(вдруг кому пригодится) Грабли на которые встал я:
1. Если openconnect не может получить сертификат (см. выше), копать в сторону p11tool, он работает через него. Начинать с p11tool --list-tokens. Конкретно в моем случае он по умолчанию выбирал виртуальный токен "System Trust", на котором, разумеется, не было нужного сертификата. Вылечилось явным указанием серийника токена в pkcs#11 url: pkcs11:id=....;serial=.... .
2. p11tool по умолчанию в гентуу не настроен - мне понадобилось создать файл /etc/gnutls/pkcs11.conf со строчкой load=/usr/lib/opensc-pkcs11.so
3. По возможности, нужно собирать максимально стабильные версии библиотек. У меня несколько библиотек были собраны с accepted_keyword ~amd64, из-за чего openconnect валился с segmentation fault.
Сейчас появилась следующая проблема - почему-то работа с ключом через pkcs#15 проходит нормально (можно получить список объектов, загрузить сертификат через pkcs15-tool), а вот pkcs#11 - ни в какую.
openconnect (см. предыдущее сообщение) выдает то же самое - не может агрузить сертификат с токена,
pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O
выдает пустой список
pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -tv
выдает следующее:
Using slot 0 with a present token (0x0)
C_SeedRandom() and C_GenerateRandom():
seeding (C_SeedRandom) not supported
ERR: C_GenerateRandom(buf1,0) failed: CKR_ARGUMENTS_BAD (0x7)
Digests:
Note: C_DigestUpdate(), DigestFinal() not supported
error: PKCS11 function C_Digest failed: rv = CKR_OPERATION_NOT_INITIALIZED (0x91)
Aborting.openssl rsautl -engine pkcs11 -keyform engine -inkey 1 -decrypt
сначала не мог найти движок:
invalid engine "pkcs11"
140019541694096:error:25066067:DSO support routines:DLFCN_LOAD:could not load the shared library:dso_dlfcn.c:187:filename(/usr/lib64/engines/libpkcs11.so): /usr/lib64/engines/libpkcs11.so: cannot open shared object file: No such file or directory
140019541694096:error:25070067:DSO support routines:DSO_load:could not load the shared library:dso_lib.c:244:
140019541694096:error:260B6084:engine routines:DYNAMIC_LOAD:dso not found:eng_dyn.c:450:
140019541694096:error:2606A074:engine routines:ENGINE_by_id:no such engine:eng_list.c:418:id=pkcs11
140019541694096:error:25066067:DSO support routines:DLFCN_LOAD:could not load the shared library:dso_dlfcn.c:187:filename(libpkcs11.so): libpkcs11.so: cannot open shared object file: No such file or directory
140019541694096:error:25070067:DSO support routines:DSO_load:could not load the shared library:dso_lib.c:244:
140019541694096:error:260B6084:engine routines:DYNAMIC_LOAD:dso not found:eng_dyn.c:450:
no engine specified
unable to load Private KeyЗатем, после ln -s /usr/lib64/engines/engine_pkcs11.so /usr/lib64/engines/libpkcs11.so
стал выдавать:
unable to load module (null)
can't use that engine
140449394554512:error:80001401:PKCS11 library:PKCS11_CTX_load:Unable to load PKCS#11 module:p11_load.c:68:
140449394554512:error:260B806D:engine routines:ENGINE_TABLE_REGISTER:init failed:eng_table.c:174:
no engine specified
unable to load Private KeyУстановил, кажется, все, что нужно. OpenSC, OpenCT, pcsc-lite, openssl с нужными флагами.
ls -al /usr/lib/readers/usb/
total 24
drwxr-xr-x 6 root root 4096 Aug 8 19:25 .
drwxr-xr-x 3 root root 4096 Aug 8 18:31 ..
drwxr-xr-x 3 root root 4096 Aug 8 19:25 ifd-GemPC430.bundle
drwxr-xr-x 3 root root 4096 Aug 8 18:31 ifd-ccid.bundle
drwxr-xr-x 3 root root 4096 Aug 8 18:53 openct-ifd.bundle
drwxr-xr-x 2 root root 4096 Aug 8 19:25 serial
Если использование openct не является обязательным, попробуйте его удалить.
Похожая на Вашу проблема описана тут: https://forum.rutoken.ru/post/4434/#p4434
Если проблема не решится после удаления openct или конфигурирования его по мотивам https://forum.rutoken.ru/post/4434/#p4434, пришлите, пожалуйста, вывод
pcscd -afd
в момент подключения токена.
Linux 3.14.14-gentoo #1 SMP Fri Aug 1 14:11:49 YEKT 2014 x86_64 Intel(R) Core(TM) i5-4570 CPU @ 3.20GHz GenuineIntel GNU/Linux
Система упорно не хочет работать с Рутокен ЭЦП:
# pkcs15-tool -C
No smart card readers found.
pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -Ol
No slot with a token was found.
openconnect -c "pkcs11:id=..." -v https://адрес_шлюза
Attempting to connect to server адрес_шлюза:443
Using PKCS#11 certificate pkcs11:id=...;object-type=cert;pin-source=openconnect...
Error loading certificate from PKCS#11: The requested data were not available.
Loading certificate failed. Aborting.
Failed to open HTTPS connection to адрес_шлюза
Failed to obtain WebVPN cookie
Установил, кажется, все, что нужно. OpenSC, OpenCT, pcsc-lite, openssl с нужными флагами.
При подключении ключа система его видит и корректно распознает:
Aug 11 13:36:02 host kernel: usb 3-7: USB disconnect, device number 14
Aug 11 13:36:06 host kernel: usb 3-7: new full-speed USB device number 15 using xhci_hcd
Aug 11 13:36:06 host kernel: usb 3-7: New USB device found, idVendor=0a89, idProduct=0030
Aug 11 13:36:06 host kernel: usb 3-7: New USB device strings: Mfr=1, Product=2, SerialNumber=0
Aug 11 13:36:06 host kernel: usb 3-7: Product: Rutoken ECP
Aug 11 13:36:06 host kernel: usb 3-7: Manufacturer: Aktiv
При работе с ключом в логах:
Aug 11 13:37:23 khusainov-ar pcscd: winscard.c:240:SCardConnect() Reader Not Found
Возможно, не установлен или не настроен какой-то из ридеров:
ls -al /usr/lib/readers/usb/
total 24
drwxr-xr-x 6 root root 4096 Aug 8 19:25 .
drwxr-xr-x 3 root root 4096 Aug 8 18:31 ..
drwxr-xr-x 3 root root 4096 Aug 8 19:25 ifd-GemPC430.bundle
drwxr-xr-x 3 root root 4096 Aug 8 18:31 ifd-ccid.bundle
drwxr-xr-x 3 root root 4096 Aug 8 18:53 openct-ifd.bundle
drwxr-xr-x 2 root root 4096 Aug 8 19:25 serial
Но я не смог найти ебилд для еще каких-то ридеров.
]]>наверное дело действительно в hal, он собран ещё до включения поддержки smartcard ( в make.conf) попробую пересобрать...
HAL не нужен, если вы загружаете драйвера и предоставляете нужные права доступа (на запись) к устройству.
]]>Никаких дополнительных модулей ядра для поддержки Рутокена не нужно.
Нужна лишь поддержка ядром usb-устройств.
Как минимум нужен драйвер хост-контроллера uhci_hcd (ohci_hcd ehci_hcd) и поддержка usbfs (или usbdev).
]]>