OpenSC.tokend

O driver de cartão inteligente de código aberto para OS X

Um tokend faz com que as chaves e certificados do seu smart card apareçam no Keychain Access.app e fiquem disponíveis para aplicativos como Safari ou Chrome. O OpenSC.tokend é a implementação tokend de código aberto do OpenSC, com suporte para muitos smart cards PKI reais encontrados no mundo real.

Histórico do suporte a tokend no OS X

• Em 2005, com a versão 10.4 "Tiger" do OS X, a Apple introduziu o middleware tokend para disponibilizar smart cards de terceiros para outros aplicativos nativos do OS X [1]. As instruções de compilação de um tokend não estavam publicamente disponíveis.
• O OS X 10.5 "Leopard" pode ser considerado uma versão de estabilização, em que as versões iniciais tinham vários bugs que tornavam o uso de smart cards (incluindo um tokend) um verdadeiro tormento [2]. Com a versão 10.5.6, a Apple trocou o driver de leitor de smart card próprio por um driver CCID de código aberto, mais completo em termos de recursos e padrão de facto, mantido por Ludovic Rousseau [3], que mitigou pelo menos alguns dos bugs subjacentes.
• O OS X 10.6 "Snow Leopard" foi a última versão a disponibilizar os componentes de código-fonte necessários para compilar um tokend (incluídos na pasta build por conveniência).
• No OS X 10.7 "Lion", a Apple parou de distribuir tokend-s com o sistema operacional [3] e também tornou obsoletos o CDSA (no qual o tokend é baseado) e o OpenSSL [4] (que o OpenSC usa para operações criptográficas por software).
• Nos OS X 10.8 "Mountain Lion" e OS X 10.9 "Mavericks", a Apple fez alterações menores nos subsistemas PC/SC e CCID subjacentes, mas os componentes tokend obsoletos ainda funcionavam [5], [6].
• No OS X 10.10 "Yosemite", o código base do tokend (em sua maioria de 2005..2008!) necessário para compilar o OpenSC.tokend ainda funciona, apesar de os componentes dependentes não serem atualizados há anos e até o compilador C++ do sistema ter mudado. A experiência geral no 10.10 é um tanto instável devido à reescrita da infraestrutura subjacente de smart cards, relacionada à substituição do pcscd por um daemon CryptoTokenKit [7]. Não há informações públicas disponíveis sobre como criar um driver de smart card compatível com CryptoTokenKit (poderia ser por causa do código compartilhado e do bloqueio de fornecedor de um ano do ApplePay no iOS [8]?).
• No OS X 10.15 "Catalina", os tokends estão desabilitados e precisam ser habilitados explicitamente:

sudo defaults write /Library/Preferences/com.apple.security.smartcard Legacy -bool true

Instalação

O OpenSC.tokend é distribuído com o instalador do OpenSC para OS X e não está disponível separadamente.

Compilação

Para compilar o OpenSC.tokend, é necessário que o código-fonte do OpenSC esteja presente. Os scripts de compilação do OpenSC para OS X também compilam o tokend. Instruções mínimas estão disponíveis no código-fonte do script de compilação.

Licença

O código do OpenSC é licenciado sob LGPL 2.1+, e os componentes da Apple são APSL 2.0.

Futuro

Todo o sistema tokend é um resquício do passado e está destinado à extinção num futuro próximo, mas ainda é útil com as versões mais recentes do OS X e não se sabe quando a Apple vai puxar o plugue. Algo novo na linha de um plugin CryptoTokenKit provavelmente será necessário no futuro, mas não há detalhes, roteiro ou outra documentação disponíveis publicamente (isso mudará, esperançosamente, em algum momento). Enquanto isso, para desenvolver aplicativos com foco em criptografia, o PKCS#11 é uma escolha utilizável (mas longe de ser a melhor) para acessar smart cards de forma padronizada.

Atenciosamente,

@martinpaljak