Apache amb DNIe

Configurar el servidor web (en aquest cas Apache) per a que validi certificats de confiança (en aquest cas del DNIe) és una tasca important en les mesures de seguretat i autenticació de l'administració pública, i pot esdevenir-ho també en un futur per a la gestió privada. L'administració pública necessita uns estàndards molt alts de seguretat, sobretot en el què respecta a autenticació i validació de la identitat de l'usuari.

En realitat el que realitzarem serà una autenticació mútua entre servidor i client, essent necessaris tant a l'un com a l'altre la configuració dels certificats de la CA (Certificate Authority, pel nostre cas el «AC RAIZ DNIE 2») i, per part del client, el certificat signat per aquesta mateixa CA (present dins del DNIe).

Referències i ampliacions:

• Autenticació mútua amb Nginx.

Configuració del client

Disposar de certificats vàlids al DNIe

Primer de tot caldrà que tingueu el DNIe amb els certificats vàlids. Per solventar-ho cal que aneu a una Commissaria de la Policía Nacional i us assegureu que renoveu els certificats i coneixeu el vostre PIN.

Lector de targetes

Necessitarem un lector de targetes que funcioni amb el DNIe. Aquest lector de targetes de Zoweetek, per exemple, sabem que és compatible amb el DNIe tant per a GNU/Linux com per a Windows i Mac.

Pot ser que el lector de smart cards no estigui habilitat. Per comprovar-ho en GNU/Linux podem fer:

$ pcsc_scan

Si el servei no està instal·lat, es pot fer amb:

$ sudo apt install pcsc-tools pcscd

Si continua sense funcionar pcsc_scan, es pot activar amb:

$ sudo systemctl enable pcscd
$ sudo systemctl start pcscd
$ pcsc_scan

Resolució client en Windows

Per a Windows l'executable descarregat a la web del DNIe realitza aquestes passes més o menys automàticament si no hi ha cap error.

Resolució client en Ubuntu 22.04

A la pàgina de descàrregues del DNIe es mostra el paquet DEB per a versions fins la Ubuntu 21.10, però no la darrera Ubuntu 22.04 LTS. El problema, segons aquest post, és la versió snap (enlloc de la clàssica APT) de Firefox que Canonical fa servir des d'aquesta versió.

Navegador i certificats DNIe

Caldrà que tinguem la màquina client i el navegador configurats adientment per poder utilitzar el DNIe:

Bàsicament la instal·lació té aquestes passes:

1. Instal·lar els drivers necessaris per accedir al lector de targetes. Normalment es fa d'aquesta manera i hauria de mostrar instruccions de com procedir amb les següents passes per completar la instal·lació:

   sudo dpkg -i arxiu.deb
   sudo apt install -f

2. Configurar la llibreria PKCS#11 al Firefox que permeti introduir el PIN a l'accedir al DNIe. Normalment seria (revisar si coincideix amb les instruccions):

   Firefox > Paràmetres > Privadesa i seguretat > Certificats > Dispositius > Carrega
   /usr/lib/libpkcs11-dnie.so

   Si et surt l'error:

   No s'ha pogut afegir el mòdul

   Ves a la secció anterior de «Resolució amb Ubuntu 22.04» per solucionar-ho.

3. Instal·lar el certificat arrel del DNIe al navegador local per tal que doni per bo l'accés al certificat del DNIe (no ve instal·lat per defecte):

   Firefox > Paràmetres > Privadesa i seguretat > Certificats > Mostra els certificats

4. Comprova que tens instal·lat el certificat local del DNI anant als certificats del browser comprovant que teniu instal·lat el certificat de la «DIRECCION GENERAL DE LA POLICIA → AC DNIE». Si no hi és, importa'l clicant «Importa» i carrega l'arxiu:

   /usr/share/libpkcs11-dnie/AC RAIZ DNIE 2.crt

Configurar el servidor

Podem fer la pràctica en un servidor públic (Cloud) però també funciona en un servidor local (VM).

$ vagrant ssh

Documentació oficial (obsoleta!) per a Apache

Aquí s'explica la doble autenticació mútua entre servidor i client.

En aquesta documentació de INTECO disposem d'una guia per a configurar Apache amb els certificats necessaris per al DNIe, tot i que caldran algunes modificacions i actualitzacions:

1. Taller INTECO PDF online.
2. dia_2_taller_autenticacio_n_web_con_dnie.pdf descarrega't el PDF de bytes.cat.

El què es proposa a la documentació del DNIe és el què segueix.

dnie.conf

# Configuracio DNIe
# ULL: aquesta configuració és obsoleta. Veure més avall l'actualitzada
<Directory /var/www/sitednie/zona-privada>
    # Certificado raiz DNIe
    SSLCACertificateFile "/etc/ssl/certs/AC RAIZ DNIE 2.crt"
    # El cliente debe autenticarse obligatoriamente con el certificado
    SSLVerifyClient require
    # Nivel máximo de profundidad (según infraestructura actual, 2)
    SSLVerifyDepth  2
    # Exportar contenido de certificados y certificados (para poder usarlos con PHP)
    SSLOptions +StdEnvVars +ExportCertData
    Options Indexes FollowSymLinks MultiViews
    AllowOverride None
    Order allow,deny
    allow from all
</Directory>

SSLVerifyClient require

Canvis que cal fer:

1. Treure la SSLCACertificateFile del nivell de Directory i posar-ho al nivell de VirtualHost. Apache ara no admet diferents certificats per directori (només un per VirtualHost).
2. Canviar el Directory per Location , tal i com recomana fer-ho Apache2. Per exemple, creeu una zona reservada a Location /zona-privada.
3. Pujar SSLOptions i Options també a nivell de VirtualHost (tot i que això no és imprescindible).

Troubleshooting

Un error que ens pot sorgir és que ens doni un 403 FORBIDDEN «Cannot perform Post-Handshake Authentication.» En aquest cas és per una incompatibilitat amb la implementació del protocol de seguretat amb el navegador. Per solventar-lo, només cal afegir aquesta directiva per forçar a fer servir el protocol TLSv1.2:

SSLProtocol -all +TLSv1.2

Configuració final Apache2

Com ja hem dit, podem realitzar aquesta instal·lació en local, tot i que és més interessant realitzar-la en un servidor públic.

Recorda que per configurar Apache2 en Debian Ubuntu hem de situar l'arxiu .conf a la carpeta sites-available i habilitar la site amb a2ensite.

Els certificats vàlids estan a la carpeta /etc/ssl/certs, en symbolic links. És interessant destacar que afegir l'arxiu a la carpeta i emprar la directiva SSLCACertificatePath no funcionarà, a la documentació s'explica que cal seguir un symbolic link amb un format de hash concret.

La configuració que emprarem serà mitjançant l'arxiu /etc/ssl/certs/ca-certificates.crt, on estan tots els certificats concatenats seguidament, i amb la directiva SSLCACertificateFile. El certificat de CA de la FNMT ja hi és per defecte, però no el del DNIe. Per tant, el descarreguem, descomprimim i annexem a ca-certificates.crt per tal d'habilitar-ho:

# cd /etc/ssl/certs
# wget https://www.dnielectronico.es/ZIP/ACRAIZ-DNIE2.zip
# unzip ACRAIZ-DNIE2.zip
# cat "AC RAIZ DNIE 2.crt" >> /etc/ssl/certs/ca-certificates.crt

Fixeu-vos que l'arxiu de certificats el configurem amb la directiva:

SSLCACertificateFile /etc/ssl/certs/ca-certificates.crt

Accedint a les dades del certificat amb PHP

Abans de fer el codi, recordeu que cal instal·lar PHP al servidor:

$ sudo apt install libapache2-mod-php

A les variables supraglobals trobaràs les dades que el client transmet al servidor, en particular les de $_SERVER que comencen per SSL_…, com per exemple $_SERVER['SSL_CLIENT_S_DN']. Aquestes variables les aconseguim capturar dins el nostre llenguatge de programació (en aquest cas PHP) mitjançant la directiva d'Apache:

SSLOptions +StdEnvVars +ExportCertData

Si no està activada aquesta directiva no podrem veure les dades del client.

A aquesta web hi ha alguns exemples de com escanejar totes les variables supragrobals.

Les variables que podem fer servir son:

1. $_SERVER['SSL_CLIENT_S_DN'] : les dades del DNIe (nom, cognoms, número del DNI, etc.). Caldrà fer algun parse extra per aïllar les variables adientment (per exemple, extreure el número del DNI).
2. $_SERVER['SSL_CLIENT_S_DN_G'] : el nom de pila.
3. $_SERVER['SSL_CLIENT_S_DN_S'] : el 1r cognom.
4. $_SERVER['SSL_CLIENT_CERT_CHAIN_0'] : issuer certificate
5. $_SERVER['SSL_CLIENT_CERT'] : client certificate

Amb aquest codi pode examinar totes les variables que ens arribien dins l'array supraglobal $_SERVER:

index.php

<h1>Portal DNIe</h1>
<?php
echo "Benvingut/da ".$_SERVER['SSL_CLIENT_S_DN_G'];
echo "<br><br>\n\n";
echo "\n<table>\n";
 
foreach( $_SERVER as $key => $val ) {
    echo "<tr>\n<td>$key</td><td>$val</td></tr>\n";
}
echo "\n</table>\n";
?>

Comprovació de revocació OCSP

Amb la comprovació OCSP el què fem és consultar la base de dades de la pròpia CA (autoritat certificadora, la seu del DNIe) per comprovar que el certificat que ens arriba no hagi estat revocat. És una important passa de seguretat.

El resultat de la consulta OCSP hauria de ser: good, revoked o unknown.

En aquestes pàgines tenim exemples de com fer una query OCSP (a ocsp.dnie.es) per conèixer l'estat del certificat utilitzat, ja que podria estar revocat:

1. Wiki locolandia (còpia a archive.org)
2. Turorial INTECO DNIe página 10.

La 1a funciona, però cal corregir un petit error en la línia de la query que es fa mitjançant OCSP. Investiga què és el què pot fallar (la manera més fàcil és activant els missatges de error d'Apache a php.ini i mostrant les variables intermitges. Mostra també la query openssl per veure què és el que fem executar a la shell i excecuta-la manualment en una shell a part per esbrinar quin problema ens estava succeint.

Altres certificats

Perquè ens funcioni amb diversos tipus de certificats com idCAT, hisenda, etc. podem fer servir l'arxiu amb tots els certificats agrupats que porta Apache, al qual afegirem el del DNIe, que per defecte no ve inclòs.

# cd /etc/ssl/certs
# cat AC_RAIZ_DNIE_2.crt >> ca-certificates.crt

I canviarem la línia de l'anterior arxiu de configuració on diu:

SSLCACertificateFile /etc/ssl/certs/AC_RAIZ_DNIE_2.crt

per:

SSLCACertificateFile /etc/ssl/certs/ca-certificates.crt