{{tag>Intrepid Jaunty sécurité belgique}}
----
====== Comment utiliser la carte d'identité électronique (Belgique)======
Le gouvernement belge a développé la même application que pour windows sous Ubuntu.
Toutes les informations sont disponibles à cette adresse : http://eid.belgium.be/fr/Comment_installer_l_eID/Linux/
Il suffit de télécharger l'archive et lire le fichier readme. C'est très simple. Mais voir note suivante.
**Version 4**. Malheureusement, pour diverses raisons expliquées [[http://www.papou.byethost9.com/notes/package_installation.html|dans cette page]],
cette installation par script ci-dessus n'est pas recommandable et il est préférable de faire une installation par DEB.
**La version 4 est disponible en DEB**, en test mais elle s'avère fort stable, encore plus "simple" et surtout plus sûre:
* Installer le pilote de la carte [[#installation_du_pilote_de_la_carte|comme expliqué plus bas]].
* Installer le Middleware [[#installation_du_middleware_belge_beid|comme expliqué plus bas]].
Il semble que la version 4 fonctionne sur tous les systèmes. Ce serait une bonne idée de lister ici les versions validées:\\
Ubuntu: 10.04, 10.10, 11.04 \\
KDE: \\
D'ailleurs, juste à la date limite de remise les déclarations de 2011,
la même page [[http://eid.belgium.be/fr/Comment_installer_l_eID/Linux/|Comment installer BeID/Linux]]
vient de publier les mêmes paquets eid-mw (mais pas les paquets eid-viewer) !!!
Ces paquets fonctionnent très bien sur la version majeure Ubuntu 10.04 LTS négligée de toutes parts.
Attention!!! Comprenez bien que si vous avez installé la version par script, vous devez la désinstaller au préalable
car elle se trouve dans votre système incognito et donc, Synaptic qui installe le DEB ne peut pas savoir qu'il doit la désinstaller ni comment.
Une autre installation par DEB sera désinstallée automatiquement et vous pouvez facilement y revenir.
Attention: en cas de non fonctionnement avec Firefox, voir paragraphe [[http://doc.ubuntu-fr.org/tutoriel/utiliser_carte_identite_electronique_belge#conflit_de_firefox_avec_apparmor|conflit de Firefox avec Apparmor]]
L'installation du lecteur de carte et la configuration des logiciels telles qu'indiquées dans cette documentation,
ont été initialement réalisées sur Ubuntu 8.10 et 9.04 au moyen des versions 2 et 3\\
À moins d'utiliser la version 4, il y a pour Ubuntu 11.04 une notice et un fichier tgz sur le site www.irisbox.irisnet.be
sous l'entité administrative CIRB et dans la partie publication.
Cliquez [[http://irisbox.irisnet.be/vip/servlet/CCRLWebRequestServlet?$$controller=ccrl.server.controller.DocumentBrowser&Idmunicipality=CIBG&Language=fr&Idparentcategory=627&Documentdate=&Showarchiveddocs=0&Showforms=0|ici]]
c'est plus simple
===== Pré-requis =====
* Disposer d'un lecteur de cartes compatible [[http://fr.wikipedia.org/wiki/PC/SC|PC/SC]] [[http://www.cardreaders.be/fr/|(liste probablement non exhaustive)]].
* Disposer d'une connexion à l'Internet fonctionnelle.
* Disposer des [[:sudo|droits d'administration]] de votre système Ubuntu.
* En avoir [[:synaptic|activé l'accès au dépôt]] Universe.
===== Installation du pilote de la carte =====
* Installez le pilote correspondant à votre matériel (plusieurs paquets peuvent s'installer), \\ par exemple le lecteur:
* soit acr38u (distribué par BeID): cliquez **[[apt://libacr38u,libacr38ucontrol0|libacr38u libacr38ucontrol0]]**
* soit USB smart card: cliquez **[[apt://libccid|libccid]]**
* soit un autre ...
* Redémarrez votre ordinateur (normalement pas nécessaire, uniquement en fin d'installation si problème).
===== Installation de l'interface SCard PC/SC Lite =====
Si vous installez la version 4 du Middleware BeID, l'étape suivante effectuera automatiquement cette étape-ci.
__**Attention**__: En cliquant sur le lien de cette page qui installait libpcsclite-dev pcscd et beidgui,
APTURL a désinstallé le Network Manager sans avertissement ni autorisation.
Voir [[https://bugs.launchpad.net/ubuntu/+source/apturl/+bug/793318|Bug #793318]]. \\
Je ne vous explique pas la difficulté de réinstaller le Network Manager quand on est privé du réseau. \\
En conséquence, pour vous épargner cette horreur, j'ai retiré de cette page le lien apt pour ne garder que l'installation "Synaptic"
au cours de laquelle vous vérifierez soigneusement que le Network Manager ne va pas être désinstallé.
* [[:synaptic|Activez les dépôts]] de Sécurité et de Mise à jour.
* Au moyen du GUI Synaptic, et en faisant la vérification susdite, [[:tutoriel:comment_installer_un_paquet#via_une_interface_graphique_complete_gestionnaire_de_paquets|installez les paquets]] suivants: **libpcsclite-dev pcscd** \\
===== Installation du Middleware belge BeID =====
* [[:synaptic|Activez les dépôts]] de Sécurité et de Mise à jour.
* Version 4 (recommandée)
* de Google Code (évolutif)
* Décharger et [[:tutoriel:comment_installer_un_paquet#installer_un_paquet_isole|installer]] (cliquer) le fichier DEB **eid-mw** convenant à votre système: [[http://code.google.com/p/eid-mw/downloads/list|il se trouve ici]]
* Décharger et [[:tutoriel:comment_installer_un_paquet#installer_un_paquet_isole|installer]] (cliquer) le fichier DEB **eid-viewer** convenant à votre système: [[https://code.google.com/p/eid-viewer/downloads/list|il se trouve ici]]
* du gouvernement belge (même fichier, mais un seul):
* Décharger et [[:tutoriel:comment_installer_un_paquet#installer_un_paquet_isole|installer]] (cliquer) le fichier DEB **eid-mw** convenant à votre système: [[http://eid.belgium.be/fr/Comment_installer_l_eID/Linux/|il se trouve ici]]
* Version 3
*[[:tutoriel:comment_installer_un_paquet|Installez le paquet]] suivant en cliquant sur le lien **[[apt://beidgui|beidgui]]** \\
**Testé sur Ubuntu64 10.10**
Après avoir téléchargé plein de choses sur internet qui m'ont pourri mon ubuntu, j'ai tout réinstallé :
N'utiliser que le gestionnaire de Synaptic (ou "apt-get") et installer libpcsclite-dev pcscd beidgui (comme indiqué plus haut).
Pour faire ses impôts ajouter beid-mozilla-plugin (et le module "eID Belgique" dans/avec firefox).
Pour Omnikey 3021 installer libccid...rien d'autre à faire à part connaitre son code pin ;-)
===== Lecture de votre carte =====
Vous trouverez une application "Lire et Gérer",
ou, un peu plus intelligemment, "eiD Card Reader" pour la version 4,
dans "Applications > Accessoires".
Elle vous permet de lire les informations contenues sur la carte ainsi que les certificats.
Vous pouvez aussi changer votre code PIN.
Sans redémarrage du PC, le logiciel de lecture apparaît bien dans le menu et il fonctionne,
mais dès que vous essaierez de lire la carte d'identité électronique, une "erreur inconnue" apparaîtra.
Il faut donc redémarrer votre ordinateur.\\
Remarque d'André: "donc"? Ceci n'est pas Windows!!! En cas de blocage de l'accès au lecteur de cartes, essayer:
sudo /etc/init.d/pcscd restart
===== Troubleshooting =====
Si vous rencontrez une erreur lors de l'exécution de :
$ beid-tool -l
Failed to establish context: No readers found
Il vous manque certainement les paquets libccid libengine-pkcs11-openssl libp11-1
===== Nouvelles cartes =====
La version 4 ne devrait pas avoir de problèmes avec les nouvelles cartes, pas de problème de Qt, etc...
Dans le cas des nouvelles cartes, la version dans les dépôts provoque une erreur (certificat non valide). Il faut installer la toute dernière version manuellement.
Testé uniquement sous **Lucid.**
Inutile sous **Natty** qui propose la version 3.5.2 dans les dépôts.
Allez sur le site officiel du beId à [[http://eid.belgium.be/fr/Comment_installer_l_eID/|cette adresse.]]
Dans la section Linux, téléchargez la version [Ubuntu 9.10 (TGZ, 7.88 MB)].
Après avoir décompressé l'archive, naviguez dans le dossier install et lancer le fichier install.sh par la commande
sudo ./install.sh
Ensuite tapez dans une console beidgui pour lancer la nouvelle version (avec un beau logo beId, une icone apparait dans la zone de notification).
Attention: la version de Qt installée par cette procédure manuelle casse certains utilitaires basés sur Qt, comme par exemple hp-toolbox (du paquet hplip-gui).
==== Installation pour les nouvelles cartes sans casser Qt ====
Si vous avez essayé d'installer le lecteur de carte avec la méthode ci-dessus, je vous recommande de supprimer tous les paquets installés pour être sur de ne pas avoir de problème de comptatibilité.
Pour désinstaller, il suffit de se rendre dans le dossier install (du Beid) et de faire la commande
sudo ./uninstall.sh
Pour ma part, j'ai du le lancer plusieurs fois de suite.
* Vérifiez que le java est installé sur votre ordinateur :
sudo apt-get install sun-java6-bin sun-java6-jre sun-java6-plugin
* Installez le lecteur de cartes :\\
__Pour le lecteur ACR38-U (ICC)__
sudo apt-get install libacr38u libacr38ucontrol0 pcscd libpcsclite-dev
__Pour le lecteur Cherry ST-1044B et bien d'autres (CCID)__
sudo apt-get install libccid pcscd libpcsclite-dev libc6 libusb-0.1-4 udev
Pour finir l'installation des 2 lecteurs, redémarrez l'ordinateur.
* Téléchargez le module BeId
wget http://eid-mw.googlecode.com/files/beid-middleware-3.5.3-ubuntu-9.10-i686-quickfix.tgz
Vous pouvez vérifier à cette adresse que vous télécharger la dernière version [[http://code.google.com/p/eid-mw/downloads/list]]. Dernière vérification le 27 septembre 2010
* Installez le module
tar zxvf beid-middleware-3.5.3-ubuntu-9.10-i686-quickfix.tgz
cd $HOME/Bureau/install
sudo ./install.sh
L'application du BeId est disponible Dans Applications => Autres.
Cette installation a été testé sous Ubuntu 10.04 Lucid
Merci à linux.rixensart qui m'a autorisé à mettre à jour cette documentation en reprenant son guide d'aide disponible à [[http://users.skynet.be/linux-rixensart/app51_securite_applicative.html#eid|cette adresse]]
=== Installation dans Firefox ===
Pour l'installer dans Firefox, utilisez la même méthode (la manuelle) que pour l'ancienne version en choisissant le fichier "/usr/lib/libbeidpkcs11.so.3.5.3" et non la version 2.
===== Utilisation dans Firefox=====
Si la version 4 du Middleware a été installée comme ci-dessus, il n'y a aucune installation ou configuration à faire pour Firefox.
Il faut cependant redémarrer Firefox pour qu'il mette en marche l'extension que cette installation ajoute.\\
Ce que ne disent pas les documentations, c'est qu'il faut que le lecteur de cartes soit branché quand Firefox démarre, ce qui n'est pas pratique.
Heureusement, on peut n'insérer la carte que quand on en a besoin.
==== Addon ====
Installez cet [[https://addons.mozilla.org/fr/firefox/addon/51744/|addon]] et redémarrez firefox
==== Méthode automatique ====
Exécutez le fichier beid-pkcs11-register.html se trouvant dans le répertoire "/usr/share/beid/". \\
Cette méthode a la particularité d'accumuler les rapports de non-fonctionnement.
==== Méthode manuelle ====
[[http://eid.belgium.be/fr/binaries/eID_LIN_Firefox_FR_tcm146-22464.pdf|Utilisation de l'eID dans Firefox]]
Ensuite, pour utiliser des applications sécurisées sur internet qui vous demandent de vous authentifier, il faut dans firefox :
Édition > Préférences > Avancé > Chiffrement > Périphériques de sécurité > Charger
Comme nom de module, mettre "Belgium Identity Card PKCS#11", et comme nom de fichier de module, mettre "/usr/local/lib/libbeidpkcs11.so.2" (pour la version 2 installée via les dépôts) ou "/usr/local/lib/libbeidpkcs11.so.3.5.3" (pour la version installée à partir du site officiel beId).
(Remarque, JuanD 01072009: chez moi, Ubuntu 8.04 et 9.04, ce fichier se trouvait sur "/usr/lib/libbeidpkcs11.so.2")
Ensuite, vous pouvez aller voir sur [[https://readers.eid.belgium.be/|le site Fedict]] et consulter votre dossier par exemple, ou remplir votre déclaration d'impôts...
il faut bien évidemment lancer firefox via [gk]sudo
IL FAUT BIEN ÉVIDEMMENT NE **JAMAIS** LANCER FIREFOX EN MODE ROOT, C'EST TRÈS DANGEREUX !!!
Les configurations en question se font en mode utilisateur.
Ne pas oublier d'aller dans: Édition > Préférences > Avancé > Chiffrement>Afficher les certificats
Y chercher: "Belgium Root CA2"; pour "Belgium Root CA" cliquer sur "Modifier la confiance" et cocher les 3 choix.
**Pour les utilisateurs de Firefox 4.0 et plus:** il y a eu une modification du protocole SSL. Vous aurez donc une erreur "ssl_error_renegotiation_not_allowed" lors des tentatives de connexion. Il faut: taper dans la barre d'adresse "about:config"; chercher la clé "security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref" et la faire passer en True (False par défault)
8/05/2011: Sous Natty, après avoir installé le addon et redémarré firefox, le module était déjà créé. La version des dépôts est la 3.5.2.
==== Conflit de Firefox avec Apparmor ====
Apparmor est un programme surveillant certains programmes, dont Firefox, pour les empêcher de faire des choses non prévues, surtout en cas d'attaque par un virus.
Malheureusement, Apparmor ne prévoit pas que Firefox puisse faire accès à un lecteur de carte, du moins d'une certaine manière.
Si vous observez dans le journal (log) de votre système des messages comme ceci :
kernel: [ 2614.129968] type=1503 audit(1310392211.087:64): operation="open" pid=6150 parent=1 profile="/usr/lib/firefox-3.6.18/firefox-*bin" requested_mask="::r" denied_mask="::r" fsuid=1000 ouid=0 name="/var/run/pcscd/pcscd.pid"
kernel: [ 2614.130016] type=1503 audit(1310392211.087:65): operation="open" pid=6150 parent=1 profile="/usr/lib/firefox-3.6.18/firefox-*bin" requested_mask="::r" denied_mask="::r" fsuid=1000 ouid=0 name="/var/run/pcscd/pcscd.pub"
kernel: [ 4421.849208] type=1503 audit(1310394018.807:76): operation="exec" pid=6934 parent=6897 profile="/usr/lib/firefox-3.6.18/firefox-*bin" requested_mask="x::" denied_mask="x::" fsuid=1000 ouid=1000 name="/tmp/.raised-beid-askaccess"
Ajoutez les lignes suivantes en tête de /etc/apparmor.d/usr.bin.firefox (p.ex.: après "for networking")
# pour BeID:
/var/run/pcscd/pcscd.* r,
/tmp/* ix,
Puis, tapez la commmande:
sudo apparmor_parser -r /etc/apparmor.d/usr.bin.firefox
===== Utilisation dans la messagerie Evolution =====
Pour pouvoir signer vos e-mails dans Evolution, il vous faut tout d'abord l'activer dans Firefox (voir ci-dessus).
Ensuite (Evolution doit être fermé!!!), copier le fichier //secmod.db// du répertoire de Firefox dans le répertoire d'évolution (dossiers cachés). Pour ce faire, utilisez nautilus en mode sudo gksudo nautilus ou la commande cp en console
cp ~/.mozilla/firefox/dossier_au_nom_aléatoire/secmod.db ~/.evolution
Par exemple, mon fichier secmod.db se trouvait dans ~/.mozilla/firefox/r4ijo032.default.
Une fois ce fichier secmod.db copié dans le dossier ~/.evolution, et **les droits correctement attribués**, réouvrez Evolution (lecteur de carte branché et carte d'identité dans le lecteur). Allez dans le menu Edition/préférence/certificat et constatez que vos certificats sont présents.
Ensuite, dans les préférences de votre compte mail (ou de chacun pour ceux qui en possèdent plusieurs), sous l'onglet sécurité, sélectionnez parcourir pour la signature S/MIME et sélectionnez le module adéquat (authentifier ou signer... suivant que vous désiriez utiliser votre carte pour signer numériquement ou simplement authentifier votre email (moindre poids juridique que la signature??))
Il vous faut désormais certifier que vous autorisez le certificat d'autorité (CA) nommé Belgium root à 'authentifier la validité des certificats'. Pour ce faire, dans 'Edition/Préférence/Certificat', sélectionnez, sous l'onglet 'autorité', //belgium root// et éditez-le. Cochez le fait que vous l'autorisez à identifier les auteurs de mails...
Et voilà, c'est prêt, lors de l'écriture d'un mail, juste avant son envoi, sélectionnez 'sécurité' puis cochez 'signer par S/MIME', 'envoyer' et là evolution vous demandera votre code PIN de la carte d'identité...
=====Utilisation dans Thunderbird=====
Pour signer électroniquement vos courriels, il suffit de suivre la procédure indiqué sur le site de l'eID.
[[http://eid.belgium.be/fr/binaries/eID_LIN_Thunderbird_FR_tcm146-22460.pdf]]
=====Utilisation dans OpenOffice=====
Vous pouvez indiquer numériquement que vous êtes l'auteur d'un document Writer ou Calc.
La procédure détaillée (en images) est très simple et est fournie sur le site de l'eID. Il n'y a rien à installer pour son utilisation !
[[http://eid.belgium.be/fr/binaries/eID_LIN_OpenOffice_FR_tcm146-22459.pdf]]
=====Utilisation dans Acrobat Reader =====
Il est obligatoire en Belgique de signer les documents PDF concernant les déclarations fiscales. Pour pouvoir le faire avec [[:acroread|AcrobatReader]].
Il faut aller dans
Document -> paramètre -> PKCS #11 et ajouter le module /usr/lib/libbeidpkcs11.so
/usr/lib/libbeidpkcs11.so.2 sous Hardy
et, apparemment, /usr/lib/libbeidpkcs11.so.3 avec le nouveau middelware
A la signature du PDF on vous demande sous quel nom enregistrer le document, vous devez donner le nom du document ouvert, et donc accepter de l'écraser
Si cela ne marche pas, que vous êtes pressés et que par contre l'intégration de votre eid dans firefox est au point, le gouvernement belge propose également de signer ses pdf en ligne (on les upload, et ils nous les reproposent au téléchargement, signés). Le service se trouve à l'adresse suivante:[[ https://sign.belgium.be/]]
=====Acquérir un lecteur=====
Pour connaitre la liste des lecteurs utilisable avec la carte d'identité électronique, voyez [[http://www.cardreaders.be/fr/defaultCATALOGUES.htm|cette liste]].
De nombreuses communes en distribuent également, renseignez-vous auprès de la votre.
Le modèle Smart Card Reader ACR38U-CFC-BLI fonctionne parfaitement avec cette méthode.
par contre, le modèle H-mc (ou H'mc) blanc parfois fourni avec les packs "internet pour tous" ne fonctionne pas (aux dernière nouvelle) avec ubuntu. Le lecteur n'est pas détecté par l'application beid ($ beid-tool -l renvoie "no reader found", de même que beidgui ne trouve rien)
http://forum.ubuntu-fr.org/viewtopic.php?id=396334
Fonctionne avec Lucid Lynx 10.04.1 32bits. La commande renvoie 0 pcsc Alcor Micro AU9520 00 00
=====Applications=====
Une carte interactive reprend toutes les applications possible de la carte pour les services d'une commune donnée.
[[http://map.eid.belgium.be/fr.html|voir la carte...]]
[[https://www.mondossier.rrn.fgov.be|Accéder à votre dossier du registre national]] **ATTENTION :** nécessite d'avoir la carte dans le lecteur et ce dernier raccordée à l'ordinateur pour accéder au site... sinon une erreur du type "serveur indisponible" apparait.
[[https://www.taxonweb.be|Remplir sa déclaration d'impôts]]
=====Installation sous Ubuntu 10.10 (The Maverick Meerkat)=====
Périmée depuis la parution de la version 4.
====Activez les dépôts Unvierse====
Allez dans Système => Administration => Gestionnaire de paquets Synaptic => Configuration => Dépôts => Cochez "Logiciels libres maintenus par la communauté (universe)"
N'oubliez pas de recharger les dépôts en cliquant sur "Recharger"
====Installation====
===Installez votre lecteur de carte===
Si vous avez un lecteur USB, n'oubliez pas d'installez le paquet**[[apt://libccid|libccid]]**
==Pour le lecteur ACR38-U (ICC)==
Installez les paquets **[[apt://libacr38u,libacr38ucontrol0,pcscd,libpcsclite-dev|libacr38u libacr38ucontrol0 pcscd libpcsclite-dev]]**
==Pour le lecteur Cherry ST-1044B et bien d'autres (CCID)==
Installez les paquets **[[apt://libccid,pcscd,libpcsclite-dev,libc6,libusb-0.1-4,udev|libccid pcscd libpcsclite-dev libc6 libusb-0.1-4 udev]]**
===Installation du logiciel===
Installez les paquets **[[apt://beid-common,libbeidlib3,beidgui,beid-mozilla-plugin,libbeidlib3-dev|beid-common libbeidlib3 beidgui beid-mozilla-plugin libbeidlib3-dev]]**
L'application Beid se trouve dans Application => Accessoires
===Installation dans Firefox===
Il vous suffit de suivre [[http://doc.ubuntu-fr.org/tutoriel/utiliser_carte_identite_electronique_belge?s[]=beid#methode_manuelle|la méthode manuelle]]
Le fichier se nomme "libbeidpkcc11.so.3.5.2" et se trouve dans /usr/lib/.
N'oubliez pas de quitter Firefox pour que le Beid soit pris en compte dans Firefox.
=====Voir aussi=====
* [[http://users.telenet.be/mydotcom/howto/linux/ubuntubelpic.htm|Procédure détaillée pour Dapper Drake]] (en anglais)
* [[http://homes.esat.kuleuven.be/~decockd/wiki/bin/view.cgi/Main/Presentations|infos techniques sur la carte d'identité belge]] (en anglais)
* [[http://www.acs.com.hk/acr38_driversmanual.asp|drivers et manuels du constructeur]]
* [[http://eid.belgium.be/fr/navigation/12000/index.html | Page générale d'information sur la carte d'identité électronique belge ]]
* [[http://bugzilla.gnome.org/show_bug.cgi?id=253574 | Page de bugzilla.gnome concernant l'utilisation dans evolution ]]
* [[http://wiki.services.openoffice.org/wiki/How_to_use_digital_Signatures | How to use digital Signatures]] (en anglais)
===== Remarque à placer au bon endroit dans la page (ou à supprimer si besoin) =====
**L'installation du middelware 3.5.x crée des problèmes avec les librairies Qt.** Les utilisateurs de GNOME auront des problèmes d'affichage avec VLC et ne pourront plus ouvrir Skype, par exemple. Mais pour les utilisateurs de KDE, c'est carrément dangereux: **ils ne pourront tout simplement plus ouvrir leur session!** Restons-en donc à la méthode d'installation officielle. Si vous désirez détailler l'installation de la nouvelle version, faites-le dans un paragraphe séparé en précisant bien les dangers ou créez une nouvelle page.
Pour mon ubuntu 9.04, j'ai trouvé [[https://bugs.launchpad.net/ubuntu/+source/qt4-x11/+bug/115970/comments/32|sur ce forum]] une solution au problème Qt4 de vlc skype et des autres (par exemple dolphin qui ne se lance plus): **il suffit de supprimer les fichiers libQtCore.so.4 et libQtGui.so.4 du répertoire /usr/local/lib puis de faire un sudo ldconfig** et tout rentre dans l'ordre.
----
//Contributeurs principaux: Efhache84 (installation dans evolution),
[[utilisateurs:equipc]] (remise en forme, utilisation dans Thunderbird et OpenOffice),
Humanlord,
[[:utilisateurs:efhache84|Efhache84]] (utilisation dans Evolution)
[[:utilisateurs:sparky]] (Signature avec Acrobat)
[[:utilisateurs:A Pirard|André]] (Version 4, conflit Firefox avec Apparmor, danger de apturl)
//