... Se me ocurrió despues de publicar el comentario, pero quería esperar a ver el driver por si acaso...

Todavía no he tenido tiempo de mirarlo a fondo, pero me han surgido un par de dudas:

- ¿Has previsto la posibilidad de que se pueda usar el driver en entornos headless (sin consola gráfica)? ¿Cómo haces en dicho caso para pedir el PIN?
(EDITO: acabo de ver que utilizas un Dialog java... :-()

- El pliego de condiciones habla de poder hacer cache del certificado (que no del PIN), pero hasta donde yo sé una de las "desgraciadas" features del DNIe es que necesitas el PIN para leer (no para enumerar) los certificados

- Así mismo el pliego indica (y tambien tu lista de TODO's) que hay que poder reconstruír la parte pública del certificado sin PIN... cosa que se me antoja harto difícil: puedes enumerarlos sin problemas, incluso obtener parte del contenido, pero no veo cómo obtener -por ejemplo- la clave pública sin PIN

¿Cómo tienes previsto pues "reconstruír" -que no enumerar- los certificados sin pedirle PIN al usuario?

- Del mismo modo, la documentación para desarrolladores que yo tengo indica que el DNI soporta firmas con SHA1withRSA, SHA-256withRSA, pero no habla nada de SHA-384withRSA y SHA-512withRSA. O bien la documentación oficial es incompleta, o bien (como creo que indicas) utilizas BouncyCastle para implementar los algoritmos que faltan... ¿me lo puedes confirmar?

Mas cosas:

* La primera y fundamental: te confirmo que funciona en Linux (con pcsc-lite+libccid) en un Fedora 16 i686

* Habría que mirar un poco el tema velocidad: no encuentro diferencias significativas con OpenDNIe en la consulta de certificados (desde modo terminal)

* La segunda: en el ejemplo primero de la página web, te pide el pin innecesariamente: El DNIe no necesita PIN para enumerar certificados. No sé si el código del provider lo requiere, pero es algo que habría que tener en cuenta

* Continuando con el ejemplo: la aplicación me enumera los dos certificados, y las dos claves... pero les asigna unos "Aliase" un tanto esotéricos... Te sugeriría que usaras los mismos alias que el driver pkcs11 del driver de la policía o del propio OpenDNIe. Así las aplicaciones podran acceder de forma transparente tanto al "provider pkcs11" como al "provider dnie"

No he tenido tiempo de mirar el tema de la firma y del funcionamiento en Mac. Dame un par de horas... :-)

Por si sirve de ayuda, adjunto el programa de prueba que he usado en Linux:

jantonio@router javadnie]$ cat TestJavaDNIe.java 
import java.security.Security;
import java.security.Provider;
import java.security.KeyStore;
import java.security.cert.Certificate;
import java.util.Enumeration;
import org.dnieprov.jce.provider.DnieProvider;
public class TestJavaDNIe {
    public static void main(String [] args) {
	try {
            Provider p = new DnieProvider();
            Security.addProvider(p);
            KeyStore ks = KeyStore.getInstance("DNIe");
            ks.load(null,null);
            Enumeration aliases = ks.aliases();
            while (aliases.hasMoreElements()) {
                String alias = aliases.nextElement();
                System.err.println("Alias: "+ alias);
                if (ks.isCertificateEntry(alias)){
                    System.err.println(">>> is cert");
                    Certificate cert = ks.getCertificate(alias);
                    System.out.println(cert);
                } else {
                    System.err.println(">>> is key");
                }
            }
        } catch (Exception e) {
            System.err.println(e.toString());
            e.printStackTrace();
        }
    }
}

Enhorabuena por el trabajo. Un saludo

Juan Antonio