Por Juan Antonio Martínez (Jonsito)

A raíz de un artículo en BarraPunto, y como reto personal, me propuse hacer funcionar el paquete que la DGP ofrece para Fedora 10 en mi Fedora 12. No sólo eso: además el procedimiento debía ser adaptable a cualquier distribución.

Los lectores de BarraPunto se han encontrado estos días con un interesante artículo [pdf] sobre ingeniería inversa a nuestro querido, amado y nunca bien ponderado DNI electrónico.

En él se puede ver que, a pesar de los denodados esfuerzos de nuestra Dirección General de la Policía, la publicación de un driver libre para el DNI electrónico es cuestión de (muy poco) tiempo...

Entretanto no tenemos más remedio que seguir tirando de los tristes drivers que nos ofrece la página web oficial, y donde vemos que nuestras posibilidades están más que reducidas: en lugar de un driver "universal", la DGP nos ofrece unas pocas -y anticuadas- instalaciones tipo. En cuanto nuestra distribución favorita actualice el paquete OpenSC, el dni dejará de funcionar.

...¿o no?

He aquí la criatura: un wrapper para la biblioteca propietaria libopensc-dnie.so

Una observación: me parece muy triste que sea la Comunidad Linux la que tenga que resolver a la administración sus meteduras de pata. Primero fue la Tarjeta Ceres; despues el DNI electrónico. Estoy seguro que hay técnicos altamente competentes y cualificados en la administración, y que debe ser para ellos una pena que por intereses políticos y comerciales, o conceptos malentendidos de seguridad informática, no hagan realmente bandera del acceso universal a la administración.

Bueno, basta de política; vamos allá:

El siguiente proceso indica los pasos necesarios para instalar el soporte de DNI electrónico en Fedora 12. El procedimiento descrito es fácilmente exportable a otras distribuciones Linux que utilicen el paquete OpenSC-0.11.x

La web oficial del dni electrónico sólo da soporte a determinadas versiones de OpenSC. Debido a la política de actualizaciones de las distribuciones, los paquetes precompilados sólo funcionan en algunas distros. Para más desgracia, las actualizaciones del paquete OpenSC dentro de la misma distribución, hacen que el módulo opensc-dnie ofrecido por la DGP deje de funcionar al cambiar OpenSC de versión.

El problema se debe a que los diseñadores de OpenSC, para penalizar el uso de bibliotecas propietarias, escribieron en el código que realiza la carga de módulos dinámicos una rutina de comprobación del número de versión del módulo. Esto obliga a que por cada nueva revisión de OpenSC, todos los módulos dinámicos deban ser recompilados. Si bien la licencia LGPL permite el enlace dinámico con módulos propietarios, el sentir de los desarrolladores es que la "seguridad por oscuridad" es contraproducente tratándose de tarjetas criptográficas, y no desean dar facilidades al desarrollo de drivers propietarios.

La filosofia es pues permitir enlace dinámico, pero forzar a los autores a liberar sus fuentes, o bien a publicar -y mantener- wrappers libres.

De hecho, los desarrolladores actuales de OpenSC considerarán que la carga de drivers dinámicos a partir de la version 0.12 es una "obsolete feature".

Lo aquí escrito funciona pues con las versiones OpenSC-0.11.x, pero no se garantiza que siga funcionando más allá de OpenSC-0.12

En la serie 0.11.x, los módulos deben implementar y exportar la funcion char *sc_driver_version(), que retorna el número de versión contra el que fue enlazado el modulo. En el caso del paquete que la DGP ofrece para fedora 10, sc_driver_version retorna "0.11.7" con lo que sólo puede -en teoría- funcionar en OpenSC-0.11.7. De este modo, cuando se intenta ejecutar el driver de la DGP en Fedora 12 se obtiene un bonito mensaje "ctx.c:load_dynamic_driver: Invalid module version", y se aborta la carga del módulo:

user$ pkcs15-tool --list-public-keys
[pkcs15-tool] ctx.c:367:load_dynamic_driver: dynamic library '/usr/lib/libopensc-dnie.so.1.0.3': invalid module version
[pkcs15-tool] ctx.c:467:load_card_drivers: Unable to load 'dnie'.

En el momento de escribir estas líneas, Fedora 12 utiliza la versión OpenSC-0.11.11, con lo que debemos "engañar" a OpenSC para que se crea que el módulo de DNIe corresponde a dicha versión.

Para engañarlo, debemos conseguir que la función sc_driver_version devuelva el string que nosotros queramos, en lugar del que tiene pre-compilado. Para ello hay que hacer lo siguiente:

- Eliminar (o en nuestro caso cambiar el nombre) la referencia a sc_driver_version en la biblioteca propietaria.

- Crear una nueva biblioteca que incluya la función con el string de retorno que nosotros queremos.

- Decirle a opensc que utilice la nueva biblioteca.

Antes de empezar se asume que OpenSC y pcsc-lite están correctamente instalados y configurados. Remitimos al consabido RTFM...

El procedimiento que he seguido es el siguiente:

1- Descargar e Instalar rpm de Fedora 10

La Dirección General de la Policía distribuye un fichero tar, que contiene dos rpm's: opensc-0.11.7 y opensc-dnie-1.4.6.

1.1- Ignoramos el primero e instalamos el segundo:

root# rpm -v -i opensc-dnie-1.4.6-2.fc10.i386.rpm

1.2- Se abre una ventana del navegador, que indica que busquemos en el menú de aplicaciones el instalador del dnie en Firefox. Pulsamos en dicho menú, y aparece una ventana con instrucciones extras, que nosotros obedientemente _DES_obedecemos :-) (son instrucciones para cargar y activar el certificado de la DGP, pero Firefox es muy listo y lo hace automáticamente)

2- Preparación

Una vez instalado el paquete, vamos a parchear. Necesitaremos la utilidad objcopy (paquete binutils) y por supuesto gcc y su familia.

2.1- creamos directorio de trabajo y copiamos archivos:

user$ mkdir /tmp/dnie
user$ cd /tmp/dnie

2.1- Copiamos la biblioteca original al espacio de trabajo:

user$ cp /usr/lib/libopensc-dnie.so.1.0.3 libopensc-dnie.so.1.0.3.orig

3- Creación del wrapper

3.1- Editamos el parche. En función de la distribución, ajustaremos el valor del string a la versión de OpenSC que tengamos instalada...

user$ vi patch.c

char *patched_driver_version="0.11.11";
char * sc_driver_version() {
	return patched_driver_version;
}

NOTA: para hacer las cosas bien, deberíamos tener instalado opensc-devel, y preguntar a
opensc su número de versión... se deja como tarea al lector...

3.2- Compilamos, generando un .o "relocatabl":

user$ gcc -fpic -g -c -Wall patch.c

4- Generamos las bibliotecas necesarias

4.1- Parcheamos la librería original, cambiando nombre de la función sc_driver_versión:

user$ objcopy --redefine-sym sc_driver_version=orig_sc_driver_version libopensc-dnie.so.1.0.3.orig libopensc-dnie.so.1.0.3
user$ chmod +x libopensc-dnie.so.1.0.3

4.2- Creamos una nueva dll con el fichero que hemos compilado:

user$ gcc -shared -Wl,-soname,libwrapper-dnie.so libopensc-dnie.so.1.0.3 patch.o -o libwrapper-dnie.so.1.0.0

4.3- En estos momentos tenemos dos dll's:

- La original parcheada, en la que se ha renombrado la función "sc_driver_version" por "orig_sc_driver_version".

- La que hemos creado, que define "sc_driver_version" y enlaza con la anterior.

5- Instalación y configuración

5.1- Copiamos las nueva dll's a /usr/lib y actualizamos el cache del dynloader
(para esto se necesita ser root)

user$ su
root# cp libwrapper-dnie.so.1.0.0 libopensc-dnie.so.1.0.3 /usr/lib
root# ldconfig 

5.2- Editar /etc/opensc.conf, cambiando la biblioteca a utilizar:

root# vi /etc/opensc.conf

Donde pone:

module = /usr/lib/libopensc-dnie.so;

Debe poner:

# module = /usr/lib/libopensc-dnie.so;
module = /usr/lib/libwrapper-dnie.so;

root# exit

6- Prueba

Volvemos a ser usuario normal. Insertamos el dni en lector y probamos que no hemos metido la pata:

user$ pkcs15-tool --list-public-keys
Public RSA Key [KpuAutenticacion]
	Com. Flags  : 3
	Usage       : [0xC0], verify, verifyRecover
	Access Flags: [0x12], extract, local
	ModLength   : 2048
	Key ref     : 1
	Native      : yes
	Path        : 3f003f110101
	Auth ID     : 
	ID          : 4138363639413238303730354638453230303930353235313033353232

Public RSA Key [KpuFirmaDigital]
	Com. Flags  : 3
	Usage       : [0x2C0], verify, verifyRecover, nonRepudiation
	Access Flags: [0x12], extract, local
	ModLength   : 2048
	Key ref     : 2
	Native      : yes
	Path        : 3f003f110102
	Auth ID     : 
	ID          : 4638363639413238303730354638453230303930353235313033353232

Y esto es todo, amigos: Ya tengo mi DNI electrónico funcionando con Fedora 12

Un último apunte: en la página web del DNI electrónico, podemos ver que opensc-dnie-1.4.6 no es la versión más moderna, sino que está disponible (aunque para debian) la versión 1.4.7. Antes de que el lector lo intente, desgraciadamente tengo que comentar que esta versión está "strippeada", con lo que el parcheo con objcopy no funciona (no encuentra el símbolo en la tabla).

Que vuesas mercedes lo disfruten con salud

Juan Antonio Martinez jonsito _en_ terra _dot_ es

Copyright 2010 by Juan Antonio Martinez. Se permite la libre copia, modificación y distribución por cualquier medio, siempre que se indique el autor y se indique un enlace al artículo original publicado en Kriptópolis.