Testovací protokol čipová karta ACOS5

Transkript

1 Testovací protokol čipová karta ACOS5 1 Úvod 1.1 Testovaný produkt Hardware: čipová karta ACS ACOS5-32-G Software: ACS Admin Tool 2.4 Datum testování: Konfigurace testovacího počítače Hardware: Intel Core 2 Duo E6750, 2 GB RAM DDR2 základní deska Gigabyte GA-P35-DS3R harddisk Seagate ST380817AS, SATA, 80GB, 7200 rpm Čtečky čipových karet: ACS ACR38 (primárně používaná) GemPlus PC Twin Omnikey 3021 Software: Microsoft Windows XP + Service Pack 3 Microsoft Office 2003 (Word, Excel, Outlook) Mozilla Firefox Mozilla Thunderbird XCA hmailserver 5.2-B356 + Microsoft SQL Server Compact 3.5.NET Framework 2.0 Acronis True Image Home Popis obslužného softwaru 2.1 Instalace obslužného softwaru Uživatel si může určit cílový adresář pro nainstalování softwaru. Lze si vybrat komponenty, které se nainstalují. Na seznamu se nacházejí kromě aplikací pro správu čipové karty zdrojové kódy pro různé programovací jazyky a uživatelská dokumentace. Na konci instalace byl požadován restart počítače

2 2.2 Informace o obslužném softwaru Obslužný software ke kartě tvoří administrační aplikace AdminTool, aplikace Initialization Tool pro inicializaci karty a aplikace Clear Card Utility pro smazání obsahu karty. Aplikace Initialization Tool požádá o ukončení vybraných programů, které by mohly kartu používat. Aplikace ale nekontroluje, která z těchto aplikací je skutečně spuštěná, a zobrazuje všechny aplikace. Po dokončení inicializace je přednastaven uživatelský PIN a tzv. SO PIN (obdoba PUKu) na hodnotu a počet špatných zadání PINu je nastaven na 5 pokusů. Aplikaci AdminTool lze přepnout do angličtiny, portugalštiny nebo čínštiny. Aplikace obsahuje všechny důležité funkce pro správu karty změnu PINu, změnu SO PINu, odblokování karty a zobrazení informací o kartě. Některé operace lze provést až po přihlášení ke kartě pomocí speciálního tlačítka. Při změně PINu vyžaduje aplikace zadání 8-16 znaků a lze zadat písmena, číslice i neabecední znaky. Je-li zadán špatný PIN, aplikace zobrazí, kolik pokusů zbývá. Správa certifikátů na kartě se provádí v samostatném okně Certificate Manager. Pro zobrazení detailních informací o certifikátu se používají systémové funkce Windows. Pomocí tlačítka Import se načítají samotné certifikáty i soubory typu PKCS#12 obsahující klíče i certifikát. Další programový modul Data Object Manager patrně slouží pro správu dat ukládaných jinými programy (podle dokumentace např. Lotus Notes). Nezjistil jsem však, jak bych mohl tuto funkci vyzkoušet. Software neprovádí průběžnou aktualizaci statistiky obsazení paměti a obsahu karty. Pro aktualizaci seznamu certifikátů je potřeba stisknout tlačítko Refresh ve Správci certifikátů. Obsazení paměti karty se aktualizuje pouze vyjmutím a vložením karty ze čtečky. Registrace certifikátů do Windows při vložení karty do čtečky a jejich odebrání po vyjmutí karty se aktivuje nebo zakáže v nastavení programu. Aby ale tyto funkce korektně fungovaly, musí být spuštěn program Admin Tool. V konfiguraci programu lze také provést automatickou instalaci i odinstalaci DLL knihovny do webového prohlížeče Mozilla Firefox

3 Během testování bylo zjištěno, že na čipovou kartu se dá uložit pouze 5 certifikátů s RSA klíči o velikosti 2048 bitů. Rozhraní MS CryptoAPI (jméno poskytovatele krypt. služeb) Rozhraní PKCS#11 (jméno DLL knihovny) Advanced Card Systems CSP v2.4 acospkcs11.dll, v systémovém adresáři Windows 2.3 Doplňkové funkce Samotný software pro správu karty neobsahoval žádné doplňkové funkce. Součástí SDK balíčku ale bylo několik nástrojů určených pro programátory. Program CardTool slouží pro nízkoúrovňovou správu obsahu karty. Program PC/SC Tool disponuje grafickým rozhraním a pomocí něj se zasílají APDU příkazy do čipové karty. 2.4 Odinstalace obslužného softwaru Odinstalační proces proběhl bez problémů. Na jeho konci byl vyžadován restart počítače. 3 Testovací scénář Činnost Inicializace čipové karty/tokenu Vydání certifikátu s českými znaky zakódovanými v UTF-16 Nastavení PKCS#11 knihovny v aplikaci Mozilla Thunderbird (zadání stejných údajů do žádosti o certifikát jako v předchozím případě simulace obnovy certifikátu) Výsledek - 3 -

4 Činnost Instalace vydaného certifikátu pomocí obslužného softwaru Registrace certifikátu do Windows Import klíčů a certifikátu ze souboru PKCS#12 na kartu/token Registrace certifikátu do Windows Smazání klíčů a certifikátu z karty/tokenu v obslužném softwaru Změna PIN ke kartě/tokenu, zadání písmen a neabecedních znaků do nového PIN Smazání klíčů a certifikátu z karty/tokenu v aplikaci Mozilla Thunderbird Změna PIN ke kartě/tokenu v aplikaci Mozilla Thunderbird Pouze čipové karty ověření kompatibility s různými čtečkami čipových karet Výsledek Ruční 3.1 Poznámky k testování Při generování RSA klíčů přes webové stránky aplikace Internet Explorer po určitou dobu vůbec nereaguje. Není zobrazeno žádné okno s informací, že probíhá generování klíčů. Certifikáty na kartě s údaji v kódování UTF-16 i UTF-8 zobrazuje Mozilla Thunderbird s prázdnou jmenovkou. Takový certifikát nelze nastavit ovému účtu, a nelze jej tedy použít pro podepisování ů. Bylo ověřeno, že certifikáty bez českých znaků fungují v Mozille Thunderbird korektně. Software importuje certifikát na kartu bez spárování s existujícími klíči. Certifikát tak není dále použitelný. Po importu PKCS#12 souboru nedojde k automatické registraci certifikátu do Windows a je potřeba provést ruční registraci certifikátu nebo vyjmout kartu ze čtečky a znovu ji vložit

5 Kupodivu klíče a certifikáty importované ze souboru typu PKCS#12 bylo možné používat v Mozille Thunderbird. Určitě je to z toho důvodu, že jmenovka certifikátu na kartě se nastaví podle jmenovky uvedené v PKCS#12 souboru. Pokud se certifikát na kartě smaže v aplikaci Mozilla Thunderbird, dojde ke smazání pouze certifikátu. Odpovídající klíče je nutné smazat v obslužném softwaru. Při prvním použití karty se čtečkou Omnikey 3021 došlo při načítání dat z karty k chybě aplikace Admin Tool. Po chvíli došlo dokonce k samovolnému restartu Windows. Další komunikace se čtečkou však již probíhala bez problémů. 4 Závěr Byla potvrzena funkčnost aplikačních rozhraní MS CryptoAPI a PKCS#11. Na zařízení lze uložit RSA klíče o velikosti 2048 bitů i certifikáty s podepisovacím algoritmem sha256withrsa. Lze uložit pouze 5 klíčových párů! Aplikace Mozilla Thunderbird neumí korektně pracovat s certifikáty obsahujícími české znaky v kódování UTF-16 i UTF-8. Není funkční import vydaného certifikátu přes obslužný software. Nedochází ke spárování certifikátu s odpovídajícími klíči. Je funkční import dat ze souboru typu PKCS#12. Pokud jsou tímto způsobem importovány certifikáty s českými znaky, jsou funkční i v Mozille Thunderbird. Při mazání certifikátu na kartě pomocí aplikace Mozilla Thunderbird nedojde k odstranění souvisejících klíčů. Jelikož se ale Mozilla Thunderbird standardně nepoužívá pro správu karty, nelze tuto chybu považovat za zásadní