//Manual de InstalaciónCertificado Digital Izenpe//

Izenpe s.a. 2009Esta obra está bajo la licencia Reconocimiento-No comercial-Compartir bajo la misma licencia 3.0 de Creative Commons. Puede copiarla, distribuirla y comunicarla públicamentesiempre que especifique su autor y no se utilice para fines comerciales. La licencia completa puede consultarla en http://creativecommons.org/licenses/by-nc-sa/3.0/deed.es.Izenpe, s.a. no podrá ser considerada responsable de eventuales errores u omisiones en la edición del documento.

Mac OSMac OS X 10.4 - Tiger

1. Introducción...............................................................................................................................4

1.1 Estructura del documento.....................................................................................................4

1.2. Alcance del documento.........................................................................................................4

1.3. Hardware y aplicaciones oficialmente soportadas:...........................................................4

1.4. Otras notas............................................................................................................................5

2. Instalación de los drivers y middleware para la tarjeta criptográfica de IZENPE......................5

2.1. Instalación............................................................................................................................6

3. Configuración de los lectores....................................................................................................7

3.1. Lector Cherry RS 6600 USB y otros..................................................................................7

3.2.Lector GemPlus GemPC Twin .............................................................................................7

3.3. Lector BIT4ID ACR38.........................................................................................................7

3.3.1. Instalación ...........................................................................................................7

4.Configuración de las aplicaciones................................................................................................7

4.1. Navegadores Web........................................................................................................8

4.1.1. Safari...................................................................................................................8

4.1.2. Firefox.................................................................................................................8

Instalación de módulo para certificados............................................................8

4.2. Cliente de correo............................................................................................................9

4.2.1. Mail......................................................................................................................9

5. Instalación de certificados de Autoridades de Certificación.....................................................9

5.1. Certificados raíz y subordinados...................................................................................9

5.2. Llavero de claves .......................................................................................................10

5.3. Firefox.................................................................................................................................11

6. Ejemplo de uso de las aplicaciones.......................................................................................12

6.1. Identificación en sitios web...........................................................................................12

6.1.1. Safari.....................................................................................................................12

6.1.2. Firefox.................................................................................................................13

6.2. Envío de correos firmados digitalmente........................................................................13

6.3. Mail................................................................................................................................13

6.3.1. Configuración cuenta de correo con certificado...............................................13

6.3.2. Envío de correo firmado digitalmente................................................................14

6.3.3. Verificación de firma digital en correo.............................................................14

7.Otras aplicaciones adicionales..................................................................................................14

7.1. Cambio de PIN.................................................................................................................14

7.1.1. De forma gráfica, a través de Firefox...............................................................15

7.1.2. A través de la línea de comandos.....................................................................15

7.2. Desbloqueo de PIN....................................................................................................15

7.3. Acerca de......................................................................................................................15

Índice de contenido

1. Introducción

Izenpe, en un esfuerzo por apoyar y facilitar el uso de sus certificados a los usuarios de Mac en la Comunidad Autónoma Vasca ha desarrolladodiversas guías con el objetivo de detallar los pasos necesarios para instalar y configurar los certificados digitales de Izenpe sobre el sistemaoperativo Mac OS X.

En este caso se describirá el proceso a seguir en la versión Tiger para lograr utilizar los certificados digitales de Izenpe con las aplicacionesmás importantes que dan acceso a los servicios ofrecidos por la administración pública vasca.

El documento se estructura en 5 secciones secuenciales que detallan minuciosamente el proceso completo de instalación, configuración yuso de los certificados digitales de Izenpe en Mac OS X:

Instalación de drivers para la tarjeta criptográfica de Izenpe Configuración de los distintos lectores soportados Configuración de las distintas aplicaciones soportadas Instalación de los certificados de las autoridades certificadoras Ejemplo de uso de las aplicaciones

Cada una de estas secciones explica las tareas necesarias para llevar a cabo el proceso completo.

Este documento pretende servir de manual de instalación para todas aquellas plataformas hardware sobre las que es capaz de funcionarMac OS X 10.4, tanto en la plataforma PowerPC como Intel.

Durante el proceso de instalación y configuración se ha procurado utilizar librerías de software libre, siempre que no supusiesen una mermaen la calidad del servicio.

En este documento no es posible dar cabida a todos los dispositivos hardware existentes en el mercado. Por ello desde Izenpe se ha decidodar soporte de manera oficial a los siguientes lectores USB de tarjetas criptográficas:

Cherry RS 6600 USB (firmware: 1.06) Gemplus GemPC Twin (firmware: 1.0) BIT4ID ACR38 (firmware: 1.0)

Todos ellos pueden ser adquiridos o a través de la tienda web de Izenpe (http://www.izenpedenda.com/) o en cualquier otro proveedorautorizado. Además otros lectores podrán funcionar siempre según la disponibilidad de drivers.

Para acceder a los servicios ofrecidos por Izenpe es necesario disponer de herramientas y aplicaciones que hagan uso de los certificadosde Izenpe. Las aplicaciones más comunes que hacen uso de estos certificados se han agrupado en tres categorías y se ha intentadodocumentar el proceso de instalación y configuración de las mismas con los certificados de Izenpe.

1.1. Estructura del documento

1.2. Alcance del documento

1.3. Hardware y aplicaciones oficialmente soportadas

4

Las aplicaciones que se explicarán en este documento son:

Navegadores Web Safari 3.1 Firefox 3.0

Cliente de correo: Mail 2.1

1.4. Otras notas

Si bien es cierto que hay pasos que se podrían agrupar en unosolo, el documento trata de explicar paso por paso las distintasacciones a realizar con la finalidad de proporcionar una mayorcomprensión en la arquitectura de los certificados digitales y enel proceso de instalación y configuración sobre Mac OS X.

Para la instalación de los certificados digitales es necesario queel ordenador disponga de acceso a Internet.

Es indispensable que la versión de Mac OS X sea igual o superiora 10.4.4. Para conocer la versión de Mac OS X disponible hacemos“click” sobre Manzana Acerca de este Mac

Los certificados de usuario final emitidos por Izenpe están alojados en una tarjeta criptográfica. Las librerías necesarias para que el sistemaMac OS X interactúe con los datos alojados en las tarjetas es necesario instalar las librerías opensc.

De manera adicional para que las aplicaciones accedan a los certificados ubicados en las tarjetas los lectores necesitan un softwaremiddleware que se encargue de gestionar las transacciones de comunicaciones y datos. Este middleware en Mac OS X es gestionado através de un servicio que se encarga de cargar/descargar dinámicamente los drivers de los lectores y gestionar las conexiones a los mismosy que se conoce como TokenD.

Por defecto Mac OS X Tiger únicamente viene instalado con 3 módulos para TokenD.

CAC: Utilizado por el Gobierno Federal de EEUU BELPIC: Belgian Personal Identity Card JPKI: Japanese Public Key Infraestructure card

Por ello que es necesario instalar el módulo de OpenSC para TokenD para poder interactuar con las tarjetas de Izenpe mediante drivers libres.

Si disponemos de una versión anterior será necesario actualizar el sistema a través del menú Manzana Actualización de software.

En alguna de las tareas a realizar durante el proceso de instalación y configuración del sistema es necesario cambiar la extensión de algunosficheros. En Mac OS X para cambiar el nombre o extensión de un fichero es necesario seleccionarlo (haciendo “click” sobre el icono delfichero a modificar), a continuación pulsamos la tecla Enter, y ya estaríamos en posición de editar el nombre del mismo.

2. Instalación de los drivers y middleware para la tarjeta criptográfica de IZENPE

5

Es estrictamente necesario que la versión de Mac OS X sea igual o superior a 10.4.4.

Procedemos a la instalación a través de la descarga de la página web del proyectohttp://www.opensc-project.org/sca

En la sección “Download” descargamos la versión 0.2.2 de OpenSC SCA (versión recomendada para Mac OS X Tiger).http://www.opensc-project.org/files/sca/sca-0.2.2.dmg

Para dar soporte a los lectores USB es necesario instalar unalibrería que no se provee en la instalación por defecto. Paraello, nos detenemos en un punto, donde nos da la opción dePersonalizar la instalación.

Hacemos “click” en Personalizar y marcamos libusb.

Para finalizar, pulsamos en Actualizar, finalizamos la instalacióny reiniciamos el equipo.

Al terminar la descarga, nos mostrara una advertencia quedeberemos de aceptar y en ese momento comenzará lainstalación.

2.1. Instalación

6

Mac OS X intenta seguir la filosofía de conectar y funcionar. Para ello ha desarrollado una arquitectura centralizada para la gestión decertificados digitales llamada TokenD. Todas las aplicaciones nativas de Mac OS X hacen uso de esta arquitecturas, mientras que lasaplicaciones de la suite de Mozilla hacen uso de del módulo PKCS#11 de OpenSC.

La librería ccid, que implementa el protocolo CCID (Chip Card Inteface Device), intenta dar soporte a la mayor parte de los lectores USBdel mercado y ya viene integrada en los sistemas Mac OS X.

El soporte de este lector y otros muchos ya estaría completo.

El lector Gemplus GemPC Twin necesita de un driveradicional proporcionado por el fabricante. Lodescargamos desde la siguiente URL y seleccionamosel driver para la versión de Mac 10.4.

http://support.gemalto.com/?id=46

Descargamos el paquete proporcionado por elfabricante, y procedemos a la instalación con lasopciones por defecto.

Cuando finalice, reiniciamos el sistema.

El lector BIT4ID ACR38 necesita de un driver proporcionado porel fabricante. Lo descargamos desde la siguiente URL, en lasección de la versión 10.4

http://www.acs.com.hk/drivers-manual.php?driver=ACR38

Hacemos “click” en el nombre del fichero a descargar.Comenzamos la instalación y la finalizamos con los parámetrospor defecto.

Cuando finalice, reiniciamos el sistema.

3. Configuración de los lectores

3.3.1. Instalación

4. Configuración de las aplicaciones

3.1. Lector Cherry RS 6600 USB y otros

3.2. Lector GemPlus GemPC Twin

3.3. Lector BIT4ID ACR38

7

No es necesario ninguna configuración en Safari para habilitar el uso de certificados digitales.

En el menú Firefox Preferencias hacemos “click”sobre Avanzado y a continuación sobre la pestaña deCifrado, como vemos en la imagen. Por último volvemosa hacer “click” sobre el botón Dispositivos de seguridad.

El Administrador de dispositivos es una herramientaque permite gestionar los módulos de seguridad deFirefox. Por defecto viene provisto de 2 módulos deseguridad, uno para la gestión de los certificados raízque vienen preinstalados por defecto y otro para todosaquellos certificados no externos que vayamosañadiendo, junto con las librerías necesarias.

Para añadir el nuevo módulo de seguridad quenecesitamos hacemos “click” sobre el botón Cargar.

Se nos abre una ventana que nos permite definir un nuevo módulo PKCS#11. En este caso nos interesa definir un módulo deintegración PKCS#11 con las librerías opensc, que solicita la definición de:

Para comprobar que el certificado se ha instalado correctamentedebemos comprobar que se ha cargado adecuadamente el nuevomódulo:

Nombre del módulo: un nombre genérico que haga referencia al módulo de seguridad de las librerías opensc. Introducimos un nombre cualquiera.

Archivo del módulo: Archivo del módulo: ruta absoluta donde se encuentra el módulo (/Library/OpenSC/lib/opensc-

pkcs11.so)

4.1. Navegadores web

4.1.1. Safari

4.1.2. Firefox

Instalación de módulo para certificados

8

Para poder enviar correos firmados es necesario disponer de un certificado que tenga definido como atributo su uso extendido de laclave concretamente la Protección de correo electrónico (OID 1.3.6.1.5.5.7.3.4). Solo algunas de las tarjetas de Izenpe cuentancon dicha extensión.

No es necesaria ninguna configuración en Mail para habilitar el usode certificados digitales.

Lo que si es estrictamente necesario,es que la dirección de correoque configuremos en nuestra cuenta de correo, coincida exactamentecon la dirección de correo de nuestro certificado. (mayúsculas yminúsculas incluido).

Izenpe ha dispuesto una jerarquía de autoridades de certificacióny subordinadas para dar respuesta a las diferentes necesidadesque se presentan al acceder a los diferentes servicios que seproporcionan a través de internet y certifica a sus usuarios condistintos perfiles según el caso.

Para una correcta utilización de los certificados digitales, es necesariola importación de estos certificados en una base de datos delsistema, con la que se integraran Safari y Mail.

Estos certificados raíz y subordinados de Izenpe, los podemosencontrar en la web de Izenpe, www.izenpe.com Descarga decertificados.

Para descargar los certificados hay que hacer “click” sobre lasimágenes que tienen dibujada una etiqueta, y cada etiquetarepresenta un certificado raíz o subordinado.

Este esquema pertenece a la primera jerarquía de certificaciónde Izenpe (válido para certificados emitidos por Izenpe antes del26/02/2009):

4.2. Clientes de correo

4.2.1. Mail

5.1. Certificados raíz y subordinados

5. Instalación de certificados de Autoridades de Certificación

9

Este esquema pertenece a la nueva jerarquía de certificación deIzenpe (válido para certificados emitidos por Izenpe a partir del26/02/2009):

Según la estructura de autoridades certificadoras definidas por Izenpe,cada tarjeta únicamente va a ser validada contra una autoridad raízy una subordinada. Ello significa que no es estrictamente necesarioimportar todos los certificados de todas las autoridades certificadoras,ya que el aplicativo en cuestión no va a utilizarlas con nuestra tarjeta.Sin embargo, si no se conoce adecuadamente el funcionamiento de lajerarquía de autoridades se recomienda instalarlas todas, tantolas correspondientes a la anterior jerarquía de certificación de Izenpecomo a la nueva.

A continuación veremos como instalar los certificados descargados enlas distintas aplicaciones:

Mac OS X utiliza un sistema de “Llaves” centralizado, desde el quegestiona todos los certificados. Con este gestor se integran todaslas aplicaciones de la suite de Mac OS X, como Safari y Mail. Acontinuación veremos como instalar los certificados descargadosen el Llavero de claves del sistema:

Descargamos los 5 certificados mencionados anteriormente,haciendo “click” mediante el botón derecho del ratón (o teclacontrol del teclado), Descargar archivo enlazado como

Una vez descargado el fichero, es necesario cambiar el nombremismo para quitarle la extensión “.txt”.

Si al descargar la CA de Izenpe vemos que se nos descarga unfichero llamado “ca_raiz_crt.txt” deberemos renombrarlo a“ca_raiz.crt”.

Al hacerlo nos aparecerá una advertencia a la que responderemoscon Utilizar .crt.

Hacemos doble “click” en los ficheros descargados para instalarlosen el Llavero de claves del sistema.

5.2. Llavero de claves

10

Importamos todos los certificados de las autoridades certificadorasraíz y subordinadas de Izenpe, uno a uno, haciendo “click” en elbotón Importar:

Pulsamos OK y ya tendríamos la CA raíz de Izenpe importada.

Realizamos el mismo proceso con el resto de las subordinadas.

Para comprobar que la importación se ha realizado correctamente,nos dirigimos a Aplicaciones Acceso a llaves para acceder algestor de certificados del sistema.

Si introducimos la tarjeta de Izenpe, podemos observar que aparecearriba a la izquierda del gestor de llaves IZENPE y que el certificadoes señalado como de confianza

Es fundamental importar los certificados raíz de las autoridadescertificadoras en Firefox para poder realizar los procesos deautenticación y firma en los sitios web. Si el navegador no disponede dichos certificados el servidor rechazará el acceso al mismo.

Para importarlos en el menú Firefox Preferencias hacemos “click”sobre Avanzado y a continuación sobre la pestaña de Cifrado. Porúltimo hacemos “click” , como se ve en la imagen, sobre el botónVer Certificados y sobre la pestaña Autoridades para importar loscertificados de las autoridades certificadoras raíz y sus subordinadas.

5.3. Firefox

11

A la hora de importar los certificados raíz el navegador nospreguntará acerca de la confianza que depositamos sobre elcertificado. Existen 3 categorías de confianza:

Confianza en verificaciones sobre sitios web Confianza en verificaciones sobre usuarios de correo Confianza en verificaciones sobre desarrolladores de

software

Marcamos las 3 categorías.

Este proceso hay que realizarlo para todos y cada unode los certificados. Podemos comprobar que aparecen losnuevos certificados.

Es importante que cuando acabemos de realizar las gestiones oportunas cerremos la sesión del sitio web así como elnavegador para evitar que otras personas puedan acceder a Internet con nuestros credenciales.

Una vez configurada la ubicación de los certificados segúnse ha explicado en el apartado correspondiente realizaremosun proceso de autenticación en un sitio web que verifica elacceso al mismo con certificados expedidos por Izenpe:OSANET.

Accedemos al portal de la Sanidad Vasca(http://www.osanet.euskadi.net/), hacemos “click”sobre Reserva tu cita médica y a continuación en la ventanaemergente seleccionamos la opción acceso mediante tarjetasanitaria electrónica.

Si todo está correctamente configurado se abrirá una nuevaventana solicitando el PIN de la tarjeta de Izenpe.

Introducimos correctamente el PIN y si nuestro certificado es válido para acceder a la aplicación y no está revocado la aplicaciónnos permitirá el acceso con las mismas garantías que lo hacemos de forma presencial.

6. Ejemplo de uso de las aplicaciones

6.1. Identificación en sitios web

6.1.1. Safari

12

Una vez configurada la ubicación de los certificadossegún se ha explicado en el apartado correspondienterealizaremos un proceso de autenticación en un sitioweb que verifica el acceso al mismo con certificadosexpedidos por Izenpe: OSANET.

Accedemos al portal de la Sanidad Vasca(http://www.osanet.euskadi.net/), hacemos“click” sobre Reserva tu cita médica y a continuaciónen la ventana emergente seleccionamos la opciónacceso mediante tarjeta sanitaria electrónica.

Si todo está correctamente configurado se abrirá unanueva ventana solicitando el PIN tarjeta de Izenpe.

Si el PIN introducido es correcto, nos aparecerá una ventanadonde seleccionaremos el certificado que queremos utilizar.

Si nuestro certificado es válido para acceder a la aplicación yno está revocado la aplicación nos permitirá el acceso con lasmismas garantías que lo hacemos de forma presencial.

Tal y como hemos comentado anteriormente para poder enviar correos firmados es necesario disponer de un certificado que tenga definidocomo atributo su uso extendido y solo algunos de los certificados de Izenpe cuentan con dicha extensión.

Una vez dispongamos de un certificado válido, no tendremos mas que componer un nuevo correo, y ya tendremos la opción de firmarcorreos disponible.

No es necesaria ninguna configuración adicional en el cliente de correo ya que Mail utiliza los certificados que están configuradosen el Llavero del sistema.

NOTA: La primera vez que accedamos a OSANET, nos aparecerá una advertencia relacionada con permitir o nopermitir las ventanas emergentes. En este caso, permitiremos la ventanas emergente.

6.1.2. Firefox

6.2. Envío de correos firmados digitalmente

6.3. Mail

6.3.1. Configuración cuenta de correo con certificado

13

Para enviar un correo firmado digitalmente es necesarioindicarlo. Para ello tenemos que asegurarnos que el iconoindica mediante un “tic” que el correo va a ser firmadodigitalmente.

Observaremos en la parte central de la ventana de redacciónde correo un icono que indica que hemos seleccionado laopción de firmar el correo digitalmente.

La primera vez que enviemos un correo firmado nos saldrá unaventana preguntándonos si queremos permitir o no la firmadel mismo. Pulsamos en Permitir siempre, y no nos volverá asalir esta advertencia.

Mail nos muestra un icono que indica que el correo está firmadodigitalmente.

Para poder comprobar si la firma es válida es necesariohaber importado los certificados raíz de las autoridadescertificadoras y subordinadas.

El PIN es un sistema de cifrado simétrico utilizado para garantizar la seguridad del certificado alojado en la tarjeta, en caso de pérdida ode uso no autorizado. Para poder cambiar el PIN es necesario conocer el PIN actual. Además la tarjeta no debe estar bloqueada por haberfallado 3 o más intentos seguidos de introducir el PIN.

Las tarjetas de Izenpe permiten definir un PIN entre 4 y 8 caracteres alfanuméricos (a-z, A-Z, 0-9).

En caso que no sea válida nos avisará de ello. Bien porque el correo ha sido modificado o bien porque no hemos importado loscertificados raíz de las autoridades certificadoras y sus subordinadas.

6.3.2. Envío de correo firmado digitalmente

6.3.3. Verificación de firma digital en correo

7. Otras aplicaciones adicionales

7.1. Cambio de PIN

14

Nos aparecerá una ventana que nos permite cambiar elPIN, previa introducción del PIN actual.

Para cambiar el PIN debemos acceder a un terminal y ejecutar un comando.

Para acceder al terminal, nos dirigimos a Aplicaciones, Terminal.

Accedemos al terminal y ejecutamos el siguiente comando:

$ /Library/OpenSC/bin/pkcs11-tool --change-pinPlease enter the current PIN:Please enter the new PIN:Please enter the new PIN again:PIN successfully changed

Actualmente esta funcionalidad no está soportada por las tarjetas de Izenpe para las plataformas Mac OS X.

Este documento ha sido elaborado conjuntamente por las empresas Irontec Internet y Sistemas sobre GNU/Linux y zylk.net.

Para la elaboración del presente documento se ha desarrollado una cuidadosa metodología de análisis y puesta en funcionamiento,garantizado la adecuación del documento a las necesidades de los usuarios.

Si el lector considera que hay algún aspecto erróneo o encuentra alguna errata, puede trasladarla mediante email a cau-izenpe@izenpe.nete intentaremos incluirla en próximas revisiones del documento.

En el menú Firefox Preferencias pinchamos sobreAvanzado y a continuación sobre la pestaña de Cifrado,Dispositivos de seguridad. Por último pinchamos sobre elbotón Cambiar contraseña

7.1.2. A través de la línea de comandos

7.2. Desbloqueo de PIN

7.3. Acerca de

7.1.1. De forma gráfica, a través de Firefox

15