidad No Aparece (1) Error en el filtro de certificados (2) El certificado no está bien instalado.
Página 15 de 21 En el caso (1) puede observar en el log de la zona inferior cual es la causa para que no se muestre en el listado de filtrados. No se confía en este certificado El certificado está caducado Certificado correcto (información del certificado) Filtrando certificado... Fecha parseada:mon Feb 25 16:11:49 UTC 2013 Fecha parseada:tue Feb 25 16:11:49 UTC 2014 No se confia en la CA del certificado. Pasa filtro? False (información del certificado) Filtrando certificado... Fecha parseada:thu Feb 26 17:23:56 UTC 2009 Fecha parseada:mon Feb 25 17:23:56 UTC 2013 Certificado caducado. Pasa filtro? False (información del certificado) Filtrando certificado... Fecha parseada:tue Nov 26 11:49:41 UTC 2013 Fecha parseada:sat Nov 26 11:49:41 UTC 2016 Es certificado de confianza. Pasa filtro? true Si no pasa el filtro puede aportar a soporte de Platino, además del log, el volcado de la parte pública del certificado. Para ello seleccione el certificado en el listado sobre fondo rojizo y copie el contenido tanto de Datos del certificado sin filtrar seleccionado, como de Volcado del certificado (sin la clave privada). 5. TRATAMIENTO DE ERRORES: MINIAPPLET @FIRMA 5.1. REQUISITOS DE UTILIZACIÓN Se soportan las siguientes tecnologías: Componente Soportado Sistema Operativo Windows XP SP3 / Vista SP2 / 7 SP1 / Server 2003 SP2 / 8 y superiores (no es compatible con Windows 8 RT ni Metro)
Página 16 de 21 Linux 2.6 (Guadalinex y Ubuntu) y superiores Mac OS X 10.6.8 y superiores, 10.7.2 y superiores, 10.8.1 y superiores. Firefox 4.0 y superiores (Windows solo 32 bits) Navegador Internet Explorer 7 o superior, en 32 y 64 bits Google Chrome 15 o superior Apple Safari 5 o superior JRE Certificado digital JRE 6 de 32 bits (1.6 update 71 o superior recomendada) instalado en el navegador JRE 7 de 32 bits o 64 bits (1.7 update 51 o superior recomendada) instalado en el navegador Siempre accederá al almacén de certificados del sistema operativo en el que se ejecute, salvo cuando se ejecute sobre Mozilla Firefox, en cuyo caso accederá al almacén de este navegador Para una información más detallada puede acudir al documento realizado por los creadores, en su apartado 2, de requisitos mínimos: http://forjactt.administracionelectronica.gob.es/file/frs/download.php/1878/mcfv1.1_manualintegrador_es.pdf 5.2. VERIFICACIÓN INICIAL El componente no necesita una instalación especial (no tiene por qué utilizar usuario administrador), así que la primera vez que se acceda se descargarán las librerías y se instalarán de forma transparente. Deberá acceder a la página de test del Miniapplet @firma (componente de firma que se descarga e instala en el cliente) para detectar posibles problemas en la instalación de dicho componente. La URL es:
Página 17 de 21 http://www.gobiernodecanarias.org/platino/cliente_afirma/mini/test.html Como se ve, la información está dividida en 2 zonas: La zona de fondo azulado, con interfaz para realizar pruebas de la mayoría de funcionalidades. La zona de fondo grisáceo, que incluye un registro de las acciones que ha realizado el componente. 5.3. REQUISITOS QUE DEBEN VERIFICARSE EN ESTA PÁGINA En la zona de Registro de acciones se mostrarán líneas según se vayan pasando fases de la inicialización.
Página 18 de 21 Un ejemplo de registro es el siguiente: JavaScript habilitado. Utilidades de firma accesibles. Utilidades Java accesible. Navegador: MSIE Navegador (completo): Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2;.NET CLR 2.0.50727;.NET CLR 3.5.30729;.NET CLR 3.0.30729; Media Center PC 6.0) Plugin java instalado? SI Plugin java habilitado? SI JRE instalado: 1.7.0_51 Base de firma accesible. Inicializando cliente de Firma... Cliente de Firma inicializado. Si no aparece ninguna línea, el javascript está deshabilitado. Javascript es necesario para cualquier componente de firma y debe habilitarse. Si no aparece Utilidades de firma accesibles o Utilidades Java accesible, existe algún problema con el acceso de red del navegador a los recursos de firma de Platino. A continuación aparece información sobre el navegador utilizado. Si a la pregunta Plugin java habilitado? la respuesta es NO, es posible que los applets Java estén deshabilitados en el navegador. Es necesario para cualquier componente de firma, que los applets Java estén habilitados. Comprobar en http://www.java.com/es/download/installed.jsp si aparece adecuadamente el applet que verifica la versión de Java, y esta está actualizada. Si no aparece Base de firma accesible, existe algún problema con el acceso de red del navegador a los recursos de firma. Luego debe aparecer: Inicializando cliente de Firma... Cliente de Firma inicializado. Si no es así existe algún problema con la ejecución del componente. Verificar que se ha instalado correctamente.
Página 19 de 21 Si los botones de la página no aparecen habilitados, no ha terminado la inicialización (comprobar que aparece el descrito arriba) o ha habido algún error en la ejecución de la página o del componente. Los certificados aparecen una vez que se da al botón de firmar. Puede realizar una prueba escribiendo algo en el campo de texto encima del botón firmar y luego hacer click en este botón. Aparecerá una ventana de selección de certificados. Si no aparece el que se desea, el certificado no se ha instalado correctamente. Si las firmas con este certificado dan error, comprobar que en esta ventana las fechas de validez del certificado utilizado. 6. PROBLEMAS CON LA INSTALACIÓN DEL CERTIFICADO Si no existen certificados en el listado, debe verificarse que están bien importados desde el navegador y no existen problemas con ellos, como indica la figura: Al pinchar en el certificado del usuario debe verificar que no está caducado, que tiene la posibilidad de firmar y que no informa de ningún otro error:
Página 20 de 21 Puede verificar que no está revocado, según su entidad emisora, en: FNMT https://www.cert.fnmt.es/index.php?cha=cit&sec=8&fpage=1&lang=es DNI-Electrónico https://av-dnie.cert.fnmt.es/compruebacert/compruebacert Camerfirma http://camerfirma.com/camerfirmapublic/index/area-usuario/consulta-validacion.html ANF http://www.anf.es/es/certificacion/validacion/everificador.html Firmaprofesional
Página 21 de 21 http://www.firmaprofesional.com/index.php/servicios/servicio-de-validacion AC APE https://valide.redsara.es/valide/validarcertificado/ejecutar.html