Yubikey por firmar imágenes efi, no se pudo encontrar el token

Navega tus respuestas
1

Estoy intentando firmar una imagen efi con un Yubikey 4

Configuré a Yubikey con lo siguiente: 

yubico-piv-tool -k $key -a import-key -s 9c < test-key.rsa
yubico-piv-tool -k $key -a import-certificate -s 9c < test-cert.pem

Incluí el certificado en un certificado: 

certutil -A -n "efi-cert" -t ,,Tu -d $CERTDIR -a -i test-cert.pem

Puedo ver el token en pkcs11-tool: 

$ pkcs11-tool --module=/usr/lib/x86_64-linux-gnu/opensc-pkcs11.so -L
Available slots:
Slot 0 (0xffffffffffffffff): Virtual hotplug slot
  (empty)
Slot 1 (0x1): Yubico Yubikey 4 OTP+CCID 00 00
  token label        : PIV_II (PIV Card Holder pin)
  token manufacturer : piv_II
  token model        : PKCS#15 emulated
  token flags        : rng, login required, PIN initialized, token initialized
  hardware version   : 0.0
  firmware version   : 0.0
  serial num         : 00000000

Pero cuando trato de usarlo con pesign, no encuentra el token 

$ sudo pesign -i bootx64.efi --export-signature bootx64.sig --sign -d sha256 -t "PIV_II (PIV Card Holder pin)" -c "efi-cert" -n $CERTDIR
could not find token "PIV_II (PIV Card Holder pin)"
pesign: Could not find certificate efi-cert

En strace vi que pesign no lee opensc-pkcs11.so, pero lee libnssckbi.so, ¿puede ser esta la razón? ¿Debo configurar el Yubikey de manera diferente?

Cualquier ayuda sería muy apreciada.

    
pregunta Lilás 11.11.2016 - 12:39
fuente

1 respuesta

0

Acabo de conseguir que funcione:

En strace vi que pesign buscaba $ CERTDIR / libnssckbi.so, pero haciendo ln -s /usr/lib/x86_64-linux-gnu/nss/libnssckbi.so $ CERTDIR / libnssckbi.so no funcionó , para resolver esto, enlazé con opensc-pkcs11.so: 

ln -s /usr/lib/x86_64-linux-gnu/opensc-pkcs11.so $CERTDIR/libnssckbi.so

Y ahora encuentra el token. Por favor, avíseme si hay una solución mejor (ya que esto no parece ideal).

Además, mi argumento en pesign ... -c "efi-cert" ... fue incorrecto, ya que debería usar la etiqueta en el token y no la que le di al certificado al incluirla en el certdir.

La ejecución de lo siguiente reveló que la etiqueta correcta era "Certificado para firma digital" en lugar de "efi-cert": 

$ pkcs11-tool --module=/usr/lib/x86_64-linux-gnu/opensc-pkcs11.so -O
Using slot 1 with a present token (0x1)
Public Key Object; RSA 2048 bits
  label:      SIGN pubkey
  ID:         02
  Usage:      encrypt, verify
Certificate Object, type = X.509 cert
  label:      Certificate for Digital Signature
  ID:         02
Data object 27638640
  label:          'Card Capability Container'
  application:    'Card Capability Container'
  app_id:         2.16.840.1.101.3.7.1.219.0
  flags:          <empty>

Data object 27637904
  label:          'Card Holder Unique Identifier'
  application:    'Card Holder Unique Identifier'
  app_id:         2.16.840.1.101.3.7.2.48.0
  flags:          <empty>

Data object 27638000
  label:          'Unsigned Card Holder Unique Identifier'
  application:    'Unsigned Card Holder Unique Identifier'
  app_id:         2.16.840.1.101.3.7.2.48.2
  flags:          <empty>

Data object 27638096
  label:          'X.509 Certificate for PIV Authentication'
  application:    'X.509 Certificate for PIV Authentication'
  app_id:         2.16.840.1.101.3.7.2.1.1
  flags:          <empty>

Data object 27636560
  label:          'X.509 Certificate for Digital Signature'
  application:    'X.509 Certificate for Digital Signature'
  app_id:         2.16.840.1.101.3.7.2.1.0
  flags:          <empty>

Data object 27636656
  label:          'X.509 Certificate for Key Management'
  application:    'X.509 Certificate for Key Management'
  app_id:         2.16.840.1.101.3.7.2.1.2
  flags:          <empty>

Data object 27636752
  label:          'X.509 Certificate for Card Authentication'
  application:    'X.509 Certificate for Card Authentication'
  app_id:         2.16.840.1.101.3.7.2.5.0
  flags:          <empty>

Data object 27636848
  label:          'Security Object'
  application:    'Security Object'
  app_id:         2.16.840.1.101.3.7.2.144.0
  flags:          <empty>

Data object 27636944
  label:          'Discovery Object'
  application:    'Discovery Object'
  app_id:         2.16.840.1.101.3.7.2.96.80
  flags:          <empty>

Ahora puedo ejecutar lo siguiente: 

$ pesign -i bootx64.efi --export-signature bootx64.sig --sign -d sha256 -t "PIV_II (PIV Card Holder pin)" -c "Certificate for Digital Signature" -n $CERTDIR
Enter Password or Pin for "PIV_II (PIV Card Holder pin)":
Enter passphrase for private key:
    
respondido por el Lilás 11.11.2016 - 13:44
fuente

Lea otras preguntas en las etiquetas

paquetes que salen de una red 10.10 con 192.168 direcciones de origen CPI vs. PointGuard