Id@zki Desktop - izenpe.eus

1 Id@zki Desktop Firma por protocoloId@zki DesktopFirma por protocoloP gina 1 / 98Id@zki Desktop Firma por protocoloIndice1 Idazki Desktop Firma por n de la soluci del sistema y flujo de informaci dulos de la soluci sticas criptogr ficas operativos / Navegadores de firma a Javascript de la librer de uso del API Desktop Aplicaci n de de conexi n para ficheros cacheo de as PKCS# de - Persistencia de las a de migraci n Idazki Applet Idazki Desktop ..82P gina 2 / 98Id@zki Desktop Firma por n sign .. n signEnvelopedSelectNodeBase64 .. de de Instalaci n Idazki de la instalaci a de instalaci en el proceso de carga de gina 3 / 98Id@zki Desktop Firma por protocolo1 Idazki Desktop Firma por n de la soluci nDebido al fin de soporte a los applet por parte de Chrome se ha implementado un sistema de firma basadoen lo que se conoce como firma por protocolo.

2 La firma por protocolo consiste en registrar en el sistemaoperativo del usuario un nuevo protocolo (en este caso idazki://). e instruir al sistema operativo para que lasURI-s que tengan este protocolo sean abiertas por un programa concreto previamente instalado (en estecaso Idazki Desktop ). Con esta forma de hacer se persigue eliminar los applets y evitar as el uso de javadentro del soluci n viene a abordar el problema de comunicaci n entre el dispositivo local de firma (pkcs11 ypkcs12) y el navegador. Hasta ahora siempre se hab a abordado este problema desde el punto de vista delos applets. Esto es as porque el problema a solventar es la comunicaci n entre el dispositivo y elnavegador. El navegador no puede acceder al dispositivo y un programa ejecutado fuera del contexto delnavegador no puede acceder a los datos del navegador.

3 Como se ha comentado, hist ricamente esta uni nse ha realizado con applets que permiten acceder a ambos elementos y hacer de puente entre ellos. Por tanto la idea es cambiar el applet por lo descrito anteriormente, que permite coordinar, usando estaarquitectura, el servicio de terceros (a partir de ahora denominado Tercero), como puente entre navegador ydispositivo criptogr gina 4 / 98Id@zki Desktop Firma por del sistema y flujo de informaci nEn la siguiente gr fica se representa el flujo de informaci n de una solicitud que conlleva una firma medianteel nuevo modo de resumen los 12 pasos representados en el gr fico pueden ser agrupados en los siguientesbloques : Preparar el HTML para la firma. Enviar la solicitud al cliente (HTML). El cliente realiza la firma. Se notifica al navegador que la firma se ha realizado.

4 Se env a el resultado y se gina 5 / 98Id@zki Desktop Firma por protocoloA continuaci n se describe cada uno de los pasos con mayor detalle:PasoDescripci nScope1Se prepara la firma que se va a enviar al navegador, tokende seguridad y tipo de Tercero 2El tercero devuelve un token que se usar para la seguridady para identificar las caracter sticas de las transacci Servidor 3El servidor devuelve el html con el javasript el token de latransacci n Navegador P gina 6 / 98Id@zki Desktop Firma por protocolo4El usuario hace click en el link por protocolo que est en lap gina servida en el Navegador Sistema operativo cliente5El sistema operativo del cliente identifica el protocolo y abrela aplicaci n de escritorio (fuera del contexto delnavegador). Se pasa en esta apertura el token de lastransacci Idazki de escritorio 6-7 Idazki de escritorio obtiene la info del tipo de firma y restode informaci n necesaria para realizar la firma (este es elpunto de uni n).

5 Idazki de escritorio Tercero 8Se completa la firma y se env a al de escritorio Tercero9Se notifica el id de la firma al navegador (polling)establecido en el paso 3 Tercero navegador o navegador a tercero 10Se env a la info del formulario y la referencia de la firma alservidor Navegador Servidor 11-12Se procesa la informaci n en el servidor y se recupera eldocumento firmado del tercero. El proceso Tercero dulos de la soluci nPor tanto la soluci n final se compone de los siguientes m dulos: Librer a Javascript ( ): Se trata de una librer a javascript que permite integrar la firmadigital en las aplicaciones Web que as lo requieran. Es la que provee la URI de firma al navegador(con el nuevo protocolo registrado). P gina 7 / 98Id@zki Desktop Firma por protocolo Idazki Desktop : Aplicaci n de escritorio que se encarga de registrar el protocolo (en el proceso deinstalaci n), atender las URI con dicho protocolo, y realizar la firma en el equipo del usuario.

6 Tercero de confianza: Se trata del servicio que act a de Bridge entre la aplicaci n Web (librer ajavascript) e Idazki sticas criptogr ficas implementadasLa soluci n dispone de las siguientes primitivas criptogr ficas: Firma electr nica con los siguientes formatos: XMLDSig / XAdES (BES, EPES, T, C1, XL) enveloping/enveloped/detached. Soporte multifirma enparalelo (para firmas enveloping) y contrafirma (para firmas enveloped)2. Facturae (EPES-BES) CMS / CAdES (BES, EPES, T, C) attached/detached. Soporte multifirma en paralelo y contrafirma(no est soportado contrafirmas en multifirma en paralelo) en attached. Multifirma CMSdettached. XMLDSig enveloping/enveloped/detached. Soporte multifirma. PDF3 (con y sin sello de tiempo) Soporte para PKCS#11 y almac n criptogr fico de Windows.

7 Calculo de hash SHA-1 y SHA-256. Validaci n de certificados contra el OCSP de XAdES-C y CAdES-C solo se a adir la respuesta OCSP de de a adir la firma a un documento se comprobar la validez criptogr fica de las firmas se soportan PDFs protegidos, ni PDF con formularios XFA4 Siempre que se proceda a firmar, antes se comprobar que el certificado no est revocado ni gina 8 / 98Id@zki Desktop Firma por protocolo Sellado de tiempo contra la TSA de IZENPE. B squeda de certificados en los almacenes criptogr gina 9 / 98Id@zki Desktop Firma por operativos / Navegadores soportadosSe consideran soportados los siguientes navegadores:Se consideran soportados los siguientes sistemas operativos:P gina 10 / 98 NavegadorVersi +Firefox 3+Chrome 42+Safari 7+Sistema operativoVersi XPWindows 7 Windows 8 Windows 10 Ubuntu @zki Desktop Firma por de firma soportadosEn la siguiente tabla se muestra la relaci n de firmas soportadas:P gina 11 / 98 Tipo de firmaVersi con timestampPadES-BESPadES-TId@zki Desktop Firma por soportadosWindowsTarjetaTipoObservacione sCAPICAPIPor defecto se utiliza este sistema, de modo que se soportan todas lastarjetas que se integren con :\\windows\\system32\\ :\\windows\\system32\\ :\\windows\\system32\\.

8 \\windows\\system32\\ :\\windows\\system32\\ (driver de izenpe)pkcs11/usr/ /usr/lib/x86_64-linux- /usr/lib64/libpkcs11 MacTarjetaTipoObservacionesIzenpepkcs11/ System/Library/Izenpe/pkcs11 fnmtdnie/lib/libpkcs11 P gina 12 / 98Id@zki Desktop Firma por soportadosLa firma por protocolo Id@zki permite firmar ficheros, contenidos binarios y/o textos en claro. Al configurarestas entradas a firmar puede darse el caso que los par metros de configuraci n contengan caracteres nosoportados en UNICODE (como tildes o e es). Dado que la codificaci n de estos caracteres especialesdepende del encoding utilizado se puede corromper la firma si todos los elementos del proceso de firma noutilizan el mismo el caso de Id@zki , el encoding establecido es el UTF-8. Para poder asegurar un correcto funcionamientoen firmas cuyos par metros contenga caracteres especiales es necesario que todos los participantesimplicados en el proceso de firma usen UTF-8 como gina 13 / 98Id@zki Desktop Firma por a Javascript se ha adelantado anteriormente esta librer a es la encargada de integrar el proceso de firma en lasaplicaciones Web.

9 Para el dise o de la librer a se ha tratado de mantener el nombre de las funciones del APIdel applet Idazki, de forma que la migraci n del c digo de las integraciones del applet pueda realizarse de laforma m s sencilla posible. La librer a javascript consta de los siguiente m todos: setOption(key, val) signSetAdESLevel(val) setCryptoStoreAuto() setCryptoStorePkcs12(path,password) addInput(intype, incontent, outtype, outcontent) sign(signtype, successCallback) getOutputContent(idx, isbinary, callback) getOutputCount() signXAdESEnvelopedSelectNode(xmlDocument Base64, nodeNameToSign, nodeNameToInsertSignature, c14method, xmlDocumentEncoding, successCallback) signXAdESEnvelopedSelectNodeBase64(xmlDo cumentBase64, nodeNameToSign, nodeNameToInsertSignature, c14method, xmlDocumentEncoding, successCallbac) hash(successCallback) setErrorCallback(callback) endTransaction() getToken() sayHello(onSuccess,onError, self) setSignTimeOut(timeout)

10 Como se puede observar las funciones son muy similares a las que ten a el Applet Idazki, y sufuncionamiento es tambi n b sicamente el mismo. Simplemente en este caso al tratarse de una librer aP gina 14 / 98Id@zki Desktop Firma por protocolojavascript el flujo es as ncrono y se gestiona mediante el uso de JavascriptA continuaci n se describe con mayor detalle las caracter sticas de cada uno de los m todos del un callback para gestionar los errores producidos durante la DE LA LLAMADAsetErrorCallback(callback)PARAMET ROS callback: Funci n a ejecutar en caso de error, con el siguiente esquema function(errorCode).Donde errorCode es el nem nico del ltimo error nico de errorERR_INCORRECTPPASSWORDPIN incorrecto. Al de tres intentos consecutivos la tarjeta se bloquear.