En el Ayuntamiento de Vitoria-Gasteiz estamos actualizando el Sistema de Identificación y Firma usado en sus servidores Web para el caso de identificación con Tarjeta Chip, adoptando el software Id@zki que proporciona la Entidad de Certificación Izenpe (http://www.izenpe.com). Este cambio afecta a los ordenadores de los ciudadanos, ya que a pesar del impulso que se está dando a las Tarjetas Chip, y aunque existen multitud de webs que proporcionan información sobre como instalar los Kits, como:
la instalación y configuración suele venir acompañada de diversos problemas, que la hacen poco atractiva:
- Problemas con el controlador del lector de tarjetas.
- Distintos programas para la gestión del token.
- Si instalas uno, te deja de funcionar el otro.
- Java JRE desactualizado o inexistente
- Falta del plugin java para FireFox u otro navegador.
- Faltan los certificados de las Entidades Certificadoras en FireFox y/o java
- …
Con esta guía, pretendemos explicar los pasos que hemos tenido que dar para configurar un ordenador con Windows 7 (en Windows XP es similar),un lector de tarjetas chip (de los que daban con las tarjetas ONA) y FireFox 4 (con FireFox 5 también funciona), y así poder usar la tarjeta ONA y/o DNI-electrónico en los servidores web del Ayuntamiento de Vitoria-Gasteiz. La versión para usuarios Linux.
Componentes usados:
1.- Situación de partida:
Partimos de un Windows 7 Home Basic 32 bits recién instalado, al que le hemos instalado el antivirus gratuito Microsoft Security Essentials http://www.microsoft.com/es-es/security_essentials/default.aspx
2.- Instalamos Mozilla FireFox 4.0.1 ó 5
Nota: Si no se desea instalar FireFox, el resto de pasos también serían válidos para Internet Explorer, recomendando usar su versión 8.
Descargamos de http://www.mozilla.com/es-ES/firefox/ (también se encuentra disponible en Euskara: en http://www.mozilla.com/en-US/firefox/all.html)
La instalación es muy sencilla y se puede limitar al habitual: “Cruzar los dedos, Ejecutar, Siguiente, Siguiente, Siguiente,…”
3.- Instalamos Java JRE 6 (Necesario para firmar con el Applet Id@zki)
Descargamos de http://www.java.com/es/download/manual.jsp cualquiera de las dos versiones (En Linea o Fuera de Linea) aunque personalmente prefiero Fuera de Linea:
Actualización a JRE7: Hemos verificado que también funciona con JRE 7 ( http://www.oracle.com/technetwork/java/javase/downloads/java-se-jre-7-download-432155.html ).
Una vez descargada, cerramos todos los navegadores y como con la instalación de FireFox: “Siguiente, Siguiente, Siguiente,…”, salvo que durante la instalación, nos pide que decidamos si queremos tener la barra de Yahoo (personalmente creo que hoy en día no es necesaria, por lo que NO MARCAREMOS LA CASILLA).
4.- Verificamos la ejecución de applets java desde FireFox:
Para verificar la integración de java con FireFox, acudiremos a la página http://www.java.com/es/download/testjava.jsp , donde si todo va bien, debería aparecer algo como:
5.- Configuramos el KIT del DNI Electrónico
Si queremos usar el DNI electrónico con los trámites municipales, debemos instalar el software que se proporciona para ello en http://www.dnielectronico.es/descargas/win_comp_vista.html
Seleccionamos el Driver CSP para sistemas Windows, bajamos, cerramos los navegadores y ejecutamos el software DNIe_v6_0_2.exe. “Siguiente, Siguiente, Siguiente,…”. Nos solicitará reiniciar el equipo, paso necesario para la correcta instalación, ya que durante el reinicio instala los certificados raíz del DNI y añade el Dispositivo de Seguridad al FireFox. A nosotros, tras reiniciar y a pesar hacer todo lo que nos dice, no se han instalado correctamente los certificados:
¡Ya lo solucionaremos al final!
6.- Configuramos el KIT de IZENPE
De la URL http://www.izenpe.com/s15-12020/es/contenidos/informacion/servicios_on_line/es_s_online/servicios_on_line.html http://www.izenpe.com/s15-12020/es/contenidos/informacion/gestionar/es_certific/puesta_en_marcha.html , descargamos el software para Windows. Se podría instalar componente a componente, pero ya que existe un instalador para todo, lo usaremos. Este software nos instalará de forma automática:
- El Driver del lector utilizado.
- El software de Gestión de las tarjetas (SafeSign 3.0.40 http://www.aeteurope.com/aet/aet-europe/_www/en/pub/products/safesign.cfm )
- Los Certificados de la CA Raiz de Izenpe y Subordinadas en java, iExplorer, FireFox y Chrome para reconocer certificados emitidos por dicha CA https://servicios.izenpe.com/jsp/descarga_ca/descarga.htm.
- Acrobar Reader si no lo tenemos instalado http://get.adobe.com/es/reader/
Seleccionaremos “Instalación recomendada”, ignoraremos los mensajes que nos dicen “Sistema operativo no válido” y seleccionaremos el lector que tengamos conectado al ordenador:
Tras un rato esperando en esta pantalla …
Nos damos cuenta de que por detrás (ALT+TAB) nos está preguntando si queremos instalar eL lector en un navegador.
Seleccionamos FireFox y pulsamos Instalar. Parece que no hace nada, pero tras esto pulsamos Cerrar.
Tras estos pasos se verifica si tenemos un Java JRE adecuado, si tenemos Adobe Acrobat y Reiniciamos la máquina.
6.- Conectamos el lector GemPlus GemPC USB-SL:
Tras reiniciar conectamos el lector USB y vemos como lo reconoce el sistema.
7.- Instalamos los Certificados de las CA´s en JAVA Y FIREFOX
Que las CA´s estén incorporadas a Java y a FireFox es importante porque permiten que confiemos en páginas y aplicaciones seguras. A pesar de que los instaladores realizan esta acción, la realidad es que no en todos los casos aparecen correctamente, ni en java ni en FireFox, todos los certificados necesarios. En concreto los certificados que consideramos mínimos son:
IZENPE (Se pueden obtener de: https://servicios.izenpe.com/jsp/descarga_ca/descarga.htm )
- CA Raíz de Izenpe 2007 SHA1 y SHA256
- CA de Certificados SSL EV SHA1 y SHA256
- EAEko Herri Administrazioen CA – CA AAPP Vascas (2) SHA1 y SHA256
- CA Raíz de Izenpe 2003 SHA1
- EAEko Herri Administrazioen CA – CA AAPP Vascas SHA1
DNI-ELECTRONICO (Se pueden obtener de http://www.dnielectronico.es/seccion_integradores/certs.html )
AUTOMATIZAR ES BUENO SI FUNCIONA (crucemos los dedos)
Utilizando la utilidad CERTUTIL desarrollada por Mozilla http://www.mozilla.org/projects/security/pki/nss/tools/certutil.html , hemos modificado algunos scripts para automatizar el import de estos certificados. Empaquetando los certificados de Izenpe y DNIe, la utilidad certutil y un par de ficheros .bat en un fichero VGCERT.ZIP, hemos pretendido automatizar estas tareas:
Bajarse este fichero VGCERT.ZIP y decomprimirlo en C:\ , lo que creará un directorio C:\VGCert, donde se encuentra el comando certutil.exe y los ficheros necesarios para su ejecución, dos directorio con los certificados de Izenpe y DNIe, así como dos scripts.bat (ff-import.bat y java-import.bat) para importar los certificados en java y en FireFox. ¡Si lo descomprimes en otro directorio deberás actualizar la variable CERTDIR de los scripts!
ff-import.bat -------------------------------------------
SET FFProfdir=%Appdata%\mozilla\firefox\profiles
SET CERTDIR=C:\VGCert
----------------------------------------------------
java-import.bat----------------------------------------
SET JRE_HOME=C:\Archivos de Programa\java\jre6
SET CACERTS=%JRE_HOME%\lib\security\cacerts
SET CERTDIR=C:\VGCert
----------------------------------------------------
Actualización JRE7: Puesto que Java JRE7 se instala por defecto bajo C:\Archivos de Programa\java\jre7 , hemos añadido una comprobación de la existencia del nuevo directorio de instalación.
Debido a la seguridad de Windows 7, y puesto que la BBDD de certificados de java se encuentra en una zona “protegida” ( C:\Archivos de Programa\java\jre6\lib\security\cacerts) , es necesario ejecutar el comando “java-import.bat“ comando con permisos de administrador, por lo que una vez descomprimido habrá que “Ejecutar como Administrador”
Mientras que el comando “ff-import.bat” se ejecutará con los permisos del propio usuario con Abrir o Doble-Click
En principio no es necesario importar los certificados a mano, pero por si hubiera algún problema:
IMPORTAR EN FIREFOX A MANO
Es una tarea que puede hacer cualquiera siguiendo las instrucciones obtenidas de http://www.inteco.es/extfrontinteco/dnie/swf/cert_fox.html
Importar en FireFox
IMPORTAR EN JAVA JRE 6 A MANO
Complicado de hacer aún siguiendo las instrucciones http://download.oracle.com/javase/1.4.2/docs/tooldocs/windows/keytool.html.
8.- Verificamos que todo funciona correctamente
Con la tarjeta ONA o el DNI electrónico insertado en el lector:
- Arrancamos FireFox
- Nos conectamos a https://www.vitoria-gasteiz.org
- Pulsamos en Conectar lo que debería lanzar el applet de firma Id@zki.
- Nos presentará un texto a firmar.
- Nos pedirá el PIN para firmar.
- Si todo ha ido bien nos presentará en la barra de conexión nuestra identidad
Personalmente creo que debería existir algo más simple, pero esto es lo más simple que hemos encontrado. 
De todas formas siempre quedan los CAUs de los proveedores:
