Testovací protokol čipová karta Oberthur Id-One Cosmo V5.4

Transkript

1 Testovací protokol čipová karta Oberthur Id-One Cosmo V5.4 1 Úvod 1.1 Testovaný produkt Hardware: čipová karta Oberthur Id-One Cosmo V5.4 Software: smart Datum testování: Konfigurace testovacího počítače Hardware: Intel Core 2 Duo E6750, 2 GB RAM DDR2 základní deska Gigabyte GA-P35-DS3R harddisk Seagate ST380817AS, SATA, 80GB, 7200 rpm Čtečky čipových karet: Omnikey 3021 (primárně používaná) GemPlus PC Twin ACS ACR38 Software: Microsoft Windows XP + Service Pack 3 Microsoft Office 2003 (Word, Excel, Outlook) Mozilla Firefox Mozilla Thunderbird XCA hmailserver 5.2-B356 + Microsoft SQL Server Compact 3.5.NET Framework 2.0 Acronis True Image Home Popis obslužného softwaru 2.1 Instalace obslužného softwaru Instalační proces probíhá v českém jazyce. Uživatel může změnit cílový adresář pro instalaci softwaru. Lze vybrat komponenty, které se nainstalují. Na výběr je aplikace pro správu a formátování čipové karty, několik doprovodných programů a uživatelská dokumentace

2 Instalátor vyzve uživatele k zadání licenčního a aktivačního čísla, jinak se software nainstaluje ve zkušební verzi, která je funkční po dobu 30 dní. Na konci instalace nebyl požadován restart počítače. 2.2 Informace o obslužném softwaru Software pro správu čipové karty tvoří dvě aplikace. smart Format slouží pro formátování karty, kdy se vytváří prázdná datová struktura a nastavuje PIN a PUK. Uživatel specifikuje, kolik místa na kartě vyhradí pro klíče a certifikáty a kolik pro ostatní data. Pro naformátování karty je potřeba znát tři formátovací klíče, které jsou uvedeny v PINové obálce. Program smart Manager slouží pro samotnou správu karty. Obsahuje všechny důležité funkce pro správu karty správu klíčů a certifikátů, změnu PINu, odblokování karty, změnu PUKu a zobrazení informací o kartě. Aplikace zobrazuje přehledně, kolik klíčových páru lze na kartu ještě vygenerovat, a volné místo pro ostatní data. Opětovné načtení obsahu karty se provede po stisku klávesy F5. Funguje též kontextové menu vyvolané stiskem pravého tlačítka myši. Při změně PINu je nutné zadat 1-8 znaků. Lze zadat číslice, písmena i neabecední znaky. Karta se zablokuje po 4 špatně zadaných PINech. Po změně PINu software zřejmě nadále používá starý PIN při operacích s kartou. Je potřeba se z karty odhlásit a znovu přihlásit pomocí nového PINu. Soukromému klíči lze nastavit silnou ochranu. Ta spočívá v tom, že při přístupu k tomuto klíči (např. při podpisu dat) se zobrazí informační okno, že určitá aplikace žádá o povolení přístupu ke klíči a uživatel má možnost tuto akci povolit nebo zakázat. Zjistil jsem, že silná ochrana klíče nefunguje pro aplikační rozhraní PKCS#11. Okno se základními informacemi o certifikátu má problémy s kódováním UTF-16 i UTF-8. Zobrazení detailních informací o certifikátu však již používá systémové funkce Windows, kde tyto problémy nejsou. Registraci certifikátů z čipové karty do Windows je nutné provést ručně. Při registraci je nutné zadat popisný název pro daný certifikát. Po vyjmutí karty ze čtečky se certifikáty z Windows neodstraní

3 Rozhraní MS CryptoAPI (jméno poskytovatele krypt. služeb) Rozhraní PKCS#11 (jméno DLL knihovny) system Cryptographic Service Provider okpkcs11.dll, v systémovém adresáři Windows 2.3 Doplňkové funkce Součástí softwaru jsou tyto doplňkové programy: smart Manager umožňuje uložit malé soubory na kartu. Data lze zálohovat z karty do zašifrovaného souboru a rovněž lze zpětně provést jejich obnovu ze zašifrovaného souboru do karty. Lze smazat pouze naposledy přidaný datový objekt, nelze přepisovat stávající data na kartě novými. smart Disk slouží pro vytváření zašifrovaného disku, který je fyzicky uložen v souboru. Pro přístup k disku se používají zvolené RSA klíče uložené na kartě. Pro případ problémů s kartou lze také povolit připojení disku pomocí hesla. smart File slouží pro zašifrování nebo dešifrování souborů. Pro každý vstupní soubor se vytvoří vlastní zašifrovaná kopie, program neumí sloučit více souborů do jednoho zašifrovaného souboru. Šifruje se za použití certifikátů uložených v úložišti Windows Ostatní certifikáty nebo certifikátů v souboru. Program je integrován do kontextového menu Průzkumníka. smart Safe implementuje funkci SSO pro aplikace a webové stránky. Lze jej použít také pro uložení různých citlivých dat. Na začátku se na kartě vytváří datový prostor pro smart Safe, jehož velikost nelze změnit. Údaje pro funkci SSO lze zadat automaticky pomocí zaměřovacího kříže, který se přetáhne nad příslušné okno aplikace. Program si následně zjistí potřebné informace o daném okně. Pro nastavení automatického přihlášení se zadává sekvence stisků kláves. Přihlašování do aplikací je možné provádět zcela automaticky nebo ručně výběrem ze seznamu uložených přihlašovacích záznamů. 2.4 Odinstalace obslužného softwaru Odinstalační proces proběhl bez problémů. Na jeho konci byl vyžadován restart počítače. 3 Testovací scénář Činnost Inicializace čipové karty/tokenu Výsledek - 3 -

4 Činnost Vydání certifikátu s českými znaky zakódovanými v UTF-16 Nastavení PKCS#11 knihovny v aplikaci Mozilla Thunderbird (zadání stejných údajů do žádosti o certifikát jako v předchozím případě simulace obnovy certifikátu) Instalace vydaného certifikátu pomocí obslužného softwaru Registrace certifikátu do Windows Import klíčů a certifikátu ze souboru PKCS#12 na kartu/token Registrace certifikátu do Windows Smazání klíčů a certifikátu z karty/tokenu v obslužném softwaru Změna PIN ke kartě/tokenu, zadání písmen a neabecedních znaků do nového PIN Smazání klíčů a certifikátu z karty/tokenu v aplikaci Mozilla Thunderbird Změna PIN ke kartě/tokenu v aplikaci Mozilla Thunderbird Pouze čipové karty ověření kompatibility s různými čtečkami čipových karet Výsledek Ruční Ruční CHYBA - 4 -

5 3.1 Poznámky k testování Při generování RSA klíčů přes webové stránky aplikace Internet Explorer po určitou dobu vůbec nereaguje. Není zobrazeno žádné okno s informací, že probíhá generování klíčů. Po importu dat ze souboru PKCS#12 je potřeba provést ruční registraci. Aplikace ale vypisovala chybové hlášení, dokud jsem nevytáhl kartu ze čtečky. Při změně PIN v Mozille Thunderbird aplikace hlásila, že byl zadán špatný původní PIN, přestože byl zadáván správně. Při prvním vložení karty do čtečky GemPlus PC Twin došlo k samovolnému restartu Windows. Poté již však komunikace se čtečkou probíhala bez problémů. 4 Závěr Byla potvrzena funkčnost aplikačních rozhraní MS CryptoAPI a PKCS#11. Na zařízení lze uložit RSA klíče o velikosti 2048 bitů i certifikáty s podepisovacím algoritmem sha256withrsa. Je funkční import vydaného certifikátu přes obslužný software i import dat ze souboru typu PKCS#12. V aplikaci Mozilla Thunderbird nebylo možné změnit PIN ke kartě. Jelikož se ale změna PIN provádí primárně v obslužném softwaru, nelze tuto chybu považovat za nijak zásadní