Java czy sen ?

Kiedy w końcu podpis kwalifikowany się upowszechni?

2017-10-30T03:28:00.002-07:00

Jedynym problem stojącym na drodze jest cena podpisu kwalifikowanego. Jej wysokość (200 PLN za certyfikat ważny 2 lata) jest niestety dla wielu osób ceną zaporową. Może kiedyś doczekamy się nowych dowodów osobistych z wbudowaną funkcją klucza umożliwiającego podpis cyfrowy (tak jak jest to obecnie w Estonii). Myślę, że pozostaje nam niestety jeszcze trochę poczekać.

Nowy certyfikat ROOT CA

2017-10-27T04:38:00.001-07:00

Z dniem 9 grudnia 2016 został wystawiony nowy certyfikat główny tzw. root CA. Jest ważny aż do 10 grudnia 2039. Podmiot = wystawca i ma wartość 2.5.4.97 = VATPL-5250008198 CN = Narodowe Centrum Certyfikacji O = Narodowy Bank Polski C = PL. Co prawda stary ROOT CA jest ważny jeszcze do ‎27 ‎października ‎2020, ale certyfikaty wystawców (tj. KIR, SIGILLUM itd.) są podpisywane już nowym kluczem (mówiąc inaczej są wystawiane przez ten nowy klucz).

Nowe centrum CA

2016-10-19T04:38:00.001-07:00

Listę centrów CA wystawiających podpisy kwalifikowane w Polsce możemy znaleźć pod adresem: https://www.nccert.pl/tsl/PL_TSL.xml. Parsując taką listę mamy pewność, że korzystamy z aktualnej listy i znajdują się niej odpowiednie centra (np. nowe). Możemy w ten sposób zautomatyzować obsługę certyfikatów kwalifikowanych w naszym systemie i sprawić, że nie będzie już konieczna zmiana konfiguracji (pliku, bazy danych z listą CA i CRL-ami).

EUROCERT - nowe CA wydające certyfikaty kwalifikowane

2014-06-16T12:55:00.002-07:00

Od nowego roku (2014) działa nowe (piąte) CA - EUROCERT- wydające certyfikaty kwalifikowane. Mam nadzieję, że firma będzie realną konkurencją dla pozostałych czterech CA i zapewni usługi o najwyższej jakości i konkurencyjnej cenie. Czas pokaże. Certyfikat CA - ftp://serwer1335250.home.pl/Prawo/EuroCert_QCA_2014.der Aktualna lista CRL - http://crl.eurocert.pl/crl.crl

Problemy z listą CRL CenCert do certyfikatu CA

2014-04-03T06:05:00.001-07:00

W związku z wydaniem nowego certyfikatu CA firmy CenCert. Pojawiły się problemy z listą CRL do "starego" certyfikatu CA ważnego jeszcze do 07-04-2016 (dotychczasowa lista znajdująca się pod adresem http://www.cencert.pl/crl/enigma_ostatni_kwal.crl była podpisana "nowym" certyfikatem CA i to powodowało brak możliwości logowania i podpisu certyfikatami wydanymi przez "stare" CA m.in. w naszym systemie eCorpoNet). Po interwencji użytkowników firma CenCert wygenerowała CRL (http://www.cencert.pl/crl/enigma_ostatni_kwal.crl) pasujący do starego certyfikatu CA a nowy CRL umieściła pod nowym linkiem http://www.cencert.pl/crl/enigma_ostatni_kwal_nowy.crl

Miejmy nadzieję, że to ostatnia wpadka tej firmy. CRL będą generować się poprawnie oraz serwery z nimi nie będą się już wyłączać.W razie problemów pozostaje przerzucić się na jakieś OCSP. Jest tylko jeden mały problem nie znam takiego darmowego OCSP. Jeśli ktoś wie o OCSP obsługującym certyfikaty kwalifikowane proszę o informacje w komentarzu.

2014-03-05T01:29:00.001-08:00

Aktualna na dzień 1 stycznia 2014 lista wystawców podpisu kwalifikowanego w Polsce

2013-12-18T02:04:00.002-08:00

Krajowa Izba Rozliczeniowa

Polska Wytwórnia Papierów Wartościowych (SIGILLUM)

Unizeto (CERTUM)

Enigma S.O.I.

Eurocert

Mobicert - dostawca podpisu zwinął biznes?

2013-12-10T02:42:00.002-08:00

Ostatni CRL ma ważność do 7 listopada 2013 roku. Obecnie nie da się poprawnie podpisywać/weryfikować kluczem wystawionym przez w/w centrum. Czyżby firma Mobicert przestała działać?

Szukanie numeru slotu (-a?)

2013-09-24T04:38:00.002-07:00

private void initialize()
            throws Exception
    {
        long hSession = 0L;

        CK_C_INITIALIZE_ARGS cia = new CK_C_INITIALIZE_ARGS();
        CK_ATTRIBUTE[] attrs = new CK_ATTRIBUTE[1];
        CK_ATTRIBUTE attr = new CK_ATTRIBUTE();
        CK_TOKEN_INFO ckti = null;

        cia.pReserved = null;
        cia.flags = 0L;

        PKCS11 p11 = null;

        Method[] methods = PKCS11.class.getMethods();
        Method p11GetInstance = null;

        for (int i = 0; i < methods.length; i++) {
            if (!methods[i].getName().equals("getInstance")) {
                continue;
            }
            p11GetInstance = methods[i];
        }

        try {
            File _fpk11LibPath = new File(this.pkcs11Path);
            this.pkcs11Path = _fpk11LibPath.getCanonicalPath();

            String version = System.getProperty("java.version");
            if ((version.indexOf("1.6") > -1) || (version.indexOf("1.7") > -1)) {
                p11 = (PKCS11)p11GetInstance.invoke(null, new Object[] { this.pkcs11Path, "C_GetFunctionList", cia,
                                                                         Boolean.valueOf(false) });
            }
            else if (version.indexOf("1.5") > -1) {
                p11 = (PKCS11)p11GetInstance.invoke(null, new Object[] { this.pkcs11Path, cia, Boolean.valueOf(false) });
            }
            else {
                throw new Exception("Unsuported version of VM");
            }
        }
        catch (Exception e) {
            throw new Exception("Problem using java reflection with pkcs11 classes::" + e.getMessage());
        }
        long[] slots;
        try {

            slots = p11.C_GetSlotList(true);
        }
        catch (Exception e) {
            throw new Exception("Getting Slot List:: " + e.getMessage());
        }

        for (long k : slots) {

            try {
                hSession = p11.C_OpenSession(k, 4L, null, null);
            }
            catch (Exception e) {
                throw new Exception("Opening a new Session:: " + e.getMessage());
            }
            attr.type = 0L;
            attr.pValue = Long.valueOf(1L);
            attrs[0] = attr;
            try {
                p11.C_FindObjectsInit(hSession, attrs);
                long[] l = p11.C_FindObjects(hSession, MAX_CERTS);
                p11.C_FindObjectsFinal(hSession);

                for (long i : l) {
                    CK_ATTRIBUTE attrPriv = new CK_ATTRIBUTE();
                    CK_ATTRIBUTE[] attrsP = new CK_ATTRIBUTE[2];

                    attrPriv.type = 0L;
                    attrPriv.pValue = Long.valueOf(1L);

                    attr.type = 258L;
                    attr.pValue = getID(hSession, i, p11);
                    if (attr.pValue == null) {
                        continue;
                    }
                    attrsP[0] = attrPriv;
                    attrsP[1] = attr;

                    p11.C_FindObjectsInit(hSession, attrsP);
                    long[] m = p11.C_FindObjects(hSession, MAX_CERTS);

                    for (long n : m) {
                        list.add(new X509Info(loadX509Cert(hSession, i, p11), Long.valueOf(k)));
                    }
                    p11.C_FindObjectsFinal(hSession);
                }
            }
            catch (Exception e) {
                throw new Exception("Unsuccesfully FindObjects sequence:: " + e.getMessage());
            }

            try {
                p11.C_CloseSession(hSession);
            }
            catch (Exception e) {
                throw new Exception("Cannot close sesion::" + e.getMessage());
            }
        }

        try {
            p11 = null;
            Runtime.getRuntime().gc();
        }
        catch (Exception e) {
            throw new Exception("Cannot Finalize::" + e.getMessage());
        }
    }

/*
* To change this template, choose Tools | Templates
* and open the template in the editor.
*/

import java.security.cert.X509Certificate;

public class X509Info
{
    private long slot;
    private X509Certificate x509cert;

    public X509Info(X509Certificate x509cert, Long slotNr)
    {
        this.x509cert = x509cert;
        this.slot = slotNr.longValue();
    }

    /**
     * @return the slot
     */
    public long getSlot()
    {
        return slot;
    }

    /**
     * @param slot the slot to set
     */
    public void setSlot(long slot)
    {
        this.slot = slot;
    }

    public X509Certificate getX509cert()
    {
        return x509cert;
    }

    public void setX509cert(X509Certificate x509cert)
    {
        this.x509cert = x509cert;
    }
}

Jeśli dostawca to KIR lub SIGILLUM getSlot() jako parametr slotNo pkcs11ConfigSettings.append("slotListIndex = ").append(slotNo).append("\n");

Sun MSCAPI

2012-10-31T10:32:00.000-07:00

KeyStore keyStore = KeyStore.getInstance("Windows-MY", "SunMSCAPI");
keyStore.load(null, null);

java.util.Enumeration en = keyStore .aliases();

while (en.hasMoreElements()) {

String aliasKey = (String) en.nextElement();

Certificate[] chain = keyStore.getCertificateChain(aliasKey);

}

Ktoś korzystał i ma doświadczenie?

Sun PKCS#11

2011-10-05T09:57:00.000-07:00

Dostawca Sun PKCS#11 miał problematyczną konfigurację. Przed dodaniem providera trzeba było podać numer slotu (pod którym spodziewaliśmy się klucza). KIR / SIGILLUM instaluje swoje klucze na pierwszym slocie (nie podawałem go wogóle w konfiguracji), a UNIZETO na trzecim:

File tmpConfigFile = File.createTempFile("pkcs11-", "conf");
tmpConfigFile.deleteOnExit();
PrintWriter configWriter = new PrintWriter(new FileOutputStream(
tmpConfigFile), true);
configWriter.println("name=SmartCard");
configWriter.println("library=" + getPkcs11Path());
configWriter.println("slotListIndex= " + numerSlot);

// load security provider
this.pkcs11Provider = new SunPKCS11(tmpConfigFile.getAbsolutePath());
Security.addProvider(this.pkcs11Provider);

2011-10-04T08:59:00.001-07:00

Dzisiaj chciałem polecić dwa portale, z których korzystam, kupując taniej waluty obce.
Zawsze można zaoszczędzić parę złotych, więc dlaczego tego nie wykorzystać.
Po kliknięciu w poniższy bannery, zostaniecie przekierowaniu na stronę Walutomatu lub Cinkciarza.

Podpis kwalifikowany

2011-10-02T11:12:00.000-07:00

W Javie korzystam z bibliotek standardu PKCS#11, które są implementowane przez następujące pliki:

KIR (SZAFIR) / SIGILLUM (PWPW) - ccpkip11.dll (taka samą nazwę pliku, ale inną lokalizację ma sterownik karty 64-bit),
UNIZETO (CERTUM) - cryptoCertum3PKCS.dll (taka samą nazwę pliku, ale inną lokalizację ma sterownik karty 64-bit. Dla starszych kart - numery ośmiocyfrowe - jest sterownik karty o nazwie cryptoCertumPKCS11.dll),
MOBICERT - dla nowszych kart Siemensa od połowy 2010 roku - cmp11.dll i cmp1164.dll (dla systemów 64-bit),
CENCERT - enigmap11.dll i enigmap11-x64.dll (dla systemów 64-bit).

Na początku do obsługi standardu PKCS#11 wykorzystywałem standardową implementację firmy Sun (teraz Oracle). Jednak ze względu na liczne problemy (czasami nawet losowo pojawiające się błędy), zacząłem wykorzystywać bibliotekę IAIK. Teraz mogę w prosty sposób dostać się do listy kluczy publicznych (bez konieczności podawania PIN-u do karty). Wcześniej musiałem z góry znać numer slotu (później nauczyłem się wcześniej odczytywać odpowiedni numer slotu, jednak wymagało to nie lada kombinacji).

Jedyną wadą jest konieczność dołączania nowego jara (iaikPkcs11wrapper.jar) i biblioteki dll do systemu obsługującego karty (pkcs11wrapper.dll).

Pierwszy post

2011-10-02T04:15:00.000-07:00

Witajcie!
Na blogu będę opisywał ciekawe przypadki użycia języka Java oraz wybrane zagadnienia z pytań przygotowujących do egzaminu OCJP (dawniej SCJP).