Manual de Instalación

Certificado Digital Izenpe

Microsoft Windows

Windows 10

Izenpe s.a. 2015Esta obra está bajo la licencia Reconocimiento-No comercial-Compartir bajo la misma licencia 3.0 de Creative Commons. Puedecopiarla, distribuirla y comunicarla públicamente siempre que especifique su autor y no se utilice para fines comerciales.

La licencia completa puede consultarla en http://creativecommons.org/licenses/by-nc-sa/3.0/deed.es. Izenpe, s.a. no podrá serconsiderada responsable de eventuales errores u omisiones en la edición del documento.

2/

Índice de contenido1.Introducción...........................................................................................................42.Estructura y Alcance del Documento.....................................................................43.Hardware y Aplicaciones Soportadas.....................................................................5

3.1.Algunos De Los Lectores Soportados..............................................................53.2.Tarjetas Inteligentes Soportadas De Forma Nativa........................................53.3.Tarjetas Inteligentes Soportadas Mediante El Uso De Librerías PKCS#11Externas:...............................................................................................................63.4.Aplicaciones Soportadas.................................................................................6

4.Requisitos Software para la Instalación.................................................................74.1.Configuración de los lectores..........................................................................74.2.Descarga e Instalación del Middleware de Izenpe..........................................74.3.Descarga e Instalación de JAVA JRE de Oracle...............................................9

5.Descarga e Instalación de los Certificados Izenpe...............................................115.1.Forma 1 – Modo Automático.........................................................................125.2.Forma 2 – Modo Manual...............................................................................15

6.Configuración de las aplicaciones........................................................................176.1.Navegadores web..........................................................................................17

6.1.1.Firefox...................................................................................................176.1.2.Internet Explorer...................................................................................176.1.3.Edge......................................................................................................17

7.Ejemplo de uso de las aplicaciones......................................................................187.1.Identificación en sitios web...........................................................................18

7.1.1.Firefox...................................................................................................187.1.2.Internet Explorer...................................................................................21

7.2.Envío de correos firmados digitalmente.......................................................247.2.1.Thunderbird...........................................................................................24

Verificación de firma digital en correo.......................................................277.2.2.Outlook..................................................................................................28

7.3.Firma de documentos ofimáticos..................................................................297.3.1.LibreOffice.............................................................................................297.3.2.Microsoft Office.....................................................................................32

8.Otras aplicaciones adicionales.............................................................................348.1.Gestor de la Tarjeta de Izenpe......................................................................348.2.Cambio de PIN..............................................................................................358.3.Desbloqueo de PIN........................................................................................358.4.Cambio de PUK.............................................................................................368.5.Ver.................................................................................................................36

9.Incompatibilidades conocidas (Importante).........................................................379.1.DNIe..............................................................................................................379.2.Tarjetas Antiguas de Izenpe..........................................................................37

10.Anexo para Sistemas Móviles.............................................................................3810.1.Windows Phone...........................................................................................38

3/

11.Acerca de............................................................................................................39

4/

1. IntroducciónEn esta guía, se describirá el proceso a seguir en Windows 10 para lograr utilizar loscertificados digitales de Izenpe con las aplicaciones más importantes que dan acceso a losservicios ofrecidos por la administración pública vasca.

2. Estructura y Alcance del DocumentoEl documento se estructura en 5 secciones secuenciales que detallan minuciosamente elproceso completo de instalación, configuración y uso de los certificados digitales de Izenpe enWindows:

● Requisitos de Hardware (Lectores) y Software (Aplicaciones externas).● Descarga e Instalación del Middleware de Izenpe.● Descarga e Instalación de los certificados para Izenpe.● Configuración y ejemplos de uso para las distintas aplicaciones soportadas.● Errores conocidos, consejos y soluciones.

Cada una de estas secciones explica las tareas necesarias para llevar a cabo el procesocompleto.

Este documento pretende servir de manual de instalación para Windows 10 y posteriores.

5/

3. Hardware y Aplicaciones Soportadas

3.1. Algunos De Los Lectores SoportadosEn este documento no es posible dar cabida a todos los dispositivos hardware existentes en elmercado. Por ello desde Izenpe se ha decido dar soporte de manera oficial a los siguienteslectores USB de tarjetas criptográficas:

● PC Twin (Gemalto)● PCT-combi (Giesecke & Devrient)● Minilector EVO (Bit4id)

Nota Importante: El lector de tarjetas ha de ser compatible PC/SC.

3.2. Tarjetas Inteligentes Soportadas De Forma Nativa

La siguiente lista consta de las tarjetas que son compatibles con el módulo de Izenpe.

Gemalto Classic TPC:

o FileSystem full compliant PKCS#11 con objetos de 2048 bit o FileSystem de Firma electrónica con validez legal con objetos de 2048 bit

Giesecke&Devrient (StarCOS 2.3) o FileSystem full compliant PKCS#11 con objetos de 1024 bit

Incard Incrypto34 V2 con filesystem: CNS + Firma electrónica + FullP11:o FileSystem CNS conforme a las especificaciones CNS del CNIPA (v.1.1.3) (FS CNS)o FileSystem de Firma electrónica con validez legal (FS DS-v1.0)o FileSystem full compliant PKCS#11 (FS FullP11)

Incard Touch&Sign2048:o Todos los filesystem soportados en la tarjeta Incrypto34v2 más:

FileSystem full compliant PKCS#11 (FS FullP11), con objetos de 2048 bit FileSystem de Firma electrónica reconocida (FS DS-v2.0), con tres pares de

claves de 2048bit o con tres pares de claves de 1024bit más tres pares declaves de 2048bit.

6/

3.3. Tarjetas Inteligentes Soportadas Mediante El UsoDe Librerías PKCS#11 Externas:

Incard CryptoSmartCard16(SetecOS)

Incard CryptoSmartCardE4H(Starcos)

Incard M4.01a FS1111 (SiemensCardOS/M4)

Gemplus (GemGATE 32K) Gemplus (GemGATE CardOS M4) Siemens (Siemens CardOS M4.01) Siemens (Siemens CardOS M4)

Siemens (Siemens CIE) Siemens (Siemens SISS – HPC) Siemens (Siemens CardOS

M4.01a) Athena (ASECard Crypto) Ghirlanda (M4cvToken) Gemplus (SIM TIM) Oberthur (Cosmo 64 RSA dual

interface) Oberthur (Oberthur Cosmo64).

3.4. Aplicaciones SoportadasPara acceder a los servicios ofrecidos por Izenpe es necesario disponer de herramientas yaplicaciones que hagan uso de los certificados de Izenpe.

Las aplicaciones más comunes que hacen uso de estos certificados se han agrupado en trescategorías y se ha intentado documentar el proceso de instalación y configuración de lasmismas con los certificados de Izenpe.

Las aplicaciones que se explicarán en este documento son:

● Navegadores Web○ Firefox 38.05○ Internet Explorer 11

● Herramientas Ofimáticas○ LibreOffice 4.4.4○ Microsoft Office 2013

● Correo○ Thunderbird 38.0.1○ Outlook 2013

● Versión de Java○ Java Oracle Version 8 Update 45

7/

4. Requisitos Software para la Instalación

4.1. Configuración de los lectoresEn las ultimas versión de Windows (7, 8 y 10) los drivers o controladores de nuestro lector detarjetas inteligentes se instalaran solos.Para versiones algo mas antiguas como Windows XP tendremos que buscar los driversespecíficos para nuestro lector en la pagina del fabricante del mismo.

4.2. Descarga e Instalación del Middleware de Izenpe

Para la descarga del Middleware, iremos a la web de izenpe y en el apartado Softwareencontraremos para descargar el archivo que nos interesa.

www.izenpe.com

En nuestro caso seleccionaremos Windows y haremos click en “Software de izenpe”

Guardaremos el archivo y posteriormente lo ejecutamos haciendo click derecho sobre elarchivo descargado y seleccionando la opción “Ejecutar como Administrador”

8/

Nota: El sistema necesitara reiniciarse tras la instalación, por lo tanto guardar todo previamente..

Seguir los pasos que nos dicte el asistente para completar la instalación, hasta que no sereinicie el sistema no se completara.

9/

4.3. Descarga e Instalación de JAVA JRE de OraclePara que funcione correctamente el Applet que gestiona la conexión a las webs y la firma dedocumentos online (Applet de Idazki), es necesario tener instalada en el equipo la últimaversión de Java JRE de Oracle.

Si no lo esta, es posible que nos encontremos con algo como esto al entrar en las webs, y lainstalación automática suele fallar o está casi siempre desactivada:

Para comprobar si tenemos la ultima versión: http://www.java.com/es/download/installed.jsp

Si no fuera este el caso, descargaremos la última versión.

No nos hacefaltadeterminar sinuestrosistema esde 64b o de32b, esto lohace

automáticamente la web y descarga la versión acorde a nuestra arquitectura.

· Cuando finalice la descarga, cerramos Firefox.

· Ejecutamos el archivo descargado previamente (cerrar todos los navegadores).

10/

Para comprobar si la instalación se ha realizado correctamente abriremos un navegador eiremos de nuevo a la pagina oficial de java: http://www.java.com/es/download/installed.jsp

Nos saldrá una ventana que nos avisa de una vulnerabilidad al permitir la ejecución de javadebemos permitirla.

Si hemos hecho la instalación correctamente deberíamos ver una pantalla similar a esta:

11/

5. Descarga e Instalación de los CertificadosIzenpe Izenpe ha dispuesto una jerarquía de autoridades de certificación y subordinadas para darrespuesta a las diferentes necesidades que se presentan al acceder a los diferentes serviciosque se proporcionan a través de internet y certifica a sus usuarios con distintos perfiles segúnel caso.

Para ver el gráfico mas grande: https://servicios.izenpe.com/images/CAS-IZENPE-2011.gif

12/

5.1. Forma 1 – Modo Automático

Izenpe ha desarrollado una serie de instaladores especiales para cada plataforma, cuyoobjetivo es conseguir que la descarga e instalación de los certificados no sea tan complejacomo solía ser por las características del software vigentes hasta la fecha.

En este caso el instalador que nos interesa es un paquete exe.

Para la descarga de los certificados, iremos a la web de izenpe y en el apartado Softwareencontraremos el archivo para su descarga.

www.izenpe.com

Seleccionamos Certificado Izenpe para Windows y le damos a Guardar Archivo.

Nota: Por defecto se guardará en la carpeta descargas dentro de tu directorio personal.Nota: La versión de los certificados tiene que ser la 1.2.0.0 ya que trae mejoras de seguridadcon los certificados SHA2. De tener la versión 1.1.0.0 habría que actualizarla.

Una vez finalizada la descarga ejecutamos el archivo descargado de la misma manera que lohicimos anteriormente con el middleware.

13/

Seguimos el asistente y seleccionamos los navegadores con los que queramos trabajar

14/

Si se desea se puede comprobar si la instalación ha sido exitosa consultando los certificadosinstalados en tu navegador.

Ruta: Firefox → Opciones → Opciones → Avanzado → Certificados → Ver certificados →Autoridades; Aquí buscando por Izenpe deberíamos tener ocho entradas.

15/

5.2. Forma 2 – Modo ManualSi el paso anterior no esta disponible por algún motivo, siempre podemos realizar la descarga einstalación de cada certificado a mano. Un proceso bastante costoso.

Estos certificados, están disponibles en la web: www.izenpe.com Descarga de certificados.

Enlace Directo a los certificados→ https://servicios.izenpe.com/jsp/descarga_ca/descarga.htm

16/

Para descargar los certificados hay que hacer “click” sobre las imágenes que tienen dibujadauna flecha blanca en un recuadro azul. No saldrá una ventana como esta en la que debemosseleccionar todas las opciones.

Según la estructura de autoridades certificadoras definidas por Izenpe, cada tarjeta únicamenteva a ser validada contra una autoridad raíz y una subordinada. Ello significa que no esestrictamente necesario importar todos los certificados de todas las autoridades certificadoras,ya que el aplicativo en cuestión no va a utilizarlas con nuestra tarjeta. Sin embargo, si no seconoce adecuadamente el funcionamiento de la jerarquía de autoridades se recomiendainstalar todas las de la columna SHA2.

Es fundamental importar los certificados raíz de las autoridades certificadoras en Firefox parapoder realizar los procesos de autenticación y firma en los sitios web. Si el navegador nodispone de dichos certificados el servidor rechazará el acceso al mismo.

Para comprobar si hemos importado bien los diferentes certificados podremos ejecutar losmismos pasos realizados anteriormente.

17/

6. Configuración de las aplicaciones

6.1. Navegadores web

6.1.1. FirefoxEn Windows 10 con Firefox no es necesario realizar ninguna configuración adicional ya que lohace todo automáticamente con los parámetros que vienen preconfigurados en el sistema. Soloes necesario tener instalado Java.

6.1.2. Internet ExplorerEn Internet Explorer 11 no es necesario realizar ninguna configuración adicional ya que lo hacetodo automáticamente con los parámetros que vienen preconfigurados en el sistema. Solo esnecesario tener instalado Java.

6.1.3. EdgeEl nuevo navegador de Windows Microsoft Edge está a día de hoy en una versión muypreliminar y actualmente no soporta java, por lo que no se pueden utilizar las tarjetas de Izenpeal ser incompatible con el applet.

18/

7. Ejemplo de uso de las aplicaciones

7.1. Identificación en sitios web

7.1.1. FirefoxUna vez configurada la ubicación de los certificados según se ha explicado en el apartadocorrespondiente realizaremos una prueba de firma para comprobar que toda la instalación escorrecta y el proceso se realiza satisfactoriamente.

Abrimos Firefox → Complementos → Plugins , revisamos si esta cargado el plugin de java yvolvemos a comprobar la versión en la pagina web:

Verificar Versión de Java → http://www.java.com/es/download/installed.jsp

Cuando todo este correcto. Accedemos a la web de Izenpe (http://www.izenpe.com/), hacemos“clic” sobre Gestiona tu certificado y a continuación en Prueba de Firma.

19/

Permitiremos las Ventanas Emergentes

La primera vez que accedamos es posible que nos aparecerá una advertencia relacionada conpermitir o no permitir las ventanas emergentes.

En este caso, permitiremos la ventanas emergente.

Si nos da la opción de permitir siempre para este sitio, la elegiremos.

Nos saldrá una advertencia de seguridad en la cual es muy importante ACTIVAR la casilla deCONFIAR SIEMPRE y después darle a EJECUTAR.

Después se nos cargará una página en la que tendremos que poner unos datos para realizar laprueba de firma. No tienen por que ser reales, tal y como se muestra en la imagen.

20/

Le damos a firmar y elegiremos nuestro certificado con el que queremos firmar y le damos a aceptar.

Posteriormente nos pedirá nuestro pin personal y lo introducimos.

Si nuestro certificado es válido para acceder a la aplicación y no está revocado la aplicaciónnos permitirá el acceso con las mismas garantías que lo hacemos de forma presencial.

Se procesa la firma y cuando se complete nos aparecerá un mensaje confirmando que todo haido correctamente.

Nota: Es importante que cuando acabemos de realizar las gestiones oportunas cerremosla sesión del sitio web así como el navegador para evitar que otras personas puedanacceder a Internet con nuestros credenciales.

21/

7.1.2. Internet Explorer

Comprobar que el plugin de Java está cargado. Para ello, ir a “Herramientas” → “Administrarcomplementos”

Verificar Versión de Java -> http://www.java.com/es/download/installed.jsp

Cuando todo este correcto. Accedemos a la web de Izenpe (http://www.izenpe.com/), hacemos"click" sobre Gestiona tu certificado y a continuación en Prueba de Firma.

22/

Rellenar los siguientes campos con la información que queramos y seleccionar “firmar”

Una vez que le demos a firmar nos detectará la tarjeta de Izenpe y nos saldrá un mensajemostrándonos quien va a ser el que firme

23/

Confirmar los datos con los que vamos a realizar la prueba de firmarlo

Y por último insertar el PIN de la tarjeta

Nos dará un resultado valido de la prueba de firma si todo es correcto

24/

7.2. Envío de correos firmados digitalmente

7.2.1. ThunderbirdConfiguración cuenta de correo con certificado

En el menú Preferencias → Opciones → Configuración de las cuentas

Ir a seguridad → Dispositivos de Seguridad → Cargar

El módulo está en : C:\Windows\System32\bit4ipki.dll

25/

Iniciar la sesión

Comprobar que el certificado de izenpe tiene todas las confianzas marcadasver certificados → Autoridades → Izenpe → Editar confianzas

26/

Nota: Si a la hora de firmar da problemas de certificados hay que añadirlos manualmente descargándolos de la web de izenpe: http://www.izenpe.com/s15-12020/eu/contenidos/informacion/cas_izenpe/eu_cas/cas_izenpe.html

E Importándolos uno a uno seleccionando todas las confianzas como en el paso anterior.

Agregar los certificados clickando en “Seleccionar”

27/

Envío correo firmado digitalmentePara enviar un correo firmado digitalmente es necesario indicarlo. Si no tenemos marcada laopción de firmar digitalmente todos los correos salientes, podemos hacerlo manualmente através de la pestaña Seguridad → Firmar digitalmente este mensaje.

Observaremos queaparecerá un checkafirmativo deconfirmación, como elsiguiente

Verificación de firma digital en correo

Thunderbird nos muestra un icono de un sobre cerrado y sellado, que indica que el correo estáfirmado digitalmente.

Si hacemos clic en el sobre, nos mostrara la información de la firma digital.

28/

7.2.2. OutlookPara firmar un correo en Outlook hay que ir a “Archivo” → “Información” → “Propiedades” →“Configuración de seguridad”

Y una vez rellenado el correo y al darle a enviar, nos pedirá el PIN

29/

7.3. Firma de documentos ofimáticos

7.3.1. LibreOfficeUna vez configurada la ubicación de los certificados según se ha explicado en el apartadocorrespondiente, realizaremos un proceso de firma de un documento ofimático.

LibreOffice permite firmar los siguientes tipos de documentos:

● Documentos de texto● Hojas de cálculo● Presentaciones● Dibujos

Para proceder con la firma del documento, en el menú Archivo seleccionamos la opción Firmasdigitales.

30/

Nota: La firma del documento es necesario realizarla sobre un documento guardado, que no seva a modificar. En el momento en que se firma el documento si se modifica se pierde la firma yes necesario volver a firmarlo.

Una vez guardado nos muestra el gestor de firmas digitales de LibreOffice

Elegimos la persona que tiene que firmar

Una vez elegido darle a aceptar pedirá el PIN y luego saldrá lo siguiente y luego darle a cerrar

31/

Para comprobar que está firmado correctamente en la parte de abajo del libreoffice apareceraun documento con un sello.

32/

7.3.2. Microsoft Office Para firmar documentos con Microsoft office hay que ir a “Archivo” → “Información” → “Protegerdocumento” → “Agregar una firma digital”.

Pedirá que lo guardemos, abrirá una ventana con los datos del firmante. Rellar los campos ydarle a firmar.

33/

Pedirá el PIN de la tarjeta.

Una vez firmado aparecerá este icono en la parte de abajo del documento

Si se hace doble click en el se abrirá un panel con las firmas de el.

34/

8. Otras aplicaciones adicionales

8.1. Gestor de la Tarjeta de IzenpeJunto con el Middleware descargado, viene una aplicación con la cual podremos cambiar elPIN, desbloquearla introduciendo el PUK (por si hemos introducido tres veces el PIN mal y seha bloqueado), y alguna que otra opción.

Podremos encontrarla junto a las demás aplicaciones, además se nos creara un acceso directoen el escritorio.

35/

8.2. Cambio de PIN

Le daremos a la opción cambio de PIN dentro de la aplicación Card Manager

Nos aparecerá una ventana que nos permite cambiar el PIN, previa introducción del PIN actual.

Nota: Recomendamos el uso de la propia aplicación de Izenpe para hacer este tipo demodificaciones.

8.3. Desbloqueo de PIN

Cuando realizamos operaciones con nuestra tarjeta criptográfica es posible que de vez encuando introduzcamos erróneamente el PIN, estos dispositivos son sensibles a este tipo deerrores y pueden causar bloqueos.

Para solucionar estos problemas existe una opción de desbloqueo de PIN.

36/

8.4. Cambio de PUKEl PUK es un numero de seguridad que necesitaremos para hacer cualquier tipo demodificación sobre la tarjeta.

Para proceder a hacer un cambio del mismo procederemos de igual manera que lo haríamospara cambiar el PIN.

8.5. Ver...Esta opción nos mostrara información sobre el certificado correspondiente a la tarjeta, tambiénnos servirá para comprobar que el ordenador esta reconociendo bien tanto la tarjeta, como ellector de tarjetas.

37/

9. Incompatibilidades conocidas (Importante)

9.1. DNIeEs conocido que existen conflictos cuando disponemos de la instalación necesaria parafuncionar con el DNIe y la necesaria para las tarjetas Izenpe.

En las ultimas versiones deberían de poder convivir ambas.

Nota Importante: Izenpe no se hace responsable del soporte o problemasrelacionados con el DNIe.

9.2. Tarjetas Antiguas de IzenpeCon el cambio de fabricante en las tarjetas de Izenpe, se producen dos casos a destacar:

· Las tarjetas antiguas (anteriores al 2012), funcionan con el nuevo Middleware y la nuevainstalación.

· Las tarjetas nuevas, no funcionan en instalaciones antiguas (realizadas con las libreríasOpenSC). Necesitan el nuevo Middleware para que funcionen correctamente.

38/

10. Anexo para Sistemas Móviles

10.1. Windows PhoneA día de hoy en las versiones de Windows Phone 7 en adelante no es necesario la instalaciónde certificados raíz para poder navegar sin avisos de error por paginas que los soliciten, estánya incluidos en el navegador del sistema.

39/

11. Acerca deEste documento ha sido elaborado por la empresa Irontec Internet y Sistemas sobreGNU/Linux.

Para la elaboración del presente documento se ha desarrollado una cuidadosa metodología deanálisis y puesta en funcionamiento, garantizado la adecuación del documento a lasnecesidades de los usuarios.

Si el lector considera que hay algún aspecto erróneo o encuentra alguna errata, puedetrasladarla mediante email a cau-izenpe@izenpe.net e intentaremos incluirla en próximasrevisiones del documento.