А это не тип ключа, а мусор – там значения меняются при каждом запуске, получил 7FFE7609CBD8, 7FFE908CF928 etc.
Дык я же писал: "Судя по исходникам, CKA_KEY_TYPE заполняется только если подключается OpenSSL, который знает соответствующие ключи.". Соответственно если OpenSSL не знает такой ключ, то по указателю будет "мусор" (то, что хранилось раньше по соответсвующему адресу памяти).
]]>Ау, техподдержка! Все как требовалось – лог, блоб ваш суперсекретный. Нечего тут в обиженку играть – давайте поддерживайте. Меня личности и их качества не интересуют, я не людям проблему адресую, а техподдержке. Оплаченного мной продукта.
]]>И да: безопасность? С PIN'ом 3313? :)
]]># openssl rsa -in .pem -outform der -out .der
writing RSA key
# pkcs11-tool --module /usr/lib64/pkcs11/opensc-pkcs11.so -y privkey -l -e XXXX -w .der
Using slot 1 with a present token (0x1)
Logging in to "Rutoken ECP (YYYY)".
Please enter User PIN:
error: PKCS11 function C_CreateObject failed: rv = CKR_ATTRIBUTE_VALUE_INVALID (0x13)
Aborting.
# 1 pkcs11-tool --module /tmp/librtpkcs11ecp.so -y privkey -l -e XXXX -w .der
Using slot 0 with a present token (0x0)
Logging in to "Rutoken ECP <no label>".
Please enter User PIN:
error: PKCS11 function C_CreateObject failed: rv = CKR_TEMPLATE_INCONSISTENT (0xd1)
Aborting.WTF?
и куда девается label?
Ну перевод-то понятен, непонятно, в каких терминах здесь нарушается уникальность. По поводу другого – да, это пробовалось
Нет, не --auth-id, а --id. Который означает Specify ID of key/certificate.
]]>Означает, что на файловой системе карты уже есть файл, который необходимо создать для "сохранения открытого ключа". Предполагаю, что стоит задать отличный от дефолтного id для утилиты pkcs15-init
Ну перевод-то понятен, непонятно, в каких терминах здесь нарушается уникальность. По поводу другого auth-id – да, это пробовалось и к тому же емнип только 2 можно указывать, о чем говорилось на форуме. При указании 03 получается
Incorrect parameters in APDU... Failed to store public key: File already exists ...Что вообще означает «File already exists» в данном случае?
Означает, что на файловой системе карты уже есть файл, который необходимо создать для "сохранения открытого ключа". Предполагаю, что стоит задать отличный от дефолтного id для утилиты pkcs15-init
-i, --id <arg> Specify ID of key/certificateСм. вывод
pkcs15-tool -D1) вы пользуетесь утилитой и библиотекой, которая разработана не нами и не поддерживается нами.
Это официальная позиция. Я больше не буду это повторять. И не буду оспаривать никакие ваши утверждения.
Точку приложения ваших усилий по получении поддержки этих утилит я вам указал.
2) мы готовы проанализировать лог pcscd демона при обращении каких угодно утилит к нашему устройству, чтобы исключить неисправность или ошибки токена. Лог вы можете собрать любым удобным для вас способом. Официальных утилит или инструкций для этого мы не предоставляем. В качестве жеста доброй воли я вам написал, что нужно сделать, но вы, похоже, не читаете. Лог можно отправить любым официальным способом - это почта россии, форум или e-mail hotline@rutoken.ru
3) в случае если вы считаете что устройство неисправно и не истек его гарантийный срок вы имеете право обратиться к продавцу официальным образом для проведения экспертизы.
]]>Иначе мы скатываемся к бесплодной дискуссии, когда Вы декларируете противоречивые вещи вместо того, чтобы делать то, что я от Вас ожидаю.
>мы указали вам канал, через который будет принята ваша заявка насчет утилиты pkcs15-tool
я пропустил момент, в котором было доказано, что проблема вызвана pkcs15*? или вместо обоснования мне предлагается Вас процитировать?
мы посоветовали средства отладки для исключения проблем с прошивкой
где? где методика отладки и подготовка для нее нужной среды? если одобряется использование одних утилит, а других запрещается – то давайте уж конкретный список что и как делать. У меня есть токен и сертификат. И проблема. Будем считать что более ничего у меня нет и все потребное я сделаю в соответтсвии с Вашими инструкциями.
Пока в этом посте достаточно, только одно отмечу:
>Если "представитель продавца" (кто это?) взял на себя такую ответственность - логично что к нему и следует обратиться.
Нет, нелогично, ибо:
Все что написано на этом форуме от лица сотрудников компании является выражением официальной позиции компании.
так представители компании представляют компанию или нет, я что-то не пойму? я совершал сделку по приобретению товара с компанией а не с «кто это». Как кого зовут и все нюансы персонала – это знает Ваша компания, я в это вникать не обязан. И давайте вести дискуссию цивилизованно – если Вы не можете опровергнуть мое утверждение, будьте любезны с ним согласиться, иначе Вы косвенно и бездоказательно меня упрекаете во лжи. Да, я где-то спрашивал и помню ситуацию и ее развитие в общих чертах – докажите что я ошибаюсь или не оспаривайте.
Все что написано на этом форуме от лица сотрудников компании является выражением официальной позиции компании.
Перед покупкой я уточнил у представителя продавца
Если "представитель продавца" (кто это?) взял на себя такую ответственность - логично что к нему и следует обратиться.
Есть ли необходимость нарыть кучу скриншотов с форумов, которые подтверждают, что Вы (я имею в виду компанию) *рекомендует* для использования opensc?
Найдите официальное признание поддержки компанией Актив-Софт поддержки открытого проекта OpenSC и я буду вам благодарен.
Как я уже 100500 раз отметил, Ваше предложение использовать rtpkcs11ecp – не является готовым решением. Любому известно, что установка неконтролируемых бинарей в обход имеющейся системы управления пакетами – противоречит всем и любым рекомендациям и правилам. Стало быть что? Ее *нельзя* использовать, не нанося ущерба. Но Вы таки это рекомендуете? Это есть профессионально?
Ваше право считать что угодно.
Официальная позиция компании Актив-Софт такова: в операционных системах на базе GNU/Linux официально поддерживается библиотека rtpkcs11ecp. Те кто пользуются низкоуровневыми утилитами OpenSC (pkcs15-init, pkcs15-tool, opensc-tool и прочие) могут рассчитывать лишь на поддержку сообщества OpenSC.
противоречит всем и любым рекомендациям и правилам.
весьма "слабое" утверждение, если использовать вашу терминологию
Далее – где-то есть явное, валидное в юридическом плане объявление, что гарантируется, что rtpkcs11ecp работает на любой конфигурации/инсталляции, не способно нанести вредя системе и владельцу, не собирает и не отправляет никаких данных без одобрения пользователя? Если есть, то я бы хотел это увидеть.
Еще далее – Вы таки одной рукой рекомендуете использовать pkcs11, а другой заявляете, что не несете никакой ответственности и не оказываете поддержки для случая СПО? То есть это надо понимать, что Вы сами определяете меру ответственности по своему желанию?
https://download.rutoken.ru/License_Agreement.pdf
На данный момент Вы отказываетесь как оказывать мне помощь в разрешении проблемы, так и уклоняетесь от указания четкой области, в которой производится поддержка. Это официальная политика компании или Ваше частное мнение?
Вы меня плохо читаете или плохо понимаете.
1) мы указали вам канал, через который будет принята ваша заявка насчет утилиты pkcs15-tool и даже посоветовал как лучше оставить там заявку
2) мы посоветовали средства отладки для исключения проблем с прошивкой (лог команд мы готовы посмотреть немедленно и проверить что с токеном нет проблем)
Перед покупкой я уточнил у представителя продавца, будет ли поддерживаться девайс в линупсах и привел необходимые мне паттерны использования (упоминая явным образом непроприетарное ПО). Так что как минимум этическая обязанность поддержки есть. Юридически мы углубляться не будем, но Ваша позиция и тут слабая. Есть ли необходимость нарыть кучу скриншотов с форумов, которые подтверждают, что Вы (я имею в виду компанию) *рекомендует* для использования opensc? Ну и так далее.
Как я уже 100500 раз отметил, Ваше предложение использовать rtpkcs11ecp – не является готовым решением. Любому известно, что установка неконтролируемых бинарей в обход имеющейся системы управления пакетами – противоречит всем и любым рекомендациям и правилам. Стало быть что? Ее *нельзя* использовать, не нанося ущерба. Но Вы таки это рекомендуете? Это есть профессионально?
Далее – где-то есть явное, валидное в юридическом плане объявление, что гарантируется, что rtpkcs11ecp работает на любой конфигурации/инсталляции, не способно нанести вредя системе и владельцу, не собирает и не отправляет никаких данных без одобрения пользователя? Если есть, то я бы хотел это увидеть.
Еще далее – Вы таки одной рукой рекомендуете использовать pkcs11, а другой заявляете, что не несете никакой ответственности и не оказываете поддержки для случая СПО? То есть это надо понимать, что Вы сами определяете меру ответственности по своему желанию?
На данный момент Вы отказываетесь как оказывать мне помощь в разрешении проблемы, так и уклоняетесь от указания четкой области, в которой производится поддержка. Это официальная политика компании или Ваше частное мнение?
]]>Устройства Рутокен производства компании ЗАО "Актив-Софт" поддерживаюся в программном обеспечении написанном компанией ЗАО "Актив-Софт" если особым образом не указано иное.
Утилиты и библиотеки OpenSC поддерживаются сообществом OpenSC.
Мы уважаем ваше право пользоваться свободным программным обеспечением. Однако, мы не берем на себя ответственность поддерживать любое программное обеспечение, если даже оно с открытым исходным кодом.
Сама по себе открытость ПО не приводит к обязанности его поддерживать.
Если вы считаете, что ошибка в прошивке, попробуйте воспроизвести эту ситуацию искусственно и приложите логи посылаемых в токен команд (сделать это довольно просто, для этого нужно лишь запустить демон pcscd в режиме отладки). Там будет видно какие команды выполняются и какой приходит ответ. Этого будет достаточно для того чтобы исключить неисправности или ошибки в токене.
Ну а если окажется что команды посылаемые в токен неправильные - можно будет разбираться почему они такие и попытаться исправить это в программном коде библиотек и утилит OpenSC
]]>Давайте тогда предметно:
> если бы вы использовали rtpkcs11ecp + pkcs11-tool … то мы бы разобрались и починили
отлично, прошу в студию подробный и последовательный список того, что можно делать и чего делать нельзя. И как делать. (Пакеты, версии, примеры команд). И *без* наколенных копирований файликов наугад (архитектуры, зависимости где?)
Кроме того, будьте любезны, разрулите явным и логичным образом дичайшую ситуацию с тем, что мы таки используем opensc (другого-то нет интерфейса управления), но должны использовать его только частично а-ля pkcs11* но не pkcs15* (это даже при написании звучит как-то бредово)
>Если вы сами не владеете отладчиком
а я владею ВСЕЙ информацией, которая мне может потребоваться при отладке? я, видимо, имею коды микропрограммы на устройстве и прочую подробную документацию? Толсто.
Вы можете только *предполагать*, что проблема коренится в pkcs15 – хотя проблема может быть и в девайсе и в микропрограмме. Разобраться и обосновать Ваше предположение Вы не желаете, похоже. Вместо этого я вижу советы в стиле «переустановите Windows на чистый носитель и посмотрите повторится ли ошибка». Это как-то неуважительно даже.
Хорошо, если в ФС девайса все в порядке, то мы как-то можем это проверить и увидеть? Как именно это сделать? Возможно, это проблема pkcs15, но нужно знать и доказать, что это так, а потом только идти туда в апстрим.
И прошу не игнорировать мои просьбы по предоставлению инструкций для проведения разбора полетов. Давайте тратить мое и Ваше время на решение проблем а не на сомнительные дисклеймеры.
]]>