Certificado A3 - NFE

This message was edited 2 times. Last update was at 21/11/2008 13:19:35

Seguinte...
Eu construí uma classe de assinatura digital que funciona perfeitamente com meu certificado A1.

Estou agora tentando generalizar a classe, e faze-la aceitar o A3.
E tou com um GemPCTwin de cartãozinho...

Tenho no meu código:

Com o arquivo token.cfg

E o console diz:

java.security.KeyStoreException: pkcs11 not found
at java.security.KeyStore.getInstance(KeyStore.java:565)
at br.com.upbrasil.jni.NFe.signature(NFe.java:234)
at br.com.upbrasil.jni.NFe.main(NFe.java:305)

Detalhes adicionais:

E, o -Djava.security.debug=sunpkcs11,pkcs11

sunpkcs11: Initializing PKCS#11 library c:/windows/system32/aetpkss1.dll
Information for provider SunPKCS11-SmartCard
Library info:
cryptokiVersion: 2.11
manufacturerID: A.E.T. Europe B.V.
flags: 0
libraryDescription: Cryptographic Token Interface
libraryVersion: 2.00
All slots: 52481, 52482, 52483, 52484
Slots with tokens: 52483
Slot info for slot 52483:
slotDescription: Gemplus USB Smart Card Reader 0
manufacturerID: Gemplus USB Smart Card Reader 0
flags: CKF_TOKEN_PRESENT | CKF_REMOVABLE_DEVICE | CKF_HW_SLOT
hardwareVersion: 0.00
firmwareVersion: 0.00
Token info for token in slot 52483:
label: e-CNPJ Fenacon
manufacturerID: A.E.T. Europe B.V.
model: 23840D0703070000
flags: CKF_RNG | CKF_LOGIN_REQUIRED | CKF_USER_PIN_INITIALIZED | CKF_TOKEN_INITIALIZED
ulMaxSessionCount: 64
ulSessionCount: 0
ulMaxRwSessionCount: 64
ulRwSessionCount: 0
ulMaxPinLen: 8
ulMinPinLen: 4
ulTotalPublicMemory: 8650
ulFreePublicMemory: 3512
ulTotalPrivateMemory: 234
ulFreePrivateMemory: 234
hardwareVersion: 0.00
firmwareVersion: 0.00
utcTime:
Mechanism CKM_RSA_PKCS_KEY_PAIR_GEN:
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 65537 = CKF_HW | CKF_GENERATE_KEY_PAIR
Mechanism CKM_RSA_PKCS:
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 424705 = CKF_HW | CKF_ENCRYPT | CKF_DECRYPT | CKF_SIGN | CKF_SIGN_RECOVER | CKF_VERIFY | CKF_VERIFY_RECOVER | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_RSA_X_509:
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 424705 = CKF_HW | CKF_ENCRYPT | CKF_DECRYPT | CKF_SIGN | CKF_SIGN_RECOVER | CKF_VERIFY | CKF_VERIFY_RECOVER | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_RC2_KEY_GEN:
DISABLED in configuration
ulMinKeySize: 8
ulMaxKeySize: 1024
flags: 32768 = CKF_GENERATE
Mechanism CKM_RC2_ECB:
DISABLED in configuration
ulMinKeySize: 1
ulMaxKeySize: 1024
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_RC2_CBC:
DISABLED in configuration
ulMinKeySize: 1
ulMaxKeySize: 1024
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_RC2_CBC_PAD:
DISABLED in configuration
ulMinKeySize: 1
ulMaxKeySize: 1024
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_RC4_KEY_GEN:
DISABLED in configuration
ulMinKeySize: 8
ulMaxKeySize: 2048
flags: 32768 = CKF_GENERATE
Mechanism CKM_RC4:
DISABLED in configuration
ulMinKeySize: 8
ulMaxKeySize: 2048
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_DES_KEY_GEN:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 32768 = CKF_GENERATE
Mechanism CKM_DES_ECB:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_DES_CBC:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_DES_CBC_PAD:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_DES2_KEY_GEN:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 32768 = CKF_GENERATE
Mechanism CKM_DES3_KEY_GEN:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 32768 = CKF_GENERATE
Mechanism CKM_DES3_ECB:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_DES3_CBC:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_DES3_CBC_PAD:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 393984 = CKF_ENCRYPT | CKF_DECRYPT | CKF_WRAP | CKF_UNWRAP
Mechanism CKM_MD2:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 1024 = CKF_DIGEST
Mechanism CKM_MD5:
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 1024 = CKF_DIGEST
Mechanism CKM_SHA_1:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 1024 = CKF_DIGEST
Mechanism CKM_RIPEMD160:
DISABLED in configuration
ulMinKeySize: 0
ulMaxKeySize: 0
flags: 1024 = CKF_DIGEST
Mechanism CKM_MD5_RSA_PKCS:
DISABLED in configuration
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 10241 = CKF_HW | CKF_SIGN | CKF_VERIFY
Mechanism CKM_SHA1_RSA_PKCS:
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 10241 = CKF_HW | CKF_SIGN | CKF_VERIFY
Mechanism CKM_RIPEMD160_RSA_PKCS:
DISABLED in configuration
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 10241 = CKF_HW | CKF_SIGN | CKF_VERIFY
Mechanism Unknown 0x0000000080000001:
DISABLED in configuration
ulMinKeySize: 720
ulMaxKeySize: 1024
flags: 10241 = CKF_HW | CKF_SIGN | CKF_VERIFY

Bem...
Eu não consigo usar essa coisa...
Aceito dicas, sugestoes, conselhos, rezas e romarias e tudo mais...
Teoricamente... tudo deveria funcionar...

pliz,,, reupi mi

ja tentou inverter as barras no arquivo token.cfg? Vc precisa realmente de todas essas configurações no arquivo? Os meus ficam tão mais simples...

Baaah,,,
Eu achei que precisava...
na verdade... TUDO ali é tentativa...
Não achei nenhum manual de como fazer essas coisas...
e, os exemplos são todos tão simplezinhos que... de boa...
nem sei oq pensar na hora que dá erro...

Dai pensei... Deve ser alguma particularidade da minha DLL...
pqp... se pra cada cliente que comprar um hardware novo eu tiver toda essa batalha eu tou f*****

Boum...Voltando ao problema
eu retirei as configurações de mecanismos
e o arquivo cfg ficou

O que me resultou um erro num local afrente do habitual.
e, o debug retornou um

sunpkcs11: login succeeded

Sinal de que a configuração era um dos problemas...

Agora deu erro no uso de aliases,,,
Creio que agora seja questão de codificação aqui...

Eita trem chato esse tal de A3...
Se tiver mais problema eu retorno nesse mesmo bat canal... rs**

Mas,,,
Aqui...
Eu nada fiz de diferente.
E, aparentemente ele sempre carregava a dll...
não entendi o que está diferente...

qual eh o servidor de aplicação usado?
tomcat??

se for pode ser que vc precise configurar la no server.xml do tomcat
na tag connector preste atenção que eh na porta 8443
coloque a senha do key

<Connector port="8443" address="localhost"
maxThreads="100" strategy="ms" maxHttpHeaderSize="8192"
emptySessionPath="true"
scheme="https" secure="true" clientAuth="false"
keystoreType="PKCS11"
ciphers="TLS_RSA_WITH_AES_128_CBC_SHA"
keystorePass="12345" sslProtocol = "TLS"
/>

preciso da dica de como fazer isso no glassfish
se alguem souber por favor me digam

HelloWorld Membro desde: 04/05/2009 08:49:31 Mensagens: 12 Offline

Bom, estou nesta mesma batalha também!
Certificado A1 foi mamão com açúcar... agora este A3
está me dando dor de cabeça.

Já fiz download de n componentes e não obtive sucesso com nada,
alguém poderia me dar uma luz, como assinar o XML com esse "querido"
certificado A3.

Att.

Ernani Cesar S.

É igualzinho...
A diferença é q o a3 varia com o hardware...
Então...
A solução começa com o Hardware...
1) achar os parâmetros do seu hardware
2) Modificar seus fontes pra a3.

Pegou a ideia?
dai... na requisição... mesma coisa...

HelloWorld Membro desde: 04/05/2009 08:49:31 Mensagens: 12 Offline

Olha kra... é isso que eu estou fazendo, só que na hora de dar o load no KeyStore está dando um erro:
PKCS11 NOT FOUND, já baixei a dll do fabricante e nada, o erro continua!
E tem outra, quando eu uso o A1 eu extraio a PrivateKey do meu certificado para fazer a assinatura, o que eu
não posso fazer com o A3, como eu faço para mandar o meu Hardware assinar a minha Nota?
O meu leitor é umj GemPC Twin, meu cartão é um GemPlus.

O colega ou alguém poderia me ajudar, postar um exemplo por favor!

At..

Ernani César dos Santos

estou postando uma parte dos meus codigos
espero que ajudem a resolver

arquivo token.cfg

Aqui codigo para aplicar a segurança de conexao

aqui codigo para pegar o certificado
opção aqui de arquivo e e-certificados

KeyStore ks = null;
        // Load the KeyStore and get the signing key and certificate.
        if(CERT_ARQUIVO)
        {
            System.setProperty("java.protocol.handler.pkgs","com.sun.net.ssl.internal.www.protocol");
            Security.addProvider(new com.sun.net.ssl.internal.ssl.Provider());
            ks = KeyStore.getInstance("pkcs12");
            ks.load(new FileInputStream("CAMINHO CERTIFICADO", "SENHA CERTIFICADO");
            
        }else
        {
            Provider p = new sun.security.pkcs11.SunPKCS11("CAMINHO TOKEN.CFG");
            Security.addProvider(p);

ks = KeyStore.getInstance("pkcs11");
            ks.load(null, "SENHA".toCharArray());

}
        KeyStore.PrivateKeyEntry pkEntry = null;
        Enumeration aliasesEnum = ks.aliases();

while (aliasesEnum.hasMoreElements()) 
        {
            String alias = (String) aliasesEnum.nextElement();
            System.out.println(alias);

if (ks.isKeyEntry(alias)) 
            {
                pkEntry = (KeyStore.PrivateKeyEntry) ks.getEntry(alias, new KeyStore.PasswordProtection("SENHA".toCharArray()));
                privateKey = pkEntry.getPrivateKey();
                break;
            }
        }

X509Certificate cert = (X509Certificate) pkEntry.getCertificate();
        
        return cert;

PatricMaffi o seu código está muito parecido com o meu, na verdade estou fazendo o meu código baseado no Nakov Document Signer, só que estou com um problema: uma vez inserida o pin code correto, é possível fazer qualquer operação com o token que funciona, até mesmo fazendo um load da keystore com a senha errada: keyStore.load(null, "senha errada", provider).

Já tentei até dá um remove no provider criado a partir do arquivo de configuração e nada.

Ola, estevao
quando você tentou remover o provider
utilizou este comando
Security.removeProvider(nome_provider); ??

se foi este e não funcionou tente este
Security.getProvider(nome_provider).clear();

A aproveitando a deixa, desenvolvemos um sisteminha com webservice para solução de comunicação de NFe para empresas de software que estejam precisando fazer a parte de NFe para integrar com os seus sistemas de ERP

se alguem tiver curiosidade de como funciona nosso webservice de comunicação com a receita me envie um e-mail

espero ter ajudado

abraços

Isso eu tentei remover com e nada, e agora quando eu uso dá o seguinte erro depois da primeira assinatura bem sucedida:
O que eu devo fazer agora, seria legal se estivesse um código para saber o que eu fazendo de errado.

PatricMaffi wrote:estou postando uma parte dos meus codigos
espero que ajudem a resolver

arquivo token.cfg

name=Safesig library = C:\WINDOWS\system32\aetpkss1.dll

Aqui codigo para aplicar a segurança de conexao

Provider p = new sun.security.pkcs11.SunPKCS11(caminho do token); Security.addProvider(p); KeyStore ks = KeyStore.getInstance(tipo key store); ks.load(null, "senha".toCharArray()); System.setProperty("java.protocol.handler.pkgs", "com.sun.net.ssl.internal.www.protocol"); System.setProperty("javax.net.ssl.keyStoreType",ks.getType()); System.setProperty("javax.net.ssl.keyStorePassword", "senha pin");//Aqui a senha deste certificado System.setProperty("javax.net.ssl.trustStoreType","JKS"); System.setProperty("javax.net.ssl.trustStore", caminho KeyStore); //Aqui vem o arquivo criado atraves do comando keytool chaves publicas System.setProperty("javax.net.ssl.trustStorePassword", senha keystore);

Puts valeu, era o que eu precisava, como setar o A3 para a chamada dos webServices.
Mas o meu ainda ficou um pouco mais simples. Porque eu estava lendo, que voce pode ter mais de um Provider adicionado, para varios certificados na mesma app/maquina, entao ele pega pelo nome, que esta la no config.cfg, e nao preciso instanciar um keystore para isso, pois a maioria dos webservices da NFe eu nao preciso assinar o xml, apenas setar para a comunicaçao.

private void setSecurity(boolean token) {
        
        System.setProperty("java.protocol.handler.pkgs", "com.sun.net.ssl.internal.www.protocol");        
        if (token) {

System.setProperty("javax.net.ssl.keyStoreType", parametros.getProperty("nfe.certificado.tipo"));
            System.setProperty("javax.net.ssl.keyStore", "NONE");
            System.setProperty("javax.net.ssl.keyStoreProvider", "SunPKCS11-SmartCard");  //PERCEBA AQUI, tambem poderia ter pego das properties, pra ficar dinamico
            System.setProperty("javax.net.ssl.keyStorePassword", parametros.getProperty("nfe.certificado.pfx.pass"));
        } else {
            Security.addProvider(new com.sun.net.ssl.internal.ssl.Provider());
            System.setProperty("javax.net.ssl.keyStoreType", parametros.getProperty("nfe.certificado.tipo"));
            System.setProperty("javax.net.ssl.keyStore", parametros.getProperty("nfe.certificado.pfx"));
        }
        System.setProperty("javax.net.ssl.trustStoreType", "JKS");
        System.setProperty("javax.net.ssl.trustStore", parametros.getProperty("nfe.certificado.keystore"));
    }

estevaofreitas wrote:Isso eu tentei remover com Security.removeProvider("SunPKCS11-SmartCard"); e nada, e agora quando eu uso Security.getProvider("SunPKCS11-SmartCard").clear(); dá o seguinte erro depois da primeira assinatura bem sucedida:
java.security.KeyStoreException: PKCS11 not found Caused by: java.security.NoSuchAlgorithmException: PKCS11 KeyStore not available O que eu devo fazer agora, seria legal se estivesse um código para saber o que eu fazendo de errado.

E nao esta correto? Afinal voce removeu o certificado. Assine todas as notas e no final remova o certificado. Para novas assinaturas adicione novamente.

veja este tuto que encontrei

Unregistering the Sun PKCS#11 Provider

When you no longer need the PKCS#11 security provider, you should unregister it to deallocate the resources used. This can be done in the following way:

Provider pkcs11Provider = ...;
String pkcs11ProviderName = pkcs11Provider.getName();
Security.removeProvider(pkcs11ProviderName);

Some PKCS#11 native implementations require the provider to be unregistered after you've finished signing. Otherwise, an active session with the smart card can remain open and can cause all further signing attempts to fail. Another possibility for unregistering the PKCS#11 security provider is the following:

Security.removeProvider("SunPKCS11-SmartCard");

The name of the provider is constructed by the prefix "SunPKCS11-," followed by the name given in the configuration file (pkcs11.cfg).

fonte: http://www.developer.com/security/print.php/11580_3587361_2

Buenas,

Alguém implementou a solução dentro do JBoss?
Caso positivo, peço encarecidamente um auxílio. Não consigo fazer ele funcionar com A3.

Obrigado.
Abraços.

JavaBaby Membro desde: 15/07/2009 10:14:19 Mensagens: 85 Offline

Olá,

No código do PatricMaffi, ele da um return cert porém nao informa onde ele usar esse certificado e nem o nome do metodo criado.

Gostaria que se possivel mostrasse um exemplo completo ate a forma de chamar a consulta no ws.

Notícias, artigos e o maior fórum brasileiro sobre Java