Cómo usar el DNI electrónico para iniciar sesión en Mac OS X

En entradas anteriores ya hemos hablado de las posibilidades que ofrecen las últimas versiones (por el momento en pruebas) del software OpenSC y OpenDNIe para usar el DNI electrónico en Mac OS X.

Este sistema operativo dispone, desde la versión 10.4, de soporte para utilizar tarjetas inteligentes como medio de autenticación de los usuarios. Es decir, la posibilidad de "enlazar" una cuenta de usuario del sistema con una tarjeta inteligente que cumpla unos requisitos mínimos, a saber:

• La tarjeta debe ser capaz de firmar utilizando una clave pública
• La tarjeta debe ser compatible con alguno de los módulos de acceso a tarjeta inteligente (tokend) instalados en el sistema

Por definición y diseño, la tarjeta del DNI electrónico cumple con el primer requisito y, por otra parte, en las últimas versiones de OpenDNIe/OpenSC se ha mejorado bastante el módulo tokend de OpenSC en su integración con el DNIe, hasta el punto de que ya es posible acceder a los certificados de autenticación y firma, y por tanto se puede utilizar para el acceso al sistema.

A continuación explicaremos los pasos a seguir para configurar localmente un usuario de acceso a un sistema Mac OS X.

Requisitos:

• Mac OS X 10.6.x (aunque se indica dónde mirar cómo configurar versiones anteriores)
• Lector de DNI electrónico
• DNI electrónico de la persona cuyo usuario se va a configurar
• OpenDNIe/OpenSC instalado, bien compilado por nosotros mismos, bien descargando una versión compilada (se puede usar la mía o una de las últimas versiones de prueba SVN oficiales). En este caso hemos utilizado la versión SVN 400 obtenida el 22 de Junio de 2011.

Instrucciones:

Una vez tengamos el sistema operativo con OpenDNIe instalado, y tengamos elegida la cuenta de usuario que se quiera asociar a un DNI electrónico concreto, seguimos estos pasos para identificar el DNI electrónico:

• Abrimos una sesión de terminal local
• Conectamos el lector de DNI electrónico al Mac
• Insertamos el DNI electrónico en el lector (!ojo! ver Nota 2 más abajo sobre desbloqueo del DNIe en acceso a llaveros)
• Escribimos el siguiente comando para obtener las cadenas asociadas a los certificados del DNI electrónico:

sc_auth hash

Esto producirá un listado similar al siguiente:

8D4KJH56445B2G32J23J5JHGD7872JH83456C5A9 KprivAutenticacion

5B4LK34MLK0957387CBXVGHD8276309FKJ6F51A2 KprivFirmaDigital

CCBXVGHD8276309FKJ6F51AH7CB749300C8B0080 com.apple.systemdefault

812A762A5817CBXVGHD8276309FKJ6F51A11205A com.apple.kerberos.kdc

C9CBXVGHD8276309FKJ6F51ADSD9873SDKJB0080 com.apple.systemdefault

812A762A58CBXVGHD8276309FKJ6F51ACC11205A com.apple.kerberos.kdc

• Tomamos nota de la cadena asociada a KprivAutenticación, que es el certificado de autenticación del DNI electrónico (en este ejemplo sería 8D4KJH56445B2G32J23J5JHGD7872JH83456C5A9).
• Asociamos la cadena al nombre corto (login) del usuario del Mac que queremos que se identifique con el DNI electrónico (en este ejemplo se llama usuariodni), usando el siguiente comando (¡ojo! se requieren permisos de administrador local):

sudo sc_auth accept -u usuariodni -h 8D4KJH56445B2G32J23J5JHGD7872JH83456C5A9

Aclaración: usuariodni es un nombre de ejemplo. Hay que cambiarlo por el nombre corto (login) del usuario del Mac que queramos que utilice ese DNIe para identificarse.

Si queremos comprobar que se ha registrado bien la cadena con el login del usuario, podemos usar un comando como
sc_auth list -u usuariodni
que debería devolvernos, al menos, la cadena que habíamos registrado asociada al DNIe.

Ahora, estando en la ventana de inicio de sesión de Mac OS X

Si se conecta el lector de DNI, y se inserta la tarjeta, cambiará a esta otra forma:

Ahora, para iniciar sesión, se deberá introducir el PIN del DNI electrónico. La primera vez que el usuario lo haga, aparecerá una ventana como la siguiente:

Esta es una limitación del sistema operativo, que utiliza las credenciales de autenticación para bloquear y desbloquear el llavero de certificados por defecto del usuario.

Si eligiéramos la opción de "Actualizar la contraseña del llavero", el sistema utilizará la clave pública del DNIe para sustituir la anterior contraseña que utilizaba el usuario. Esto plantea dos problemas:

• Si el usuario accediera sin utilizar el DNIe y usando su contraseña antigua, no tendría acceso al llavero.
• Si cambiasen los certificados del DNIe (por renovación o por extravío de la tarjeta, por ejemplo), también se perdería el acceso al llavero.

Por lo tanto, probablemente sea más útil continuar con el inicio de sesión y seguir utilizando la contraseña antigua para desbloquear el llavero.

Nota muy importante: Según me indican en los comentarios, salvo que se haya activado la opción de actualizar la contraseña del llavero, no iniciar el ordenador con el DNIe insertado porque el sistema intentará enviar como PIN la contraseña del usuario (el del llavero de sesión)... y bloqueará el DNIe al tercer intento.

Esto es: primero se arranca el Mac; y luego -y únicamente luego-, cuando aparezca la ventana de petición de login, se introduce el DNIe en el lector

En el caso de sistemas operativos más antiguos, es necesario hacer más cambios tal y como se indica en el siguiente documento de soporte de Apple: http://support.apple.com/kb/TA24244. El texto es para Mac OS X 10.4, pero también es válido para la versión 10.5, donde la mayoría de los cambios de configuración ya no son necesarios.

En ese mismo documento se indica un procedimiento por el que asociar atributos de cuentas de un directorio (LDAP, etc.) con atributos de la tarjeta para la validación en sistemas centralizados.

Nota 2: Tras haber instalado OpenSC y tokend, con la versión de OpenDNIe/OpenSC que se ha probado, la primera vez que se inserta el DNIe, aunque aparece en Acceso a llaveros y el sistema detecta la tarjeta, los certificados de firma y autenticación no se ven en Acceso a llaveros y, si se lanza el comando sc_auth hash, aparece un mensaje de error como el siguiente:
security: SecKeychainSearchCopyNext: CSSMERR_DL_MISSING_VALUE
security: SecKeychainSearchCopyNext: CSSMERR_DL_MISSING_VALUE

Para corregirlo, basta con ir a acceso a llaveros, elegir el DNI electrónico, y pulsar en el candado

Tras introducir el PIN del DNI electrónico, si cerramos Acceso a llaveros y volvemos a abrirlo, aparecerán los certificados y claves en acceso a llaveros, y el comando sc_auth hash funcionará correctamente. Parece ser que esto sólo hay que hacerlo la primera vez que insertemos un DNI electrónico, para cada DNIe que queramos usar.

Es decir, si tenemos tres DNIe distintos para tres personas, será necesario desbloquear cada uno de ellos al menos una vez desde acceso a llaveros, antes de poder utilizarlo con sc_auth.