Hardy's Blog

Einrichten eines Reiner SCT unter Linux

Ich habe mir einen Reiner SCT Kartenleser (CyberJack RFID Standard) besorgt, um mit Hilfe einer D-Trust-Signaturkarte die damit möglichen Dienste (z.B. Mail-Verschlüsselung) auf meinem Mac, sowie den darauf laufenden Virtuellen Maschinen nutzen zu können. Eine Spezialfrage ist, inwieweit ich die vorhandenen Schlüssel dafür nutzen kann, abgeleitete Zertifikate (z.B. für einen Intranet-Server) zu erstellen.

Die Recherche nach möglichen Lösungen erwies sich als nicht ganz trivial, und daher möchte ich hier beschreiben, wie ich Schritt für Schritt vorgegangen bin (bzw. noch vorgehe, denn die Sache ist derzeit noch im Fluss und weitere Updates werden folgen).

1. Einrichten des Kartenlesers auf dem Mac

Dies ist ist relativ schnell und einfach erledigt. Reiner SCT stellt hierfür ein Installationspaket zur Verfügung:

Gerätetreiber für cyberJack® RFID standard für das Betriebssystem Apple Mac OS X.

Diese Treiber ermöglichen es bereits, z.B. mit BankX 4.2.8 und einer entsprechenden HBCI-Karte ein abgesichertes Online-Banking zu betreiben.

(Dieser Anwendungsfall war übrigens der Start meiner Versuche mit Kartenlesern, zu Beginn hatte ich einen Reiner SCT Decoder, der eigentlich gute Dienste geleistet hat, für die neuen Anwendungen aber nicht geeignet ist.)

2. Einrichten des Kartenleser unter Linux

Hier wurde es etwas tricky. Zunächst hatte ich versucht, mit Hilfe einiger Open Source-Pakete unter OSX direkten Zugriff auf die Signaturkarte zu bekommen. Dies hat aber nicht sauber funktioniert, und die Zeit und das Know-how, hier in die Tiefe zu gehen, habe ich leider nicht.

Daher wählte ich den Weg über eine kleine Virtuelle Maschine mit Ubuntu Linux 10.04 Desktop, die ich „mal schnell“ aufsetzte. Mit VirtualBox gibt es einen schnellen und kostenlosen Weg, sich Linux auf den Mac zu holen.

2.1. Pakete installieren

Über das Menü System > Administration > Synaptic Paket Manager wird der Paketmanager gestartet. Hier wählen Sie die folgenden Pakete aus:

• opensc
• pcsc-tools
• libccid
• libengine-pkcs11-openssl

2.2. Kartenleser mit der VM verbinden

Verbinden Sie nun den Kartenleser über Ihren Parallelisierer (z.B. VirtualBox) mit der virtuellen Maschine. Fragen Sie dann unter Linux ab, ob der Kartenleser via USB zur Verfügung steht:

administrator@ivm-1:~$ lsusb
 Bus 002 Device 002: ID 0c4b:0500 Reiner SCT Kartensysteme GmbH
 Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
 Bus 001 Device 002: ID 203a:fff9
 Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
 administrator@ivm-1:~$

2.3. Reiner-Treiber installieren

Auch für Linux benötigen wir noch einen speziellen Treiber. Zunächst holen wir uns diesen direkt von der Reiner SCT-Seite, dann installieren wir ihn:

administrator@ivm-1:~$ wget http://support.reiner-sct.de/downloads/LINUX/V3.99.5_SP03/libifd-cyberjack6_3.99.5final.SP03_amd64_u1004.deb
administrator@ivm-1:~$ sudo dpkg -i libifd-cyberjack6_3.99.5final.SP03_amd64_u1004.deb

2.4. Prüfen, ob der Kartenleser von OpenSC erkannt wird

Dazu rufen wir erstmalig die OpenSC-Tools auf:

administrator@ivm-1:~$ opensc-tool --list-readers
Readers known about:
Nr.    Driver     Name
0      pcsc       REINER SCT cyberJack RFID standard (8071123203) 00 00

2.5. OpenSC konfigurieren

Mit der voreingestellten Konfigurationsdatei von OpenSC hatte ich einige Schwierigkeiten, die durch einige Anpassungen behoben werden konnten:

administrator@ivm-1:~$ cd /etc/opensc
administrator@ivm-1:~$ sudo vi opensc.conf

Eintrag für reader_drivers anpassen:

# reader_drivers = openct, pcsc, ctapi;
reader_drivers = pcsc;

Definition für den Treiber pcsc anpassen, sollte danach wie folgt aussehen:

 # Define parameters specific to your readers.
 # The following section shows definitions for PC/SC readers,
 # but the same set of variables are applicable to ctapi and
 # openct readers, simply by using "reader_driver ctapi" and
 # "reader_driver openct", respectively.
 reader_driver pcsc {
 # This sets the maximum send and receive sizes.
 # Some reader drivers have limitations, so you need
 # to set these values. For usb devices check the
 # properties with lsusb -vv for dwMaxIFSD
 #
 # max_send_size = 252;
 # max_recv_size = 252;
 #
 # Connect to reader in exclusive mode.
 # Default: false
 # connect_exclusive = true;
 #
 # Reset the card after disconnect.
 # Default: true
 # connect_reset = false;
 #
 # Reset the card after each transaction.
 # Default: false
 # transaction_reset = true;
 #
 # Enable pinpad if detected (PC/SC v2.0.2 Part 10)
 # Default: false
 enable_pinpad = true;
 #
 # Use specific pcsc provider.
 # Default: /lib/libpcsclite.so.1
 provider_library = /lib/libpcsclite.so.1
 }

Dann den PCSC-Treiber beim Laden erzwingen:

 # Force using specific card driver
 #
 # If this option is present, OpenSC will use the supplied
 # driver with all inserted cards.
 #
 # Default: autodetect
 #
 force_card_driver = pcsc;

Die übrigen Einstellungen können unverändert bleiben.

2.6. Testen von Leser und Karte

Nun können wir prüfen, ob auf den Leser und die Karte korrekt zugegriffen werden kann. Zunächst fragen wir einige Leser-Parameter ab (die Ergebnisdaten sind natürlich verändert, ich gebe hier ja keine Privatissima preis…):

administrator@ivm-1:~$ opensc-tool --reader 0 --atr
3c:fe:28:20:32:a1:2a:f1:ee:28:c8:08:74

administrator@ivm-1:~$ opensc-tool --reader 0 --name
CardOS M4

Dann sehen wir uns an, was die Karte zu bieten hat:

administrator@ivm-1:~$ pkcs15-tool -D
 Using reader with a card: REINER SCT cyberJack RFID standard (8071123203) 00 00
 PKCS#15 Card [D-TRUST card 2.4 2ca]:
 Version : 1
 Serial number : 1921104480AF
 Manufacturer ID: XXX GmbH (C)
 Flags : Login required, PRN generation

PIN [Card PIN]
 Com. Flags: 0x3
 ID : 01
 Flags : [0x31], case-sensitive, initialized, needs-padding
 Length : min_len:8, max_len:8, stored_len:8
 Pad char : 0x00
 Reference : 1
 Type : UTF-8
 Path :

PIN [Signature PIN (SigG)]
 Com. Flags: 0x3
 ID : 04
 Flags : [0x33], case-sensitive, local, initialized, needs-padding
 Length : min_len:8, max_len:8, stored_len:8
 Pad char : 0x00
 Reference : -127
 Type : UTF-8
 Path : 3a002faf

PIN [Card PUK]
 Com. Flags: 0x3
 ID : 02
 Flags : [0x79], case-sensitive, unblock-disabled, initialized, needs-padding, unblockingPin
 Length : min_len:8, max_len:8, stored_len:8
 Pad char : 0x00
 Reference : 0
 Type : UTF-8
 Path :

PIN [Signature PUK (SigG)]
 Com. Flags: 0x3
 ID : 0a
 Flags : [0x7B], case-sensitive, local, unblock-disabled, initialized, needs-padding, unblockingPin
 Length : min_len:8, max_len:8, stored_len:8
 Pad char : 0x00
 Reference : 0
 Type : UTF-8
 Path : 3e002faf

Private RSA Key [XXX Authentication Key]
 Com. Flags : 1
 Usage : [0x26], decrypt, sign, unwrap
 Access Flags: [0x0]
 ModLength : 2048
 Key ref : 1
 Native : yes
 Path : 4f10521350734b02
 Auth ID : 01
 ID : 029b725feb62cac12e9284b9a782d0dc

Private RSA Key [SigG Signature Key]
 Com. Flags : 1
 Usage : [0x204], sign, nonRepudiation
 Access Flags: [0x0]
 ModLength : 2048
 Key ref : 2
 Native : yes
 Path : 3e010afe
 Auth ID : 04
 ID : 000103030205A60702090F0b0c0d0e0f

X.509 Certificate [XXX Authentication Certificate]
 Flags : 2
 Authority: no
 Path : 3e01601583064901
 ID : 029b715efb64d1d12e9584d9c782d0dc

X.509 Certificate [SigG Signature Certificate]
 Flags : 2
 Authority: no
 Path : 3f015025570444a1
 ID : 000102030405060708090a0b0c0d0e0f

X.509 Certificate []
 Flags : 0
 Authority: no
 Path : 3f0250258374c70d
 ID : 2d353234361635373909353302234323733343235

X.509 Certificate []
 Flags : 0
 Authority: no
 Path : 3f0050154304c00e
 ID : 31363233363431313430323038303632393334

X.509 Certificate []
 Flags : 0
 Authority: no
 Path : 3f0050154304c708
 ID : 32343434393437353132393931373030393939

X.509 Certificate []
 Flags : 0
 Authority: no
 Path : 3f0050154304c008
 ID : 39313935373536313139373033333132383839

3. Weitere Informationen

Hier noch einige Links zu den relevanten Seiten:
Reiner SCT - Linuxtreiber: http://www.reiner-sct.com/index.php?option=content&task=view&id=243
Ubuntu Forums - Howto: http://ubuntuforums.org/showthread.php?t=1557180
OpenSC-Project - QuickStart: http://www.opensc-project.org/opensc/wiki/QuickStart