Sistema Debian no detecta el DNI electrónico

[dimingi]

Hola, tengo configurado firefox para trabajar con el certificado CERES pero estoy intentando hacer funcionar el DNIe tb (cada cierto tiempo se intenta, sin éxito por cierto xd). Lo que sucede es que al añadir el nuevo módulo, si tengo el lector conectado con el DNI dentro se queda bloqueado. Si lo añado sin DNI insertado se añade bien pero no lee los datos del mismo cuando lo meto. No es problema del lector ya que lo he probado en la máquina virtual de linuxAE. Aunque es una buena idea y trabajo de su creador, prefiero por motivos obvios usar mi propia instalación. Además, tb he probado con la utilidad de línea de comandos pcsc_scan y lo lee perfectamente... ¿Alguien sabe qué podría estar pasando?

Como datos extra, estoy usando un sistema de 64 bits, firefox 64 bits, y resto de paquetes tb 64 bits. Instale todos los paquetes, dependencias y el deb oficial de la policia(tb he probado el de la fnmt), y nada.

[JCSenar]

Hola, tengo configurado firefox para trabajar con el certificado CERES pero estoy intentando hacer funcionar el DNIe tb (cada cierto tiempo se intenta, sin éxito por cierto xd). Lo que sucede es que al añadir el nuevo módulo, si tengo el lector conectado con el DNI dentro se queda bloqueado. Si lo añado sin DNI insertado se añade bien pero no lee los datos del mismo cuando lo meto. No es problema del lector ya que lo he probado en la máquina virtual de linuxAE. Aunque es una buena idea y trabajo de su creador, prefiero por motivos obvios usar mi propia instalación. Además, tb he probado con la utilidad de línea de comandos pcsc_scan y lo lee perfectamente... ¿Alguien sabe qué podría estar pasando?

Como datos extra, estoy usando un sistema de 64 bits, firefox 64 bits, y resto de paquetes tb 64 bits. Instale todos los paquetes, dependencias y el deb oficial de la policia(tb he probado el de la fnmt), y nada.

Hola dimingi: ¡Bienvenido al foro!

¿Qué versión de Linux Mint/Escritorio estás usando? Indícalo y lo pruebo.

De todas formas, yo iría a revisar los certificados del chip; puede que estén caducados o el propio chip dañado; me ha pasado 3 veces en los últimos años .

[dimingi]

He probado con las últimas versiones de mint (debian) y debian testing, aunque también me paso lo mismo en estable. El dni lo tengo caducado porque no he ido todavía a renovar certificados desde que los anularon por el fallo de seguridad. Pero leerse se leen. Como ya dije puedo verificar el estado en la FNMT desde una máquina preconfigurada publicada en internet (linuxAE - https://linuxae.org.es/) y también me funciona desde otra máquina virtual que tengo con windows 7 por si las moscas xD. Acabo de probar con la última release de OpenSC desde el repo en github y tampoco me funciona. Estoy instalando todas las dependencias como dije, las que aparecen en este hilo y pinentry-gtk2, algunas otras se instalan al hacerlo con las mencionadas. Estos sistemas los tengo instalados en virtualbox, ya que me gusta hacerlo todo así antes de portarlo a los sistemas de "producción"

[JCSenar]

He probado con las últimas versiones de mint (debian) y debian testing, aunque también me paso lo mismo en estable.

Instalado en LMDE2 Cinnamon y funcionando:

Pantallazo.png

He utilizado el paquete para Debian 8.3. Si tienes LMDE3, dímelo y lo pruebo en cuanto tenga tiempo.

(He tenido que hacer esto después de la instalación)

[dimingi]

Gracias por la respuesta, sí esa máquina que comenté usa debian jessie y esa version del driver del dnie. Aunque en 32 bits. Voy a probarlo yo tb con LMDE2, aunque lo prefiero hacer en stretch/buster porque estoy configurándolo estéticamente con paquetes modernos y otras apps que necesito para trabajar, para ... algún día probar a migrar a linux. Tb puedo montarme una máquina específicamente con la versión basada en jessie para el dni.

[JCSenar]

aunque lo prefiero hacer en stretch/buster porque estoy configurándolo estéticamente con paquetes modernos y otras apps que necesito para trabajar, para ... algún día probar a migrar a linux.

Probado y funcionando exactamente como se describe en el tutorial, en LMDE3 Cinnamon (Debian Stretch) utilizando este paquete:

Pantallazo-2.png

Pantallazo-1.png

Sigo pensando en los certicados caducados...

[dimingi]

Los certificados que se importan al navegador o a los del DNIe?, pero es raro, ya que el chip funciona, debe leerlos y dejar hacer el login en dispositivos de seguridad para no tener que poner la pass todo el rato, y luego ir a la fnmt y ya decirte que estan caducados. Aunque ahora que me dices que te ha funcionado en stretch, ya si que me quedo loco xD ... voy a volver a probarlo. Pero mañana, que toca madrugar. Mientras cenaba pensaba en que a lo mejor podría configurar apt preferences para usar todas las dependencias del dni desde el repo de jessie,manteniendo el resto del sistema en testing/buster. También comentar que estoy usando 3 versiones de firefox con sus respectivos perfiles para no interferir en la config: la 45.2.0ESR, 49.0.2 y 52 ESR. También probé con chromium con los mismos resultados. Espero encontrar la razón de este fallo, hay algo que huele raro xD. Como dije, mañana escribo con los resultados y gracias de nuevo

[JCSenar]

Los certificados que se importan al navegador o a los del DNIe?, pero es raro, ya que el chip funciona, debe leerlos y dejar hacer el login en dispositivos de seguridad para no tener que poner la pass todo el rato, y luego ir a la fnmt y ya decirte que estan caducados.

Firefox importa los certificados del DNIe, estén como estén. Pero si están caducados, después no podrás acceder a las webs.

Mientras cenaba pensaba en que a lo mejor podría configurar apt preferences para usar todas las dependencias del dni desde el repo de jessie,manteniendo el resto del sistema en testing/buster.

Aquí me pierdo porque yo no he tenido que hacer estos malabarismos para nada....

También comentar que estoy usando 3 versiones de firefox con sus respectivos perfiles para no interferir en la config: la 45.2.0ESR, 49.0.2 y 52 ESR.

La primera prueba (con LMDE2) la hice en una máquina virtual que tenía guardada hace tiempo y que estaba sin actualizar (Firefox 52 ESR); y después de instalar el DNIe me daba error al intentar entrar a la web de la Seguridad Social.

Actualicé el sistema (Firefox 60 ESR), volví a probar y ya funcionó. Así que igual van a ser dos cosas...

[tomeu]

La primera prueba (con LMDE2) la hice en una máquina virtual que tenía guardada hace tiempo y que estaba sin actualizar (Firefox 56 ESR); y después de instalar el DNIe me daba error al intentar entrar a la web de la Seguridad Social.

Actualicé el sistema (Firefox 60 ESR), volví a probar y ya funcionó. Así que igual van a ser dos cosas...

Lo de "56 ESR" me parece una errata, pues no hubo ESR de FF ver 56. (Ante la duda, revisado en el ftp de mozilla firefox
Las ESR son las versiones 45.x, 52.x y la última es la 60.x (hubo anteriores a la 45, pero creo que no interesan ya a nadie).
El tema, a veces espinoso, con las páginas de determinados organismos, no solo es el acceder (incluso con la última y actual versión de FF con los certificados instalados acceder no es en sí un problema), el problema puede venir si hay que firmar usando "java", y eso nos obliga a usar como más reciente el FF 52 ESR (el 60 ESR tampoco admite java ya).

[JCSenar]

Lo de "56 ESR" me parece una errata, pues no hubo ESR de FF ver 56. (Ante la duda, revisado en el ftp de mozilla firefox

Vale. Ahí queda eso . Pues sería la 52. El caso es que no funcionó hasta que dejé que se actualizara a la 60.

[dimingi]

Cierto, aunque el addon que recomiendan usar desde la propia fnmt para versiones específicas de firefox, tiene un fork y las últimas versiones de dicho addon funcionan solamente en firefox quantum, no lo he probado todavía. El plugin que comento es el signtextjs PLUS (https://addons.mozilla.org/es/firefox/a ... xtjs-plus/). Pero como bien dices, la última versión de firefox que admite java es la 52. Supongo que otros paises no usan applets de java en sus administraciones, por eso podrán usar este addon en quantum.

EDIT: el addon original es el signtextjs a secas: https://addons.mozilla.org/es/firefox/addon/signtextjs/

La verdad es que hay un buen cacao montado con las administraciones electrónicas, deberían ir a la par que los navegadores modernos, desarrollando sus propios servicios desde cero o al menos que no afecte a los usuarios, y a partir de ahí, que solo tuvieran que adaptar el enlace de su servicio con los navegadores del momento. En cuanto al dni, en un rato me pondré con instalaciones limpias de lmde2 y 3.

[dimingi]

Bueno, sigo con el mismo fallo. Una vez importo todos los certificados y el módulo del dni (probado con el paquete de la policía y el de la fnmt). Conecto el lector y meto la tarjeta, al abrir tanto firefox como chromium, el lector parpadea, y el navegador se bloquea unos segundos hasta que el lector deja de parpadear. Esto pasa cuando abro el navegador, cuando voy a configurar los dispositivos de seguridad o los certificados. Y no encuentro el fallo. ¿Sabe alguien cómo puedo debugear el proceso desde que añado el módulo del dni, hasta que ocurre lo de que no lee el chip y se detiene el lector?

Añadir, que agradezco la ayuda y atención que he recibido hasta ahora en este foro, creo que a partir de aquí debo hacerlo yo solo ya que no quiero molestar más, al tratarse de un error que aparentemente solo yo sufro (cáscatela xD).

[tomeu]

Puede parecer de Perogrullo, pero ¿has probado otro puerto usb del ordenador?
A mi me ha pasado que con enchufar el lector en un puerto funciona perfecto y en otro solo de vez en cuando y mal.

[dimingi]

Sí, he probado varios pero el usb se lo paso a una máquina virtual. No es problema del lector, si hago desde línea de comandos "pcsc_scan" lee que no hay tarjetas, meto el dni, y reconoce que es un dni 3.0 español. El problema viene en los navegadores por eso luego indagaré un poco más por systemd o si alguien sabe de algun fichero donde se almacenen los eventos y la salida de procesos relativos a los módulos que se cargan en firefox. Esto no creo que sea problema del propio navegador, porque he probado en varias versiones de firefox, incluso en chromium, y sucede lo mismo. Algo pasa con los módulos, he probado los de la policía, fnmt incluso el genérico de opensc.

[dimingi]

Noticias frescas, resulta que el problema es en pcscd (systemctl status pcscd), me dice que:
pcscd[2465]: 04016103 ccid_usb.c:898:ReadUSB() read failed (1/5): -7 LIBUSB_ERROR_TIMEOUT

...todo el rato así mientras tengo firefox abierto configurado para que lea el dni. Eso si, cuando uso las herramientas como pcsc_scan, lo lee sin problemas. He probado a compilar CCID y ACSCCID, incluso compilando la versión de desarrollo de PCSC, y nada. Estoy gafado, intenta leer todo el rato sin conseguirlo.

[JCSenar]

Noticias frescas, resulta que el problema es en pcscd (systemctl status pcscd), me dice que:
pcscd[2465]: 04016103 ccid_usb.c:898:ReadUSB() read failed (1/5): -7 LIBUSB_ERROR_TIMEOUT

...todo el rato así mientras tengo firefox abierto configurado para que lea el dni. Eso si, cuando uso las herramientas como pcsc_scan, lo lee sin problemas. He probado a compilar CCID y ACSCCID, incluso compilando la versión de desarrollo de PCSC, y nada. Estoy gafado, intenta leer todo el rato sin conseguirlo.

Aparte de lo que te dije en mi primer mensaje sobre lo de que yo revisaría el DNIe para ir descartando cosas, supongo que harás todo en el orden correcto:

IMPORTANTE: Antes de abrir el navegador el lector y el DNIe deben estar conectados al equipo.

[dimingi]

Sí, lo hago así. Sino cierras el navegador después de configurar no coge el módulo... por eso una vez configurado todo con el dni metido y el lector conectado, se abre de nuevo y ya debería ir. El dni tiene certificados no válidos y revocados porque no he ido todavía a renovarlos desde que los revocaron en masa por el fallo de seguridad. Pero funciona, desde ese linuxAE funciona y puedo comprobar los certificados desde el verificador de la FNMT. Desde windows 7 también. Intenté compilar los paquetes de ccid por si hubiera alguna novedad que resolviera algún bug que pudiera afectarme pero ni con esas xd. De hecho, linuxAE al ser debian 8 usa paquetes más viejos pero que funcionan :S. Esto es un expediente X en toda regla. Voy a acabar repitiendo "dar cera pulir cera" de tanto instalar y reconfigurar.

[JOPETA]

Además de lo dicho ¿el error tambien puede ser debido directamente a libusb y en eso, como en el pcsc la edición de Debian (no sé como va eso de estable/testing/.. ahora) tendría algo que ver?...salvando las distancias que me separan de Debian y desde mi completa ignorancia, pido perdón si molesto.

[dimingi]

Pues no sé, he compilado la última version de libusb también. Por descartar versiones con bugs. Y nada.

Como info extra que no lo había dicho todavía, mi lector es el Tooq tqr-210b

[dimingi]

No he conseguido solucionar el fallo cuando intenta leer el dni desde libpkcs11-dnie.so o desde opensc-pkcs11.so o desde el de la fnmt. He comparado configuraciones de linuxae con las mías tanto en linux mint (ubuntu y debian), y también en debian minimal añadiendole escritorio y todos los paquetes de manera incremental. Y todo parece correcto.


Tengo un portatil viejo al que voy a instalar mint ubuntu para intentar debugear la conexión usb en nativo sin tener virtualbox de por medio. Cuando termine postearé resultados.