OpenSC.tokend

Драйвер смарт-карт с открытым исходным кодом для OS X

tokend делает ключи и сертификаты на вашей смарт-карте видимыми в Keychain Access.app и доступными приложениям, таким как Safari или Chrome. OpenSC.tokend — это реализация tokend с открытым исходным кодом от OpenSC, поддерживающая множество различных реальных PKI-смарт-карт, встречающихся на практике.

История поддержки tokend в OS X

• В 2005 году, с выходом OS X 10.4 «Tiger», Apple представила промежуточное ПО tokend, чтобы сделать сторонние смарт-карты доступными для других нативных приложений OS X [1]. Инструкции по сборке tokend не были публично доступны.
• OS X 10.5 «Leopard» можно считать стабилизирующим релизом: ранние версии содержали несколько ошибок, из-за которых использование смарт-карт (включая tokend) было настоящей болью [2]. Начиная с 10.5.6 Apple перешла с самостоятельно разработанного драйвера считывателей смарт-карт на более функциональный, де-факто стандартный драйвер CCID с открытым исходным кодом, поддерживаемый Ludovic Rousseau [3], что смягчило по крайней мере некоторые из основных ошибок.
• OS X 10.6 «Snow Leopard» была последней версией, в которой были доступны исходные компоненты, необходимые для сборки tokend (для удобства они включены в папку build).
• В OS X 10.7 «Lion» Apple прекратила распространять tokend вместе с операционной системой [3], а также объявила устаревшими CDSA (на чём основан tokend) и OpenSSL [4] (который OpenSC использует для программных криптографических операций).
• В OS X 10.8 «Mountain Lion» и OS X 10.9 «Mavericks» Apple внесла небольшие изменения в базовые подсистемы PC/SC и CCID, но устаревшие компоненты tokend всё ещё работали [5], [6].
• В OS X 10.10 «Yosemite» кодовая база tokend (в основном из 2005–2008 годов!), необходимая для сборки OpenSC.tokend, всё ещё работает, несмотря на то, что зависимые компоненты не обновлялись годами и даже системный компилятор C++ изменился. Общее впечатление от 10.10 несколько нестабильно из-за переработки базовой инфраструктуры смарт-карт, связанной с заменой pcscd на демон CryptoTokenKit [7]. Нет публичной информации о том, как создать совместимый с CryptoTokenKit драйвер смарт-карт (возможно, из-за общего кода и годичной блокировки ApplePay на iOS [8]?).
• В OS X 10.15 «Catalina» tokend отключены, и их необходимо включить явно:

sudo defaults write /Library/Preferences/com.apple.security.smartcard Legacy -bool true

Установка

OpenSC.tokend распространяется вместе с установщиком OpenSC для OS X и отдельно не доступен.

Сборка

Для сборки OpenSC.tokend необходимо наличие исходного кода OpenSC. Скрипты сборки OpenSC для OS X также собирают tokend. Минимальные инструкции доступны в исходном коде скрипта сборки.

Лицензия

Код из OpenSC лицензирован под LGPL 2.1+, компоненты от Apple — под APSL 2.0.

Будущее

Вся система tokend — пережиток прошлого и обречена на исчезновение в ближайшем будущем, однако она всё ещё полезна с последними версиями OS X, и неизвестно, когда Apple «выдернет штекер». Что-то новое вроде плагина CryptoTokenKit, вероятно, понадобится в будущем, но никаких подробностей, дорожной карты или другой документации публично нет (будем надеяться, что это когда-нибудь изменится). Тем временем для разработки приложений, ориентированных на криптографию, PKCS#11 является пригодным (но далеко не лучшим) выбором для стандартного доступа к смарт-картам.

С уважением,

@martinpaljak