CNS ACe 2021 la storia infinita

rowun

unread,

May 21, 2022, 8:40:02 AM5/21/22

to

Storia infinita perche' e' mesi che sto lentamente masticando il problema
del non riuscire ad autenticarmi. Ma ora vedo per la prima volta la luce
alla fine del tunnel, avendo letto dove si trova il certificato sulla
CNS ACe 2021 (tra parentesi, Athena, come societa' non esiste piu' ?),
che secondo finora mi appariva pieno solo di zeri. Ecco il punto a cui
sono arrivato:

$ opensc-explorer
OpenSC Explorer version 0.22.0
Using reader with a card: Bit4id miniLector [miniLector-EVO] 00 00
OpenSC [3F00]> cd 1400
OpenSC [3F00/1400]> cd 9001
OpenSC [3F00/1400/9001]> get 2002
Total of 2500 bytes read from 2002 and saved to 3F00_1400_9001_2002.
OpenSC [3F00/1400/9001]>

Nota bene: senza avere fornito un PIN (questo e' regolare ?). E poi:

-----------------------------------------------------------------------

$ openssl x509 -in 3F00_1400_9001_2002 -text -noout -inform DER
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            [--16 byte che ho mascherato --]
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = IT, O = Actalis S.p.A., OU = Servizi di
Certificazione, CN = Regione Veneto - CA Cittadini 2020
        Validity
            Not Before: Jul 6 11:18:17 2021 GMT
            Not After : Jul 4 22:00:00 2027 GMT
        Subject: C = IT, O = Actalis S.p.A., OU = REGIONE VENETO, SN =
[..cognome..], GN = [..nome..], CN =
"[--codice_fiscale/numero_carta?.prezzo1+pezzo2=--]"
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                RSA Public-Key: (2048 bit)
                Modulus:
                    [la chiave]
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Authority Key Identifier:
                keyid: il_keyid_

            Authority Information Access:
                OCSP - URI:http://ocspcns.actalis.it/va/cns-rve

            X509v3 Certificate Policies:
                Policy: 1.3.76.16.2.1
                  User Notice:
                    Explicit Text: Identifies X.509 authentication
certificates issued for the italian National Service Card (CNS) project
in according to the italian regulation
                Policy: 1.3.159.1.10.1
                  CPS: https://www.actalis.it/area-download

            X509v3 Extended Key Usage:
                TLS Web Client Authentication
            X509v3 CRL Distribution Points:

                Full Name:
URI:http://crlcns.actalis.it/rve/getLastCRL.crl?name=CRL42

                Full Name:
URI:ldap://cnsldap.actalis.it/cn=CRL42,ou=Regione%20Veneto%20-%20CA%20Cittadini%202020,ou=Servizi%20di%20Certificazione,o=Actalis%20S.p.A.,C=IT?certificateRevocationList;binary

            X509v3 Subject Key Identifier:
                [subject_key_identifier]
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
    Signature Algorithm: sha256WithRSAEncryption
            [-- firma --?]

--------------------------------------------------------------------------------

che mi sembra un certificato valido e quindi per la prima volta posso
credere che
la mia CNS non sia difettosa.

Ora, non mi resta che capire come fare a passare questo certificato al
sito INPS
o AdE. Mi pare di capire che non c'e' alcun binario pronto per
l'installazione
(uso Debian). Ma solo il sorgente della patch (da cui ho individuato
dove c'e'
il certificato):

<https://github.com/3v1n0/OpenSC/commit/6b627f1a01ac58df4edf634ae9865ec67c9d0700>

Mi fermo qui per ora, perche' devo spostarmi su altro PC, prima di
continuare.

Roberto Resoli

unread,

May 21, 2022, 9:00:02 AM5/21/22

to

Il 21 maggio 2022 14:26:22 CEST, rowun <ro...@tiscali.it> ha scritto:
>Storia infinita perche' e' mesi che sto lentamente masticando il problema
>del non riuscire ad autenticarmi. Ma ora vedo per la prima volta la luce
>alla fine del tunnel, avendo letto dove si trova il certificato sulla
>CNS ACe 2021 (tra parentesi, Athena, come societa' non esiste piu' ?),

E' una carta IDEMIA, prova la patch di 3v1n0:

https://www.freelists.org/post/linuxtrent/Tessere-Sanitarie-ACe-2021-compilare-OpenSC-con-la-patch-di-3v1n0,7

rob

Roberto Resoli

unread,

May 21, 2022, 2:40:02 PM5/21/22

to

Ops, intendevo l'inizio del thread:
https://www.freelists.org/post/linuxtrent/Tessere-Sanitarie-ACe-2021-compilare-OpenSC-con-la-patch-di-3v1n0

>rob

Roberto Resoli

unread,

May 22, 2022, 4:10:03 PM5/22/22

to

Il 21/05/22 14:26, rowun ha scritto:
>
> <https://github.com/3v1n0/OpenSC/commit/6b627f1a01ac58df4edf634ae9865ec67c9d0700>

Questo è il commit nel fork, 3v1n0 ha poi fatto una Pull Request:

https://github.com/OpenSC/OpenSC/pull/2483

Da cui le istruzioni, riportate nel post sulla ml di LinuxTrent. Le puoi
leggere qui:

https://www.resolutions.it/nextcloud/index.php/s/a7iek2nnGpMzRZY

Collaudate da me e da un'altra persona negli scorsi giorni. OpenSC con
la patch supporta sia le carte precedenti che la nuova IDEMIA ACe 2021.

rob

liste DOT girarsi AT posteo DOT eu

unread,

May 23, 2022, 5:20:02 AM5/23/22

to

Il 22/05/22 22:07, Roberto Resoli ha scritto:

Scrivo quà perchè penso interessi.

Durante l'esecuzione del make, mi da questi errori, è la seconda volta,
dopo la prima ho disinstallato opensc e opensc-pkcs11, ma non capisco
che tipo di errori siano, sempre se errori sono.

Ho messo solo la parte finale, ma se serve metto tutto il listato di
esucuzione del make.

card-iasecc.c: In function 'iasecc_qsign_data_sha1':
card-iasecc.c:3184:9: error: 'SHA1_Init' is deprecated: Since OpenSSL 3.0
[-Werror=deprecated-declarations]
3184 | SHA1_Init(&sha);
| ^~~~~~~~~
In file included from /usr/include/openssl/x509.h:41,
from /usr/include/openssl/pem.h:23,
from card-iasecc.c:33:
/usr/include/openssl/sha.h:49:27: note: declared here
49 | OSSL_DEPRECATEDIN_3_0 int SHA1_Init(SHA_CTX *c);
| ^~~~~~~~~
card-iasecc.c:3185:9: error: 'SHA1_Update' is deprecated: Since OpenSSL 3.0
[-Werror=deprecated-declarations]
3185 | SHA1_Update(&sha, in, in_len);
| ^~~~~~~~~~~
In file included from /usr/include/openssl/x509.h:41,
from /usr/include/openssl/pem.h:23,
from card-iasecc.c:33:
/usr/include/openssl/sha.h:50:27: note: declared here
50 | OSSL_DEPRECATEDIN_3_0 int SHA1_Update(SHA_CTX *c, const void *data,
size_t len);
| ^~~~~~~~~~~
card-iasecc.c:3210:9: error: 'SHA1_Final' is deprecated: Since OpenSSL 3.0
[-Werror=deprecated-declarations]
3210 | SHA1_Final(out->hash, &sha);
| ^~~~~~~~~~
In file included from /usr/include/openssl/x509.h:41,
from /usr/include/openssl/pem.h:23,
from card-iasecc.c:33:
/usr/include/openssl/sha.h:51:27: note: declared here
51 | OSSL_DEPRECATEDIN_3_0 int SHA1_Final(unsigned char *md, SHA_CTX *c);
| ^~~~~~~~~~
card-iasecc.c: In function 'iasecc_qsign_data_sha256':
card-iasecc.c:3236:9: error: 'SHA256_Init' is deprecated: Since OpenSSL 3.0
[-Werror=deprecated-declarations]
3236 | SHA256_Init(&sha256);
| ^~~~~~~~~~~
In file included from /usr/include/openssl/x509.h:41,
from /usr/include/openssl/pem.h:23,
from card-iasecc.c:33:
/usr/include/openssl/sha.h:73:27: note: declared here
73 | OSSL_DEPRECATEDIN_3_0 int SHA256_Init(SHA256_CTX *c);
| ^~~~~~~~~~~
card-iasecc.c:3237:9: error: 'SHA256_Update' is deprecated: Since
OpenSSL 3.0
[-Werror=deprecated-declarations]
3237 | SHA256_Update(&sha256, in, in_len);
| ^~~~~~~~~~~~~
In file included from /usr/include/openssl/x509.h:41,
from /usr/include/openssl/pem.h:23,
from card-iasecc.c:33:
/usr/include/openssl/sha.h:74:27: note: declared here
74 | OSSL_DEPRECATEDIN_3_0 int SHA256_Update(SHA256_CTX *c,
| ^~~~~~~~~~~~~
card-iasecc.c:3262:9: error: 'SHA256_Final' is deprecated: Since OpenSSL
3.0
[-Werror=deprecated-declarations]
3262 | SHA256_Final(out->hash, &sha256);
| ^~~~~~~~~~~~
In file included from /usr/include/openssl/x509.h:41,
from /usr/include/openssl/pem.h:23,
from card-iasecc.c:33:
/usr/include/openssl/sha.h:76:27: note: declared here
76 | OSSL_DEPRECATEDIN_3_0 int SHA256_Final(unsigned char *md,
SHA256_CTX
*c);
| ^~~~~~~~~~~~
cc1: all warnings being treated as errors
make[3]: *** [Makefile:1874: libopensc_la-card-iasecc.lo] Errore 1
make[3]: uscita dalla directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC/src/libopensc»
make[2]: *** [Makefile:465: all-recursive] Errore 1
make[2]: uscita dalla directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC/src»
make[1]: *** [Makefile:609: all-recursive] Errore 1
make[1]: uscita dalla directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC»
make: *** [Makefile:517: all] Errore 2

--
_|_|_|_|_|_|_|_|_|_
|_|_|_|_|_|_|_|_|_|_|
Simone Girardelli

Marco Bodrato

unread,

May 23, 2022, 8:30:03 AM5/23/22

to

Ciao,

Il Lun, 23 Maggio 2022 11:16 am, liste DOT girarsi AT posteo DOT eu ha
scritto:

> Durante l'esecuzione del make, mi da questi errori, è la seconda volta,
> dopo la prima ho disinstallato opensc e opensc-pkcs11, ma non capisco
> che tipo di errori siano, sempre se errori sono.

> Ho messo solo la parte finale, ma se serve metto tutto il listato di

> esecuzione del make.

Da quanto hai mandato si possono ulteriormente estrarre un paio di righe:

> card-iasecc.c:3184:9: error: 'SHA1_Init' is deprecated: Since OpenSSL 3.0
> [-Werror=deprecated-declarations]

Tutte le segnalazioni (warning) che vedo mi sembrano di questo tenore: la
tal funzione c'è, ma è sconsigliata (presumibilmente perché in futuro se
ne cambierà l'interfaccia o più probabilmente sarà rimossa).

> cc1: all warnings being treated as errors

Poiché il Makefile (immagino, a meno che non sia una tua pre-impostazione
dell'ambiente di sviluppo) chiede al compilatore di trattare tutti gli
avvisi come errori... il processo si ferma.

Ha senso trattare tutti gli avvisi come errori? Io in questo caso li
ignorerei, ma immagino sia stata non una scelta tua, ma di progettazione
del processo di compilazione...

Ĝis,
m

Roberto Resoli

unread,

May 23, 2022, 9:20:02 AM5/23/22

to

Il 23/05/22 14:16, Marco Bodrato ha scritto:

>> cc1: all warnings being treated as errors
> Poiché il Makefile (immagino, a meno che non sia una tua pre-impostazione
> dell'ambiente di sviluppo) chiede al compilatore di trattare tutti gli
> avvisi come errori... il processo si ferma.

Concordo.

> Ha senso trattare tutti gli avvisi come errori? Io in questo caso li
> ignorerei, ma immagino sia stata non una scelta tua, ma di progettazione
> del processo di compilazione...

Il makefile è quello del git master attuale di OpenSC, le istruzioni le
ho redatte eseguendo su una ubuntu 20.04 aggiornata.

Forse girarsi ha delle condizioni di partenza diverse?

rob

liste DOT girarsi AT posteo DOT eu

unread,

May 25, 2022, 5:10:03 AM5/25/22

to

Il 23/05/22 15:19, Roberto Resoli ha scritto:

Grazie per le risposte, e scusate il ritardo nel rispondervi, ma sono un
pò preso.

Per quel che riguarda le condizioni di partenza non saprei, mi sono
limitato a far eseguire come suggerito nella pagina indicata da Roberto
Resoli, nulla più.

Sono su una debian testing/unstable 64 bit, non credo sia questo il
problema, il tutto è stato eseguito come utente, fatto salvo l'uso della
funzione sudo dove richiesta.

Domani dovrei avere più tempo per guardare/eseguire, quindi vi saprò
dire meglio, nel frattempo, visto me lo sono salvato metto l'output
completo, semmai serva alla vostra analisi.

make

make all-recursive
make[1]: ingresso nella directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC»
Making all in etc
make[2]: ingresso nella directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC/etc»
GEN opensc.conf.example

make[2]: uscita dalla directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0

/OpenSC/etc»
Making all in src
make[2]: ingresso nella directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC/src»
Making all in common
make[3]: ingresso nella directory
«/dati_mypers/personale/sistema/software/tessera_sanitaria/opensc-patchato-3v1n0
/OpenSC/src/common»
CC compat_getopt_main.o
CC compat_dummy.lo
CC compat_strlcat.lo
CC compat_strlcpy.lo
CC compat_strnlen.lo
CC compat_getpass.lo
CC compat_getopt.lo
CC compat_report_rangecheckfailure.lo
CC compat___iob_func.lo
CC simclist.lo
CCLD libcompat.la
CCLD compat_getopt_main
CC libpkcs11.lo
CCLD libpkcs11.la
CC libscdl.lo
CCLD libscdl.la