OpenSC.tokend

オープンソースのOS Xスマートカードドライバ

tokend は、スマートカード上の鍵と証明書を Keychain Access.app に表示させ、Safari や Chrome などのアプリケーションから利用できるようにするものです。OpenSC.tokend は、OpenSC による オープンソース の tokend 実装であり、実際に使われているさまざまな実世界の PKI スマートカードに対応しています。

OS X における tokend サポートの歴史

• 2005年、Apple は OS X 10.4 "Tiger" で tokend ミドルウェアを導入し、サードパーティ製スマートカードを他のネイティブ OS X アプリケーションで利用できるようにしました [1]。tokend のビルド手順は公開されていませんでした。
• OS X 10.5 "Leopard" は安定化リリースと見なせますが、初期バージョンにはスマートカード（tokend を含む）の使用を非常に困難にするいくつかのバグがありました [2]。10.5.6 で Apple は独自製のスマートカードリーダードライバから、Ludovic Rousseau が保守する、より高機能で事実上の標準となっているオープンソースの CCID ドライバに切り替えました [3]。これにより、根本的なバグの少なくとも一部は緩和されました。
• OS X 10.6 "Snow Leopard" は、tokend のビルドに必要なソースコンポーネントが提供された最後のバージョンです（便宜上 build フォルダ に同梱されています）。
• OS X 10.7 "Lion" で Apple はオペレーティングシステムへの tokend の同梱を停止し [3]、さらに CDSA（tokend の基盤）と OpenSSL [4]（OpenSC がソフトウェア暗号化処理に使用）を非推奨としました。
• OS X 10.8 "Mountain Lion" と OS X 10.9 "Mavericks" では、Apple は基盤となる PC/SC および CCID サブシステムに小さな変更を加えましたが、非推奨となった tokend コンポーネントは依然として動作しました [5]、[6]。
• OS X 10.10 "Yosemite" では、OpenSC.tokend のビルドに必要な tokend コードベース（ほとんどが 2005〜2008 年当時のもの！）は、依存コンポーネントが何年も更新されておらず、システムの C++ コンパイラでさえ変更されているにもかかわらず、依然として動作します。10.10 での全体的な体験は、pcscd から CryptoTokenKit デーモンへの置き換えに関連する基盤のスマートカードインフラストラクチャの書き換えにより、やや不安定です [7]。CryptoTokenKit 互換のスマートカードドライバを作成する方法に関する公開情報はありません（共有コードと ApplePay の iOS における 1 年間のベンダーロックインが原因でしょうか？[8]）。
• OS X 10.15 "Catalina" では tokend は無効化され、明示的に有効化する必要があります:

sudo defaults write /Library/Preferences/com.apple.security.smartcard Legacy -bool true

インストール

OpenSC.tokend は OS X 用 OpenSC インストーラ に同梱されており、単独では提供されていません。

ビルド

OpenSC.tokend のビルドには、OpenSC のソースコードが必要です。OS X 用の OpenSC ビルドスクリプトも tokend をビルドします。最小限の手順は ビルドスクリプトのソースコード にあります。

ライセンス

OpenSC のコードは LGPL 2.1+ でライセンスされ、Apple のコンポーネントは APSL 2.0 です。

将来

tokend システム全体は過去の遺物であり、近い将来に消滅する運命にあります。しかし、最新の OS X バージョンでも引き続き有用であり、Apple がいつサポートを打ち切るかは不明です。CryptoTokenKit プラグインに沿った新しい何かが将来必要になるでしょうが、詳細、ロードマップ、その他のドキュメントは公開されていません（これはいつか変わることを願っています）。それまでの間、暗号指向のアプリケーション開発にとって、PKCS#11 はスマートカードに標準的な方法でアクセスするための利用可能な（しかし最善とは言えない）選択肢です。

敬具、

@martinpaljak