Cómo instalar un lector de tarjetas para usar el DNI electrónico español en Debian 8 ‘Jessie’
En este ejemplo voy a instalar un lector de DNI electrónico del fabricante Soyntec, concretamente el modelo Nexoos 610 (que en realidad es un Dectel CI692), en un ordenador con Debian 8 ‘Jessie’ (actualmente Debian Testing) de 32 bits, Xfce como entorno de escritorio y Iceweasel/Firefox como navegador. Aunque también comento alternativas para sistemas de 64 bits y Gnome y KDE como entornos de escritorio.
Vaya por delante que no usaré ni los recursos ofrecidos por el fabricante del dispositivo ni los códigos “retocados” por la Policía Nacional española.
-
Conecto el lector de tarjetas a un puerto USB fiable (para evitar quebraderos de cabeza, no uso ningún hub, ni siquiera alimentado).
-
Abro una terminal e inicio sesión como root:
~$ su -
- Tras introducir la contraseña del root, compruebo que el lector es detectado:
~# cat /var/log/messages
Me devuelve esto:
usb 1-2: new high-speed USB device number 9 using ehci_hcd
usb 1-2: New USB device found, idVendor=0bda, idProduct=0165
usb 1-2: New USB device strings: Mfr=1, Product=6, SerialNumber=3
usb 1-2: Product: Smart Card Reader Interface
usb 1-2: Manufacturer: Generic
usb 1-2: SerialNumber: 20070818000000000
usb 1-2: USB disconnect, device number 9
mtp-probe: checking bus 1, device 9: "/sys/devices/pci0000:00/0000:00:1d.7/usb1/1-2"
mtp-probe: bus: 1, device: 9 was not an MTP device
- Aprovecho para actualizar el sistema:
~# apt-get update
~# apt-get upgrade
- Instalo los paquetes pcscd, pcsc-tools y todas sus dependencias:
~# apt-get install pcscd pcsc-tools
- Y pruebo con el comando pcsc_scan si efectivamente se reconoce el dispositivo sin ningún DNIe introducido:
~# pcsc_scan
Me devuelve esto:
PC/SC device scanner
V 1.4.23 (c) 2001-2011, Ludovic Rousseau
Compiled with PC/SC lite version: 1.8.11
Using reader plug'n play mechanism
Scanning present readers...
Reader 0: Dectel CI692 [Smart Card Reader Interface] (20070818000000000) 00 00
Card state: Card removed.
- Cierro pcsc_scan presionando Ctrl + c, inserto un DNIe en el lector y vuelvo a probar:
~# pcsc_scan
Y ahora me devuelve:
PC/SC device scanner
V 1.4.23 (c) 2001-2011, Ludovic Rousseau
Compiled with PC/SC lite version: 1.8.11
Using reader plug'n play mechanism
Scanning present readers...
Reader 0: Dectel CI692 [Smart Card Reader Interface] (20070818000000000) 00 00
Card state: Card inserted.
ATR: 3C 7F 39 00 01 01 6B 45 2F 38 65 10 13 4D 31 00 13 03 90 00
+ TS = 3B --> Direct Convention
+ T0 = 7F, Y(1): 0111, K: 15 (historical bytes)
TA(1) = 38 --> Fi=744, Di=12, 62 cycles/ETU
64516 bits/s at 4 MHz, fMax for Fi = 8 MHz => 129032 bits/s
TB(1) = 00 --> VPP is not electrically connected
TC(1) = 00 --> Extra guard time: 0
+ Historical bytes: 01 6B 45 2F 38 65 10 13 4D 31 00 13 03 90 00
Category indicator byte: 00 (compact TLV data object)
Tag: 6, len: A (pre-issuing data)
Data: 44 4E 49 65 10 02 4C 34 01 13
Mandatory status indicator (3 last bytes)
LCS (life card cycle): 03 (Initialisation state)
SW: 9000 (Normal processing.)
Possibly identified card (using /usr/share/pcsc/smartcard_list.txt):
3C 7F 39 00 01 01 6B 45 2F 38 65 10 13 4D 31 00 13 03 90 00
3C 7F 39 00 01 01 6B 45 2F 38 65 [1,2]0 13 4D 31 00 13 03 90 00
DNI electronico (Spanish electronic ID card)
http://www.dnielectronico.es
-
Cierro pcsc_scan presionando Ctrl + c.
-
Dependiendo del entorno de ventanas que esté utilizando, instalaré el paquete adecuado de pinentry: pinentry-curses para diálogos de consola, pinetry-gtk2 para Gnome o pinentry-qt4 para KDE. En este ejemplo, al usar Xfce, instalaré pinentry-gtk2:
~# apt-get install pinentry-gtk2
- Ya toca instalar el paquete OpenSC que, a partir de la versión 0.14, ya soporta el DNIe español:
~# apt-get install opensc
- Necesito los certificados oficiales de la Dirección General de la Policía para instalarlos en Iceweasel/Firefox. Están en esta página (no es posible hacer una conexión encriptada… Surrealista), descargo y descomprimo los siguientes certificados:
- AC Raíz
- Certificado pkcs1-sha256WithRSAEncryption (válido hasta el ocho de febrero de 2036)
- AC Subordinadas
- Certificado pkcs1- sha256WithRSAEncryption (válido hasta el 26 de febrero de 2021)
- Certificado pkcs1- sha256WithRSAEncryption (válido hasta el 26 de febrero de 2021)
- Certificado pkcs1- sha256WithRSAEncryption (válido hasta el 26 de febrero de 2021)
- En el menú del navegador, voy a Iceweasel/Firefox Preferencias:
En la ventana Preferencias selecciono la sección Avanzado y la pestaña Certificados. Hago click en el botón Ver certificados:
En la ventana Administrador de certificados selecciono la pestaña Autoridades y hago click en el botón Importar…:
Importo uno a uno los cuatro certificados que acabo de descargar y descomprimir:
Verifico que los cuatro han sido importados:
- Vuelvo a la página de la Dirección General de la Policía para descargar y descomprimir dos certificados adicionales:
- AV DNIE FNMT
- Certificado pkcs1-sha256WithRSAEncryption (válido hasta el 21 de abril de 2015)
- AV DNIE MINHAP
- Certificado pkcs1-sha256WithRSAEncryption (válido hasta el 28 de febrero de 2015)
- Nuevamente en la ventana Administrador de certificados de Iceweasel/Firefox selecciono la pestaña Servidores y hago click en el botón Importar…:
Importo los dos certificados que acabo de descargar y descomprimir. Verifico que ambos han sido importados:
- Al hacer click en el botón Aceptar del Administrador de certificados se cierra y vuelvo a la la ventana Preferencias, sección Avanzado, pestaña Certificados y hago click en el botón Dispositivos de seguridad:
Para encontrarme con que Iceweasel/Firefox no detecta ni el lector de tarjetas ni mucho menos el DNIe:
Esto se debe a que Iceweasel/Firefox busca el archivo opensc-pkcs11.so en /usr/lib/ pero Debian 8 tiene un árbol de directorios un tanto diferente a otras distribuciones, esto se debe a la necesidad de dar soporte multiarquitectura. Es por ello que Iceweasel/Firefox no encontrará la librería opensc-pkcs11.so en /usr/lib/. Estará en /usr/lib/i386-linux-gnu/ o en /usr/lib/amd64-linux-gnu/ o en /usr/lib/x86_64-linux-gnu/ o puede que en /usr/lib64/ dependiendo si es un sistema de 32 bits o de 64 bits.
Para solucionarlo, debo buscar el archivo opensc-pkcs11.so en alguno de los directorios indicados antes. En este ejemplo, la librería está en /usr/lib/i386-linux-gnu/opensc-pkcs11.so
Voy a decirle a Iceweasel/Firefox que el archivo está en /usr/lib/i386-linux-gnu/opensc-pkcs11.so haciendo click en el botón Cargar de la ventana del Administrador de dispositivos y dejándolo como sigue:
Ahora sí me aparece el lector de tarjetas, sin el DNIe insertado:
Y con el DNIe insertado:
- Si hago click en el botón Iniciar sesión de la ventana del Administrador de dispositivos podré comprobar si cuento con el PIN correcto para mi DNI electrónico:
Si el PIN introducido es el correcto, habré iniciado la sesión correctamente:
Si, por el contrario, el PIN no es el correcto o no lo recuerdo no me quedará otro remedio que acercarme a cualquier Oficina de Expedición que cuente con un Punto de Actualización del DNIe, no es necesario pedir cita previa y para cambiar el PIN sólo se requiere colocar el dedo indicado sobre el lector de huellas dactilares.
- Si todo ha ido bien hasta aquí, voy a comprobar que los certificados digitales contenidos en el chip de mi DNIe no están caducados (los certificados digitales tienen un periodo de validez de 30 meses y no tiene ninguna relación con la fecha que aparece impresa en el campo “Válido hasta” del DNI físico).
Para comprobar la validez de los certificados digitales contenidos en el chip del DNIe, cierro la ventana del Administrador de dispositivos haciendo click en el botón Aceptar, siempre sin terminar la sesión. De nuevo en la ventana Preferencias, hago click en el botón Ver certificados:
En la ventana Administrador de certificados selecciono la pestaña Sus certificados:
Y veré la fecha de caducidad de los certificados digitales. Si ésta fuese anterior a la actual, tendré que acercarme a cualquier Oficina de Expedición que cuente con un Punto de Actualización del DNIe. No es necesario pedir cita previa y para renovar los certificados digitales sólo se requiere colocar el dedo indicado sobre el lector de huellas dactilares.
- Para terminar, pruebo el correcto funcionamiento del DNIe accediendo a cualquier servicio de la Administración Pública española que lo requiera. Por ejemplo, descargaré el informe de mi vida laboral de la Tesorería General de la Seguridad Social.