SwissSigner Public Beta

Vor wenigen Minuten erhielt ich ein Mail von SwissSign, dass eine öffentliche Beta der Signatursoftware SwissSigner verfügbar sei.
Das musste ich mir natürlich sofort ansehen - hier mal die ersten Eindrücke:

• Setup sehr gut - wird es unter Vista/Windows 7 mit UAC ausgeführt, so installiert es sich je nach verfügbaren Rechten entweder in den persönlichen Ordner des Benutzers oder in den Programm-Ordner. Vorbildlich
• Eine Assoziation mit .pdf-Dateien ist nur möglich, wenn Setup mit Administratorenrechten ausgeführt wird. Diese erfolgt dann leider aber primär, so dass PDFs immer mit dem SwissSigner geöffnet werden.

Nun also mal ein erstes PDF erstellen (Export aus Microsoft Word 2007) und mit SwissSigner öffnen - die Oberfläche ist übersichtlich und intuitiv.
Es werden verschiedene Signaturmöglichkeiten angeboten:

• Einzelsignatur
• Unsichtbare Einzelsignatur
  
• Multisignatur (Zertifizierung)
• und Unsichtbare Multisignatur

Probieren wir also mal die Einzelsignatur aus - sichtbar.
Die Statusleiste informiert mich, dass ich nun mit der rechten Maustaste das Feld für die Signatur aufziehen könne.



Sobald ich die rechte Maustaste wieder loslasse erscheint ein modaler Dialog und fragt mich nach dem Passwort des Tokens:



Im nächsten Fenster kann ich auswählen, welches Zertifikat ich verwenden möchte (qual, auth), den Ort für die Signatur angeben, ein Bild auswählen (unterstützt werden PNG, BMP oder GIF), einen Grund angeben und die Sprache auswählen:


Alles eingegeben, OK geklickt und schon wird gefragt, unter welchem Namen das signierte Dokument gespeichert werden soll. Vorgeschlagen wird "[Dokumentenname] (Signiert von
[Zertifikatsname])".

Wählt man das qualifizierte Zertifikat, so fragt die Siemens CardOS API noch nach dem 2. PIN für dieses nach, und schon erscheint das signierte Dokument.



Die Draw-Funktion lässt leider in Sachen Geschwindigkeit noch ein wenig zu wünschen übrig - Zoom In benötigt mehrere Sekunden, auch das maximieren des Fensters.
Hier ein Zoom (mit Zensur, das verwendete Bild ist meine Unterschrift) wie die Signatur auf dem Dokument aussieht:

Die erste Zeile ist der Grund, der im Dialog angegeben wird. Zeile 2 wird automatisch erstellt, Zeile 3 besteht aus dem angegeben Ort und dem aktuellen Datum.
Das Datum wird nun der Knackpunkt sein - ich stelle die Systemzeit um einen Tag zurück und signiere das PDF erneut (mit französisch als Signatursprache, mal zum Testen).
Ergebnis: Neuer Vorschlag beim Dateinamen enthält nun "signé par", das ist schön.
Datum und Uhrzeit für die Signatur werden vom Timestamp-Server geholt, das Datum für die sichtbare Unterschrift aber aus der lokalen Systemzeit:

Kleiner Lapsus, der aber sicher noch korrigiert werden kann. Hier noch die Release Notes:



und das About



Fazit fürs Erste: Eine schöne Software, aber es darf noch an den Ecken gefeilt werden. Als Alternative gibt es den Open eGov Local Signer, der mittlerweile das Beta-Stadium verlassen hat (aber nicht mehr Open ist, wie ursprünglich angekündigt). Dieser kann auch mit nicht-SwissSign-Zertifikaten umgehen.

Windows 7 RC on Tecra M7

Well, finally Windows 7 RC got out, and it has to be tested. Although it says you should not install it on a productive system, I found this to be my preferred way to test an operating system. Only this way you can test it "for real". Just keep a backup and a restore image at hand.

My test system is the same as last time: Tecra M7 Core 2 Duo T7200 4 GB RAM. I tested x86 and x64, here's the report:

Windows 7 Release Candidate 7100 x86

Handwriting

I installed the english version, and again, the handwriting recognition was only installed in english. Yes, normally you buy the operating system in your preferred language, but you will agree that a lot of people write in more than one language - and not only on the keyboard. Two examples:

• Except in native english speaking countries, most IT people will make notes in english in addition to their mother tongue.
• Swiss people (especially students) have to write at least in german and french or italian. Or think of Grisons, but I expect no recognition for Rumantsch Grischun.

Microsoft forces you to install the language pack to get handwriting recognition for other languages. So I got the language packs for de and fr, installed them and voilà, handwriting recognition worked. Why I have to install several hundred megabytes of mui-files just to get C:\Program Files\Common Files\microsoft shared\ink\hwr[language]*.dat (where [language] is deu, fr, uk, us is beyond me. It does not work just by extracting and overwriting the files. When I have time I'll look further into this, maybe there's a workaround that allows to use multilanguage handwriting without the whole package.

Handwriting Math Input Panel

This was already in the beta, but I forgot to write about it. A very handy application, when you got math classes. It allows you to write mathematical formulae. Symbols like sigma, integral signs and more are recognized. The object is editable with the Microsoft Formula Editor.

Calls for a LaTeX-converter...

Hardware

Improved since the last version. Recognition of almost all the hardware was instantly, or after the first update (nVidia). Not recognized were the Flash Media Controller and Bluetooth, but both worked with the Vista-drivers from the Toshiba webpage. For the TPM- and the biometric functionality I had to install additional software. For the TPM I used the same as in Beta, 3.5 from here and follow the instructions from this post; UPEK has a new version for RC, get it here.

Software

The Toshiba Value Added Package and Tablet PC Extension Package still work as in Vista. Meaning that the rotation-button does not, but the rotation works when you rotate the screen or use the presentation-button and click "rotate" in Windows Mobility Center.

Postzertifikat

Since this concerns only Swiss people I write in german.

Das Postzertifikat läuft immer noch - einfach die neueste Software herunterladen und installieren. Das USB-Token wird direkt erkannt. Steckt man den Stick vor der Installation der Software ein, so erkennt Windows den Smartcard-Chip, hat aber keine Treiber für ihn. Für die Smartcards einiger Hersteller ist keine zusätzliche Software mehr nötig, Siemens CardOS-Karten gehören aber nicht dazu.

Windows 7 Release Candidate 7100 x64

Well, this one was more tricky - and there was not a solution for everything.

Most hardware is recognized and works out of the box or after Windows Update. Toshiba does not support x64 very much - thus I miss the drivers for the Texas Instruments PCI-6x12 Cardbus-Controller (no problem, I got no cardbus-cards anymore) and the Toshiba HDD Protection. I tried some stuff with the drivers for the last one, the effect was that the machine froze after being moved.

As if this was not enough, my main application misses a feature on x64: Onenote has no "Send to OneNote"-printer in x64 and there won't be one for Office 2007. The workaround supports no OCR, so I decided not to install a complete working environment on x64.

Postzertifikat nun immer qualifiziert - und günstiger!

Wie schon letztes Jahr versprochen bietet SwissSign, die Tochterfirma der Schweizerischen Post, nun ab diesem Jahr die qualifizierten Zertifikate in einem vereinfachten Prozess an.

Bis anhin (und noch bei meinem letzten Zertifikat vom 25. Februar 2009) musste man für die Zertifizierung direkt zu SwissSign vorbeigehen - man musste einen Pass oder eine ID vorlegen und die Zertifikate wurden vor Ort gleich auf dem Stick erzeugt.

Für fortgeschrittene Zertifikate gab es schon bis dahin den Weg über die "Gelbe Identifikation". Man geht zum Postschalter, weist sich dort aus, und der Postangestellte macht eine Kopie des Ausweises. Man erhält eine CD mit der Installationssoftware, den USB-Cardreader und die Smartcard.
Einige Tage später erhält man per Post ein Passwort, mit welchem man die "Zertifikate" herunterladen kann. Wie der Prozess genau geht, das möchte ich noch herausfinden und werde da mal noch nachfragen. Schliesslich müssen die qualifizierten Zertifikate, um gültig zu sein, on-chip generiert werden (gem. ZertES) - man lädt wohl nur den signierten Public Key der einzelnen Zertifikate herunter.
Noch die PIN ändern und fertig, die Zertifikate sind einsatzbereit.

Bereits vor Monaten erwähnten SwissSign-Mitarbeiter mir gegenüber, dass sie diesen Prozess gerne auch für die qualifizierten Zertifikate verwenden würden - der geringere Aufwand würde die Kosten natürlich drastisch senken. Doch müssen alle Prozesse, die zur Ausstellung von solchen Zertifikaten dienen, von der Akkreditierungsstelle überprüft werden (KMPG). Das dauert natürlich seine Zeit, doch nun haben sie es geschafft - der Identitätsnachweis kann am Postschalter erfolgen!

Somit sind nun nur noch 4 Schritte nötig, um ein qualifiziertes Zertifikat zu erhalten:

1. Antragsformular ausfüllen
2. Gelbe Identifikation am Postschalter (kostet 20 Fr.)
3. Auf Post von SwissSign warten
4. Software installieren, Zertifikate runterladen

Was ich leider auf der Seite der Post im Moment nicht sehe, ist, ob die Zertifikate weiterhin im 3-er Pack erzeugt werden: Qualifiziert (für's Unterschreiben ohne Abstreitbarkeit), Fortgeschritten (naja, ich verwende das eigentlich nie), und Verschlüsselung (Exportierbarer Private Key, damit auch später Daten entschlüsselt werden können). Ich nehme es mal an.

Die Preise sind ganz schön gesunken - früher waren es Fr. 390 im ersten Jahr, dann Fr. 200 in den Folgejahren. Nun sind es Fr. 99 im ersten Jahr, Fr. 59 in den Folgejahren - oder einfach Fr. 199 für 3 Jahre. Das USB-Token (Cardreader) ist noch bis zum 31. August 2009 gratis, nachher kostet es 29 Fr. - hey, interessant, jetzt steht da ja Token... mal schauen, ob das weiterhin ein OmniKey Card Reader ist.

Für meine Freundin haben wir nun das Antragsformular schon mal ausgefüllt, gelbe ID machen wir morgen, ich mache ein Update falls sich beim Aktivierungsprozess gross was geändert haben sollte.

Postzertifikat, Vista und Windows Server 2003 - es läuft!

So, es ist geschafft:
Gestern kam die neue Version der Postzertifikats-Software heraus, und damit läuft es auch unter Windows Vista.


Aber von Vorne:
Anfang März bestellte ich bei CryptoShop die Siemens HiPath Sicurity API, um weitere Tests mit den Zertifikaten von Post und SwissSign durchzuführen. Die CD, welche ein paar Tage späüter aus Österreich kam war aber leer. Auf meinen Anruf hin konnte ich die Software dann von einem FTP-Server herunterladen.
Die Tests verliefen leider nicht so positiv: Wie sich herausstellte lieferte SwissSign ihre Version der API 3.1B mit speziell angepassten Bibliotheken aus. Die Standard-DLLs erlaubten zwar den Zugriff auf das fortgeschrittene, nicht jedoch das qualifizierte Zertifikat. Also hiess es weiterhin warten, bis SwissSign die neue Software liefert.

Dies geschah nun gestern nachmittag. Ich habe die Software sofort heruntergeladen, hier nun ein Auszug aus meinem Mail, welches ich nach diversen Tests an SwissSign geschickt habe:

[...]
Vista:

• install_win_vista_noVM erkennt zwar eine mit dem JDK installierte JVM nicht, das ist aber ein allgemeines Problem.
• install_win_vista_VM läuft problemlos ab und funktioniert tadellos.

[...]

• Outlook 2007 signiert und entschlüsselt Mails problemlos, Firefox 3.0 Beta 4 funktioniert ebenfalls mit siecap11.dll

Windows Server 2003:

• Installiert man von install_win_vista_VM, so werden aus der Datei Resource1.zip die API-Dateien der Version 3.1 installiert. Diese funktionieren aber nicht. Mit dem unten beschriebenen Workaround wird 3.2 installiert, dann läuft es.

• Installation (mit Workaround): Da ich kein Firefox auf dem Server installiert habe bricht das Programm „mz_tool_setup“ gegen Schluss des Setups ab.

• Terminal-Sessions: Ein am Client installiertes Token wird erkannt, wenn sowohl lokal (Vista) als auch auf dem Server (Windows Server 2003) die 3.2-er API installiert ist.

• Anschliessend getestet mit Outlook 2003, Internet Explorer 7 und remote-Token: Verschlüsselung, Signatur (auch qualifizierte) und Entschlüsselung funktionieren wie lokal.

Workaround für Windows Server 2003:

1. install_win_vista_VM extrahieren
2. InstallerData\Disk1\InstData\Resource1.zip extrahieren
3. Resource1\$IA_PROJECT_DIR$\API+\windows\SIECADIR\bin\vista\siecacst.exe nach Resource1\$IA_PROJECT_DIR$\API+\windows\SIECADIR\bin\siecacst.exe kopieren
4. Resource1\$IA_PROJECT_DIR$\API+\windows\WINDIR\vista\*.* nach Resource1\$IA_PROJECT_DIR$\API+\windows\WINDIR\ kopieren
5. Ordner Resource1 nach Resource1.zip komprimieren, Ordner wieder entfernen
6. Windows\install.exe ausführen

Damit dieser Workaround nicht nötig wäre müsste das Setup eigentlich nur die API 3.2 installieren, wenn es eine Windows-Version >= 5.2 erkennt (Windows Server 2003, Vista, 2008).

[...]

So, das sollte für's erste Mal reichen. Besten Dank an das Postzertifikats-Team!

Post-Zertifikat in Vista, 2. Teil

So, mittlerweile geht's ein Stück weiter:
Die Post hat mir ein Mail geschickt mit der URL, wo ich mein Zertifikat herunterladen kann - aber Achtung, wer als Default-Browser Firefox installiert hat sollte VORHER die Anleitung für Firefox lesen. Sonst geht's spätestens bei Teil 3 schief.

Teil 1: Das Laden der-Zertifikats
Nachdem man sich unter der gemailten URL mittels Seriennummer authentifiziert hat bekommt man das erste Zertifikat,

auth2007_<Vorname>_<Zweitname>_<Nachname>.ss7

Eine Seite weiter gibt's das zweite Zertifikat,

qual2007_<Vorname>_<Zweitname>_<Nachname>.ss7
(Hier sei angemerkt: Wieso heisst das Ding qual...? Ist schliesslich nicht QUALifiziert, Mogelpackung das...).

Nach einem Klick auf weiter kommt nun eine Webpage mit Warnhinweis - noch nicht weiterklicken!

Teil 2: Zertifikate auf den Chip laden
Nun müssen diese beiden Dateien auf den Dongle geladen werden - bzw. eigentlich auf den Chip der drin ist. Am USB-Port einstecken und dann die Files rüberladen mit

\Program Files\PostZertifikat\HELPER_Tool\CertImporter.exe auth2007_<Vorname>_<Zweitname>_<Nachname>.ss7

und

\Program Files\PostZertifikat\HELPER_Tool\CertImporter.exe qual2007_<Vorname>_<Zweitname>_<Nachname>.ss7

Zur Sicherheit sollten Sie den Dongle nun aus- und wieder einstecken.

Teil 3: Das Verschlüsselungszertifikat laden
Im Browser können Sie nun wieder auf "Weiter" klicken - wenn das System für die Authentifizierung gegenüber der Seite das Zertifikat auf dem Dongle findet ist alles in Ordnung. Ausserdem wird der Browser das Root-Zertifikat von Swiss Sign importieren wollen. Müssen wir wohl zulassen...
Nun kommt das letzte File, das Verschlüsselungszertifikat.

crypt2007_<Vorname>_<Zweitname>_<Nachname>.ss12


Speichern und ähnlich wie in Schritt 2 mit

\Program Files\PostZertifikat\HELPER_Tool\CertImporter.exe crypt2007_<Vorname>_<Zweitname>_<Nachname>.ss12

auf den Chip laden.

Tja, leider war's das - habe noch keine Software unter Vista gefunden die nun die Zertifikate von dort verwenden kann - es scheint so als ob die Software Siemens Hipath SIcurity Card API in der Version 3.1 B (Build 23) noch nicht Vista-fähig ist. Gegooglet und noch nichts gefunden, sobald ich was habe melde ich es hier.

EDIT: Es läuft! Zumindest teilweise. Die Zertifikate funktionieren in Vista mit Microsoft Office Outlook 2003, Mozilla Firefox 2.0, Internet Explorer 7.0.
An Thunderbird arbeite ich noch...