Форум Рутокен — Rutoken ECP 2.0 и OpenSSH

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (Кирилл Мещеряков) — Mon, 10 Jul 2017 17:30:18 +0000

Вряд ли это особенность Debian, скорее небольшие различия в путях файлов.
Среди пакетов pcscd opensc openssl libpam-p11 libengine-pkcs11-openssl есть все необходимое, кроме libccid (но возможно его подтянул какой-то один из других пакетов).

По идее engine_pkcs11.so устанавливается как раз пакетом libengine-pkcs11-openssl
Может просто путь установки другой? Пробовали найти библиотеку через find -name / *pkcs11*
?

Кстати, ASAP мы рекомендуем пользоваться 1-м путем, через нашу библиотеку librtpkcs11ecp.so

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (kudashevPA) — Fri, 07 Jul 2017 17:13:47 +0000

Кирилл Мещеряков пишет:

Ключевая пара RSA или ГОСТ ?

RSA.

Попробовал на другой станции организовать с той же ОС. Все получилось, но только по второму варианту. В первом варианте файл

/usr/lib/engines/engine_pkcs11.so

отсутствует. Я так понимаю, что это особенность Debian?
Я планировал авторизацию сделать еще на входе в ОС.

Под пунктом 8 в инструкции
Подгружаем модуль поддержки pkcs11:

engine dynamic -pre SO_PATH:/usr/lib/engines/engine_pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:1 -pre LOAD -pre MODULE_PATH:opensc-pkcs11.so

И опять же ссылаемся на данный файл. Где его найти?
Все требуемые программы установил:

apt-get install pcscd opensc openssl libpam-p11 libengine-pkcs11-openssl

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (Кирилл Мещеряков) — Fri, 07 Jul 2017 10:21:14 +0000

Ключевая пара RSA или ГОСТ ?

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (kudashevPA) — Fri, 07 Jul 2017 06:37:55 +0000

Добрый день. Я новую тему создавать не буду. Задача так же, а вот ошибка другая.
при попытке записать ключевую пару на рутокен выдает ошибку:

pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -l -y privkey -w keys.der --id 11 --label Rutoken1
PKCS11 function C_CreateObject failed: rv = CKR_ATTRIBUTE_VALUE_INVALID (0x13)

Как быть?

Distributor ID: Debian
Description: Debian GNU/Linux 8.8 (jessie)
Release: 8.8
Codename: jessie

OpenSSL 1.0.1t 3 May 2016

0: Aktiv Rutoken ECP 00 00
Fri Jul 7 11:13:54 2017
Reader 0: Aktiv Rutoken ECP 00 00
+ TS = 3B --> Direct Convention
+ T0 = 8B, Y(1): 1000, K: 11 (historical bytes)

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (Кирилл Мещеряков) — Tue, 07 Feb 2017 05:25:12 +0000

Пришёл ответ от OpenSC, ребята говорят:
The problem is in /usr/lib/librtpkcs11ecp.so.
librtpkcs11ecp.so can not handle being forked.
This is not an OpenSC problem.

Эта проблема решается инструкцией, которую я вам ранее высылал. Она не чинит pkcs11-tool, но может починить openvpn и возможно openssh.

Но все таки у вас похоже другая проблема. Пришлите пожалуйста лог вызова openssh.

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (dini) — Tue, 07 Feb 2017 04:44:10 +0000

Давайте уточню:
Ubuntu 16.10 x64

$ export PKCS11SPY=/usr/lib/librtpkcs11ecp.so; export PKCS11SPY_OUTPUT=/tmp/logfile; pkcs11-tool --test-fork --module /usr/lib/x86_64-linux-gnu/pkcs11-spy.so
*** Calling C_Initialize in forked child process ***
error: PKCS11 function C_Initialize in child
 failed: rv = CKR_CRYPTOKI_ALREADY_INITIALIZED (0x191)

Aborting.
error: Child process exited with status 256
Aborting.

$ cat /tmp/logfile
*************** OpenSC PKCS#11 spy *****************
Loaded: "/usr/lib/librtpkcs11ecp.so"

0: C_GetFunctionList
2017-02-07 09:25:53.344
Returned:  0 CKR_OK

1: C_Initialize
2017-02-07 09:25:53.344
[in] pInitArgs = (nil)
Returned:  0 CKR_OK

2: C_Initialize
2017-02-07 09:25:53.353
[in] pInitArgs = (nil)
Returned:  401 CKR_CRYPTOKI_ALREADY_INITIALIZED

3: C_Finalize
2017-02-07 09:25:53.354
Returned:  0 CKR_OK

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (dini) — Tue, 07 Feb 2017 04:21:05 +0000

Пришёл ответ от OpenSC, ребята говорят:

The problem is in /usr/lib/librtpkcs11ecp.so.
librtpkcs11ecp.so can not handle being forked.
This is not an OpenSC problem.

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (Кирилл Мещеряков) — Mon, 06 Feb 2017 09:21:22 +0000

У нас ваша ситуация не воспроизводится.
Попробуйте воспользоваться утилитой pkcs11-spy для отладки вызовов pkcs11 которые происходят на вашей системе.
(утилита входит в состав opensc)

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (dini) — Mon, 06 Feb 2017 09:17:44 +0000

К сожалению не помогло:

$ pkcs11-tool --test-fork --module /usr/lib/librtpkcs11ecp.so 
*** Calling C_Initialize in forked child process ***
error: PKCS11 function C_Initialize in child
 failed: rv = CKR_CRYPTOKI_ALREADY_INITIALIZED (0x191)

Aborting.
error: Child process exited with status 256
Aborting.

$ ssh-keygen -D /usr/lib/librtpkcs11ecp.so -I 0:10
C_Initialize failed: 401
cannot read public key from pkcs11

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (dini) — Mon, 06 Feb 2017 08:42:32 +0000

Извините, что долго не отвечал, почему то не пришло письмо. Сегодня вечером посмотрю. С телефона ссылка не открывается.

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (Кирилл Мещеряков) — Fri, 03 Feb 2017 09:11:45 +0000

помогло?

Re: Rutoken ECP 2.0 и OpenSSH

null@example.com (Кирилл Мещеряков) — Wed, 01 Feb 2017 09:36:27 +0000

здравствуйте,
мы конечно посмотрим поточнее, но по симптому уж очень похоже на эту проблему
http://developer.rutoken.ru/display/KB/LN1002
попробуйте пожалуйста

Rutoken ECP 2.0 и OpenSSH

null@example.com (dini) — Mon, 30 Jan 2017 14:35:04 +0000

Здравствуйте. Может поможете?
Никак не получается завести связку. Установлена Ubuntu 16.10. Почти всё работает, не смог завести только gpg и openssh. С gpg хотяб никто не обещал даже что заработает, а вот с ssh... В общем пробовал с помощью http://developer.rutoken.ru/pages/viewp … Id=3440675 оба варианта, но в обоих случаях получаю

ssh -I /usr/lib/librtpkcs11ecp.so user@192.168.1.66
C_Initialize failed: 401

ssh-keygen -D /usr/lib/librtpkcs11ecp.so -I 0:10
C_Initialize failed: 401
cannot read public key from pkcs11

В общем теперь в ступоре.