Форум Рутокен — Блокировка и отсутствие поддержки PUK

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Владимир Салыкин) — Tue, 28 Nov 2017 08:37:15 +0000

beelze, отправил Вам тестовую сборку в письме.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Mon, 27 Nov 2017 10:07:11 +0000

Владимир, по-моему в урле ссылки пропущен хост.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Владимир Салыкин) — Mon, 27 Nov 2017 09:57:16 +0000

Добрый день, beelze.

Новая версия rtAdmin будет поддерживать разблокировку PIN-кодов. Выслал Вам на почту тестовую сборку - пробуйте.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Sat, 18 Nov 2017 22:05:57 +0000

токен снова заблокировался. есть способ разблокировки кроме как через opensc-explorer? c помощью pkcs11-tool --unlock-pin разблокировать не удалось.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Thu, 01 Oct 2015 15:58:16 +0000

хороший костылечек, спасибо. воспроизведено на 0.13.0.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (_S) — Tue, 29 Sep 2015 18:06:07 +0000

Workaround:

$ opensc-explorer 
OpenSC Explorer version 0.15.0
Using reader with a card: Aktiv Rutoken ECP 00 00
OpenSC [3F00]> verify CHV1 "87654321"
Code correct.
OpenSC [3F00]> unblock CHV2
PIN unblocked.
OpenSC [3F00]> q

Test:

$ pkcs15-init -E
Using reader with a card: Aktiv Rutoken ECP 00 00
$ pkcs15-init --create-pkcs15 --so-pin "87654321" --so-puk ""
Using reader with a card: Aktiv Rutoken ECP 00 00
$ pkcs15-init --store-pin --label "User PIN" --auth-id 02 --pin "12345678" --puk "" --so-pin "87654321" --finalize
Using reader with a card: Aktiv Rutoken ECP 00 00
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678" --login -O 
Using slot 1 with a present token (0x1)
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678------" --login -O    
Using slot 1 with a present token (0x1)
error: PKCS11 function C_Login failed: rv = CKR_PIN_INCORRECT (0xa0)

Aborting.
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678------" --login -O
Using slot 1 with a present token (0x1)
error: PKCS11 function C_Login failed: rv = CKR_PIN_INCORRECT (0xa0)

Aborting.
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678------" --login -O
Using slot 1 with a present token (0x1)
error: PKCS11 function C_Login failed: rv = CKR_PIN_INCORRECT (0xa0)

Aborting.
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678------" --login -O
Using slot 1 with a present token (0x1)
error: PKCS11 function C_Login failed: rv = CKR_PIN_INCORRECT (0xa0)

Aborting.
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678------" --login -O
Using slot 1 with a present token (0x1)
error: PKCS11 function C_Login failed: rv = CKR_PIN_LOCKED (0xa4)

Aborting.
$ opensc-explorer 
OpenSC Explorer version 0.15.0
Using reader with a card: Aktiv Rutoken ECP 00 00
OpenSC [3F00]> verify CHV1 "87654321"
Code correct.
OpenSC [3F00]> unblock CHV2
PIN unblocked.
OpenSC [3F00]> q
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678------" --login -O
Using slot 1 with a present token (0x1)
error: PKCS11 function C_Login failed: rv = CKR_PIN_INCORRECT (0xa0)

Aborting.
$ pkcs11-tool --module /usr/local/lib/opensc-pkcs11.so --pin "12345678" --login -O
Using slot 1 with a present token (0x1)
$

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Mon, 28 Sep 2015 15:07:16 +0000

# pkcs15-tool -u -a 02 --puk "" --so-pin "my_so_pin"
pkcs15-tool: unrecognized option '--so-pin'

# pkcs15-tool -u -a 02 --puk "" ↑
Using reader with a card: Aktiv Rutoken ECP 00 00
Enter new PIN [MytokeN]: # 4 digits entered as before
Enter new PIN again [MytokeN]:
PIN unblocking failed: Invalid PIN length

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Кирилл Мещеряков) — Mon, 28 Sep 2015 14:35:37 +0000

beelze пишет:

>>А как вы делаете разблокировку? утилитой pkcs15-tool я надеюсь?
[s]я трижды в день возносил молитвы, потом взял микроскоп и гвозди :D [/s]
да, разумеется. другой способ мне неизвестен, и вроде как в пределах pkcs-* он единственный?
>> верно
«верно, не так понял» или «верно, я правильно понял, что коммит реализует как смену пина так и его сброс»? :)
Просто мне не совсем понятен вывод (пин правда не заблокирован, это влияет?):
# pkcs15-tool -u
Using reader with a card: Aktiv Rutoken ECP 00 00
Enter PUK [Security Officer PIN]: 
Enter new PIN [Security Officer PIN]: # why new pin is SO pin?
^C
# pkcs15-tool -u -a 02                             ↑
Using reader with a card: Aktiv Rutoken ECP 00 00
Enter PUK [MytokeN]: # PUK again… :(

не могу пока точно сказать, надо пробовать
# pkcs15-tool -u -a 02 --puk "" --so-pin "87654321"
?

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Mon, 28 Sep 2015 14:31:31 +0000

>>А как вы делаете разблокировку? утилитой pkcs15-tool я надеюсь?

[s]я трижды в день возносил молитвы, потом взял микроскоп и гвозди :D [/s]
да, разумеется. другой способ мне неизвестен, и вроде как в пределах pkcs-* он единственный?

>> верно

«верно, не так понял» или «верно, я правильно понял, что коммит реализует как смену пина так и его сброс»? :)

Просто мне не совсем понятен вывод (пин правда не заблокирован, это влияет?):

# pkcs15-tool -u
Using reader with a card: Aktiv Rutoken ECP 00 00
Enter PUK [Security Officer PIN]: 
Enter new PIN [Security Officer PIN]: # why new pin is SO pin?
^C
# pkcs15-tool -u -a 02                             ↑
Using reader with a card: Aktiv Rutoken ECP 00 00
Enter PUK [MytokeN]: # PUK again… :(

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Кирилл Мещеряков) — Mon, 28 Sep 2015 13:32:20 +0000

верно.
А как вы делаете разблокировку? утилитой pkcs15-tool я надеюсь?

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Mon, 28 Sep 2015 13:29:04 +0000

Кирилл Мещеряков пишет:

Коммит https://github.com/OpenSC/OpenSC/commit … 60de3de7ec вошел в версию 0.12.2
Разблокировка пинкода пользователя должна работать начиная с этой версии.

установлена 0.13.0, ФС создана этой же версией, в профайле есть … EF CHV2 { …
Смена пина работает, и, исходя из коммита, сброс тоже должен работать? Или я что-то не так понял?

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Кирилл Мещеряков) — Mon, 28 Sep 2015 11:03:28 +0000

Коммит https://github.com/OpenSC/OpenSC/commit … 60de3de7ec вошел в версию 0.12.2

Разблокировка пинкода пользователя должна работать начиная с этой версии.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (beelze) — Thu, 24 Sep 2015 13:16:53 +0000

Ладно, я вижу что тема превратилась в поле битвы. Предлагаю завершить здесь на раскрытии темы профиля – чего там нужно вписать, чтобы SO мог разблокировать пин. Ну и хорошо бы это закоммитить в апстрим-таки по умолчанию.

По поводу отвала и прочего я открываю другую тему.

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Бравлинъ) — Wed, 23 Sep 2015 12:50:20 +0000

beelze пишет:

внезапно пин оказывается заблокированным (стратегия использования токена практически полностью исключает возможность того, что злоумышленник пытался его подобрать etc)

Только меня в контексте данной темы заинтересовал вопрос отличения штатной блокировки PIN-кода (неважно, трудами злоумышленика ли, или вследствие ошибочных действий пользователя) от следствия программной ошибки (в коде или, скорее, в интерфейсе)?
Без удовлетворительного ответа на этот вопрос стрёмно переводить устройство из категории «гаджета на поиграться».

Re: Блокировка и отсутствие поддержки PUK

null@example.com (Бравлинъ) — Wed, 23 Sep 2015 12:42:25 +0000

Кирилл Мещеряков пишет:

https://www.rutoken.ru/support/download/pkcs/

Я конечно знаю как работают интернеты, но…
Для компании, разрабатывающей аппаратные средства криптографической защиты не знать практики использования технологии Java Script (и причин популярности её блокировки)… просто неприлично. А знаючи это не использовать это знание в разделах сайта, где доступность этой технологии критично…

Подтверждение принятия лицензионного соглашения, возвращающее на страницу загрузки (вместо ожидаемой выдачи файла).
Использование базового протокола http вкупе с отсутствием средств контроля целостности и аутентичности…
Для «лидеров локального рынка» (в лице того же 1С) оно понятно и ожидаемо.
Но для компании, специализирующейся в области информационной безопасности мне видится неприличным. Вам так не кажется?

ЗЫ: Почему не последовать примеру хотя бы разработчиков архиватора RAR (которые для минимального пакета unrar, пусть под несвободной лицензией, но дают исходники)?