Lawsuit - Wiki - Benutzerbeiträge [de]

Fehlende Pakete nachladen

2021-10-31T19:21:19Z

79.210.116.125: /* Zusatzprogramm für Ausweisfunktion */

Fehlende Pakete nachladen

2021-10-31T19:19:48Z

79.210.116.125: /* Zusatzprogramm für Ausweisfunktion */

Fehlende Pakete nachladen

2021-10-31T19:19:22Z

79.210.116.125: /* Zusatzprogramm für Ausweisfunktion */

Fehlende Pakete nachladen

2021-10-31T19:18:32Z

79.210.116.125: /* Zusatzprogramm für aktuelle USB-Sticks */ Andere Namen als bei ubuntu

Aufsetzen des Apache-Servers

2021-10-31T18:00:12Z

79.210.116.125: /* Optional: Ein Zertifikat für localhost erstellen */ überflüssig geworden listen-Einstellung entfernt, sie ist in listen.config enthalten

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
*[https://de.opensuse.org/Portal:42.2 Leap 42.2]
*[https://de.opensuse.org/Portal:42.1 Leap 42.1]
|
*[https://de.opensuse.org/Portal:Apache Portal:Apache]
|
*[https://de.opensuse.org/SDB:LAMP_Einrichtung SDB:LAMP_Einrichtung]
*[https://de.opensuse.org/Apache2 Apache2]
*[https://de.opensuse.org/Portal:MySQL Portal:MySQL]
}}

== Einführung ==

Diese Dokument gibt eine rasche Einführung, wie ein Apache-Server auf dem lokalen Rechner aufgesetzt werden kann, der die Lawsuit-Programmteile bereitstellt.

----

{{Warnung| Die Kurzanleitung geht nicht vertieft auf mögliche Experten-Einstellungen des Servers ein. Insbesondere bleiben hier Sicherheitseinstellungen unberücksichtigt, die für den Betrieb als öffentlich zugänglicher Netzserver unumgänglich wären. Die nachfolgenden Schritte sind für Anwender gedacht, die Lawsuit intern auf dem Kanzleirechner hinter einer Firewall betreiben möchten.}}

----

== Allgemeine Rechner-Konfiguration ==

Die Software benötigt eine funktionierende Netzwerkumgebung. Einstellungen hierzu können Sie mit ''YaST'' unter der Rubrik "Netzwerkeinestellungen" vornehmen. Achten Sie insbesondere bei der Nutzung von [https://de.wikipedia.org/wiki/Dynamic_Host_Configuration_Protocol DHCP] darauf, dass weitere Rechner der Kanzlei von YaST tatsächlich im selben Nummernraum wie dieser PC eingetragen wurden, auf dem Apache nun installiert werden soll. Ansonsten können diese Rechner später nicht auf die Kanzleisoftware zugreifen.

Als Zweites sollte der PC auf dem aktuellen Softwarestand sein. Prüfen Sie diesen gegebenenfalls mit ''YaST'' in der Sektion '''Online update''' nach .

=== Installation der Apache-Pakete ===

Der Apache-Server und das optionale Perl-Modul können mit ''zypper'' installiert werden. Öffnen Sie dazu ein Terminal-Fenster und wechseln Sie wie folgt in den Superuser-Modus:
{{Shell|> su}}
Geben Sie nach der Passwortbestätigung den folgenden Befehl ein:
{{Shell|# zypper in apache2 apache2-doc perl-Apache-DBI apache2-mod_perl apache2-mod_php5 apache2-mod_python firewalld-rpcbind-helper}}

=== Anpassung der Firewall ===

Die Firewall ist so voreingestellt, dass sie über Port 80 auf den Rechner eingehende Daten grundsätzlich sperrt. Folglich müssen die Firewall-Einstellungen so angepasst werden, dass aus dem Lokalen Netzwerk über Port 80 eingehender Datenstrom akzeptiert wird.
Die folgenden Schritte müssen dazu weiterhin als Root ausgeführt werden.
* bis [http://de.opensuse.org/Portal:42.3 Leap 42.3]
{{Shell|# sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2   sysconf_addword /etc/sysconfig/SuSEfirewall2 FW_CONFIGURATIONS_EXT apache2-ssl   rcSuSEfirewall2 restart }}
Die Einstellungen finden sich jedoch auch unter ''YaST'' und können dort im '''etc/sysconfig-Editor''' mit den Einträgen ''apache2'' und ''apache2-ssl'' aktiviert werden, indem sie diese durch Leerzeichen getrennt im Feld ''FW_CONFIGURATIONS_EXT'' in <tt>/etc/sysconfig/SuSEfirewall2 </tt> einsetzen. Diese Konfigurationsvariable findet sich unter:
Network > Firewall > SuSEfirewall2

* ab [http://de.opensuse.org/Portal:Tubmleweed Tumbleweed]
Die Variablen können per ''YaST'' unter
Networt > Firewall
unter der Listenauswahl ''Permanent'' wir folgt eingestellt werden:
[[Datei:Apache2_firewall.png|thumb|600px|left|Firewall-Einstellungen für den Apache-Server]]
 
Alternativ ist die Auswahl per Shell möglich:
{{Shell|# firewall-cmd --zone internal --permanent --add-interface=eth0   firewall-cmd --zone internal --permanent --add-service=apache2   firewall-cmd --zone internal --permanent --add-service=apache2-ssl   firewall-cmd --zone internal --permanent --add-service=nfs   firewall-cmd --reload}}

=== Aktivierung des Servers ===
Starten Sie den Server und aktivieren Sie ihn in einem Bootverzeichnis, damit er mit dem Rechner hochgefahren wird:
{{Shell|# rcapache2 start   chkconfig -a apache2}}
Sie können diese Einstellungen jederzeit unter ''YaST'' ändern im Untermenü
YaST > Dienste-Verwaltung

=== Hinzufügen von Apache-Modulen===
Um benötigte Apache-Module zu laden, können wir die Konfigurationsvariable ''APACHE_MODULES'' in <tt>/etc/sysconfig/apache2</tt> editieren. Schneller geht es jedoch mit den nachfolgenden Befehlen. Nach der Änderung muss der Server neu gestartet werden. Auch für die folgenden Befehle sind wieder die Rechte eines Superusers vonnöten.
{{Shell|# a2enmod mod_perl   a2enmod mod_php5   a2enmod mod_python   a2enmod -l   rcapache2 restart}}

== Virtual Hosts ==
===Allgemeines===
Das Verzeichnis für alle Virtual Host ist <tt>/etc/apache2/vhosts.d/</tt>. Wie Sie sehen gibt es zwei Konfigurationsdateien - eine mit ssl, die andere ohne ssl. Wir benutzen die Vorlage ohne [https://de.wikipedia.org/wiki/Transport_Layer_Security Secure Sockets Layer]. Nur Dateien mit dem Suffix ".conf" werden automatisch in die Apachekonfiguration einbezogen.

{{Intro|Wenn Sie neben Lawsuit einen weiteren eigenen Virtual Host hinzufügen möchten, ersetzen Sie in den folgenden Zeilen bitte ''Domainname'' durch ihren Verzeichnisnamen oder Ihre IP-Adresse.}}

* Es gibt mehrere Varianten für die Struktur, mit welcher der eigenen Server auf dem Rechner aufgesetzt werden kann. Folgende Optionen bieten sich an:
:* [https://httpd.apache.org/docs/2.4/de/vhosts/name-based.html namensbasiert]
:* [https://httpd.apache.org/docs/2.4/de/vhosts/ip-based.html IP-basiert]
:* portbasiert

* Sei können für Ihre Verzeichnisse die Vorlage '''vhost.template''' kopieren und als Ihre '''{DOMAINNAME}.conf''' speichern. Hier hinein tragen Sie anschließend die Unterverzeichnisse für Ihren Virtual Host ein.

===Einstellungen für ''Lawsuit''===
Für ''Lawsuit'' wird die Konfigurationsdatei jedoch im Unterverzeichnis <tt>lawsuit/settings</tt> bereits fertig zur Verfügung gestellt. Sie müssen lediglich in der genannten Datei den Platzhalter durch den eigenen Nutzernamen ersetzen und die fertige Datei in das Vhosts-Verzeichnis verlinken. Wechseln Sie in das Unterverzeichnis <tt>lawsuit/settings</tt>. Wenn Sie ''Lawsuit'' in Ihrem Nutzerhauptverzeichnis installiert haben, gelangen Sie mit diesem Befehl dorthin:
{{Shell | > cd ~/lawsuit/settings}}
Erstellen Sie dort eine Konfigurationsdatei aus der Vorlage <tt>lawsuit-httpd.template</tt> und ersetzen Sie den darin enthaltenen Platzhalter ''meinpfad'' dabei durch Ihren Pfad zum aktuellen Verzeichnis. Dies erfolgt automatisiert durch diese Befehle:
{{Shell | > pfad=`pwd | sed 's/\/lawsuit.*//' | sed 's/\//\\\\\//g'` > sed "s/meinpfad/$pfad/g" lawsuit-httpd.template > lawsuit-httpd.conf}}
Falls Ihr Pfad zum Ordner <tt>Documents</tt> nicht mit dem soeben ermittelten Pfad für <tt>lawsuit</tt> identisch ist, passen Sie diese Einstellungen für das Verzeichnis <tt>Documents</tt> bitte in der <tt>lawsuit-httpd.conf</tt> mit einem Editor wie '''kate''' von Hand an.

Abschließend kopieren Sie die erstellte Konfigurationsdatei als ''Superuser'' in das Verzeichnis der Virtual Hosts von Apache:

{{Shell | > sudo cp lawsuit-httpd.conf /etc/apache2/vhosts.d/}}

* Neustart von Apache
{{Shell | > sudo service apache2 restart}}

=== Anpassen der Konfiguration ===
Um Ergänzungen oder Änderungen einheitlich für alle Virtual Hosts an der Datei <tt>/etc/apache2/default-server.conf</tt> vorzunehmen, editieren Sie die Konfigurationsvariable ''APACHE_CONF_INCLUDE_FILES'' mithilfe von
YaST > etc/sysconfig-Editor
oder arbeiten direkt in der Textdatei <tt>/etc/sysconfig/apache2</tt>. Zum Verständnis der Hierarchie und des Layouts um Dateien einzubeziehen, lesen Sie die Kommentierung im Kopf der <tt>httpd.conf</tt>. Die ursprüngliche, einfache Konfigurationsdatei mit nur 40K findet sich notfalls unter <tt>/usr/share/doc/packages/apache2/httpd-std.conf-prefork</tt>.

== Optional: Ein Zertifikat für localhost erstellen ==
Wenn Sie eine besonders sichere Verbindung für Mandantendaten wünschen, bietet sich die Erstellung eines lokalen Zertifikats für den lokalen Server ''localhost'' an:
{{Shell |# mkdir /etc/apache2/ssl   openssl req -new -x509 -days 3650 -nodes -out /etc/apache2/ssl/apache.pem -keyout /etc/apache2/ssl/apache.pem}}
Als '''Common Name''' geben Sie bitte "localhost" an.
Das Zertifikat wird anschließend wie folgt verlinkt und eingebunden:
{{Shell |# ln -sf /etc/apache2/ssl/apache.pem /etc/apache2/ssl/`/usr/bin/openssl x509 -noout -hash < /etc/apache2/ssl/apache.pem`.0   chmod 600 /etc/apache2/ssl/apache.pem   a2enmod ssl   service apache2 force-reload}}
Die Apache-Konfigurationsdatei in <tt>/etc/apache2/vhosts.d/</tt> muss dann folgende zusätzliche Zeichen erhalten:
<IfDefine SSL>
<IfDefine !NOSSL>
<Virtualhost *:443>
SSLEngine On
SSLCertificateFile /etc/apache2/ssl/apache.pem
DocumentRoot /home/IHRBENUTZERNAME/lawsuit/
</Virtualhost>
</IfDefine>
</IfDefine>

Unter Firefox kann das selbstgezeichnete Zertifikat nun verwendet werden. Bitte beachten Sie, dass für jede Apache-Konfigurrationsdatei ein anderer Port geöffnet werden muss, "443" also nur einmal verwendet werden kann.

== Problembehebung ==
Lesen Sie wenn möglich die Fehlermeldungen nach dem Start des Servers. Versuchen Sie Fehler ggf. zu reproduzieren und vergleichen Sie die Einträge in den Log-Dateien. Den Einblick auf die dortigen Meldungen können Sie mit dem folgenden Befehl auf den neuesten Stand reduzieren::

{{Shell | # tail -F /var/log/apache2/*}}

Da die Error-Messages schnell sehr großen Umfang einnehmen, der am Ende sogar den Systemstart blockieren kann, empfiehlt es sich, mit Logrotate den Bestand unter Kontrolle zu halten. Installieren Sie dazu, falls noch nicht vom System geschehen:
{{Shell | # zypper in logrotate}}
Sie können die Einstellungen in der Konfigurationsdatei
/etc/logrotate.conf
ändern. Eine typische Konfiguration von <tt>logrotate.conf</tt> sieht z.B. wie folgt aus:
{{Shell |# see "man logrotate" for details
 # rotate log files weekly
 weekly
 # keep 4 weeks worth of backlogs
 rotate 4
 # remove rotated logs older than <count> days
 maxage 90 
 # create new (empty) log files after rotating old ones
 create
 # use date as a suffix of the rotated file
 dateext
 # uncomment this if you want your log files compressed
 compress
 # comment these to switch compression to use gzip or another
 # compression scheme
 compresscmd /usr/bin/xz
 uncompresscmd /usr/bin/xzdec
 # RPM packages drop log rotation information into this directory
 include /etc/logrotate.d
}}

Sollten Sie einen Fehler gefunden haben, [https://de.opensuse.org/SDB:Fehler_berichten berichten Sie ihn] bitte.

==Weiterführende Informationen==
=== Verwandte Artikel ===
*[https://de.opensuse.org/YaST_Module_Firewall#Firewall_Einrichten openSUSE Firewall]
* Package documentation and example configuration files in /usr/share/doc/packages/apache2/

===Externe Links===
* [https://doc.opensuse.org/documentation/leap/reference/html/book.opensuse.reference/cha.apache2.html openSUSE Apache Documentation]
* [http://httpd.apache.org/ The Apache Project]
* [http://www.apache.org/ Apache Software Foundation]

{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

Fehlende Pakete nachladen

2021-10-31T17:51:50Z

79.210.116.125: /* Installation fehlender Perl-Module */

BeA

2021-10-31T14:52:37Z

79.210.116.125: /* beA-Software */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:15.0 Leap 15.1]
*[https://de.opensuse.org/Portal:15.0 Leap 15.0]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
|
*[https://de.opensuse.org/beA beA]
*[https://de.opensuse.org/Sun_Java Sun Java]]
*[https://de.opensuse.org/Java Java]
*[https://de.opensuse.org/openJDK openJDK]
*[https://de.opensuse.org/IcedTea IcedTea]
*[https://de.opensuse.org/SDB:YaST_Tricks Yast Tricks]
|
*[https://de.opensuse.org/SDB:Elster SDB Elster]
*[https://de.opensuse.org/SDB:EGVP SDB:EGVP]
}}

== Einführung ==

Ab dem 01.01.2018 ist das [http://bea.brak.de/was-ist-das-bea/ besondere elektronische Anwaltspostfach] für Rechtsanwälte in Deutschland insofern verbindlich, als zu diesem Zeitpunkt die sog. „passive Nutzungspflicht“ hinsichtlich des Anwaltspostfachs eintritt. Nach [https://www.gesetze-im-internet.de/brao/__31a.html § 31a VI BRAO n.F.] ist der Inhaber des beA verpflichtet, die für dessen Nutzung erforderlichen technischen Einrichtungen vorzuhalten sowie Zustellungen und den Zugang von Mitteilungen über das besondere elektronische Anwaltspostfach zur Kenntnis zu nehmen.

----

==Hardware==

Die günstigste Hardware aus der [http://bea.brak.de/wp-content/uploads/2016/05/04_Tab2-a-und-2-b_unterstuetze-Chipkartenleser-mit-SigG-Best%C3%A4tigung.pdf Liste der unterstützten Kartenlesegeräte] sind momentan Einzelkartenlesegeräte, deren Installation deshalb hier beschrieben wird. Für andere Hardware nutzen Sie bitte die entsprechenden Downloadseiten des jeweiligen Herstellers.

Das Ghostscript, bzw. der Linux-Treiber für '''Cherry'''-Lesegeräte findet sich unter
* https://cherry.de/download/de/download.php
(bitte nicht die CT-API herunterladen, diese wird für Gesundheitskarten gebraucht und blockiert die hier benötigten Einstellungen),

für '''Cardman'''-Geräte findet er sich unter
* https://www.hidglobal.de/drivers
und für '''Reiner-SCT'''-Geräte unter
* https://www.reiner-sct.com/support/support-anfrage/ .

==Installation==

Installieren Sie die notwendigen Programme
{{shell|sudo zypper install libusb-0_1-4 libpcsclite1 pcsc-ccid pcsc-lite}}
Laden Sie dann die oben genannte
Herstellersoftware in Ihr Download-Verzeichnis herunter. Von dort verschieben Sie sie, um sie später leichter wieder auffinden zu können, am besten in das lokale bin-Verzeichnis und entpacken sie dort. Das sieht dann so aus:

===Beispiel Cherry===
{{shell|mv ~/Downloads/scmccid_5.0.35_linux.zip ~/bin cd ~/bin unzip scmccid_5.0.35_linux.zip cd ~/bin/scmccid_5.0.35_linux tar -zxvf scmccid_5.0.35_linux_64bit.tar.gz cd ~/bin/scmccid_5.0.35_linux/scmccid_5.0.35_linux su #>sh install.sh
}}
In der Datei
/usr/local/identiv/ini/scmccid.ini
sollten mit einem Editor wie ''kate'' am Ende die folgenden drei Zeilen ergänzt werden:
CardResetOrder=1
ldd /usr/lib64/readers/scmccid.bundle/Contents/Linux/
LD_LIBRARY_PATH=/usr/local/lib pcscd

===Beispiel Cardman===
{{shell|mv ~/Downloads/ifdokccid_linux_v.4.3.2-1-d2622a7fbea0.tar.gz ~/bin cd ~/bin tar -zxvf ifdokccid_linux_v.4.3.2-1-d2622a7fbea0.tar.gz cd ~/bin/ifdokccid_linux_x86_64-v.4.3.2-1-d2622a7fbea0 su #>./install
}}

===Beispiel Reiner SCT (RPM-Paket)===
{{shell|mv /tmp/mozilla_*0/pcsc-cyberjack-3.99.5*.rpm ~/bin cd ~/bin su #>zypper ar ./ lokal #>zypper in pcsc-cyberjack*.rpm
}}
Ergänzend sollte der pcscd-Daemon zur besseren Kontrolle aktiviert werden mit
{{shell|sudo systemctl enable pcscd.service
}}

===Test der Installation (optional)===
{{shell | wget https://www.seccommerce.biz/seccardadmin/seccardadmin.jnlp javaws seccardadmin.jnlp}}

==Java von Oracle==

Die beA-Software benötigt aus Sicherheitsgründen die originäre ''Java''-Umgebung von Oracle. Die vom beA selbst mitgelieferte Version (im Unterverzeichnis jre) war bei mir allerdings nicht lauffähig. Es empfiehlt sich hier die verlässlichere Installation per RPM. Das entsprechende RPM-Paket kann unter
http://www.java.com/de/download/linux_manual.jsp?locale=de
heruntergeladen werden. Ab der Version [https://de.opensuse.org/Portal:42.1 Leap 42.1] muss hier zwingend das "x64-Paket" gewählt werden. Ich empfehle jedoch, statt dieser aktuellen lieber auf die überholte, aber vom beA verwendete Version zurückzugreifen. Diese findet sich in Oracles Liste archivierter Versionen unter
https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html
Momentan (Mai 2020) verwendet der beA-Webclient das Java Runtime Environment (JRE) in der Version jre1.8.0_161. Das zugehörige Paket heißt dann "jre-8u161-linux-x64.rpm". Sollten Sie den beA-Webclient bereits installiert haben, gibt
{{shell|less ~/bin/beA/jre/release | grep "JAVA_VERSION"}}
Auskunft über die von Ihrem Webclient bevorzugte JRE-Version. Eine ausführliche Beschreibung für die Installation der JRE finden Sie in der Anleitung [https://de.opensuse.org/SDB:Elster SDB:Elster]. Bitte verschieben Sie das mit Firefox heruntergeladene Paket wie folgt in Ihr bin-Verzeichnis:
{{shell|mv ~/Downloads/jre* ~/bin/ cd ~/bin su}}

Als ''Superuser'' fügen Sie dann, falls noch nicht geschehen, Ihr bin-Verzeichnis, in dem Sie sich gerade befinden, den autorisierten Softwarequellen hinzu:
{{shell|zypper ar ./ lokal}}

{{info|Anschließend können Sie, auch wenn es nicht notwendig ist, weil mehrere JRE nebeneinander betrieben werden können, ebenfalls als ''Superuser'', das alte JRE-RPM, sofern vorhanden, deinstallieren:
{{shell|altesjre=$(rpm -qa | grep jre) && rpm -e $altesjre}}
}}
So suchen Sie das neuste JRE-Paket aus dem bin-Verzeichnis heraus und installieren Sie es:
{{shell|neuesjre=$(ls -rt1 jre-* | tail -1) && rpm -ivh --nodeps $neuesjre
}}
Zum Schluss wird, weiterhin als ''Superuser'', die neue Java-Umgebung dem System als Alternative bekanntgemacht:
{{shell|jre=$(rpm -ql $(rpm -qa | grep jre | head -1) | grep \/README | sed "s/\/README//") update-alternatives --install /usr/bin/java java $jre/bin/java 1 update-alternatives --install /usr/bin/jcontrol jcontrol $jre/bin/jcontrol 1 update-alternatives --install /usr/bin/javaws javaws $jre/bin/javaws 1}}

{{info|Sie können die neue Java-Umgebung auch dem System als Standard vorschlagen, was allerdings bei älteren Versionen nur bedingt empfehlenswert ist:
{{shell|update-alternatives --set java $jre/bin/java update-alternatives --set jcontrol $jre/bin/jcontrol update-alternatives --set javaws $jre/bin/javaws}}
}}
Diese Einstellungen können Sie für jedes der Programme jederzeit mit der Option --config wieder ändern, z.B.
{{shell|update-alternatives --config java}}

{{info|Gelegentlich lassen sich Java-Anwendungen nach mehrmaligem Herumprobieren nicht mehr öffnen. Löschen Sie dann im Verzeichnis <tt>/root</tt> die versteckten Dateien
.oracle_jre_usage
.java
}}

==beA-Software==

Richten Sie, wieder als einfacher User, zur besseren Übersicht für beA ein eigenes Unterverzeichnis im bin-Ordner ein, in das Sie wechseln:
{{shell|mkdir ~/bin/beA cd ~/bin/beA
}}
Laden Sie dort mit
{{shell|wget https://installer.bea-brak.de/cs/installation/1/beAClientSecurity-Installation.tar.gz
}}
die beA-Software herunter, und entpacken Sie sie an Ort und Stelle mit dem Befehl
{{shell|tar -zxvf ~/bin/beAClientSecurity-Installation.tar.gz
}}

Nachdem die Atos Information Technology GmbH mit der Ausgabe eines Wurzelzertifikats im Dezember 2017 gegen alle Regeln der Verschlüsselung verstoßen hatte, Die Java-Anwendung kommuniziert mit dem Browswer über per verschlüsselter Kommunikation. Dafür erstellt die Java-Anwendung einmmalig ein für jeden Nutzer individuell erstelltes Zertifikat. Dieses wird bei der Linux-Anwendung mit dem ersten Start im Hintergrund erzeugt. Für die Generierung des Schlüsselpaares benötigt die Java-Anwendung jedoch statt des von OpenSuse vorinstallierten Pakets ''kdesu'' das nicht mehr gepflegte, vormalige ''kdesudo''. Dies kann heruntergeladen werden unter:
https://software.opensuse.org/package/kdesudo?search_term=kdesudo
Momentan wird kein spezifisches RPM-Paket in offiziellen Quellen angeboten, nachfolgendes Repository von der Linköping University in Schweden muss deshalb ergänzt werden:
{{shell|# zypper addrepo 'https://ftp.lysator.liu.se/pub/opensuse/distribution/leap/15.3/repo/oss/' kdesu}}
Nun kann ''kdesu'' installiert werden.
{{shell|# zypper install kdesu-devel}}
Ergänzend müssen in der Datei <tt>/etc/sudoers</tt> die Variablen "DISPLAY" und "XAUTHORITY" hinterlegt werden. Dies erfolgt, indem beide in der folgenden Zeile hinter den anderen Eintragungen und vor dem Anführungszeichen eingesetzt werden:
Defaults env_keep = "... DISPLAY XAUTHORITY"

Anschließend wird nun die beA-Software als ''Superuser'' installiert
{{shell|su # sh beAClientSecurity-Installation.sh
}}

[[Datei:BeA_läuftnicht.png|200px|thumb|right|"beA läuft nicht" - Warnmeldung]]
[[Datei:Bea_konsole.png|200px|thumb|right|"beA läuft"-Icon in der Konsole]]
[[Datei:Bea_desktop.png|200px|thumb|right|selbst erstellter Desktop-Icon]]
Anschließend kann man einen Desktop-Icon im Verzeichnis ''Desktop'' mit folgendem Inhalt anlegen. Dabei wird per Eintrag in 'Exec' sowohl der Firefox-Browser gleich mit der richtigen Anmeldeseite geöffnet, als auch gleichzeitig (&-Verknüpfung, wenn möglich, bitte ohne Umbruch anschließen) als ''Superuser'' der Web-Client im Hintergrund gestartet:
[Desktop Entry]
Comment[de_DE]=Dieser Icon startet den beA-Webclient im Root-Modus
Comment=This icon launches the beA-webclient-application as root
Exec=/usr/local/beAClientSecurity/beAClientSecurity & firefox -new window "https://www.bea-brak.de/bea/"
GenericName[de_DE]=Start des beA-Webclients
GenericName=Start des beA-Webclients
Icon=/usr/local/beAClientSecurity/.install4j/beAClientSecurity.png
MimeType=
Name[de_DE]=beA
Name=beA
Path=/usr/local/beAClientSecurity/
StartupNotify=true
Terminal=false
TerminalOptions=
Type=Application
X-DBUS-ServiceName=
X-DBUS-StartupType=
X-KDE-SubstituteUID=true
X-KDE-Username=root

{{info|Hinweis: Der WebClient startet nicht ordnungsgemäß in der Konsole, solange die Karte noch im Lesegerät steckt!}}
Beim ersten Start der Anwendung muss das selbst erstellte Zertifikat zunächst noch im Browser hinterlegt werden. Dies erfolgt einmalig durch Drücken des beA-Icons in der Konsole mit der rechten Maustaste und die Auswahl "Zertifikat installieren" im Menü. Beim nächsten Start des Browsers wird hernach automatisch auf den Zertifikatschlüssel zugegriffen.

{{info|Hinweis: Sollte Ihr Aufruf von ''firefox'' als Superuser in ihrer gewohnten Instanz als einfacher User vom System als unzulässig blockiert werden, prüfen Sie nochmals, ob sie <tt>/etc/sudoers</tt> bereits angepasst haben (s.o.). Hilfsweise können Sie das Problem mit folgenden Befehlen umgehen:
{{shell|> sudo -i > su # export DISPLAY=:0.0
}}
}}

==Erstregistrierung==

Führen Sie die beA-Karte in das Lesegerät ein. Unter
* https://www.bea-brak.de/bea/index.xhtml?dswid=-9192
klicken Sie nun "Registrierung mit eigenem Postfach" an. Es erscheint die folgende Einstiegsseite:
 
[[Bild:Bea_registrierung.png|700px]]

Hier folgen Sie den weiteren Angaben.

==Troubleshooting==
===Es konnte keine Karte gefunden werden===
Bitte installieren Sie immer die aktuelle Software-Version Ihres Kartenlesegeräts.
===Hinweis "Für den Zugriff ... ist eine lokale Softwarekomponente, die beA Client-Security, erforderlich ..."===
Bitte achten Sie darauf, den Browser ebenso wie die Java-Anwendung "beA Client-Security" immer als Superuser zu starten. Anderenfalls ist eine Kommunikation zwischen beiden nicht möglich. Möglicherweise müssen dafür zunächst alle offenen Browserfenster des bisherigen Users geschlossen werden, bevor Firefox den Browser tatsächlich neu als einen eigenen Prozess des Superusers startet.

===Das Java-Programm startet, aber der beA-Icon erscheint anschließend nicht in der Konsole===
Achten Sie beim Starten der Anwendung darauf, dass die beA-Karte noch nicht eingesteckt ist. Anderenfalls wartet die Java-Anwendung von Atos solange, bis Sie die Karte herausgezogen haben. Erst nach dem Start der Anwendung sollten Sie sie dann wieder einsetzen, um sie im folgenden Popup-Fenster als Sicherheitsmedium auswählen zu können.

Sollte dies weiterhin nicht funktionieren, können Sie die Sicherheitseinstellungen der JRE ändern, indem Sie als Superuser
{{shell|# /usr/java/jre1.8.0_161/bin/ControlPanel}}
aufrufen und unter dem Reiter "Sicherheit" die Adresse "https://www.bea-brak.de" in die Ausnahmeliste der Adressen eintragen, für welche die Standardsicherheitseinstellungen nicht gelten sollen.

===Die Java-Anwendung startet, aber die Passwortabfrage folgt nicht nach===
Es öffnet sich zur Auswahl des Sicherheitstokens ein neues Fenster. Dieses ist oft durch die Hauptbrowserseite verdeckt und muss erst "freigelegt" werden, um dort die Auswahl "Kartenlesegerät" anklicken zu können. Sehen Sie bitte nach, ob weitere Fenster geöffnet sind, in denen Sie die Auswahl vornehmen können.

===Hinweis: "Der Server ist nicht erreichbar"===
Möglicherweise haben Sie die Java-Anwendung wie vorgeschlagen erneut gestartet, so dass dessen Prozess-ID nun nicht mehr zum vorher geöffneten Browserfenster passt. Schließen Sie die Java-Anwendung durch rechten Mausklick auf dem beA-Icon in der Konsole und starten Sie dann Browser und Applet noch einmal komplett neu. Ignorieren Sie ggf. die Aufforderung zum Beenden der bisherigen beA-Java-Anwendung, indem Sie das Aufforderungsfenster einfach schließen.

==Kartenverwaltung==

===beA-Standardkarte===
Die Kartenverwaltung der Bundesnotarkammer arbeitet mit einer JNLP-Anwendung, die von den meisten Browsern aufgrund der zunehmenden Sicherheitsprobleme mit [https://en.wikipedia.org/wiki/NPAPI NPAPI]-Plug-ins seit 2017 nicht mehr unterstützt wird. Um sie außerhalb des Browsers in einer eigenen Anwendung zu öffnen, deinstallieren Sie bitte die störende OpenSource-Anwendung ''icedtea-web'' mit
{{shell|> sudo zypper rm icedtea-web}}
und legen Sie auf das von Oracle im Java-Paket bereitgestellte ''javaws'' einen symbolischen Link:
{{shell|> sudo ln -s /usr/java/latest/bin/javaws /usr/bin/javaws}}
Nun lässt sich die beA-Kartenverwaltung öffnen - unbedingt als Superuser, unter dem auch das beA-Postfach läuft:
{{shell|# javaws https://bea.bnotk.de/sak/cardtool.jnlp}}

===Karte mit Signaturzertifikat===
Wenn Sie zusätzlich ein Signaturzertifikat für Ihre beA-Karte bestellt haben, können Sie den für die Installation erforderlichen Transportcontainer nun ebenfalls mit ''javaws'' unter
https://bea.bnotk.de/bestellung/index.html#/certificates
unter den Reitern ''Mein Konto'' > ''Meine Zertifikate'' herunterladen und diesen anschließend als Superuser in der Kartenverwaltung
{{shell|# javaws https://bea.bnotk.de/sak/cardtool.jnlp}}
einsetzen. Bitte beachten Sie, dass Sie dafür die untere Auswahl der Karteninhalte wählen:
[[Datei:Bea_signaturkarte.png|700px|thumb|left|Aktivierung in der Signaturverwaltung]]
 
----

==Externe Links==

* https://de.opensuse.org/SDB:Elster
* http://bea.brak.de/wie-funktioniert-bea/was-ist-das-bea/
* https://www.bea-brak.de/bea/index.xhtml
* https://www.suse.com/c/running-graphical-programs-remotely-root/
* https://unix.stackexchange.com/questions/16815/what-does-display-0-0-actually-mean{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

BeA

2021-10-31T14:47:54Z

79.210.116.125: /* beA-Software */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:15.0 Leap 15.1]
*[https://de.opensuse.org/Portal:15.0 Leap 15.0]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
|
*[https://de.opensuse.org/beA beA]
*[https://de.opensuse.org/Sun_Java Sun Java]]
*[https://de.opensuse.org/Java Java]
*[https://de.opensuse.org/openJDK openJDK]
*[https://de.opensuse.org/IcedTea IcedTea]
*[https://de.opensuse.org/SDB:YaST_Tricks Yast Tricks]
|
*[https://de.opensuse.org/SDB:Elster SDB Elster]
*[https://de.opensuse.org/SDB:EGVP SDB:EGVP]
}}

== Einführung ==

Ab dem 01.01.2018 ist das [http://bea.brak.de/was-ist-das-bea/ besondere elektronische Anwaltspostfach] für Rechtsanwälte in Deutschland insofern verbindlich, als zu diesem Zeitpunkt die sog. „passive Nutzungspflicht“ hinsichtlich des Anwaltspostfachs eintritt. Nach [https://www.gesetze-im-internet.de/brao/__31a.html § 31a VI BRAO n.F.] ist der Inhaber des beA verpflichtet, die für dessen Nutzung erforderlichen technischen Einrichtungen vorzuhalten sowie Zustellungen und den Zugang von Mitteilungen über das besondere elektronische Anwaltspostfach zur Kenntnis zu nehmen.

----

==Hardware==

Die günstigste Hardware aus der [http://bea.brak.de/wp-content/uploads/2016/05/04_Tab2-a-und-2-b_unterstuetze-Chipkartenleser-mit-SigG-Best%C3%A4tigung.pdf Liste der unterstützten Kartenlesegeräte] sind momentan Einzelkartenlesegeräte, deren Installation deshalb hier beschrieben wird. Für andere Hardware nutzen Sie bitte die entsprechenden Downloadseiten des jeweiligen Herstellers.

Das Ghostscript, bzw. der Linux-Treiber für '''Cherry'''-Lesegeräte findet sich unter
* https://cherry.de/download/de/download.php
(bitte nicht die CT-API herunterladen, diese wird für Gesundheitskarten gebraucht und blockiert die hier benötigten Einstellungen),

für '''Cardman'''-Geräte findet er sich unter
* https://www.hidglobal.de/drivers
und für '''Reiner-SCT'''-Geräte unter
* https://www.reiner-sct.com/support/support-anfrage/ .

==Installation==

Installieren Sie die notwendigen Programme
{{shell|sudo zypper install libusb-0_1-4 libpcsclite1 pcsc-ccid pcsc-lite}}
Laden Sie dann die oben genannte
Herstellersoftware in Ihr Download-Verzeichnis herunter. Von dort verschieben Sie sie, um sie später leichter wieder auffinden zu können, am besten in das lokale bin-Verzeichnis und entpacken sie dort. Das sieht dann so aus:

===Beispiel Cherry===
{{shell|mv ~/Downloads/scmccid_5.0.35_linux.zip ~/bin cd ~/bin unzip scmccid_5.0.35_linux.zip cd ~/bin/scmccid_5.0.35_linux tar -zxvf scmccid_5.0.35_linux_64bit.tar.gz cd ~/bin/scmccid_5.0.35_linux/scmccid_5.0.35_linux su #>sh install.sh
}}
In der Datei
/usr/local/identiv/ini/scmccid.ini
sollten mit einem Editor wie ''kate'' am Ende die folgenden drei Zeilen ergänzt werden:
CardResetOrder=1
ldd /usr/lib64/readers/scmccid.bundle/Contents/Linux/
LD_LIBRARY_PATH=/usr/local/lib pcscd

===Beispiel Cardman===
{{shell|mv ~/Downloads/ifdokccid_linux_v.4.3.2-1-d2622a7fbea0.tar.gz ~/bin cd ~/bin tar -zxvf ifdokccid_linux_v.4.3.2-1-d2622a7fbea0.tar.gz cd ~/bin/ifdokccid_linux_x86_64-v.4.3.2-1-d2622a7fbea0 su #>./install
}}

===Beispiel Reiner SCT (RPM-Paket)===
{{shell|mv /tmp/mozilla_*0/pcsc-cyberjack-3.99.5*.rpm ~/bin cd ~/bin su #>zypper ar ./ lokal #>zypper in pcsc-cyberjack*.rpm
}}
Ergänzend sollte der pcscd-Daemon zur besseren Kontrolle aktiviert werden mit
{{shell|sudo systemctl enable pcscd.service
}}

===Test der Installation (optional)===
{{shell | wget https://www.seccommerce.biz/seccardadmin/seccardadmin.jnlp javaws seccardadmin.jnlp}}

==Java von Oracle==

Die beA-Software benötigt aus Sicherheitsgründen die originäre ''Java''-Umgebung von Oracle. Die vom beA selbst mitgelieferte Version (im Unterverzeichnis jre) war bei mir allerdings nicht lauffähig. Es empfiehlt sich hier die verlässlichere Installation per RPM. Das entsprechende RPM-Paket kann unter
http://www.java.com/de/download/linux_manual.jsp?locale=de
heruntergeladen werden. Ab der Version [https://de.opensuse.org/Portal:42.1 Leap 42.1] muss hier zwingend das "x64-Paket" gewählt werden. Ich empfehle jedoch, statt dieser aktuellen lieber auf die überholte, aber vom beA verwendete Version zurückzugreifen. Diese findet sich in Oracles Liste archivierter Versionen unter
https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html
Momentan (Mai 2020) verwendet der beA-Webclient das Java Runtime Environment (JRE) in der Version jre1.8.0_161. Das zugehörige Paket heißt dann "jre-8u161-linux-x64.rpm". Sollten Sie den beA-Webclient bereits installiert haben, gibt
{{shell|less ~/bin/beA/jre/release | grep "JAVA_VERSION"}}
Auskunft über die von Ihrem Webclient bevorzugte JRE-Version. Eine ausführliche Beschreibung für die Installation der JRE finden Sie in der Anleitung [https://de.opensuse.org/SDB:Elster SDB:Elster]. Bitte verschieben Sie das mit Firefox heruntergeladene Paket wie folgt in Ihr bin-Verzeichnis:
{{shell|mv ~/Downloads/jre* ~/bin/ cd ~/bin su}}

Als ''Superuser'' fügen Sie dann, falls noch nicht geschehen, Ihr bin-Verzeichnis, in dem Sie sich gerade befinden, den autorisierten Softwarequellen hinzu:
{{shell|zypper ar ./ lokal}}

{{info|Anschließend können Sie, auch wenn es nicht notwendig ist, weil mehrere JRE nebeneinander betrieben werden können, ebenfalls als ''Superuser'', das alte JRE-RPM, sofern vorhanden, deinstallieren:
{{shell|altesjre=$(rpm -qa | grep jre) && rpm -e $altesjre}}
}}
So suchen Sie das neuste JRE-Paket aus dem bin-Verzeichnis heraus und installieren Sie es:
{{shell|neuesjre=$(ls -rt1 jre-* | tail -1) && rpm -ivh --nodeps $neuesjre
}}
Zum Schluss wird, weiterhin als ''Superuser'', die neue Java-Umgebung dem System als Alternative bekanntgemacht:
{{shell|jre=$(rpm -ql $(rpm -qa | grep jre | head -1) | grep \/README | sed "s/\/README//") update-alternatives --install /usr/bin/java java $jre/bin/java 1 update-alternatives --install /usr/bin/jcontrol jcontrol $jre/bin/jcontrol 1 update-alternatives --install /usr/bin/javaws javaws $jre/bin/javaws 1}}

{{info|Sie können die neue Java-Umgebung auch dem System als Standard vorschlagen, was allerdings bei älteren Versionen nur bedingt empfehlenswert ist:
{{shell|update-alternatives --set java $jre/bin/java update-alternatives --set jcontrol $jre/bin/jcontrol update-alternatives --set javaws $jre/bin/javaws}}
}}
Diese Einstellungen können Sie für jedes der Programme jederzeit mit der Option --config wieder ändern, z.B.
{{shell|update-alternatives --config java}}

{{info|Gelegentlich lassen sich Java-Anwendungen nach mehrmaligem Herumprobieren nicht mehr öffnen. Löschen Sie dann im Verzeichnis <tt>/root</tt> die versteckten Dateien
.oracle_jre_usage
.java
}}

==beA-Software==

Richten Sie, wieder als einfacher User, zur besseren Übersicht für beA ein eigenes Unterverzeichnis im bin-Ordner ein, in das Sie wechseln:
{{shell|mkdir ~/bin/beA cd ~/bin/beA
}}
Laden Sie dort mit
{{shell|wget https://installer.bea-brak.de/cs/installation/1/beAClientSecurity-Installation.tar.gz
}}
die beA-Software herunter, und entpacken Sie sie an Ort und Stelle mit dem Befehl
{{shell|tar -zxvf ~/bin/beAClientSecurity-Installation.tar.gz
}}

Nachdem die Atos Information Technology GmbH mit der Ausgabe eines Wurzelzertifikats im Dezember 2017 gegen alle Regeln der Verschlüsselung verstoßen hatte, Die Java-Anwendung kommuniziert mit dem Browswer über per verschlüsselter Kommunikation. Dafür erstellt die Java-Anwendung einmmalig ein für jeden Nutzer individuell erstelltes Zertifikat. Dieses wird bei der Linux-Anwendung mit dem ersten Start im Hintergrund erzeugt. Für die Generierung des Schlüsselpaares benötigt die Java-Anwendung jedoch statt des von OpenSuse vorinstallierten Pakets ''kdesu'' das nicht mehr gepflegte, vormalige ''kdesudo''. Dies kann heruntergeladen werden unter:
https://software.opensuse.org/package/kdesudo?search_term=kdesudo
Momentan wird kein spezifisches RPM-Paket in offiziellen Quellen angeboten, nachfolgendes Repository von der Linköping University in Schweden muss deshalb ergänzt werden:
{{shell|# zypper addrepo 'https://ftp.lysator.liu.se/pub/opensuse/distribution/leap/15.3/repo/oss/' kdesu}}
Nun kann ''kdesu'' installiert werden.
{{shell|# zypper install kdesu-devel}}
Ergänzend müssen in der Datei <tt>/etc/sudoers</tt> die Variablen "DISPLAY" und "XAUTHORITY" hinterlegt werden. Dies erfolgt, indem beide in der folgenden Zeile hinter den anderen Eintragungen und vor dem Anführungszeichen eingesetzt werden:
Defaults env_keep = "... DISPLAY XAUTHORITY"

Anschließend wird nun die beA-Software als ''Superuser'' installiert
{{shell|su # sh beAClientSecurity-Installation.sh
}}

[[Datei:BeA_läuftnicht.png|200px|thumb|right|"beA läuft nicht" - Warnmeldung]]
[[Datei:Bea_konsole.png|200px|thumb|right|"beA läuft"-Icon in der Konsole]]
[[Datei:Bea_desktop.png|200px|thumb|right|selbst erstellter Desktop-Icon]]
Anschließend kann man einen Desktop-Icon im Verzeichnis ''Desktop'' mit folgendem Inhalt anlegen. Dabei wird per Eintrag in 'Exec' sowohl der Firefox-Browser gleich mit der richtigen Anmeldeseite geöffnet, als auch gleichzeitig (&-Verknüpfung, wenn möglich, bitte ohne Umbruch anschließen) als ''Superuser'' der Web-Client im Hintergrund gestartet:
[Desktop Entry]
Comment[de_DE]=Dieser Icon startet den beA-Webclient im Root-Modus
Comment=This icon launches the beA-webclient-application as root
Exec=/usr/local/beAClientSecurity/beAClientSecurity
& firefox -new window "https://www.bea-brak.de/bea/"
GenericName[de_DE]=Start des beA-Webclients
GenericName=Start des beA-Webclients
Icon=/usr/local/beAClientSecurity/.install4j/beAClientSecurity.png
MimeType=
Name[de_DE]=beA
Name=beA
Path=/usr/local/beAClientSecurity/
StartupNotify=true
Terminal=false
TerminalOptions=
Type=Application
X-DBUS-ServiceName=
X-DBUS-StartupType=
X-KDE-SubstituteUID=true
X-KDE-Username=root

{{info|Hinweis: Der WebClient startet nicht ordnungsgemäß in der Konsole, solange die Karte noch im Lesegerät steckt!}}
Beim ersten Start der Anwendung muss das selbst erstellte Zertifikat zunächst noch im Browser hinterlegt werden. Dies erfolgt einmalig durch Drücken des beA-Icons in der Konsole mit der rechten Maustaste und die Auswahl "Zertifikat installieren" im Menü. Beim nächsten Start des Browsers wird hernach automatisch auf den Zertifikatschlüssel zugegriffen.

{{info|Hinweis: Sollte Ihr Aufruf von ''firefox'' als Superuser in ihrer gewohnten Instanz als einfacher User vom System als unzulässig blockiert werden, prüfen Sie nochmals, ob sie <tt>/etc/sudoers</tt> bereits angepasst haben (s.o.). Hilfsweise können Sie das Problem mit folgenden Befehlen umgehen:
{{shell|> sudo -i > su # export DISPLAY=:0.0
}}
}}

==Erstregistrierung==

Führen Sie die beA-Karte in das Lesegerät ein. Unter
* https://www.bea-brak.de/bea/index.xhtml?dswid=-9192
klicken Sie nun "Registrierung mit eigenem Postfach" an. Es erscheint die folgende Einstiegsseite:
 
[[Bild:Bea_registrierung.png|700px]]

Hier folgen Sie den weiteren Angaben.

==Troubleshooting==
===Es konnte keine Karte gefunden werden===
Bitte installieren Sie immer die aktuelle Software-Version Ihres Kartenlesegeräts.
===Hinweis "Für den Zugriff ... ist eine lokale Softwarekomponente, die beA Client-Security, erforderlich ..."===
Bitte achten Sie darauf, den Browser ebenso wie die Java-Anwendung "beA Client-Security" immer als Superuser zu starten. Anderenfalls ist eine Kommunikation zwischen beiden nicht möglich. Möglicherweise müssen dafür zunächst alle offenen Browserfenster des bisherigen Users geschlossen werden, bevor Firefox den Browser tatsächlich neu als einen eigenen Prozess des Superusers startet.

===Das Java-Programm startet, aber der beA-Icon erscheint anschließend nicht in der Konsole===
Achten Sie beim Starten der Anwendung darauf, dass die beA-Karte noch nicht eingesteckt ist. Anderenfalls wartet die Java-Anwendung von Atos solange, bis Sie die Karte herausgezogen haben. Erst nach dem Start der Anwendung sollten Sie sie dann wieder einsetzen, um sie im folgenden Popup-Fenster als Sicherheitsmedium auswählen zu können.

Sollte dies weiterhin nicht funktionieren, können Sie die Sicherheitseinstellungen der JRE ändern, indem Sie als Superuser
{{shell|# /usr/java/jre1.8.0_161/bin/ControlPanel}}
aufrufen und unter dem Reiter "Sicherheit" die Adresse "https://www.bea-brak.de" in die Ausnahmeliste der Adressen eintragen, für welche die Standardsicherheitseinstellungen nicht gelten sollen.

===Die Java-Anwendung startet, aber die Passwortabfrage folgt nicht nach===
Es öffnet sich zur Auswahl des Sicherheitstokens ein neues Fenster. Dieses ist oft durch die Hauptbrowserseite verdeckt und muss erst "freigelegt" werden, um dort die Auswahl "Kartenlesegerät" anklicken zu können. Sehen Sie bitte nach, ob weitere Fenster geöffnet sind, in denen Sie die Auswahl vornehmen können.

===Hinweis: "Der Server ist nicht erreichbar"===
Möglicherweise haben Sie die Java-Anwendung wie vorgeschlagen erneut gestartet, so dass dessen Prozess-ID nun nicht mehr zum vorher geöffneten Browserfenster passt. Schließen Sie die Java-Anwendung durch rechten Mausklick auf dem beA-Icon in der Konsole und starten Sie dann Browser und Applet noch einmal komplett neu. Ignorieren Sie ggf. die Aufforderung zum Beenden der bisherigen beA-Java-Anwendung, indem Sie das Aufforderungsfenster einfach schließen.

==Kartenverwaltung==

===beA-Standardkarte===
Die Kartenverwaltung der Bundesnotarkammer arbeitet mit einer JNLP-Anwendung, die von den meisten Browsern aufgrund der zunehmenden Sicherheitsprobleme mit [https://en.wikipedia.org/wiki/NPAPI NPAPI]-Plug-ins seit 2017 nicht mehr unterstützt wird. Um sie außerhalb des Browsers in einer eigenen Anwendung zu öffnen, deinstallieren Sie bitte die störende OpenSource-Anwendung ''icedtea-web'' mit
{{shell|> sudo zypper rm icedtea-web}}
und legen Sie auf das von Oracle im Java-Paket bereitgestellte ''javaws'' einen symbolischen Link:
{{shell|> sudo ln -s /usr/java/latest/bin/javaws /usr/bin/javaws}}
Nun lässt sich die beA-Kartenverwaltung öffnen - unbedingt als Superuser, unter dem auch das beA-Postfach läuft:
{{shell|# javaws https://bea.bnotk.de/sak/cardtool.jnlp}}

===Karte mit Signaturzertifikat===
Wenn Sie zusätzlich ein Signaturzertifikat für Ihre beA-Karte bestellt haben, können Sie den für die Installation erforderlichen Transportcontainer nun ebenfalls mit ''javaws'' unter
https://bea.bnotk.de/bestellung/index.html#/certificates
unter den Reitern ''Mein Konto'' > ''Meine Zertifikate'' herunterladen und diesen anschließend als Superuser in der Kartenverwaltung
{{shell|# javaws https://bea.bnotk.de/sak/cardtool.jnlp}}
einsetzen. Bitte beachten Sie, dass Sie dafür die untere Auswahl der Karteninhalte wählen:
[[Datei:Bea_signaturkarte.png|700px|thumb|left|Aktivierung in der Signaturverwaltung]]
 
----

==Externe Links==

* https://de.opensuse.org/SDB:Elster
* http://bea.brak.de/wie-funktioniert-bea/was-ist-das-bea/
* https://www.bea-brak.de/bea/index.xhtml
* https://www.suse.com/c/running-graphical-programs-remotely-root/
* https://unix.stackexchange.com/questions/16815/what-does-display-0-0-actually-mean{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]

BeA

2021-10-31T14:42:57Z

79.210.116.125: /* beA-Software */

{{Knowledge|
*[https://de.opensuse.org/Portal:Tumbleweed Tumbleweed]
*[https://de.opensuse.org/Portal:15.0 Leap 15.1]
*[https://de.opensuse.org/Portal:15.0 Leap 15.0]
*[https://de.opensuse.org/Portal:42.3 Leap 42.3]
|
*[https://de.opensuse.org/beA beA]
*[https://de.opensuse.org/Sun_Java Sun Java]]
*[https://de.opensuse.org/Java Java]
*[https://de.opensuse.org/openJDK openJDK]
*[https://de.opensuse.org/IcedTea IcedTea]
*[https://de.opensuse.org/SDB:YaST_Tricks Yast Tricks]
|
*[https://de.opensuse.org/SDB:Elster SDB Elster]
*[https://de.opensuse.org/SDB:EGVP SDB:EGVP]
}}

== Einführung ==

Ab dem 01.01.2018 ist das [http://bea.brak.de/was-ist-das-bea/ besondere elektronische Anwaltspostfach] für Rechtsanwälte in Deutschland insofern verbindlich, als zu diesem Zeitpunkt die sog. „passive Nutzungspflicht“ hinsichtlich des Anwaltspostfachs eintritt. Nach [https://www.gesetze-im-internet.de/brao/__31a.html § 31a VI BRAO n.F.] ist der Inhaber des beA verpflichtet, die für dessen Nutzung erforderlichen technischen Einrichtungen vorzuhalten sowie Zustellungen und den Zugang von Mitteilungen über das besondere elektronische Anwaltspostfach zur Kenntnis zu nehmen.

----

==Hardware==

Die günstigste Hardware aus der [http://bea.brak.de/wp-content/uploads/2016/05/04_Tab2-a-und-2-b_unterstuetze-Chipkartenleser-mit-SigG-Best%C3%A4tigung.pdf Liste der unterstützten Kartenlesegeräte] sind momentan Einzelkartenlesegeräte, deren Installation deshalb hier beschrieben wird. Für andere Hardware nutzen Sie bitte die entsprechenden Downloadseiten des jeweiligen Herstellers.

Das Ghostscript, bzw. der Linux-Treiber für '''Cherry'''-Lesegeräte findet sich unter
* https://cherry.de/download/de/download.php
(bitte nicht die CT-API herunterladen, diese wird für Gesundheitskarten gebraucht und blockiert die hier benötigten Einstellungen),

für '''Cardman'''-Geräte findet er sich unter
* https://www.hidglobal.de/drivers
und für '''Reiner-SCT'''-Geräte unter
* https://www.reiner-sct.com/support/support-anfrage/ .

==Installation==

Installieren Sie die notwendigen Programme
{{shell|sudo zypper install libusb-0_1-4 libpcsclite1 pcsc-ccid pcsc-lite}}
Laden Sie dann die oben genannte
Herstellersoftware in Ihr Download-Verzeichnis herunter. Von dort verschieben Sie sie, um sie später leichter wieder auffinden zu können, am besten in das lokale bin-Verzeichnis und entpacken sie dort. Das sieht dann so aus:

===Beispiel Cherry===
{{shell|mv ~/Downloads/scmccid_5.0.35_linux.zip ~/bin cd ~/bin unzip scmccid_5.0.35_linux.zip cd ~/bin/scmccid_5.0.35_linux tar -zxvf scmccid_5.0.35_linux_64bit.tar.gz cd ~/bin/scmccid_5.0.35_linux/scmccid_5.0.35_linux su #>sh install.sh
}}
In der Datei
/usr/local/identiv/ini/scmccid.ini
sollten mit einem Editor wie ''kate'' am Ende die folgenden drei Zeilen ergänzt werden:
CardResetOrder=1
ldd /usr/lib64/readers/scmccid.bundle/Contents/Linux/
LD_LIBRARY_PATH=/usr/local/lib pcscd

===Beispiel Cardman===
{{shell|mv ~/Downloads/ifdokccid_linux_v.4.3.2-1-d2622a7fbea0.tar.gz ~/bin cd ~/bin tar -zxvf ifdokccid_linux_v.4.3.2-1-d2622a7fbea0.tar.gz cd ~/bin/ifdokccid_linux_x86_64-v.4.3.2-1-d2622a7fbea0 su #>./install
}}

===Beispiel Reiner SCT (RPM-Paket)===
{{shell|mv /tmp/mozilla_*0/pcsc-cyberjack-3.99.5*.rpm ~/bin cd ~/bin su #>zypper ar ./ lokal #>zypper in pcsc-cyberjack*.rpm
}}
Ergänzend sollte der pcscd-Daemon zur besseren Kontrolle aktiviert werden mit
{{shell|sudo systemctl enable pcscd.service
}}

===Test der Installation (optional)===
{{shell | wget https://www.seccommerce.biz/seccardadmin/seccardadmin.jnlp javaws seccardadmin.jnlp}}

==Java von Oracle==

Die beA-Software benötigt aus Sicherheitsgründen die originäre ''Java''-Umgebung von Oracle. Die vom beA selbst mitgelieferte Version (im Unterverzeichnis jre) war bei mir allerdings nicht lauffähig. Es empfiehlt sich hier die verlässlichere Installation per RPM. Das entsprechende RPM-Paket kann unter
http://www.java.com/de/download/linux_manual.jsp?locale=de
heruntergeladen werden. Ab der Version [https://de.opensuse.org/Portal:42.1 Leap 42.1] muss hier zwingend das "x64-Paket" gewählt werden. Ich empfehle jedoch, statt dieser aktuellen lieber auf die überholte, aber vom beA verwendete Version zurückzugreifen. Diese findet sich in Oracles Liste archivierter Versionen unter
https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html
Momentan (Mai 2020) verwendet der beA-Webclient das Java Runtime Environment (JRE) in der Version jre1.8.0_161. Das zugehörige Paket heißt dann "jre-8u161-linux-x64.rpm". Sollten Sie den beA-Webclient bereits installiert haben, gibt
{{shell|less ~/bin/beA/jre/release | grep "JAVA_VERSION"}}
Auskunft über die von Ihrem Webclient bevorzugte JRE-Version. Eine ausführliche Beschreibung für die Installation der JRE finden Sie in der Anleitung [https://de.opensuse.org/SDB:Elster SDB:Elster]. Bitte verschieben Sie das mit Firefox heruntergeladene Paket wie folgt in Ihr bin-Verzeichnis:
{{shell|mv ~/Downloads/jre* ~/bin/ cd ~/bin su}}

Als ''Superuser'' fügen Sie dann, falls noch nicht geschehen, Ihr bin-Verzeichnis, in dem Sie sich gerade befinden, den autorisierten Softwarequellen hinzu:
{{shell|zypper ar ./ lokal}}

{{info|Anschließend können Sie, auch wenn es nicht notwendig ist, weil mehrere JRE nebeneinander betrieben werden können, ebenfalls als ''Superuser'', das alte JRE-RPM, sofern vorhanden, deinstallieren:
{{shell|altesjre=$(rpm -qa | grep jre) && rpm -e $altesjre}}
}}
So suchen Sie das neuste JRE-Paket aus dem bin-Verzeichnis heraus und installieren Sie es:
{{shell|neuesjre=$(ls -rt1 jre-* | tail -1) && rpm -ivh --nodeps $neuesjre
}}
Zum Schluss wird, weiterhin als ''Superuser'', die neue Java-Umgebung dem System als Alternative bekanntgemacht:
{{shell|jre=$(rpm -ql $(rpm -qa | grep jre | head -1) | grep \/README | sed "s/\/README//") update-alternatives --install /usr/bin/java java $jre/bin/java 1 update-alternatives --install /usr/bin/jcontrol jcontrol $jre/bin/jcontrol 1 update-alternatives --install /usr/bin/javaws javaws $jre/bin/javaws 1}}

{{info|Sie können die neue Java-Umgebung auch dem System als Standard vorschlagen, was allerdings bei älteren Versionen nur bedingt empfehlenswert ist:
{{shell|update-alternatives --set java $jre/bin/java update-alternatives --set jcontrol $jre/bin/jcontrol update-alternatives --set javaws $jre/bin/javaws}}
}}
Diese Einstellungen können Sie für jedes der Programme jederzeit mit der Option --config wieder ändern, z.B.
{{shell|update-alternatives --config java}}

{{info|Gelegentlich lassen sich Java-Anwendungen nach mehrmaligem Herumprobieren nicht mehr öffnen. Löschen Sie dann im Verzeichnis <tt>/root</tt> die versteckten Dateien
.oracle_jre_usage
.java
}}

==beA-Software==

Richten Sie, wieder als einfacher User, zur besseren Übersicht für beA ein eigenes Unterverzeichnis im bin-Ordner ein, in das Sie wechseln:
{{shell|mkdir ~/bin/beA cd ~/bin/beA
}}
Laden Sie dort mit
{{shell|wget https://installer.bea-brak.de/cs/installation/1/beAClientSecurity-Installation.tar.gz
}}
die beA-Software herunter, und entpacken Sie sie an Ort und Stelle mit dem Befehl
{{shell|tar -zxvf ~/bin/beAClientSecurity-Installation.tar.gz
}}

Nachdem die Atos Information Technology GmbH mit der Ausgabe eines Wurzelzertifikats im Dezember 2017 gegen alle Regeln der Verschlüsselung verstoßen hatte, Die Java-Anwendung kommuniziert mit dem Browswer über per verschlüsselter Kommunikation. Dafür erstellt die Java-Anwendung einmmalig ein für jeden Nutzer individuell erstelltes Zertifikat. Dieses wird bei der Linux-Anwendung mit dem ersten Start im Hintergrund erzeugt. Für die Generierung des Schlüsselpaares benötigt die Java-Anwendung jedoch statt des von OpenSuse vorinstallierten Pakets ''kdesu'' das nicht mehr gepflegte, vormalige ''kdesudo''. Dies kann heruntergeladen werden unter:
https://software.opensuse.org/package/kdesudo?search_term=kdesudo
Momentan wird kein spezifisches RPM-Paket in offiziellen Quellen angeboten, nachfolgendes Repository von der Linköping University in Schweden muss deshalb ergänzt werden:
{{shell|# zypper addrepo 'https://ftp.lysator.liu.se/pub/opensuse/distribution/leap/15.3/repo/oss/' kdesu}}
Nun kann ''kdesu'' installiert werden.
{{shell|# zypper install kdesu-devel}}
Ergänzend müssen in der Datei <tt>/etc/sudoers</tt> die Variablen "DISPLAY" und "XAUTHORITY" hinterlegt werden. Dies erfolgt, indem beide in der folgenden Zeile hinter den anderen Eintragungen und vor dem Anführungszeichen eingesetzt werden:
Defaults env_keep = "... DISPLAY XAUTHORITY"

Anschließend wird nun die beA-Software als ''Superuser'' installiert
{{shell|su # sh beAClientSecurity-Installation.sh
}}

[[Datei:BeA_läuftnicht.png|200px|thumb|right|"beA läuft nicht" - Warnmeldung]]
[[Datei:Bea_konsole.png|200px|thumb|right|"beA läuft"-Icon in der Konsole]]
[[Datei:Bea_desktop.png|200px|thumb|right|selbst erstellter Desktop-Icon]]
Anschließend kann man einen Desktop-Icon im Verzeichnis ''Desktop'' mit folgendem Inhalt anlegen. Dabei wird per Eintrag in 'Exec' sowohl der Firefox-Browser gleich mit der richtigen Anmeldeseite geöffnet, als auch gleichzeitig (&-Verknüpfung, wenn möglich, bitte ohne Umbruch anschließen) als ''Superuser'' der Web-Client im Hintergrund gestartet:
[Desktop Entry]
Comment[de_DE]=Dieser Icon startet den beA-Webclient im Root-Modus
Comment=This icon launches the beA-webclient-application as root
Exec=/usr/local/beAClientSecurity/beAClientSecurity
& firefox -new window "https://www.bea-brak.de/bea/"
GenericName[de_DE]=Start des beA-Webclients
GenericName=Start des beA-Webclients
Icon=kube-mail
MimeType=
Name[de_DE]=beA
Name=beA
Path=/home/MEINNUTZERNAME/bin/beA
StartupNotify=true
Terminal=false
TerminalOptions=
Type=Application
X-DBUS-ServiceName=
X-DBUS-StartupType=
X-KDE-SubstituteUID=true
X-KDE-Username=root

{{info|Hinweis: Der WebClient startet nicht ordnungsgemäß in der Konsole, solange die Karte noch im Lesegerät steckt!}}
Beim ersten Start der Anwendung muss das selbst erstellte Zertifikat zunächst noch im Browser hinterlegt werden. Dies erfolgt einmalig durch Drücken des beA-Icons in der Konsole mit der rechten Maustaste und die Auswahl "Zertifikat installieren" im Menü. Beim nächsten Start des Browsers wird hernach automatisch auf den Zertifikatschlüssel zugegriffen.

{{info|Hinweis: Sollte Ihr Aufruf von ''firefox'' als Superuser in ihrer gewohnten Instanz als einfacher User vom System als unzulässig blockiert werden, prüfen Sie nochmals, ob sie <tt>/etc/sudoers</tt> bereits angepasst haben (s.o.). Hilfsweise können Sie das Problem mit folgenden Befehlen umgehen:
{{shell|> sudo -i > su # export DISPLAY=:0.0
}}
}}

==Erstregistrierung==

Führen Sie die beA-Karte in das Lesegerät ein. Unter
* https://www.bea-brak.de/bea/index.xhtml?dswid=-9192
klicken Sie nun "Registrierung mit eigenem Postfach" an. Es erscheint die folgende Einstiegsseite:
 
[[Bild:Bea_registrierung.png|700px]]

Hier folgen Sie den weiteren Angaben.

==Troubleshooting==
===Es konnte keine Karte gefunden werden===
Bitte installieren Sie immer die aktuelle Software-Version Ihres Kartenlesegeräts.
===Hinweis "Für den Zugriff ... ist eine lokale Softwarekomponente, die beA Client-Security, erforderlich ..."===
Bitte achten Sie darauf, den Browser ebenso wie die Java-Anwendung "beA Client-Security" immer als Superuser zu starten. Anderenfalls ist eine Kommunikation zwischen beiden nicht möglich. Möglicherweise müssen dafür zunächst alle offenen Browserfenster des bisherigen Users geschlossen werden, bevor Firefox den Browser tatsächlich neu als einen eigenen Prozess des Superusers startet.

===Das Java-Programm startet, aber der beA-Icon erscheint anschließend nicht in der Konsole===
Achten Sie beim Starten der Anwendung darauf, dass die beA-Karte noch nicht eingesteckt ist. Anderenfalls wartet die Java-Anwendung von Atos solange, bis Sie die Karte herausgezogen haben. Erst nach dem Start der Anwendung sollten Sie sie dann wieder einsetzen, um sie im folgenden Popup-Fenster als Sicherheitsmedium auswählen zu können.

Sollte dies weiterhin nicht funktionieren, können Sie die Sicherheitseinstellungen der JRE ändern, indem Sie als Superuser
{{shell|# /usr/java/jre1.8.0_161/bin/ControlPanel}}
aufrufen und unter dem Reiter "Sicherheit" die Adresse "https://www.bea-brak.de" in die Ausnahmeliste der Adressen eintragen, für welche die Standardsicherheitseinstellungen nicht gelten sollen.

===Die Java-Anwendung startet, aber die Passwortabfrage folgt nicht nach===
Es öffnet sich zur Auswahl des Sicherheitstokens ein neues Fenster. Dieses ist oft durch die Hauptbrowserseite verdeckt und muss erst "freigelegt" werden, um dort die Auswahl "Kartenlesegerät" anklicken zu können. Sehen Sie bitte nach, ob weitere Fenster geöffnet sind, in denen Sie die Auswahl vornehmen können.

===Hinweis: "Der Server ist nicht erreichbar"===
Möglicherweise haben Sie die Java-Anwendung wie vorgeschlagen erneut gestartet, so dass dessen Prozess-ID nun nicht mehr zum vorher geöffneten Browserfenster passt. Schließen Sie die Java-Anwendung durch rechten Mausklick auf dem beA-Icon in der Konsole und starten Sie dann Browser und Applet noch einmal komplett neu. Ignorieren Sie ggf. die Aufforderung zum Beenden der bisherigen beA-Java-Anwendung, indem Sie das Aufforderungsfenster einfach schließen.

==Kartenverwaltung==

===beA-Standardkarte===
Die Kartenverwaltung der Bundesnotarkammer arbeitet mit einer JNLP-Anwendung, die von den meisten Browsern aufgrund der zunehmenden Sicherheitsprobleme mit [https://en.wikipedia.org/wiki/NPAPI NPAPI]-Plug-ins seit 2017 nicht mehr unterstützt wird. Um sie außerhalb des Browsers in einer eigenen Anwendung zu öffnen, deinstallieren Sie bitte die störende OpenSource-Anwendung ''icedtea-web'' mit
{{shell|> sudo zypper rm icedtea-web}}
und legen Sie auf das von Oracle im Java-Paket bereitgestellte ''javaws'' einen symbolischen Link:
{{shell|> sudo ln -s /usr/java/latest/bin/javaws /usr/bin/javaws}}
Nun lässt sich die beA-Kartenverwaltung öffnen - unbedingt als Superuser, unter dem auch das beA-Postfach läuft:
{{shell|# javaws https://bea.bnotk.de/sak/cardtool.jnlp}}

===Karte mit Signaturzertifikat===
Wenn Sie zusätzlich ein Signaturzertifikat für Ihre beA-Karte bestellt haben, können Sie den für die Installation erforderlichen Transportcontainer nun ebenfalls mit ''javaws'' unter
https://bea.bnotk.de/bestellung/index.html#/certificates
unter den Reitern ''Mein Konto'' > ''Meine Zertifikate'' herunterladen und diesen anschließend als Superuser in der Kartenverwaltung
{{shell|# javaws https://bea.bnotk.de/sak/cardtool.jnlp}}
einsetzen. Bitte beachten Sie, dass Sie dafür die untere Auswahl der Karteninhalte wählen:
[[Datei:Bea_signaturkarte.png|700px|thumb|left|Aktivierung in der Signaturverwaltung]]
 
----

==Externe Links==

* https://de.opensuse.org/SDB:Elster
* http://bea.brak.de/wie-funktioniert-bea/was-ist-das-bea/
* https://www.bea-brak.de/bea/index.xhtml
* https://www.suse.com/c/running-graphical-programs-remotely-root/
* https://unix.stackexchange.com/questions/16815/what-does-display-0-0-actually-mean{{DEFAULTSORT:{{PAGENAME}}}}

[[Category:Linuxinstallation]]