Por iamjag

El otro día estuve en un taller técnico sobre el DNI-e organizadas por red.es e inteco, y salí inesperadamente satisfecho. La organización era muy correcta, con equipos, lectores y tarjetas inteligentes tipo dnie con una PKI diferente.

No soy un experto en el tema de criptografía, pero tengo nociones básicas, y lo que nos explicaron sobre la estructura y seguridad del DNIe me pareció correcto. En lo que estoy completamente verde es en el tema de las smartcard aunque con esto del DNIe he estado jugando un poco con el comando opensc-tools, el smartcardio de java y alguna otra chorradita...

Hay dos puntos que me gustaría destacar sobre el taller:

- Las intervenciones de Santiago Suárez, de la policía.

- Las prácticas dirigidas por dos programadores de la FNMT.

El resto estuvo bastante bien y aprendí ciertas cosas sobre smartcards y PKI que me vendrán muy bien, pero todo era teórico.

El tal Santiago Suárez es un subinspector de la policia muy majete y chachondo que se presentó con su portatil blindado (exteriormente) funcionando con Ubuntu y presentó una aplicación chorra en Gambas para firmar claves GPG con el dnie y meterlas en un contenedor.

Pero lo realmente importante es cuando salieron las dudas, sabía que responder. Dejo bastante claro que la zona segura del DNIe (datos personales, foto, firma física y minucias de la huella) solo es accesible desde los PAD (en la policía), puesto que para acceder a ellos hace falta un certificado de componente que solo los PAD tienen y una firma que solo un servidor de la red interna de la policía puede realizar en el momento.

Con los programadores de la FNMT realizamos unos programas (en Visual C++) para PCSC, PKCS11 y CSP. Las APIs desde las cuales se puede acceder al DNIe en windows.

Y lo más interesante, luego nos hicieron un ejemplo completo sobre como establecer el canal seguro con el dnie para realizar el login con el pin. Yo me perdí en el momento en que se envió la segunda APDU a la smartcard, pero entiendo que esto es lo que necesita alguien que conozca el asunto para implementar un driver opensc.

La buena noticia es que todos los materiales de estas jornadas están disponibles en una nueva web que promete ser un punto de referencia para desarrolladores: https://zonatic.usatudni.es/
En concreto, la dirección del taller del 20 en León es ésta: https://zonatic.usatudni.es/es/actualidad/calendario-y-registro-de-event...

La mala noticia es que para que cualquier aplicación cree un canal seguro con el dnie hace falta un certificado y su correspondiente clave privada (el del ejemplo es para las tarjetas de prueba). Evidentemente este certificado se está distribuyendo de forma oscura en los drivers del DNIe y podría obtenerse de allí.

Sin embargo, el poli, Santiago Suárez, dijo que había intención de liberarlo en una semana (aunque sin mucha convicción).

Yo creo que el driver libre para el DNIe es cuestión de tiempo, aunque lo lógico y normal sería liberar el código del que hay en el proyecto OpenSC, que seguro están encantados de mantener. No se me ocurren razones para no hacerlo; bueno, si se me ocurren pero me las guardo.

Si tenéis la oportunidad de asistir a alguno de estos talleres os lo recomiendo. Además, os llevaréis un fabuloso teclado + sc reader usb que funciona perfectamente en Ubuntu.