wtorek, marca 11, 2008

SUN
Technologie użyte w rozwiązaniu WebSigner Applet - http://rcardon.free.fr/websign/wakka.php?wiki=MainPage:
  1. http://www.keyon.ch/en/Produkte/JavaJCE/JACAPI/index.htm - płatne (kontakt)
  2. http://pheox.com/products/jcapi/ - płatne (1700 Eu)
  3. Dokumentacja do implementacji podpisu przez SUN - http://java.sun.com/javase/6/docs/technotes/guides/security/crypto/CryptoSpec.html#SSLTLS
Pobieranie stron HTTP:
  1. http://hc.apache.org/httpclient-3.x/tutorial.html
  2. http://www.innovation.ch/java/HTTPClient/getting_started.html
  3. http://java.sun.com/developer/onlineTraining/
  4. http://rcardon.free.fr/
Szkolenia inne:
  1. http://java.sun.com/developer/onlineTraining/tools/ - UML
  2. Bezpieczeństwo - http://java.sun.com/developer/onlineTraining/Security/
  3. Rozbiegówka - http://java.sun.com/docs/books/tutorial/security/TOC.html
  4. http://java.sun.com/developer/onlineTraining/Security/Fundamentals/Security.html#secSignIE
  5. Nowa wersja - http://java.sun.com/javase/6/docs/technotes/guides/security/crypto/CryptoSpec.html#SSLTLS
  6. http://java.sun.com/javase/6/docs/technotes/guides/security/crypto/HowToImplAProvider.html#Step61
  7. http://java.sun.com/javase/6/docs/technotes/guides/security/SunProviders.html#SunJSSEProvider - dostęp do CAPI
  8. Architektura dostawcy - http://java.sun.com/j2se/1.4.2/docs/guide/security/CryptoSpec.html#ProviderArch
  9. Forum msdn - http://forums.microsoft.com/msdn/default.aspx?siteid=1
  10. Ciekawy post - http://www.javaworld.com/javaforums/showflat.php?Cat=2&Number=39181&an=0&page=3
  11. Hi everyone:
    Im using the SunPKCS11 in my Applet application in order to interact with smart card to sign data
    The SunPKCS11 needs as parameter in its constructor a library (".dll in case of windows" or ".so in case of linux"). That´s ok and it´s working fine!
    Im using the dll from the vendor of the smart-card (aetpkss1.dll)

    1- First question: For each kind of reader / smart-card, do i need to specify a diferent library (.dll / .so) ? Is there a generic dll ? How do i know the name of dll installed at the user´s machine ?

    I have been testing CAPICOM too. Everybody knows CAPICOM (Written in VB) interacts with the Windows CryptoAPI (Written in C).
    I have an application working with CAPICOM (at Internet Explorer) to sign data. The application can sign using certificates stored at Smart-Card. However CAPICOM never asked me for a dll or something like that, why ?

    2 - Second question: Does CAPICOM or CryptoAPI knows where is the location of the dll and do it automatically ? or the CAPICOM / CryptoAPI can interact with the smart-card directly ?
  12. Inny - I'm trying to execute a Post request using HTTPS. To achieve that I'm using commons-httpclient v.3.0rc1 and a custom SSLSocketProtocolSocketFactory that can work with untrusted self-signed certificates.
  13. Podpis wykorzystujący CAPI i C++: http://www.codeproject.com/KB/asp/adrian_bacaianu.aspx

poniedziałek, marca 10, 2008

Ciekawostki:
  1. Grisoft wykupił ELP znane ze swego http://reviews.cnet.com/internet-security-and-firewall/linkscanner-pro/4505-3667_7-32329266.html?tag=nefdprod.rev
  2. Inny produkt - Finjan Secure Browsing - http://reviews.cnet.com/internet-security-and-firewall/finjan-securebrowsing/4505-3667_7-32328301.html?tag=prod.txt.1
  3. Powyższe informacje pochodzą z http://www.webware.com/8300-1_109-2.html
  4. SUN interesuje się j. dynamicznymi, po udanej implementacji JRuby, firma próbuje tego samego z JPython. Dlatego zaprosiła do siebie do współpracy dwóch informatyków zajmujących się JPythonem.
  5. http://www.truecrypt.org/
E-faktura atakuje
  1. TP SA proponuje e-fakturę
  2. Sigillum udostępnia aplikacje do:
    1. weryfikacji (darmowa) podpisu pod dokumentem, format: PKCS#7, CMS, Xades
    2. podpisywanie e-dokumentów Sign Pro (wyłącznie swoim klientom)
    3. tenże udostępnia (wyłącznie swoim klientom) aplikacje do weryfikacji dokumentów (pod Linuxem również)
  3. Sigillum oświadczenie o zaprzestaniu wsparcia: W związku z zaprzestaniem od 15 lipca 2006 rozwijania i oferowania wsparcia technicznego przez Microsoft dla systemów Windows 98, Windows 98 SE, Windows Millennium, Windows XP SP1 od 1 stycznia 2007 Sigillum nie oferuje wsparcia technicznego dla rozwiązań PKI opartych na tych systemach.
  4. Sigillum a E-faktura:
    • W nowoczesnym przedsiębiorstwie obieg dokumentów papierowych generuje niepotrzebne koszty i zabiera czas. Rozporządzenie Ministra Finansów z dnia 14 lipca 2005 r. w sprawie wystawiania oraz przesyłania faktur w formie elektronicznej, a także przechowywania oraz udostępniania organowi podatkowemu lub organowi kontroli skarbowej tych faktur (Dz. U. Nr 133, poz. 1119) pozwala na rezygnację ze stosowania tradycyjnych faktur papierowych i przejście na wymianę dokumentów elektronicznych. Korzystając z doświadczeń związanych z przesyłaniem zabezpieczonych dokumentów elektronicznych oraz ze stosowaniem e-podpisu, PWPW uruchomiła projekt e-Faktura.

  1. Komponent techniczny. Sigillum opiera się na sprzęcie do składania podpisu pochodzącym od dwóch dostwaców:
    1. Cryptotech (www.cryptotech.com.pl) tel. (012) 260 9219 - oprogramowanie na karcie: dedykowany, wewnętrzny, certyfikowany system operacyjny firmy Setec SETCOS, wsparcie dla MS Windows 9x*, NT4*, 2000, XP, 2003).
      1. Starszy produkt to Cryptocard PKI, wyciąg z opisu: Mechanizmy zarządzania kluczami i szyfrowania są zlokalizowane na karcie. Karta zarówno generuje klucze, przechowuje je w pamięci, jak również przy ich użyciu szyfruje informacje na zlecenie zewnętrznych aplikacji po weryfikacji kodu PIN użytkownika. Wysoki poziom bezpieczeństwa karty potwierdzony jest odpowiednimi certyfikatami. System operacyjny karty bazuje na systemie certyfikowanym do poziomu ITSEC E3 HIGH lub FIPS 140-1 Level 2, a obecnie jest w trakcie certyfikacji wg standardu Common Criteria EAL4+. Oprogramowanie CryptoCard PKI realizuje standardy PKCS#11 i PKCS #15 oraz zawiera certyfikowany przez firmę Microsoft moduł CSP do pracy w ramach CryptoAPI. Ponieważ interfejsy te wykorzystują standard PC/SC, możliwe jest używanie szerokiej gamy czytników w środowisku Windows. Karta spełnia również wymagania European Digital Signature Law i polskiej Ustawy o podpisie elektronicznym.
      2. Nowsze rozwiązanie: CryptoCard MultiSign wraz z oprogramowaniem do zarządzania kartą elektroniczną CryptoCard Suite aktualna i zalecana wersja 1.20. Nowością jest w dokumentacji wzmianka o wsparcou dla RedHat 9+, Debian i Suse.
      3. Uwaga! W wersji 1.30 będzie pełne wsparcie dla Linuxa!
      4. Dostępne są sterowniki - http://www.cryptotech.com.pl/Pomoc_techniczna/Sterowniki,content.html - uwaga: nie ma sterowników dla systemów nie MS!
    2. Mikroprocesorowa karta ActivIdentity z zestawem apletów ActivCard Digital Identity Applet Suite v2.5 wraz z oprogramowaniem middleware wchodzącym w skład pakietu ActivClient (pojawia się tutaj firma www.sputniksoftware.com 801-886644).
  2. Komponent programistyczny - aplikacje:
    1. Sigillum Sign
    2. Sigillum Sign Pro
    3. PEM-HEART

  1. Na podstawie FAQ ze strony Sugillum:
    1. Zestaw aktów prawnych - http://www.sigillum.pl/sig-cmsws/page/?F;166
    1. Po co LDAP - usługa katalogowa LDAP jest stosowana w celu umożliwienia zainteresowanym osobom dostępu do bazy certyfikatów osób zarejestrowanych w danym urzędzie (np. bazy Sigillum). Dzięki temu dostępowi możliwe jest odnalezienie certyfikatu wybranej osoby (oczywiście o ile znajduje się ona w bazie), a w konsekwencji np. zaszyfrowanie do niej poczty. Katalog LDAP daje też możliwość sprawdzenia, czy dany certyfikat faktycznie został wydany danej osobie przez określone centrum certyfikacji, a w konsekwencji może stanowić dodatkową formę potwierdzenia tożsamości.
    1. Problem - Brak nazwy /nieprawidłowe wyświetlanie pól w Windows 98 - Problem ten pojawia się najczęściej na komputerach z zainstalowanym systemem Windows 98. Niestety, nie ma na ów błąd dobrej rady, bo firma Microsoft nie wspiera już tego systemu i nie publikuje stosownych poprawek. Dopiero systemy operacyjne starsze niż Windows 98 poprawnie obsługują pola certyfikatów.
    1. Co to jest weryfikacja podpisu elektronicznego - Weryfikacja podpisu elektronicznego jest realizowana automatycznie przez oprogramowanie służące do tego celu.

      Obejmuje ona sprawdzenia:

      • czy zawartość dokumentu nie zmieniła się od momentu podpisania
      • czy sam podpis dokumentu jest poprawny
      • czy certyfikat osoby podpisującej jest poprawny i czy nie został odwołany
      • sprawdzenie, czy urząd certyfikacji nie został odwołany.
    1. Termin „wielopodpis” lub „podpis wielokrotny” używany jest w dwóch kontekstach:
      • jako synonim kontrasygnaty, czyli umieszczania wielu różnych podpisów (podpisów elektronicznych różnych osób) pod jednym dokumentem
      • jako możliwość podpisywania na raz wielu dokumentów – czyli podpisywanie tych dokumentów za pomocą pojedynczego wprowadzenia kodu PIN (standardową opcją jest wprowadzanie PIN-u dla każdego podpisywanego dokumentu osobno) – w przypadku korzystania z oprogramowania Sigillum, wielopodpis w tym sensie jest możliwy jedynie przy użyciu programu Sigillum Sign Pro (wersja darmowa oprogramowania – Sigillum Sign – wymaga wpisywania kodu PIN osobno podczas podpisywania każdego dokumentu
    1. Aukcje - Należy sprawdzić, czy komputer spełnia następujące minimalne wymagania:
      • Komputer PC o szybkości minimum 300Mhz, wyposażony w 64MB RAM;
      • system operacyjny Windows 2000 lub wyższy (uruchomienie aukcji na Windows 98 jest teoretycznie możliwe, ale w tym wypadku często pojawiają się błędy);
      • stałe łącze internetowe (aukcje powinny działać również na modemie, jednak w tym przypadku istnieje poważne niebezpieczeństwo zerwania połączenia, a w konsekwencji „wyrzucenie” z aukcji w najbardziej istotnym momencie);
      • przeglądarka Internet Explorer 5.5 bądź wyższa;
      • aplet java pobrany jednorazowo przy pierwszym połączeniu ze stroną (v.1_3_1_06);
      • wyłączona autoryzacja na serwerze proxy;
      • ważny kwalifikowany certyfikat podpisu elektronicznego.

      Dodatkowe wymogi konfiguracji obejmują:

      • włączone uruchamianie apletów ActiveX.

niedziela, marca 09, 2008

Ciekawe linki:
  1. IE7Pro ma debugger FireBug w wersji Lite
  2. Refleksja w Javie czasmi może być pomocna - http://www.onjava.com/pub/a/onjava/2007/03/15/reflections-on-java-reflection.html?page=1
  3. Tworzenie okien modalnych będących jedynie warstwą na stronie - http://jquery.com/demo/thickbox/
  4. Inna wersja - http://livepipe.net/projects/control_modal/
  5. Przykład wykorzystania j. dynamicznych - http://www.javabeat.net/javabeat/java6/articles/2007/06/java-6-0-new-features-part-1/2
  6. Portal Java EE - http://java.sun.com/javaee/community/blogs/?feed=JSC
  7. Tutorial o oknach - http://www.webreference.com/js/tutorial1/final.html
  8. http://p0t.jp/pprompt/
  9. http://openjsan.org/doc/k/ko/komagata/Widget/Dialog/0.01/index.html
  10. http://www.webreference.com/js/column90/
  11. http://www.dhtmlgoodies.com/index.html?whichScript=modal-message
  12. http://www.dynamicdrive.com/dynamicindex8/dhtmlwindow/dhtmlmodal.htm
  13. Wstrzyknięcie dynamiczne javascript-u i css-ów - http://www.javascriptkit.com/javatutors/loadjavascriptcss.shtml
  14. Przykłady EXT JS - http://extjs.com/deploy/dev/examples/
  15. marekcoig/t - https://inventory.sun.com/RegistrationWeb/nbgf/thankyou.jsp
  16. http://developers.sun.com/downloads/ - dostęp po zarejestrowaniu wcześniej
  17. Java SE security - http://java.sun.com/javase/technologies/security/
  18. Tutoriale - http://java.sun.com/developer/onlineTraining/
  19. Klasyczne :
    1. dzone
    2. http://dean.edwards.name/my/
    3. http://code.google.com/