Wiki

• FrontPage
• RecentChanges
• FindPage
• HelpContents
• pt_BR/Smartcards

Cartões inteligentes

Esta página oferece dicas sobre como usar Smartcard (cartões inteligentes, também conhecidos como chip card ou integrated circuit card (ICC - cartões de circuito integrado)) no Debian.

Cartões inteligentes são usados com chaves criptográficas para garantir que seu conteúdo privado nunca está em qualquer disco rígido ou outro dispositivo de armazenamento geral, e, portanto, que não possa ser roubado (porque há apenas uma possível cópia do mesmo). A maioria das chaves físicas "dongles" também implementa um dispositivo de interface de cartão de chip (CCID) e assim pode ser usado como cartão inteligente mesmo que você nunca possa remover o smartcard do "leitor".

Visão geral

• Uma arquitetura de cartão inteligente é bastante complicada e atualmente não é possível misturar qualquer combinação aleatória de cartões e leitores de maneira plug-and-play. Todos os cartões, leitores e softwares não são intercambiáveis.
• Ao selecionar cuidadosamente a combinação certa de cartões inteligentes e leitores de cartões, um sistema totalmente funcional pode ser implementado no Debian.

• Existem dois tipos principais de soluções no Debian, os cartões baseados em OpenPGP ou nas placas de estilo PKCS#11. Esta página descreve os cartões de estilo PKCS#11.

• Cartões OpenPGP são um tipo especial de cartão projetados para uso com GnuPG. Para o caso de uso do GnuPG (assinanatura de e-mails), são fáceis de usar e, portanto, bastante populares - no entanto, para usar o cartão para fins gerais, como autenticação web, VPN e criptografia de disco, podem não ser satisfatórios.

• No entanto, GnuPG também pode usar cartões PKCS#11 regulares com a ajuda do OpenSC e do Projeto GnuPG PKCS#11.

• Os cartões inteligentes têm seu próprio software interno e sistemas operacionais. Este software raramente é software livre dentro dos princípios da Definição Debian de Software Livre - no entanto, o software no sistema Debian é completamente livre. Por definição, um smartcard é um dispositivo seguro e o software não pode ser alterado livremente. Alguns(mas) fornecedores(as) fornecem drivers binários (de código fechado) para Linux, mas nem sempre é necessário usar esses drivers. Na melhor das hipóteses, é possível construir soluções funcionais sem usar quaisquer artefatos não livres ou binários de fornecedores(as), exceto aqueles no próprio cartão.

Escolhendo algoritmos e tamanhos de chave

• RSA é o algoritmo tradicional
  • Chaves menores do que 2048 bits são consideradas inseguras
  • A maioria dos cartões suporta um máximo de 2048 bits
  • Algumas pessoas sentem que isso não é suficiente
• A criptografia de curva elíptica (ECC - "Elliptic Curve Cryptography") é um algoritmo mais moderno
  • Tamanhos de chave são mais curtos (por exemplo, ECC de 256 bits é semelhante em força à RSA de 3072 bits)
  • Usa menos CPU do que RSA
  • No entanto, alguns clientes antigos (por exemplo, Windows XP) não suportam
  • Até mesmo aplicações modernas estão lutando para oferecer suporte; por exemplo, não está nas versões estáveis do GnuPG ou GnuPG v2.0 no Debian.
• Fornecedores(as) de cartões inteligentes estão mostrando preferências pelo suporte ao ECC em projetos futuros:
  • Devido ao comprimento mais curto da chave (usa menos memória)
  • Insiro mais de cima da CPU / operação mais rápida no chip no cartão
  • Considerado mais seguro
  • EUA NIST endossa ECC
• Consequentemente, para quem deseja RSA 4096 em cartões inteligentes, recomenda-se também considerar o uso de ECC

• Para quem prefere RSA, Alguns comentários sobre o debate sobre o uso de 2048 ou 4096 bits]

Alguns cartões comuns

• Aqui estão alguns cartões comuns que estão disponíveis em lojas on-line.

• Cada um tem suas particularidades - veja o OpenSC wiki (lista de hardwares suportados) para mais detalhes.

• Encontrar fornecedores(as) de cartões inteligentes em uma pesquisa na web, palavras-chave típicas para se usar são: "7816" "4096" "rsa" "smartcard"

Aplicações

• Autenticação
• Criptografia de dados
• Assinatura

Consulte esta lista para amostra de aplicações para Linux.

Hardware suportado

Esta lista não é exaustiva. Está aqui essencialmente para que as pessoas possam encontrá-la: não há módulos para esses dispositivos... apenas espaço de usuário(a) puro.

Drivers

libccid

Um driver generico para CCID USB (Chip/Smart Card Interface Devices) driver e ICCD (Integrated Circuit(s) Card Devices). Consulte as especificações do CCID USB e ICCD no grupo de trabalho USB.

• Pacote: libccid

• https://ccid.apdu.fr/

gnupg-ccid

GnuPG tem seu próprio driver CCID que comunica diretamente o leitor por libusb. Suporta apenas leitores que têm capacidade de configuração automática.

Consulte GnuPG/CCID_Driver para obter detalhes.

Observe que o GnuPG também suporta leitores através do PC/SC-lite.

Advanced Card Systems

• Pacote: libacr38u

• http://www.acs.com.hk

Leitores de cartão inteligente ACS USB CCID

• Pacote: libacsccid1

Athena SCS (Smartcard Solutions)

• Pacote: libasedrive-usb

AKS - Aladdin Knowledge Systems

• Pacote: libetoken

Gemplus SA

• Pacote: libgempc430

Towitoko GMBH

• Pacote: libtowitoko2

Extensão MuscleCard Applet

• Pacote: libmcardplugin

• https://alioth.debian.org/projects/muscleplugins/

Aladdin eToken PRO

• Pacote: etoken-pro-support

• https://alioth.debian.org/projects/muscleplugins/

Dispositivos não suportados

Apenas os dispositivos suportados estão listados acima (porque o status de tais dispositivos pode mudar rapidamente).

Exceção: alguns fornecedores(as) estão vendendo vários dispositivos de hardware diferentes sob o mesmo nome do produto (!). Nesse caso, nós tentamos listar essas versões não suportadas com a tag #not-supported.

CategoryHardware