OpenSC项目对比利时新版电子身份证（Belpic 1.8）的支持实现

背景与问题发现

比利时新版电子身份证（Belpic）采用了Applet 1.8版本，其ATR标识为"3B:7F:96:00:00:80:31:80:65:B0:85:04:01:20:12:0F:FF:82:90:00"。OpenSC项目此前因签名功能未实现而禁用了该ATR匹配。近期开发者获得新版卡片后，发现现有驱动无法支持其ECDSA签名功能。

技术分析

通过分析比利时政府提供的Applet 1.8参考手册，发现以下关键特性：

1. 仅支持ECDSA签名算法，不再支持RSA
2. 支持多种曲线尺寸：256位、384位、512位和521位
3. 签名操作采用"off-card hash"模式，即哈希计算在卡外完成
4. 支持SHA-256、SHA-384和SHA-512哈希算法

实现方案

OpenSC驱动主要进行了以下改进：

1. ATR重新启用：取消对1.8版本ATR的禁用，允许卡片识别

2. 算法支持调整：

   • 移除RSA算法支持
   • 添加ECDSA算法支持，重点实现签名功能
   • 设置正确的算法标志位（SC_ALGORITHM_ECDSA_RAW）

3. 安全环境配置：

   • 根据不同的哈希算法设置对应的APDU参数
   • 处理原始ECDSA签名请求（RAW模式）

4. 曲线参数处理：

   • 虽然文档支持多种曲线尺寸，实际实现以卡片证书中的曲线为准
   • 不强制指定命名曲线（NAMEDCURVE）

实现细节

在具体实现中，开发者需要注意：

1. 签名操作使用PSO:CDS命令，其数据格式要求严格
2. 哈希值必须预先计算好再发送给卡片
3. 支持的数据长度固定为20、28、32、48或64字节
4. 不支持命令链式传输

验证与测试

通过以下方式验证实现效果：

1. 成功列出卡片中的证书和密钥
2. 完成ECDSA签名生成和验证
3. 实际登录比利时政府测试系统

未来改进方向

虽然当前实现已满足基本功能，但仍可考虑：

1. 动态检测卡片实际支持的曲线类型
2. 优化错误处理机制
3. 增加对更多哈希算法的支持

该实现已合并到OpenSC主分支，为使用比利时新版电子身份证的用户提供了完整的PKCS#11支持。