JavaCard: Secure Channel - Revision history

Wolfm: /* Installation des Simulators */

2024-10-25T13:58:08Z

Installation des Simulators

← Older revision		Revision as of 13:58, 25 October 2024
Line 106:		Line 106:


	<syntaxhighlight lang="bash">java -jar /home/user/its-workshop/simulator/tools/Configurator.jar -binary /home/user/its-workshop/simulator/runtime/bin/jcsl -SCP-keyset 1111111111111111111111111111111111111111111111111111111111111111 2222222222222222222222222222222222222222222222222222222222222222 3333333333333333333333333333333333333333333333333333333333333333 -global-pin 01020304050f 03</syntaxhighlight>		<syntaxhighlight lang="bash">java -jar /home/user/its-workshop/simulator/tools/Configurator.jar \
			-binary /home/user/its-workshop/simulator/runtime/bin/jcsl \
			-SCP-keyset 1111111111111111111111111111111111111111111111111111111111111111 2222222222222222222222222222222222222222222222222222222222222222 3333333333333333333333333333333333333333333333333333333333333333 \
			-global-pin 01020304050f 03</syntaxhighlight>
	Der Simulator ist ein 32-Bit-Executable, also müssen wir noch glibc und openssl in der 32-Bit Version installieren. Unter Arch Linux muss dafür das multilib-repo aktiviert werden (siehe [https://wiki.archlinux.org/title/Official_repositories#Enabling_multilib Arch Wiki]), und die Pakete <code>lib32-glibc</code> sowie <code>lib32-openssl</code> installiert werden.		Der Simulator ist ein 32-Bit-Executable, also müssen wir noch glibc und openssl in der 32-Bit Version installieren. Unter Arch Linux muss dafür das multilib-repo aktiviert werden (siehe [https://wiki.archlinux.org/title/Official_repositories#Enabling_multilib Arch Wiki]), und die Pakete <code>lib32-glibc</code> sowie <code>lib32-openssl</code> installiert werden.

Wolfm: /* Installation des Simulators */

2024-10-25T13:55:57Z

Installation des Simulators

← Older revision		Revision as of 13:55, 25 October 2024
Line 83:		Line 83:
	Schreibe nach <code>/etc/reader.conf.d/jcsdk_config</code>:		Schreibe nach <code>/etc/reader.conf.d/jcsdk_config</code>:


	<~~pre~~># Configuration to interact with the Oracle PCSC Reader for Linux		<syntaxhighlight lang="linuxconfig"># Configuration to interact with the Oracle PCSC Reader for Linux
	FRIENDLYNAME "Oracle JCSDK PCSC Reader Demo 1"		FRIENDLYNAME "Oracle JCSDK PCSC Reader Demo 1"
	DEVICENAME 127.0.0.1:9025		DEVICENAME 127.0.0.1:9025
	LIBPATH /home/user/its-workshop/simulator/drivers/IFDHandler/libjcsdkifdh.so~~</pre>~~		LIBPATH /home/user/its-workshop/simulator/drivers/IFDHandler/libjcsdkifdh.so
			</syntaxhighlight>
	Starte den pcscd-Dienst neu:		Starte den pcscd-Dienst neu:

Line 103:		Line 105:
	Konkret haben wir unseren Simlator (das Binary mit dem Namen <code>jcsl</code>) folgendermaßen konfiguriert:		Konkret haben wir unseren Simlator (das Binary mit dem Namen <code>jcsl</code>) folgendermaßen konfiguriert:

⚫	<~~pre~~>java -jar /home/user/its-workshop/simulator/tools/Configurator.jar -binary /home/user/its-workshop/simulator/runtime/bin/jcsl -SCP-keyset 1111111111111111111111111111111111111111111111111111111111111111 2222222222222222222222222222222222222222222222222222222222222222 3333333333333333333333333333333333333333333333333333333333333333 -global-pin 01020304050f 03</~~pre~~>

		⚫	<syntaxhighlight lang="bash">java -jar /home/user/its-workshop/simulator/tools/Configurator.jar -binary /home/user/its-workshop/simulator/runtime/bin/jcsl -SCP-keyset 1111111111111111111111111111111111111111111111111111111111111111 2222222222222222222222222222222222222222222222222222222222222222 3333333333333333333333333333333333333333333333333333333333333333 -global-pin 01020304050f 03</syntaxhighlight>
	Der Simulator ist ein 32-Bit-Executable, also müssen wir noch glibc und openssl in der 32-Bit Version installieren. Unter Arch Linux muss dafür das multilib-repo aktiviert werden (siehe [https://wiki.archlinux.org/title/Official_repositories#Enabling_multilib Arch Wiki]), und die Pakete <code>lib32-glibc</code> sowie <code>lib32-openssl</code> installiert werden.		Der Simulator ist ein 32-Bit-Executable, also müssen wir noch glibc und openssl in der 32-Bit Version installieren. Unter Arch Linux muss dafür das multilib-repo aktiviert werden (siehe [https://wiki.archlinux.org/title/Official_repositories#Enabling_multilib Arch Wiki]), und die Pakete <code>lib32-glibc</code> sowie <code>lib32-openssl</code> installiert werden.

Wolfm: /* Installation der Treiber für den Kartenleser */

2024-10-25T13:53:13Z

Installation der Treiber für den Kartenleser

← Older revision		Revision as of 13:53, 25 October 2024
Line 26:		Line 26:
	== Installation der Treiber für den Kartenleser ==		== Installation der Treiber für den Kartenleser ==


	<~~pre~~>sudo pacman -S pcsclite ccid		<syntaxhighlight lang="bash">sudo pacman -S pcsclite ccid
	sudo systemctl start pcscd.service		sudo systemctl start pcscd.service
	sudo systemctl enable pcscd.service~~</pre>~~		sudo systemctl enable pcscd.service
			</syntaxhighlight>

	Der Treiber für Kartenleser von REINER SCT kann aus dem AUR installiert werden:		Der Treiber für Kartenleser von REINER SCT kann aus dem AUR installiert werden:


	<~~pre~~>git clone https://aur.archlinux.org/pcsc-cyberjack.git		<syntaxhighlight lang="bash">git clone https://aur.archlinux.org/pcsc-cyberjack.git
	cd pcsc-cyberjack		cd pcsc-cyberjack
	makepkg		makepkg
	sudo pacman -U pcsc-cyberjack-3.99.5_SP16-1-x86_64.pkg.tar.zst~~</pre>~~		sudo pacman -U pcsc-cyberjack-3.99.5_SP16-1-x86_64.pkg.tar.zst
			</syntaxhighlight>

	Prüfen ob der Kartenleser und die Karte erkannt werden:		Prüfen ob der Kartenleser und die Karte erkannt werden:


	<~~pre~~>sudo pacman -S pcsc-tools		<syntaxhighlight lang="bash">sudo pacman -S pcsc-tools
	pcsc_scan~~</pre>~~		pcsc_scan
			</syntaxhighlight>

	== GlobalPlatformPro ==		== GlobalPlatformPro ==

Wolfm: /* Kompilieren und Installieren von Applets */

2024-10-25T13:51:49Z

Kompilieren und Installieren von Applets

← Older revision		Revision as of 13:51, 25 October 2024
Line 17:		Line 17:
	Zunächst wird der Quellcode eines Java-Card-Applets in Form einer .java-Datei benötigt. Dieses wird mit dem Java-Compiler <code>javac</code> in eine .class-Datei konvertiert:		Zunächst wird der Quellcode eines Java-Card-Applets in Form einer .java-Datei benötigt. Dieses wird mit dem Java-Compiler <code>javac</code> in eine .class-Datei konvertiert:

	<~~pre~~>javac -cp /path/to/tools/lib/api_classic-3.0.5 -g -source 7 -target 7 -d bin/ src/package/Class.java</~~pre~~>		<syntaxhighlight lang="bash">javac -cp /path/to/tools/lib/api_classic-3.0.5 -g -source 7 -target 7 -d bin/ src/package/Class.java</syntaxhighlight>

	Diese .class-Datei kann mit dem <code>converter.sh</code> Skript aus den Java Card Development Kit Tools in eine .cap-Datei konvertiert werden:		Diese .class-Datei kann mit dem <code>converter.sh</code> Skript aus den Java Card Development Kit Tools in eine .cap-Datei konvertiert werden:


	<~~pre~~>/path/to/tools/bin/converter.sh -applet 0x01:0x02:0x03:0x04:0x05:0x00 package.Class -classdir bin/ -d deliverables/ -target 3.0.5 package 0x01:0x02:0x03:0x04:0x05:0x01 1.0</~~pre~~>		<syntaxhighlight lang="bash">/path/to/tools/bin/converter.sh -applet 0x01:0x02:0x03:0x04:0x05:0x00 package.Class -classdir bin/ -d deliverables/ -target 3.0.5 package 0x01:0x02:0x03:0x04:0x05:0x01 1.0</syntaxhighlight>

	== Installation der Treiber für den Kartenleser ==		== Installation der Treiber für den Kartenleser ==

Lm: fancy tables (not collapsible)

2024-10-21T13:52:33Z

fancy tables (not collapsible)

@@ Line 357: / Line 357: @@
 Die bash completions von OpenSC funktionieren nicht mehr mit der aktuellen Version von <code>bash-completions</code>, da die Funktion <code>_split_longopt</code> entfernt wurde. Mit diesem Patch haben wir die bash completions gefixed. (Die gepatchte Datei gibt aus autogeneriert zu sein, aber wir haben nicht herausgefunden wie die Datei generiert wird.)
 <syntaxhighlight lang="diff">diff --git a/doc/tools/completion-template b/doc/tools/completion-template
 index 895a3a9ceb52970e5ff7dd4515e473b649945090..85f80fac6d4576f40b2529209d4700f76d4c3003 100644
@@ Line 386: / Line 386: @@
      if [[ "$cur" == -* ]]; then
          _longopt $1</syntaxhighlight>
 === benutzen ===
@@ Line 421: / Line 422: @@
 Durch einen einfachen Patch kann dieses Tool auch einen SM-Schlüssel generieren:
 <syntaxhighlight lang="diff">diff --git a/common/util.c b/common/util.c
 index f0a9d5c9da9b4837a3bf3df5e0c5c8c2223938c8..6d9dbdd5d42431d0b7af460732cf2ea8e3576c6e 100644
@@ Line 472: / Line 473: @@
  option "hash" H "Hash to use for signatures" values="SHA1","SHA256","SHA384","SHA512" enum optional default="SHA256"
  option "new-key" n "New management key to use for action set-mgm-key, if omitted key will be asked for" string optional</syntaxhighlight>
 Generieren des SM-Schlüssels nach Patch (muss ECCP384 oder ECCP256 sein!):
@@ Line 498: / Line 500: @@
 Dazu musste als erstes ant-javacard, das als git submodule in das Repo eingebunden ist, auf die neueste Version gebracht werden.
 Um ein Submodul lokal zu updaten muss in das Verzeichnis des Submoduls gewechselt werden, dort die <code>HEAD</code> ref des inneren Repos auf den gewünschten Commit gesetzt werden und anschließend das Submodul im äußerem Repo committed werden:
@@ Line 527: / Line 529: @@
 <syntaxhighlight lang="sh">git submodule deinit --all --force</syntaxhighlight>
 Anschließend haben wir im <code>build.xml</code> die entsprechenden Versionsnummern eingetragen und in <code>PivApplet.java</code> veraltete (deprecated) Methoden ersetzt:
 <syntaxhighlight lang="diff">diff --git a/build.xml b/build.xml
 index 5417422598ccf67a9561ef05b8abb9745fbbeef7..7fd393a3ef9eef5903836f86bdf2535462dbb23b 100644
@@ Line 621: / Line 622: @@
             (short)certSerial.length);
         certSerial[0] = (byte)(certSerial[0] & (byte)0x7F);</syntaxhighlight>
 Dieses geupdatete Applet konnte dann erfolgreich auf unseren Java Cards installiert und [[#Integrationstest|getestet]] werden.
@@ Line 632: / Line 632: @@
 Dazu haben wir im Applet den entsprechenden key slot (<code>04</code>) für das SM-Schlüsselpaar angelegt und ermöglichen für diesen slot eine Schlüsselgeneration per <code>GENERATE ASYMMETRIC KEY</code>-APDU mit den erlaubten Schlüsseltypen (NIST P-256 oder P-384). Wenn sich in dem SM key slot ein Schlüsselpaar befindet, dann wird als Antwort auf das <code>SELECT</code>-APDU die entsprechende cipher suite als unterstüzt gemeldet (<code>CS2</code> für P-256 / <code>CS7</code> für P-384).
 <syntaxhighlight lang="diff">diff --git a/src/net/cooperi/pivapplet/PivApplet.java b/src/net/cooperi/pivapplet/PivApplet.java
 index 8b9c6bf5591f03682a55a0d0283ff370d1b61aa9..4a6d4aff832d941b36c90fb092a82021dbf48311 100644
@@ Line 717: / Line 717: @@
         final ECPrivateKey ecPriv;
         final ECPublicKey ecPub;</syntaxhighlight>
 == Integrationstest ==

Weigtvin: replaced < by <

2024-10-18T12:00:38Z

replaced < by <

Weigtvin: Added syntax highlighting.

2024-10-18T11:57:47Z

Added syntax highlighting.

← Older revision		Revision as of 11:57, 18 October 2024
Line 161:		Line 161:
	Da das Eclipse-Plugin nicht wie gewünscht funktioniert hat, haben wir die Werkzeuge direkt von der Kommandozeile verwendet. Um aus dem Quellcode direkt eine .cap-Datei zu bauen, haben wir ein Makefile geschrieben:		Da das Eclipse-Plugin nicht wie gewünscht funktioniert hat, haben wir die Werkzeuge direkt von der Kommandozeile verwendet. Um aus dem Quellcode direkt eine .cap-Datei zu bauen, haben wir ein Makefile geschrieben:

	<~~pre~~>package := secureChannelTest		<syntaxhighlight lang="Makefile">package := secureChannelTest
	class := SecureChannelTest		class := SecureChannelTest

Line 212:		Line 212:
	-exportpath ${exportdir} \		-exportpath ${exportdir} \
	-target ${javacard_version} \		-target ${javacard_version} \
	${package} ${package_aid} 1.0</~~pre~~>		${package} ${package_aid} 1.0</syntaxhighlight>

	Dieses Makefile baut das [https://gitlab.informatik.hu-berlin.de/weigtvin/keystore/-/tree/main/secure_channel Secure Channel Beispiel]. Die Pfade zu den Java-Card-Tools müssen angepasst werden. Außerdem werden die .jar-Datei und die .exp-Datei der [https://globalplatform.org/specs-library/globalplatform-card-api-org-globalplatform/ GlobalPlatform API] benötigt. Für unsere Java Cards benötigen wir die GlobalPlatform API in der Version 1.6 (mehr dazu [https://sar.informatik.hu-berlin.de/research/publications/SAR-PR-2024-01/SAR-PR-2024-01_.pdf hier im Abschnitt 6.1]) und das Exportfile in der Version 2.3, zu finden im Verzeichnis exports23.		Dieses Makefile baut das [https://gitlab.informatik.hu-berlin.de/weigtvin/keystore/-/tree/main/secure_channel Secure Channel Beispiel]. Die Pfade zu den Java-Card-Tools müssen angepasst werden. Außerdem werden die .jar-Datei und die .exp-Datei der [https://globalplatform.org/specs-library/globalplatform-card-api-org-globalplatform/ GlobalPlatform API] benötigt. Für unsere Java Cards benötigen wir die GlobalPlatform API in der Version 1.6 (mehr dazu [https://sar.informatik.hu-berlin.de/research/publications/SAR-PR-2024-01/SAR-PR-2024-01_.pdf hier im Abschnitt 6.1]) und das Exportfile in der Version 2.3, zu finden im Verzeichnis exports23.
Line 292:		Line 292:
	Das Makefile dazu:		Das Makefile dazu:

	<~~pre~~>source_file := gp-client.c		<syntaxhighlight lang="Makefile">source_file := gp-client.c
	target_file := gp-client		target_file := gp-client
	library_path := /home/user/its-workshop/globalplatform/lib		library_path := /home/user/its-workshop/globalplatform/lib
Line 307:		Line 307:
	${source_file} \		${source_file} \
	-l globalplatform \		-l globalplatform \
	-o ${target_file}</~~pre~~>		-o ${target_file}</syntaxhighlight>

	= Secure Messaging =		= Secure Messaging =
Line 779:		Line 779:
	Den Namen des Kartenlesers, der die Karte mit dem PivApplet enthält, wird in eine Variable geschrieben:		Den Namen des Kartenlesers, der die Karte mit dem PivApplet enthält, wird in eine Variable geschrieben:

	<~~pre~~>export GP_READER=~~"~~REINER SCT cyberJack RFID standard (0954493871) 00 00~~"~~</~~pre~~>		<syntaxhighlight lang="sh">export GP_READER="REINER SCT cyberJack RFID standard (0954493871) 00 00"</syntaxhighlight>

	Außerdem verwenden wir die Standard PIN:		Außerdem verwenden wir die Standard PIN:

	<~~pre~~>export PIN=~~"~~123456~~"~~</~~pre~~>		<syntaxhighlight lang="sh">export PIN="123456"</syntaxhighlight>

	Dann können wir mit dem [[#yubico-piv-tool\|yubico-piv-tool]] die PIV-Schlüssel generieren, signieren, und das Zerifikat auf die Karte laden:		Dann können wir mit dem [[#yubico-piv-tool\|yubico-piv-tool]] die PIV-Schlüssel generieren, signieren, und das Zerifikat auf die Karte laden:

	<~~pre~~>yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9e -a generate -A RSA2048 \| tee 9e.pub		<syntaxhighlight lang="sh">yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -a generate -A RSA2048 \| tee 9e.pub
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9e -S'/CN=barCard/OU=test/O=example.com/' -averify-pin -aselfsign < 9e.pub \| tee 9e.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -S'/CN=barCard/OU=test/O=example.com/' -averify-pin -aselfsign < 9e.pub \| tee 9e.cert
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9e -aimport-certificate < 9e.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -aimport-certificate < 9e.cert

	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9a -a generate -A RSA2048 \| tee 9a.pub		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -a generate -A RSA2048 \| tee 9a.pub
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9a -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9a.pub \| tee 9a.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9a.pub \| tee 9a.cert
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9a -aimport-certificate < 9a.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -aimport-certificate < 9a.cert

	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9c -a generate -A ECCP256 \| tee 9c.pub		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -a generate -A ECCP256 \| tee 9c.pub
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9c -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9c.pub \| tee 9c.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9c.pub \| tee 9c.cert
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9c -aimport-certificate < 9c.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -aimport-certificate < 9c.cert

	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9d -a generate -A ECCP256 \| tee 9d.pub		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -a generate -A ECCP256 \| tee 9d.pub
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9d -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9d.pub \| tee 9d.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9d.pub \| tee 9d.cert
	yubico-piv-tool -v 9999 -r ~~"~~$GP_READER~~"~~ -P ~~"~~$PIN~~"~~ -s 9d -aimport-certificate < 9d.cert</~~pre~~>		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -aimport-certificate < 9d.cert</syntaxhighlight>

	=== Testen des PIV-Applets ===		=== Testen des PIV-Applets ===

	<~~pre~~>cd OpenSC/src/tests/p11test		<syntaxhighlight lang="sh">cd OpenSC/src/tests/p11test
	./p11test -v -p ~~"~~$PIN~~"~~ -o piv.json		./p11test -v -p "$PIN" -o piv.json
	diff -u3 piv{_ref,}.json</~~pre~~>		diff -u3 piv{_ref,}.json</syntaxhighlight>

	= Ausblick =		= Ausblick =

Lm: minor fixes & clarifications

2024-10-17T16:07:24Z

minor fixes & clarifications

Show changes

Weigtvin: Fixed typos and other minor changes

2024-10-17T12:19:57Z

Fixed typos and other minor changes

Weigtvin: Added a link to the test-piv.sh script of OpenSC

2024-10-17T11:48:05Z

Added a link to the test-piv.sh script of OpenSC

← Older revision		Revision as of 11:48, 17 October 2024
Line 737:		Line 737:
	=== Initialisierung der Schlüssel ===		=== Initialisierung der Schlüssel ===

	Bevor das PivApplet getestet werden kann, müssen PIV-Schlüssel initialisiert und auf die Karte geschrieben werden.		Bevor das PivApplet getestet werden kann, müssen PIV-Schlüssel initialisiert und auf die Karte geschrieben werden. Dabei gehen wir so vor, wie [https://github.com/OpenSC/OpenSC/blob/7f7e5dd262e0aeea45ced672783c5335c768aa8a/.github/test-piv.sh#L56-L81 OpenSC beim Testen von PIV].

	Zunächst brauchen wir den Namen unseres Kartenlesers.		Zunächst brauchen wir den Namen unseres Kartenlesers.

← Older revision		Revision as of 12:00, 18 October 2024
Line 788:		Line 788:

	<syntaxhighlight lang="sh">yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -a generate -A RSA2048 \| tee 9e.pub		<syntaxhighlight lang="sh">yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -a generate -A RSA2048 \| tee 9e.pub
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -S'/CN=barCard/OU=test/O=example.com/' -averify-pin -aselfsign ~~<~~ 9e.pub \| tee 9e.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -S'/CN=barCard/OU=test/O=example.com/' -averify-pin -aselfsign < 9e.pub \| tee 9e.cert
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -aimport-certificate ~~<~~ 9e.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9e -aimport-certificate < 9e.cert

	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -a generate -A RSA2048 \| tee 9a.pub		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -a generate -A RSA2048 \| tee 9a.pub
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign ~~<~~ 9a.pub \| tee 9a.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9a.pub \| tee 9a.cert
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -aimport-certificate ~~<~~ 9a.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9a -aimport-certificate < 9a.cert

	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -a generate -A ECCP256 \| tee 9c.pub		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -a generate -A ECCP256 \| tee 9c.pub
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign ~~<~~ 9c.pub \| tee 9c.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9c.pub \| tee 9c.cert
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -aimport-certificate ~~<~~ 9c.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9c -aimport-certificate < 9c.cert

	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -a generate -A ECCP256 \| tee 9d.pub		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -a generate -A ECCP256 \| tee 9d.pub
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign ~~<~~ 9d.pub \| tee 9d.cert		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -S'/CN=bar/OU=test/O=example.com/' -averify-pin -aselfsign < 9d.pub \| tee 9d.cert
	yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -aimport-certificate ~~<~~ 9d.cert</syntaxhighlight>		yubico-piv-tool -v 9999 -r "$GP_READER" -P "$PIN" -s 9d -aimport-certificate < 9d.cert</syntaxhighlight>

	=== Testen des PIV-Applets ===		=== Testen des PIV-Applets ===

← Older revision		Revision as of 12:19, 17 October 2024
Line 3:		Line 3:
	In diesem Seminar ging es darum einen sicheren Kanal zwischen einer solchen Java Card und einem Kartenlesegrät herzustellen, sodass eine PIN sicher kontaktlos übertragen werden kann.		In diesem Seminar ging es darum einen sicheren Kanal zwischen einer solchen Java Card und einem Kartenlesegrät herzustellen, sodass eine PIN sicher kontaktlos übertragen werden kann.

	Dazu haben wir uns zuerst mit der [[#Kompilieren_und_Installieren_von_Applets\|Programmierung Java Card Applets im Allgemeinen]] beschäftigt.		Dazu haben wir uns zuerst mit der [[#Kompilieren_und_Installieren_von_Applets\|Programmierung von Java Card Applets im Allgemeinen]] beschäftigt.

	Dann haben wir in einer Recherche die sicheren Übertagungsprotokolle [[#GlobalPlatform_%E2%80%93_Secure_Channel_Protocol\|SCP]] (von GlobalPlatform) und [[#Secure_Messaging\|Secure Messaging]] (von OpenPGP card und NIST PIV) gefunden.		Dann haben wir in einer Recherche die sicheren Übertagungsprotokolle [[#GlobalPlatform_%E2%80%93_Secure_Channel_Protocol\|SCP]] (von GlobalPlatform) und [[#Secure_Messaging\|Secure Messaging]] (von OpenPGP card und NIST PIV) gefunden.
Line 18:		Line 18:

	<pre>javac -cp /path/to/tools/lib/api_classic-3.0.5 -g -source 7 -target 7 -d bin/ src/package/Class.java</pre>		<pre>javac -cp /path/to/tools/lib/api_classic-3.0.5 -g -source 7 -target 7 -d bin/ src/package/Class.java</pre>
	Diese .class-Datei kann mit dem <code>converter.sh</code> Skript aus den Java Card Development Kit Tools in eine .cap-Datei konvertiert werden~~, die anschließend auf einer Java Card installiert werden kann~~:		Diese .class-Datei kann mit dem <code>converter.sh</code> Skript aus den Java Card Development Kit Tools in eine .cap-Datei konvertiert werden:

	<pre>/path/to/tools/bin/converter.sh -applet 0x01:0x02:0x03:0x04:0x05:0x00 package.Class -classdir bin/ -d deliverables/ -target 3.0.5 package 0x01:0x02:0x03:0x04:0x05:0x01 1.0</pre>		<pre>/path/to/tools/bin/converter.sh -applet 0x01:0x02:0x03:0x04:0x05:0x00 package.Class -classdir bin/ -d deliverables/ -target 3.0.5 package 0x01:0x02:0x03:0x04:0x05:0x01 1.0</pre>
Line 64:		Line 64:
	==== Installation des Simulators ====		==== Installation des Simulators ====

	Obwohl die Installation der Tools, des Simulators, und des Eclipse-Plugins in der [https://docs.oracle.com/en/java/javacard/3.2/ Java Card 3.2 Documentation] ausführlich beschrieben ~~ist~~, sollen hier die wesentlichen Punkte der Installation nocheinmal aufgeführt werden.		Obwohl die Installation der Tools, des Simulators, und des Eclipse-Plugins in der [https://docs.oracle.com/en/java/javacard/3.2/ Java Card 3.2 Documentation] ausführlich beschrieben sind, sollen hier die wesentlichen Punkte der Installation nocheinmal aufgeführt werden.

	Die Tools und der Simulator müssen zunächst entpackt werden.		Die Tools und der Simulator müssen zunächst entpackt werden.
Line 92:		Line 92:
	==== Installation des Eclipse-Plugins ====		==== Installation des Eclipse-Plugins ====

	Die Installation des Eclipse-Plugins ist im [https://docs.oracle.com/en/java/javacard/3.2/jcdksu/installing-eclipse-plug.html Developer Kit Simulator User Guide] zu finden. In den darauffolgenden Abschnitten wird darüberhinaus noch die Konfiguration der Sample Platform und des Sample Device beschrieben. Das beinhaltet die ~~Bearbeitund~~ der Datei <code>simulator/samples/client.config.properties</code>.		Die Installation des Eclipse-Plugins ist im [https://docs.oracle.com/en/java/javacard/3.2/jcdksu/installing-eclipse-plug.html Developer Kit Simulator User Guide] zu finden. In den darauffolgenden Abschnitten wird darüberhinaus noch die Konfiguration der Sample Platform und des Sample Device beschrieben. Das beinhaltet die Bearbeitung der Datei <code>simulator/samples/client.config.properties</code>.

	==== Verwendung des Eclipse-Plugins ====		==== Verwendung des Eclipse-Plugins ====
Line 101:		Line 101:

	<pre>Compiling for Java version '1.7' is no longer supported. Minimal supported version is '1.8'</pre>		<pre>Compiling for Java version '1.7' is no longer supported. Minimal supported version is '1.8'</pre>
	Die target-Version des .class-Files darf maximal 7 sein, d.h. Java 1.7. Class-Dateien höhrerer Versionen werden vom Java Card ~~converter~~ nicht akzeptiert. Jedoch verweigert Eclipse die Erstellung von Class-Dateien der Version 1.7.		Die target-Version des .class-Files darf maximal 7 sein, d.h. Java 1.7. Class-Dateien höhrerer Versionen werden vom Java Card Converter nicht akzeptiert. Jedoch verweigert Eclipse die Erstellung von Class-Dateien der Version 1.7, da diese veraltet sind.

	Mittlerweile existiert eine neue Version des Java Card Development Kits 3.2 vom 6. Oktober 2024. Wir haben nicht geprüft, ob dieser Fehler mit dieser Version immernoch auftritt.		Mittlerweile existiert eine neue Version des Java Card Development Kits 3.2 vom 6. Oktober 2024. Wir haben nicht geprüft, ob dieser Fehler mit dieser Version immernoch auftritt.
Line 119:		Line 119:
	requires java.smartcardio;		requires java.smartcardio;
	}</syntaxhighlight>		}</syntaxhighlight>
	Alternativ kann auch die grafische Benutzeroberfläche von Eclipse verwendet werden, sofern die <code>module-info.java</code> bereits existiert: Rechtsklick auf das Projekt im Datei-Baum, build path, configure build path, module dependencies, add system module, ~~choose~~ java.smartcardio.		Alternativ kann auch die grafische Benutzeroberfläche von Eclipse verwendet werden, sofern die <code>module-info.java</code> bereits existiert: Rechtsklick auf das Projekt im Datei-Baum, build path, configure build path, module dependencies, add system module, dann wähle java.smartcardio.

	=== VS Code Plugin ===		=== VS Code Plugin ===

	Alternativ zu Eclipse kann VS Code für syntax highlighting und auto completions verwendet werden. Dazu müssen ~~die~~ zumindest diese beiden Plugins installiert werden:		Alternativ zu Eclipse kann VS Code für syntax highlighting und auto completions verwendet werden. Dazu müssen zumindest diese beiden Plugins installiert werden:

	* <code>redhat.java</code> (“Language Support for Java(TM) by Red Hat”)		* <code>redhat.java</code> (“Language Support for Java(TM) by Red Hat”)
Line 209:		Line 209:
	=== Gradle ===		=== Gradle ===

	Gradle ist ein Buildsystem, das direkt mit Ant und IDEs (z.B. VS Code) integrierbar ist und deshalb haben wir versucht den Workflow durch den Einsatz von Gradle zu vereinfachen. Es hat sich aber herausgestellt, dass die Konfiguration von Gradle wesentlich ~~unfangreicher~~ als von ant-javacard kombiniert mit dem [[#VS_Code_Plugin\|VS Code <code>setting.json</code>]] ist und im Gegensatz zum [https://de.wikipedia.org/wiki/KISS-Prinzip KISS-Prinzip] viele für unsere ~~Zweche~~ unnötige Features implementiert und somit für uns die Entwicklung erschwert.		Gradle ist ein Buildsystem, das direkt mit Ant und IDEs (z.B. VS Code) integrierbar ist und deshalb haben wir versucht den Workflow durch den Einsatz von Gradle zu vereinfachen. Es hat sich aber herausgestellt, dass die Konfiguration von Gradle wesentlich umfangreicher als von ant-javacard kombiniert mit dem [[#VS_Code_Plugin\|VS Code <code>setting.json</code>]] ist und im Gegensatz zum [https://de.wikipedia.org/wiki/KISS-Prinzip KISS-Prinzip] viele für unsere Zwecke unnötige Features implementiert und somit für uns die Entwicklung erschwert.

	Insgesamt würden wir aktuell vom Einsatz von Gradle zur Entwicklung von (einfachen) Java-Card-Applets abraten.		Insgesamt würden wir aktuell vom Einsatz von Gradle zur Entwicklung von (einfachen) Java-Card-Applets abraten.
Line 320:		Line 320:
	=== kompilieren ===		=== kompilieren ===

	OpenSC zu compilieren ist leider wegen der Benutzung des antiken GNU-Buildsystems nicht trivial. Standardmäßig ~~verucht~~ dieses Buildsystem immer alles global zu installieren, was für “printf-Debugging” eher ungeeignet ist. Um das zu unterbinden, muss für alles was normalerweise ~~golbal~~ installiert wird ein lokaler Pfad angegeben werden.		OpenSC zu compilieren ist leider wegen der Benutzung des antiken GNU-Buildsystems nicht trivial. Standardmäßig versucht dieses Buildsystem immer alles global zu installieren, was für “printf-Debugging” eher ungeeignet ist. Um das zu unterbinden, muss für alles was normalerweise global installiert wird ein lokaler Pfad angegeben werden.

	Außerdem ist SM standardmäßig durch den C-Präprozessor statisch deaktiviert und muss zur Kompilezeit mit <code>--enable-piv-sm</code> aktiviert werden.		Außerdem ist SM standardmäßig durch den C-Präprozessor statisch deaktiviert und muss zur Kompilezeit mit <code>--enable-piv-sm</code> aktiviert werden.
Line 465:		Line 465:

	<syntaxhighlight lang="sh">java -jar path/to/gp.jar --install bin/PivApplet.cap --force</syntaxhighlight>		<syntaxhighlight lang="sh">java -jar path/to/gp.jar --install bin/PivApplet.cap --force</syntaxhighlight>
	In dem repo existiert auch ein Skript <code>build.rb</code> das verschiede Varianten (Preprozessor defines) hintereinander kompiliert – ~~diese~~ Skript wird nicht benötigt und wurde von uns nicht verwendet.		In dem repo existiert auch ein Skript <code>build.rb</code> das verschiede Varianten (Preprozessor defines) hintereinander kompiliert – dieses Skript wird nicht benötigt und wurde von uns nicht verwendet.

	=== Migration zu JavaCard 3.0.5 ===		=== Migration zu JavaCard 3.0.5 ===
Line 494:		Line 494:
	-Subproject commit 2733c303704ae1356991285456d0d1a06b3dcb24		-Subproject commit 2733c303704ae1356991285456d0d1a06b3dcb24
	+Subproject commit e2e294b4444d6b25d77fd0162d32071b8650c69c</syntaxhighlight>		+Subproject commit e2e294b4444d6b25d77fd0162d32071b8650c69c</syntaxhighlight>
	Dieser Commit kann dann mit <code>git push</code> und <code>git pull</code> in ein anderes Repo transferiert werden. Anschließend müssen in dem anderem Repo dann ~~dir~~ Submodule erneut augecheckt werden:		Dieser Commit kann dann mit <code>git push</code> und <code>git pull</code> in ein anderes Repo transferiert werden. Anschließend müssen in dem anderem Repo dann die Submodule erneut augecheckt werden:

	<syntaxhighlight lang="sh">git submodule update --init --recursive</syntaxhighlight>		<syntaxhighlight lang="sh">git submodule update --init --recursive</syntaxhighlight>
	Fall irgendwas schief geht, dann hilft häufig das ~~zurücksetzen~~ der Submodule:		Fall irgendwas schief geht, dann hilft häufig das Zurücksetzen der Submodule:

	<syntaxhighlight lang="sh">git submodule deinit --all --force</syntaxhighlight>		<syntaxhighlight lang="sh">git submodule deinit --all --force</syntaxhighlight>
	TODO: end datails		TODO: end datails

	Anschließend haben wir im <code>build.xml</code> die entsprechenden Versionsnummern eingetragen und veraltete (deprecated) Methoden ersetzt:		Anschließend haben wir im <code>build.xml</code> die entsprechenden Versionsnummern eingetragen und in <code>PivApplet.java</code> veraltete (deprecated) Methoden ersetzt:

	TODO: details		TODO: details
Line 599:		Line 599:
	=== Generation des SM-Schlüsselpaars ===		=== Generation des SM-Schlüsselpaars ===

	Wir haben das Applet gepatcht, um die Generation eines SM-Schlüsselpaars zu erlauben und an die Client-Anwendung zu melden, dass SM ~~unterstüzt~~ ist.		Wir haben das Applet gepatcht, um die Generation eines SM-Schlüsselpaars zu erlauben und an die Client-Anwendung zu melden, dass SM unterstützt ist.

	Dazu haben wir im Applet den entsprechenden key slot (<code>04</code>) für das SM-Schlüsselpaar angelegt und ermöglichen für diesen slot eine Schlüsselgeneration per <code>GENERATE ASYMMETRIC KEY</code>-APDU mit den erlaubten Schlüsseltypen (NIST P-256 oder P-384). Wenn sich in dem SM key slot ein Schlüsselpaar befindet, dann wird als Antwort auf das <code>SELECT</code>-APDU die entsprechende ~~chipher~~ suite als unterstüzt gemeldet (<code>CS2</code> für P-256 / <code>CS7</code> für P-384).		Dazu haben wir im Applet den entsprechenden key slot (<code>04</code>) für das SM-Schlüsselpaar angelegt und ermöglichen für diesen slot eine Schlüsselgeneration per <code>GENERATE ASYMMETRIC KEY</code>-APDU mit den erlaubten Schlüsseltypen (NIST P-256 oder P-384). Wenn sich in dem SM key slot ein Schlüsselpaar befindet, dann wird als Antwort auf das <code>SELECT</code>-APDU die entsprechende cipher suite als unterstüzt gemeldet (<code>CS2</code> für P-256 / <code>CS7</code> für P-384).

	TODO: details		TODO: details