Relatório de Segurança em Sistemas Informáticos
Contents
1. Autentica o com cart o do cidad o Page 12 Pedido do Pin de morada Cart o Ferramentas Idioma Ajuda Goo Introduza o seu c digo PIN de morada e N DE PORTA DOOR No LUGAR PLACE LOCALIDADE LOCALITY CP4 ZIP4 CP3 ZIP3 LOCALIDADE POSTAL POSTAL LOCALITY Altera o da morada Cart o de Cidad o colt ss Cart o Ferramentas Idioma Ajuda Goo CART O DE CIDAD O CITIZEN CARD P ORTU GAL REPUBLICA PORTUGUESA PORTUGUESE REPUBLIC NACIONAL NATIONAL DISTRITO DISTRICT o come LOCALIDADE LOCALITY PERAFITA CP4 ZIP4 CP3 ZIP3 LOCALIDADE POSTAL POSTAL LOCALITY 4455 287 PERAFITA Autentica o com cart o do cidad o Page 13 Inser o de informa o a ser guardada no cart o o Cart o de Cidad o Sars Goo Identifica o Civil Outros Dados Morada Certificados C digosPIN Bloco de Notas Aqui podemos escrever o que quisermos e guardar a informa o Tosca O O ee PORTUGAL ar ka us e Introduza o seu c digo PIN de autentica o as A C digo PIN esse Low JJ comer bytes dispon veis 935 1000 A armazenar dados pessoais Demonstra o do uso da API elDPT Como todas as novas aplica es s o dif ceis de entender mesmo para quem j sabe como programar decidimos ent o ajudar nos primeiros passos para quem desejar utilizar o cart o do Cidad o de C2. o de Cidad o NET Wrapper http cartaodecidadao codeplex com ultimo acesso em 01 12 2011 Servi os Online com o Cart o de Cidad o http AWwww senha001 gov pt CUC Manual T cnico Middleware do Cart o do cidad o ltimo acesso em 20 11 2011 http www cartaodecidadao pt index php option com content amp task view amp id 115 amp ltemid 100 amp lang pt Autentica o com cart o do cidad o Page 11 Anexos Outros testes da aplica o oficial Exemplo de altera o do c digo PIN se c digo antigo n o corresponder lan ada uma excep o e o utilizador tem menos uma tentativa para introduzir o PIN correcto quando os c digos novos inseridos n o s o iguais mostrada uma mensagem de erro caso contr rio alterado o PIN i IAC Cart o Ferramentas Idioma Ajuda 190 0 Identifica o Civil Outros Dados Morada Certificados C digos PIN Bloco de Notas C digos PIN Tipo de C digo PIN Identifica o do C digo PIN PIN da Autentica o PIN da Autentica o 129 Es PIN da Assinatura i cea PIN da Morada Alterar o C digo PIN Para alterar o C digo PIN ter que indicar qual o seu C digo PIN actual Anterior C digo PIN eeee Novo C digo PIN esses ES Confirme o novo C digo PIN eeee ox cancer Exemplo de certificados validados na aplica o Chave de Autentica o BRUNO MIGUEL COSTA DUARTE Chave de Assinatura BRUNO MIGUEL COSTA DUARTE
3. o simples autentica o com os diferentes c digos PIN e verifica o de informa o referente ao cart o Projeto desenvolvido para demonstra o de um exemplo de autentica o via Cart o de Cidad o no mbito da disciplina de Seguran a em Sistemas Inform ticos 55IN MIEIC Autentica o com cart o do cidad o Page 22 Aplica o Java pteidlibj jar Para integrar o cart o do cidad o numa aplica o java usando a biblioteca pteidlibj jar necess rio ter a aplica o oficial do cart o do cidad o instalada Para al m disto em Linux necess rio especificar a localiza o do ficheiro ibpteidlibj so da aplica o resultante da instala o da aplica o oficial O exemplo produzido permite a recolha de informa o dos dados do utilizador e da morada do mesmo sendo que para este ltimo necess rio introduzir a palavra passe da morada fat Problems Javadoc lie Declaration E Console 22 lt terminated gt main 1 Java Application C Program Files Java Operating system version gt Windows 7 Cidadao RUBEN FILIPE DELINDRO VELOSO 25 2 1959 PRT M Morada ALMINHAS ESTIVADA 4516 479 Autentica o com cart o do cidad o Page 23
4. A project for creating an application with a m F 4 Visual C Windows Forms user interface gt Wind 8 WPF Application Visual C a h indows Web 4 3 Office E Console Application VisualC 2 g Cloud p 3 Reporting ch ASP NET Web Application Visual C E SharePoint 7 Silverlight E Class Library Visual C p Test O Recent Projects WCF E ASP NET MVC 2 Web Application Visual C A Workflow i A a Cart oDeCida XNA Game Studio 4 0 ral Siveslight Application Visual C Visual C q Silverlight Class Lib Visual C Other Project Types ilverlight Class Library Isua Database Modeling Projects on WCF Service Application Visual C Test Projects wy ASP NET Dynamic Data Entities Web Application Visual C Online Templates D Enable Windows Azure Tools Visual C Name Cart oDeCidad o Location hvfs feupsig fe up pt users ei11001 documents visual studio 2010 Projects v Solution name Cart oDeCidad o Create directory for solution Add to source control Close page after pre E Output WR Error List Autenticacao com cartao do cidadao Page 17 E apresentada a primeira Form gerada automaticamente neste exemplo simples apenas uma Form necess ria para mostrar os dados do cart o File Edit View Project Build Debug Team Data Format Tools Architecture Test Analyze Window Help ee DIC A O fas N IEEE Ei TIELE eT BE ono mes ga ECEE v Solution Explorer PABA 4 Solution Cart oDeCi
5. Cart o de Cidada Cart o Ferramentas Idioma Ajuda Identifica o Civil Outros Dados Certificados C digos PIM Bloco de Notas Ze da emzencaro PORTUGAL REP BLICA PORTUGUESA PORTUGUESE REPUBLIC APELIDO S SURNAME DUARTE NOME S GIVEN NAME BRUNO HH SEXO ALTURA NACIONALIDADE DATA DE NASCIMENTO SEX HEIGHT NATIONALITY DATE OF BIRTH M 1 85 PRT dE off iosi N DOCUMENTO DATA DE VALIDADE DOCUMENT Na EXPIRY DATE 1 2 778 2H im 2018 PAIS COUNTRY PRT FILIA O PARENTS FERNADO MARIA Existe igualmente a Tray Applet aplica o que instalada como uma funcionalidade da rea de notifica o No Windows aparece normalmente no canto inferior direito do ecr e quando activada o utilizador pode desactiv la verifica se um cart o elD est inserido Ap s inserir o cart o ser mostrada a fotografia do cidad o durante uns segundos Autentica o com cart o do cidad o Page 5 lra tamb m registar automaticamente se esta op o estiver activada os certificados do cart o na Microsoft certificate store caso ainda n o estejam registados Quando o cart o removido os certificados registados s o automaticamente removidos da certificate store se esta op o estiver activada Esta funcionalidade a n vel de certificados apenas implementada na plataforma Windows devido s outras plataformas Mac e Linux n o suportarem o conceito de certificate stores Configura o do Cart o de Cida
6. PIN da Morada Resta m 3 tentativa s Sm ear o C digo PIN Alterar o C digo PIN Alterando o C digo PIN Aplica es realizadas Inicialmente decidiu se implementar uma aplica o em Cf que utilizada a elD lib apenas compat vel com Windows e que permite visualizar informa o do utilizador e efectuar as autentica es atrav s dos c digos PIN Mais tarde implementou se uma pequena aplica o em Java que tirou partido da biblioteca pteidlibj jar sendo esta j uma aplica o multiplataforma testada tanto em ambiente Windows 7 como em Linux 11 10 Para obter mais algum detalhe sobre as aplica es poss vel consultar capturas de ecr de ambos os programas nos anexos bem como uma pequena explica o do que representam ca contra o ivna Autentica o com cart o do cidad o Page 7 Princ pios b sicos de seguran a no cart o de cidad o Para efectuar uma aplica o que transmita alguma confian a aos seus utilizadores e que acima de tudo respeite os mecanismos de seguran a para com os utilizadores deve ser utilizada a biblioteca e D lib que garante desde logo alguns princ pios b sicos de seguran a Exemplo disso s o as chamadas a fun es como obter a morada PTEID GetAdar ou a assinatura PTEID GetCertificates que no caso da utiliza o da biblioteca oficial chama implicitamente as fun es que pedem o respectivo c digo PIN ao utilizador No caso de
7. Para as aplica es standard Microsoft Office Outlook criado um Cryptographic service Provider CSP que implementa as opera es criptogr ficas do smartcard Uma aplica o nunca chamar esta implementa o directamente mas sim atrav s de uma interface standard chamada Crypto API A implementa o CSP utiliza a segunda interface implementada PKCS 11 Esta interface tamb m usada por aplica es n o standard Microsoft Aplica es Aplica es n o Microsoft Microsoft Aplica es custom PKCS 11 Autentica o com cart o do cidad o Page 3 Processos envolvidos na autentica o do Cart o de Cidad o Interfaces que podem ser utilizadas para manipular o cart o do cidad o em diferentes SO Windows Linux Mac Os PKCS 11 elD lib a SDK ou Software Development Kit PKCS 11 PKCS um grupo de padr es de criptografia da chave publica relativa seguran a desenvolvida pela RSA Laboratories O PKCS 11 trata se de uma dessas normas que define uma API que facilita a interac o com smart cards Esta API foi desenvolvida de forma a suportar os m todos criptogr ficos mais utilizados RSA keys X 509 certificates DES Triple DES keys etc A utiliza o deste m todo para implementar uma aplica o que utilize o cart o do cidad o requer um estudo da API e do cart o do cidad o pelo que o seu uso n o recomendado em pequenos projectos Actualmente j exist
8. Relatorio de Seguranca em Sistemas Informaticos Autentica o em cart es electr nicos Cart o do Cidad o Bruno Duarte e10 136 Pedro Barbosa e108036 Ruben Veloso ei11001 Indice 10e E EEE LE EN CR a e 2 ITFOGUG A o SAAE RR RR RR RES 1 Caldo Ge Cdad 6 o O oe ast nen ener ne ore ee 2 Aroue tUr ardos SeN A ss a a O ag 3 Processos envolvidos na autentica o do Cart o de Cidad o ea 4 Teste das aplica es oficiais do CC usuaraiofas cida iaaiaa ol ada OS La 5 Princ pios b sicos de seguran a no cart o de cidad o erraram 8 Poss veis falhas no Cart o de Cid aa OviscsiiciciieiicnatceiinceiianGedaduadeistw vis dada da caido a Saida 9 CONIC NS lO tee erate RS aa ig ae eee ieee a Soe a ae ane ete aaa 10 IDIOT Sa EENEN 11 Introdu o Este documento tem como objectivo descrever e demonstrar a seguran a associada ao processo de autentica o atrav s de cart es electr nicos no mbito da disciplina de Seguran a em Sistemas Inform ticos do 5 ano do Mestrado Integrado em Engenharia Inform tica e Computa o na FEUP Cada vez mais nos dias de hoje surge a necessidade de se realizar a valida o e autentica o das pessoas no mundo inform tico nas suas transac es E no que diz respeito autentica o de uma entidade uma assinatura digital ganha especial import ncia pois tem mais valor que uma assinatura escrita portanto necess rio estudar se bem estes proble
9. d o Registar certificados quando o Cart o for introduzido Remover os certificados quando o cart o for removido Mostrar fotografia quando o cart o for introduzido Leitor de cart o Gemplus USB Smart Card Reader O importante referir que foram testados tanto a vers o Windows como Linux da aplica o e que o facto de as capturas de ecr serem em Windows se deve a esta vers o ser mais completa pelas funcionalidades que usam certificate stores Assim por uma quest o de conformidade a escolha recaiu na vers o Windows e as capturas de ecr foram feitas nessa mesma plataforma Outro aspeto importante que s foi detetado durante o teste da aplica o que para alterar o PIN de autentica o ao contr rio dos outros PINs necess ria uma liga o a internet que permita aplica o comunicar a mudan a da palavra passe a um servidor que lhe d permiss o para alterar o c digo Relativamente aos testes uma ltima nota para o facto de a aplica o de 64 bits em Windows estar menos bem conseguida e em v rias situa es ser necess rio encerrar o processo e voltar a reiniciar a aplica o Autentica o com cart o do cidad o Page 6 Identifica o Civil Outros Dados Morada Certificados C digos PIN Bloco de Notas C digos PIN Tipo de C digo PIN Identifica o do C digo PIN PIN da Autentica o PIN da Autentica o 129 cca PIN da Assinatura Estado do C digo PIN Ea
10. dad o 1 pr 4 8 Cart oDeCidad o Sa My Project EE Forml vb 1210 dx3 12442S Es My j 0 e o 0 x E Q w re w y Q fn n m A E Solut Wh Tea Or x A ia Form1 System Windows Forms Fo E Output gt Font Microsoft Sans 4 Show output from ld i 2 a ForeColor Controle FormBorderSt Sizable RightToLeft No RightToLeftLz False Text The text associated with the control Autenticacao com cartao do cidadao Page 18 Efectuados estes primeiros passos agora necess rio importar as Refer ncias da API para o projecto v o ser importados dois dll um para aceder a todas as fun es do cart o e um segundo para auxiliar no desenho da fotografia inserida no Cart o de Cidad o Para isso clica se com o bot o do lado direito do rato sobre o projecto e selecciona se a op o Add Reference File Edit View Project Build Debug Team Data Tools Architecture Test Analyze Window Help DERT A aD Gir Debug 86 Pll amp Sl ot he ee ome EE BS at at os GH St Lam Formi vb Design X S PRA a Cart o de Cidad o ZJ Solution CartioDeCidadso 1 p i erre ly Project Rebuild orml vb Clean Publish Run Code Analysis PESTI Ee 12442S Calculate Code Metrics Add b Add Service Reference 0 a eg Q x Q ey w y Q C q al m a E View Class Diagram Set as StartUp Project Debu
11. e uma biblioteca que permite a abstrac o de todas estas t cnicas pteidlibj jar que pode ser utilizada em projectos Java elD Electronic Identity Card lib Esta biblioteca no fundo o SDK usado como base para o desenvolvimento de aplica es sobre cart es electr nicos sendo utilizada em varios pa ses al m de Portugal como base para o seu pr prio sistema de cart es electr nicos Pode servir igualmente como base ao desenvolvimento de aplica es pr prias sobre cart es electr nicos tal como ser detalhado posteriormente neste documento Autentica o com cart o do cidad o Page 4 Teste das aplicacoes oficiais do C C Condi es de teste e Aplica o CC de 32 bits em Linux Ubuntu 11 10 e Aplica o CC de 32 bits em Windows 7 e Aplica o CC de 64 bits em Windows 7 A aplica o e D GUI presente no middleware pode ser usada para ver e gerir a informa o no cart o do cidad o efectuando as seguintes tarefas mostrar informa o sobre o cidad o e fotografia mostrar e alterar a morada do cidad o ler os certificados do governo ECRaizEstado e do cidad o EC de Assinatura digital EC de Autentica o do cart o do cidad o registar os certificados do governo e do cidad o apenas dispon vel na vers o Windows gest o de c digos PIN testar e alterar PIN de autentica o morada ou assinatura e ainda a gest o da informa o guardada no cart o sob a forma de texto pelo utilizador
12. ersos canais de comunica o com a Administra o P blica e Entidades Privadas Suportando assim interac es presenciais f sicas e electr nicas assim como interac es n o presenciais garantindo equival ncia ao n vel da seguran a e de valor legal com os meios tradicionais de identifica o presencial O cart o destina se a facilitar a vida aos cidad os quando se dirigem aos servi os p blicos presencialmente pelo telefone ou pela Internet O Cart o de Cidad o apresenta se como um verdadeiro certificado de cidadania assumindo a forma dupla de um documento f sico que identifica visual e presencialmente o cidad o tal como o Bilhete de Identidade e um documento digital que permite ao cidad o identificar se e autenticar se electronicamente nos actos em que intervenha perante entidades p blicas e privadas atrav s de um PIN pessoal Tecnologicamente o Cart o de Cidad o encontra se alinhado com os standards internacionais relevantes em especial ao n vel do espa o da Uni o Europeia Assume a forma de um smartcard um cart o com microchip incorporado com capacidades de armazenamento de informa o e de processamento criptogr fico que assegura os mais elevados padr es de seguran a na protec o da confidencialidade e integridade da informa o pessoal do cidad o no respeito pela legisla o nacional e as normas europeias correspondentes Autentica o com cart o do cidad o Page 2 Arquitetura do sistema
13. g gt fall mp E Tea EB Class gt Add Solution to Source Control amp Cut Ctrl X D Paste Ctrl V X Remove Del Rename Show output from TEE le Cart oDeCidad o ad o Project Properti Output s Didei hvfs feupsig fe Open Folder in Windows Explorer a Properties Alt Enter Autentica o com cart o do cidad o Page 19 Surge uma pop up para indicar a API agora pode escolher fazer o download de uma versao ja compilada ou fazer download do codigo fonte para compilar Para ser mais r pido optou se por uma vers o ja compilada a vers o elDPT NET v1 21 2 clica se no bot o OK e fica adicionada as refer ncias do projecto Para a segunda API torna se a repetir o processo de adicionar referencia e nesta optou se por usar a indicada tamb m no site oficial CSJ2K para fazer o tratamento da imagem Do Add Reference Look in elDPT NET w1 21 2 62 E Er Es Name 15 11 2011 14 51 Cancel Autenticacao com cartao do cidadao Page 20 De seguida podemos ver um excerto simples que mostra como se pode obter a informa o do cart o e as respectivas verifica es relacionadas com o cart o estar dispon vel ser v lido etc Este c digo pode constituir tal como no exemplo que foi implementado uma base gen rica para a constru o de diversas aplica es public frmMain 1 InitializeComponent private void LoadIdentityData i Id citize
14. idad o para se autenticar nas suas aplica es Para come ar importante referir que se pode desenvolver para todos os ambientes existentes desde o Windows Linux Mac OS e at para Java Optamos por demonstrar o uso da API eIDPT em NET utilizando o ambiente Windows e o IDE Visual Studio 2010 para fazer uma pequena demonstra o de como se obter dados do cart o e validar atrav s do pedido do c digo PIN Existe muita informa o que se pode obter no site oficial do Cart o do Cidad o sobre as API desde manuais ao c digo fonte da mesma esses links s o fornecidos no fim do relat rio Comecemos por abrir o Visual Studio 2010 daqui por diante denominado por V 52010 Autentica o com cart o do cidad o Page 14 Team Data Tools Architecture Test Analyze Window Help Pira 4 a CB Microsoft 3 OM Visual Studio 2010 utimate 1210 dxg Javuas Se Get Started Guidance and Resources Latest News xoqjool x Welcome Windows Web Cloud Office SharePoint Data H Open Project SS What s New in Visual Studio 2010 Learn about the new features included in this release Visual Studio 2010 Overview What s New in NET Framework 4 Customize the Visual Studio Start Page Recent Projects Cart oDeCidad o Creating Applications with Visual Studio Close page after project load Show page on startup Output a ede Pa Rt Tea Elas De seguida clica se no menu File e selecciona se a op
15. mas e garantir que estes m todos de autentica o s o realmente de confian a para os seus utilizadores Assim o trabalho escolhido consiste em estudar e demonstrar a seguran a associada ao processo de autentica o de utilizadores por cart es electr nicos com micro processador mais concretamente o Cart o de Cidad o um tipo de cart o comum maioria dos cidad os portugueses e sobre o qual s o frequentes artigos e reportagens na comunica o social A divis o do trabalho est efectuada em tr s fases Inicialmente uma breve descri o sobre o que e quais as principais funcionalidades do cart o do cidad o bem como uma descri o com algum pormenor acerca dos processos envolvidos na autentica o Na segunda fase podemos encontrar os testes efectuados aplica o oficial do cart o do cidad o procurando identificar poss veis vulnerabilidades Por fim na terceira fase est o presentes algumas dicas para que um programador possa utilizar a API fornecida para desenvolver uma aplica o e ainda uma componente pr tica com o exemplo de aplica es simples que utilizam a autentica o pelo cart o do cidad o desenvolvidas durante a elabora o deste trabalho Autentica o com cart o do cidad o Page 1 Cartao de Cidadao O que e para que serve o Cart o de Cidad o O Cart o de Cidad o um documento f sico e electr nico f cil de usar que permite a identifica o dos cidad os atrav s de div
16. n EIDPT GetID Picture picture EIDPT GetPicture System I0 MemoryStream ms new System I0 MemoryStream picture Bytes 9 picture BytesLength false Image tempImage CSJ2K J2kImage FromStream ms ms Close pbPhoto Image templmage txtLastName Text citizen Name txtFirstName Text citizen FirstName txtDocumentNumber Text cltizen BI private void frmMain_Load object sender EventArgs e i this StartPosition FormStartPosition Manual this Location new Point Screen PrimaryScreen WorkingArea Width this Width Screen PrimaryScreen WorkingArea Height this Height scWatcher SCWatcher GetInstance this currentReader string Empty this readerList new List lt string gt scWatcher ListReaders if this readerList Count gt 6 this currentReader this readerList scCWatcher CardInserted new SCWatcher CardInsertedHandler scWatcher_CardiInserted sCWatcher CardRemoved new SCWatcher CardRemovedHandler scWatcher_CardRemoved sCWatcher ReaderInserted new SCWatcher ReaderInsertedHandler scWatcher_ ReaderInserted sCWatcher ReaderRemoved new SCWatcher ReaderRemovedHandler scWatcher_ReaderRemoved scWatcher OnError new SCWatcher ErrorHandler scWatcher_OnError FIDPT eId EIDPT GetInstance Autenticacao com cartao do cidadao Page 21 Aplica o NET C De seguida podemos ver a aplica o exemplo criada com base no modelo descrito anteriormente As funcionalidades que possui s
17. o Project Autentica o com cart o do cidad o Page 15 Close Close Solution Save Selected Items Save Selected Items As Save All Export Template Source Control Page Setup Print Recent Files Recent Projects and Solutions Close page after project load Show page on startup FE Output RR Error List Ready Ctrl S Ctrl Shift Shift Alt N Li Team Project D File Ctrl N Project From Existing Code Get Started Guidance and Resources Latest News Welcome Windows Web Cloud Office SharePoint Data o What s New in Visual Studio 2010 Learn about the new features included in this release Visual Studio 2010 Overview What s New in NET Framework 4 Customize the Visual Studio Start Page Extending Visual Studio Community and Learning Resources 1210 dx3 Wes MM 1210 dx3 uonynjos je an MBIA SSI Autentica o com cart o do cidad o Page 16 Escolhe se um novo projecto em Visual C para permitir desenhar uma interface mais amigavel e selecciona se a plataforma NET Framework 4 Insiram o nome da aplica o que v o desenvolver e cliquem no bot o OK File Edit View Debug Team Data Tools Architecture Test Analyze Window Help New Project Y Recent Templates NET Framework 4 v Sort by EE Search Installed Templates m ich Windows Forms Application Visualc fy PO Meda S Visual Basic
18. t o Para tentar confirmar a exist ncia da mesma tentamos ainda entrar em contacto com o utilizador que tinha apontado o tal problema mas n o obtivemos resposta ap s v rias tentativas de contacto Ainda que a exist ncia de falhas evidentes no cart o do cidad o n o tenha ocorrido conv m sempre ao utilizador estar atento a v rios factores aquando da utiliza o do cart o do cidad o Devido aplica o do cart o ter uma interface convencional para a inser o de dados nomeadamente da palavra passe facilmente esta poder ser capturada atrav s de um keylogger Assim a inclus o de um teclado virtual seria uma solu o barata para contornar o problema Mais seguro ainda seria que os cart es possuissem uma forma independente do terminal de introduzir os c digos de aceso Outro cuidado a ser tido ao assinar um documento prende se com a necessidade do utilizador se certificar que est a assinar realmente o documento cerio e n o est a ser levado a assinar outro documento que n o o pretendido Autentica o com cart o do cidad o Page 9 Conclusao O suporte e documenta o dispon vel sobre a API do cart o de cidad o sao muito escassos Existe um wrapper NET que facilita o desenvolvimento em C ou VB e ainda um f rum de discuss o e demo bastante completo sobre a utiliza o deste wrapper sendo este o principal motivo que levam os programadores a escolherem estas ferramentas Noutras plataformas JAVA por e
19. uma aplica o que n o use a biblioteca caso o programador tente mostrar directamente dados ocultos como a morada e n o pe a o respectivo c digo PIN lan ada uma excep o foi experimentando desta forma que se chegou ao erro Para a verifica o dos c digos PIN existem ficheiros com o formato SOD guardados no cart o que possuem hashs correspondentes aos diferentes PINs e tamb m aos certificados que cada PIN utiliza Ao utilizar certificados a fun o PTEID SetSODCAs permite definir quais s o e qual a localiza o dos certificados utilizados para assinar o ficheiro SOD o que til no caso de os certificados n o terem ainda sido obtidos ou terem sido mudados de direct rio A fun o PTEID SetSODCheckin pode depois ser usada para verificar a presen a da hash no ficheiro SOD correta e assim dar seguimento ao pedido efectuado para mostrar os dados Autentica o com cart o do cidad o Page 8 Possiveis falhas no Cartao de Cidadao Ap s os testes efectuados s aplica es oficiais disponibilizadas concluiu se que nao existem falhas de seguran a na autentica o evidentes Tentou se reproduzir o erro relacionado com a utiliza o de PKCS 11 na vers o linux da aplica o oficial mas tal n o foi poss vel pois o desbloqueio das keystores ocorreu normalmente e n o foi lan ada a suposta excep o que permitiria o acesso s keys do cart o portanto n o foi poss vel demonstrar a vulnerabilidade do car
20. xemplo tamb m existe um wrapper dispon vel no entanto n o existem exemplos nem demos As falhas do cart o de cidad o ter o que ser levadas a s rio pois uma assinatura digital tem mais valor do que uma assinatura manuscrita No entanto estas ltimas t m muitos outros riscos e s o mais f ceis de ser ultrapassados pelo que a utiliza o de assinaturas digitais n o ser pior do sistema actualmente em uso A aplica o em si do cart o de cidad o segura e mesmo testando com a aplica o extema n o conseguimos reproduzir a excep o que levaria ao erro relatado Tentamos ainda por v rias vezes contactar com o autor da den ncia mas o mesmo n o respondeu Pode se concluir no entanto que se o utilizador apenas usar a aplica o oficial do cart o do cidad o n o ter problemas Apenas se usar o cart o numa aplica o externa com inten es menos boas poder ter problemas Assim uma boa forma de assegurar a seguran a dos cart es de cidad o seria criar uma forma de certificar que o programa utilizado usa a biblioteca elD lib ou outra que garanta uma ordem correcta de opera es sobre o cart o Neste caso o utilizador teria uma forma de saber a partida se a aplica o certificada e poderia utilizar a aplica o de forma segura Autentica o com cart o do cidad o Page 10 Bibliografia Site Oficial Manuais Aplica es Oficiais http Awww cartaodecidadao pt ultimo acesso em 01 12 2011 elIDPT Cart
Download Pdf Manuals
Related Search