Sonda: una app con firma ad hoc y las identidades de un token del sistema en macOS #2002

Parent

#2000

What to build

El titular sabe, con una tarjeta PIV o una YubiKey y sin el DNIe, si una aplicación firmada ad hoc y sin perfil de aprovisionamiento puede listar las identidades de un token del sistema y firmar con ellas. El agente prepara la sonda y la ficha; la ejecuta el titular.

Acceptance criteria

• Una sonda manual, junto a las de docs/research/card-probes, lista las identidades del token del sistema y firma un resumen con una de ellas, firmada ad hoc.
• docs/research/dnie-en-macos.md recoge el resultado anonimizado y si ID-532 sigue en pie o cae.
• Ninguna prueba ni el CI usan la tarjeta.

Blocked by

• None (can start immediately)

Spec extract

Implementation Decisions (from #2000):

• ID-540: Una sonda previa, sin DNIe, mide si una aplicación con firma ad hoc y sin perfil de aprovisionamiento puede listar y usar identidades de un token del sistema, con una tarjeta PIV o una YubiKey. Si no puede, ID-532 cae: las tarjetas solo entran por PKCS#11, el Almacén de macOS se queda con los certificados de software, y la ficha de la sonda lo recoge.
• ID-532: Un certificado del Almacén de macOS con la clave en un token del sistema es de clase tarjeta (análogo de ID-479): chip «DNIe» o «Tarjeta», entra en la recarga en caliente y en el estado del lector, y se firma por el Almacén de macOS.

Complexity

standard — una sonda pequeña y su ficha; el peso es la ejecución manual. Estimación: unos 40k tokens.