Bürgerkarte und Mocca - Verwirrung

Re(12): Bürgerkarte und Mocca - Verwirrung

gunnarh — Thu, 23 Jan 2014 17:10:36 GMT

Ich hab meinen Beitrag vorhin noch modifiziert und das "Zufallszahlengenerator" auf "zertifizierten Zufallszahlengenerator" ausgebessert. Im ProtectionProfile ist das m.W. enthalten und wird z.B. vom BSI bei der CommonCriteria-Zertifizierung mit angeschaut.

Selbst kann man in eine Smartcard natürlich nicht reinsehen - da muss man schon darauf vertrauen, dass die Leute von den Prüfstellen (z.B. BSI) das entsprechend sorgfältig sich angeschaut haben.

Da aber wohl kaum ein Smartcardhersteller hier absichtlich Hintertüren einbauen wird (die Chance, dass das jemand bei einem Audit entdeckt, und der Hersteller dann nie wieder irgend einen Aufrag bekommt - defakto also erledigt ist) ist die Gefahr maximal bei technischen Fehlern in der Implementierung. Nur: Wer sollte diesen nun ausnutzen können? Direkt im Werk wohl niemand - wer hätte da auch einen Anreiz. Bei der Personalisierung der Karte sind auch keine Leute am Werk, die mal so eben eine Smartcard knacken. Und ab dann steckt die Karte bei Dir im Börsel und wird nur mehr in den eigenen Kartenleser gesteckt. Für meine Begriffe ist das hinreichend sicher - jedenfalls deutlich sicherer als alle anderen Varianten die einem so vorschweben (eigenhändige Unterschrift oder gar mobile-Handy-Bürgerkarte).

Re(12): Bürgerkarte und Mocca - Verwirrung

gunnarh — Thu, 23 Jan 2014 17:10:36 GMT

Ich hab meinen Beitrag vorhin noch modifiziert und das "Zufallszahlengenerator" auf "zertifizierten Zufallszahlengenerator" ausgebessert. Im ProtectionProfile ist das m.W. enthalten und wird z.B. vom BSI bei der CommonCriteria-Zertifizierung mit angeschaut.

Selbst kann man in eine Smartcard natürlich nicht reinsehen - da muss man schon darauf vertrauen, dass die Leute von den Prüfstellen (z.B. BSI) das entsprechend sorgfältig sich angeschaut haben.

Da aber wohl kaum ein Smartcardhersteller hier absichtlich hintertüren einbauen wird (die Chance, dass das jemand bei einem Audit entdeckt, und der Hersteller dann nie wieder irgend einen Aufrag bekommt - defakto also erledigt ist) ist die Gefahr maximal bei technischen Fehlern in der Implementierung. Nur: Wer sollte diesen nun ausnutzen können? Direkt im Werk wohl niemand - wer hätte da auch einen Anreiz. Bei der Personalisierung der Karte sind auch keine Leute am Werk, die mal so eben eine Smartcard knacken. Und ab dann steckt die Karte bei Dir im Börsel und wird nur mehr in den eigenen Kartenleser gesteckt. Für meine Begriffe ist das hinreichend sicher - jedenfalls deutlich sicherer als alle anderen Varianten die einem so vorschweben (eigenhändige Unterschrift oder gar mobile-Handy-Bürgerkarte).

Re(11): Bürgerkarte und Mocca - Verwirrung

mjy@geizhals.at — Thu, 23 Jan 2014 16:58:45 GMT

Spannend, somit ist auch kaum prüfbar ob diese keys tatsächlich so zufällig sind wie sie es sein sollen ...

Re(10): Bürgerkarte und Mocca - Verwirrung

gunnarh — Thu, 23 Jan 2014 16:47:02 GMT

Smartcards enthalten einen zertifizierten Zufallszahlengenerator.

Ich hab schon gesucht, finde allerdings meine Quelle nicht wieder.
A-Trust beschreibt es hier leider nur sehr oberflächlich:
http://wiki.a-trust.at/wiki/Default.aspx?site=trust.sign+Karte

Die wichtigste Funktion ist die sichere Verwahrung des geheimen Signaturschlüssels. a.trust hat dies so gelöst, dass beide Schlüssel bei der Produktion der Chipkarte direkt im Chip generiert werden (Initialisierung) und nur der öffentliche Schlüssel, welcher im Zertifikat hinterlegt ist, herauslesbar ist.

Dort ist zwar nicht von der e-card sondern von der trust.sign-Karte die Rede, aber die ecard verwendet ebenfalls ein STARCOS Betriebssystem und das Applet von Giesecke & Devrient.

Vielleicht finde ich meine Quelle nochmals. Muss mal suchen.

Re(10): Bürgerkarte und Mocca - Verwirrung

gunnarh — Thu, 23 Jan 2014 16:47:02 GMT

Smartcards enthalten einen Zufallsgenerator.

Ich hab schon gesucht, finde allerdings meine Quelle nicht wieder.
A-Trust beschreibt es hier leider nur sehr oberflächlich:
http://wiki.a-trust.at/wiki/Default.aspx?site=trust.sign+Karte

Die wichtigste Funktion ist die sichere Verwahrung des geheimen Signaturschlüssels. a.trust hat dies so gelöst, dass beide Schlüssel bei der Produktion der Chipkarte direkt im Chip generiert werden (Initialisierung) und nur der öffentliche Schlüssel, welcher im Zertifikat hinterlegt ist, herauslesbar ist.

Re(10): Bürgerkarte und Mocca - Verwirrung

gunnarh — Thu, 23 Jan 2014 16:47:02 GMT

Smartcards enthalten einen Zufallszahlengenerator.

Ich hab schon gesucht, finde allerdings meine Quelle nicht wieder.
A-Trust beschreibt es hier leider nur sehr oberflächlich:
http://wiki.a-trust.at/wiki/Default.aspx?site=trust.sign+Karte

Die wichtigste Funktion ist die sichere Verwahrung des geheimen Signaturschlüssels. a.trust hat dies so gelöst, dass beide Schlüssel bei der Produktion der Chipkarte direkt im Chip generiert werden (Initialisierung) und nur der öffentliche Schlüssel, welcher im Zertifikat hinterlegt ist, herauslesbar ist.

Re(9): Bürgerkarte und Mocca - Verwirrung

mjy@geizhals.at — Thu, 23 Jan 2014 16:42:33 GMT

Wie ist das denn technisch gelöst?

Irgendwo muss ja ein key generiert werden. Dort kann er dann auch abgegriffen werden (auch wenn er es nicht dürfte).

Re(8): Bürgerkarte und Mocca - Verwirrung

gunnarh — Thu, 23 Jan 2014 16:41:01 GMT

Doch, die Initialisierung ab Werk erzeugt kein Schlüsselmaterial das abgreifbar wäre.
Ein solches Vorgehen würde keine CommonCriteria-Zertifizierung erhalten.

Re(7): Bürgerkarte und Mocca - Verwirrung

mjy@geizhals.at — Thu, 23 Jan 2014 00:51:53 GMT

Da sowohl der verwendete Chip, als auch das auf der Karte befindliche Applet
mehrere namhafte Zertifizierungen vorweist, kann man grundsätzlich mal guten
Gewissens vertrauen haben, dass auch das implementiert ist was das Datenblatt
verspricht.

Der Key kann die Karte nicht verlassen.

Ich erkenne hier keinerlei Bezugnahme auf die Problematik, dass der key wohl nicht auf der Karte generiert, sondern draufkopiert wird. Und dort wo er vorher liegt, kann er natürlich beliebig vervielfältigt werden.

Re(6): Bürgerkarte und Mocca - Verwirrung

gunnarh — Wed, 22 Jan 2014 23:27:09 GMT

Der Begriff "raufkopiert" trifft nicht zu.
Die Initialisierung des Zufalls erfolgt ab Werk in der Karte. Da sowohl der verwendete Chip, als auch das auf der Karte befindliche Applet mehrere namhafte Zertifizierungen vorweist, kann man grundsätzlich mal guten Gewissens vertrauen haben, dass auch das implementiert ist was das Datenblatt verspricht.

Der Key kann die Karte nicht verlassen.

Man könnte technisch gesehen zwar Schlüsselmaterial auch von außen aufbringen - allerdings sind die Prozesse ja allesamt wohldefiniert, automatisiert und zertifiziert.

Somit: Wenn alles so zugeht, wie zertifiziert, kann sich niemand eine Kopie aufheben, weil eine solche nicht anfertigbar ist.

Re(6): Bürgerkarte und Mocca - Verwirrung

bono_d70 — Wed, 22 Jan 2014 12:18:44 GMT

drei mal darfst raten.......Raiffeisen mobile TAN - Kosten?Für die Verwendung
der mobilen TAN werden monatlich 0,70 EUR verrechnet, unabhängig von der
Anzahl der angefordeten TANs.

die nehmen einem echt das blaue aus den augen.
jetzt nicht vom verrechneten betrag sondern bezogen auf die leistung. (genauso wie die geschichte mit den buchungszeilen; unpackbar was es da alles zu geben scheint bei der raiffeisen)

gibts eigentlich noch andere banken die da was verlangen?

Re(6): Bürgerkarte und Mocca - Verwirrung

bono_d70 — Wed, 22 Jan 2014 12:18:44 GMT

drei mal darfst raten.......Raiffeisen mobile TAN - Kosten?Für die Verwendung
der mobilen TAN werden monatlich 0,70 EUR verrechnet, unabhängig von der
Anzahl der angefordeten TANs.

die nehmen einem echt das weisse aus den augen.
jetzt nicht vom verrechneten betrag sondern bezogen auf die leistung. (genauso wie die geschichte mit den buchungszeilen; unpackbar was es da alles zu geben scheint bei der raiffeisen)

gibts eigentlich noch andere banken die da was verlangen?

Re(5): Bürgerkarte und Mocca - Verwirrung

mjy@geizhals.at — Tue, 21 Jan 2014 23:45:27 GMT

Wenn Du eine Idee hast, wie A-Trust technisch in der Lage sein sollte den
Private-Key meines Signaturzertifikates zu haben bitte um Info - bin sehr
daran interessiert.

Hast du den etwa selbst erzeugt? Oder hast du die ecard vielleicht doch mit einem bestehenden erhalten, den irgendwer raufkopiert hat, nachdem er sich möglicherweise eine Kopie irgendwo gespeichert hat?

Re(4): Bürgerkarte und Mocca - Verwirrung

gunnarh — Tue, 21 Jan 2014 19:54:19 GMT

ROFL... und du glaubst wirklich dass der nicht auch ohne Handysignatur bei
einem Unternehmen auf einem Server herumliegt?

Da der Private-Key des Signaturzertifikates einer ecard dieselbige gar nicht verlassen kann, glaube ich das in der Tat - Ja.

Wenn Du eine Idee hast, wie A-Trust technisch in der Lage sein sollte den Private-Key meines Signaturzertifikates zu haben bitte um Info - bin sehr daran interessiert.

Re(4): Bürgerkarte und Mocca - Verwirrung

gunnarh — Tue, 21 Jan 2014 19:39:20 GMT

Wie kommst Du auf "closed Source Software"?
Das Projekt Mocca-Bürgerkartensoftware wird von der TU-Graz vorangetrieben, der Quellcode steht frei zum Download.

Re(6): Bürgerkarte und Mocca - Verwirrung

mossess — Fri, 17 Jan 2014 14:48:35 GMT

Habe gerade bei einem Raika Konto nachgesehen

Entgelt elektronischer Auftrag
4 Kostenlos 0,00 EUR

(es wurden 4 Buchungen online mit mobilen TAN durchgeführt)

Hier muss es nicht extra bezahlt werden (dafür Pauschal 7,38 pro Monat) - ich werde trotzdem nicht deren Kunde

Re(3): Bürgerkarte und Mocca - Verwirrung

mjy@geizhals.at — Fri, 17 Jan 2014 08:14:58 GMT

Weil es auch Menschen mit erhöhtem Sicherheitsbedürfnis/Empfinden gibt, die es nicht so gerne haben, wenn ihr Private-Key bei einem Unternehmen auf einem
Server herumliegt.

Aber irgendeine closed source-Software dafür zu verwenden ist voll OK ... Und Behörden sind sowieso voll vertrauenswürdig.

Re(5): Bürgerkarte und Mocca - Verwirrung

dadaniel — Fri, 17 Jan 2014 07:27:05 GMT

drei mal darfst raten.......

Raiffeisen mobile TAN - Kosten?
Für die Verwendung der mobilen TAN werden monatlich 0,70 EUR verrechnet, unabhängig von der Anzahl der angefordeten TANs.

Re(4): Bürgerkarte und Mocca - Verwirrung

mossess — Thu, 16 Jan 2014 19:23:23 GMT

kostenpflichtigen mobileTAN.

Welche Bank verlangt hierfür Geld?

Re(3): Bürgerkarte und Mocca - Verwirrung

karoo — Thu, 16 Jan 2014 16:27:24 GMT

Auch bei der Servicestelle für die Bürgerkarte konnte man mir das nicht
sagen....

Bei dieser Servicestelle im Bundeskanzleramt hatte ich vor einem halben Jahr diesbezüglich auch den Eindruck, dass die nicht verstehen wollen worum es geht. Da konnte man fünf Mal der Dame Schritt für Schritt erklären, worum es geht - und bekam keine funktionierende Antwort.

Dass offensichtlich das Problem offen kundig (ausschließlich?) mit am oder im Internet Explorer liegt wurde hier gestern von einem anderen User dargelegt. Weshalb es aber mit Firefox problemlos mit der Verbindung bzw. dem Downloard der Mocca-S/W bzw. Java geht hat der TE ja bestätigt...

Re(4): Bürgerkarte und Mocca - Verwirrung

Tango1603 — Thu, 16 Jan 2014 14:37:24 GMT

schön das du mir das erzählst aber ich weiss das.
ich bin ja nicht gegen die karte.
ich verwende beides karte und Handy.

Re(3): Bürgerkarte und Mocca - Verwirrung

dadaniel — Thu, 16 Jan 2014 13:20:50 GMT

Das Banking-Login mit der Bürgerkarte ist genau so aufwendig wie die Eingabe des "normalen" PIN Codes. Hier gibt es also schon mal keine Zeitersparnis.

Der Einzige Vorteil ist das Signieren der Transaktion, somit erpart man sich TAN-Liste bzw. den kostenpflichtigen mobileTAN.

Was mir noch einfällt ist das Signieren/Verschlüsseln von E-Mails mit Outlook. Geht aber nur mit der A-Trust BKU und nicht mit Mocca.

Re(2): Bürgerkarte und Mocca - Verwirrung

Tango1603 — Thu, 16 Jan 2014 12:38:58 GMT

Ich frage mich noch immer: Wozu den Aufwand mit Lesegeräten, Treiber und
Software wenn eh fast alles mit der Handysignatur auch geht?

weil eben nur fast.

internetbanking geht eben nur mit der karte.

bawag/psk, easybank, livebank usw. können keine handysignatur.

Re(3): Bürgerkarte und Mocca - Verwirrung

dadaniel — Thu, 16 Jan 2014 08:17:02 GMT

ROFL... und du glaubst wirklich dass der nicht auch ohne Handysignatur bei einem Unternehmen auf einem Server herumliegt?

Schon mal geschaut welche Firma hinter handysignatur.at steht? Richtig, die gleiche die auch die Bürgerkarten aktiviert und Zertifikate ausgibt.

Re(3): Bürgerkarte und Mocca - Verwirrung

Diabolo2000 — Wed, 15 Jan 2014 22:33:39 GMT

Möglicherweise hat IE das Java Plugin deaktiviert!

Re(2): Bürgerkarte und Mocca - Verwirrung

gunnarh — Wed, 15 Jan 2014 20:59:01 GMT

wenn eh fast alles mit der Handysignatur auch geht?

Weil es auch Menschen mit erhöhtem Sicherheitsbedürfnis/Empfinden gibt, die es nicht so gerne haben, wenn ihr Private-Key bei einem Unternehmen auf einem Server herumliegt.

Re(3): Bürgerkarte und Mocca - Verwirrung

TuxTux — Wed, 15 Jan 2014 17:33:47 GMT

vmtl hast du ein 64bit betriebssystem, aber die 32bit java version installiert.

da der IE auf 64bit läuft, findet er java nicht.
firefox ist 32bit only und daher funktionierts.

PS: Sorry nicht gelesen dass du im eröffnungspost "32bit" geschrieben hast.
stimmt das wirklich?

Re(3): Bürgerkarte und Mocca - Verwirrung

TuxTux — Wed, 15 Jan 2014 17:33:47 GMT

vmtl hast du ein 64bit betriebssystem, aber die 32bit java version installiert.

da der IE auf 64bit läuft, findet er java nicht.
firefox ist 32bit only und daher funktionierts.

Re: Bürgerkarte und Mocca - Verwirrung

dadaniel — Wed, 15 Jan 2014 16:53:10 GMT

Ich frage mich noch immer: Wozu den Aufwand mit Lesegeräten, Treiber und Software wenn eh fast alles mit der Handysignatur auch geht?

Re(2): Bürgerkarte und Mocca - Verwirrung

Reidfeld — Wed, 15 Jan 2014 15:57:37 GMT

Firefox?

Danke vielmals, damit funktioniert es !

Warum das trotz installiertem Java beim Internet Explorer 11 so gar nicht funktioniert ist mir rätselhaft. Auch bei der Servicestelle für die Bürgerkarte konnte man mir das nicht sagen....

Re: Bürgerkarte und Mocca - Verwirrung

elchupacabre — Tue, 14 Jan 2014 15:13:18 GMT

Firefox?

Re: Bürgerkarte und Mocca - Verwirrung

zeddicus — Tue, 14 Jan 2014 14:46:18 GMT

Warum wird das bereits installierte Java beim Download von "Mocca" nicht
erkannt?

Falsche Version?

Re: Bürgerkarte und Mocca - Verwirrung

Diabolo2000 — Tue, 14 Jan 2014 14:44:46 GMT

Möglicherweise muss Java für den Browser installiert sein und das Plugin auch aktiviert sein?

Bürgerkarte und Mocca - Verwirrung

Reidfeld — Tue, 14 Jan 2014 14:38:06 GMT

Vor einem Jahr hatte ich problemlos die Bürgerkarte auf meinem PC und auch auf dem Netbook installiert. Nun plötzlich gibt's nach dem neu Aufsetzen des Netbooks (Samsung, Win7 32bit)) ein ärgerliches Problem:
Jedes Mal, wenn ich von der Website auf "Buergerkarte.at" die notwendige Installationssoftware für "Mocca" aufrufe kommt eine "Umleitung" auf Java - die dann nur verwirrt und nix bringt.

Nun habe ich ohnedies schon Java auf dem Netbook in der letzten Variante installiert - aber immer kommt trotzdem diese verdammte "Umleitung" auf die mich nur verwirrende Java-Angebotsseite für das gesamte Oracle-Spectrum. .

Zentrale Frage ist nun: Warum wird das bereits installierte Java beim Download von "Mocca" nicht erkannt?

Für Hilfreiches vielen Dank.

Bürgerkarte und Mocca - Verwirrung

Reidfeld — Tue, 14 Jan 2014 14:38:06 GMT