Hibiscus Probleme mit ReinerSCT Secoder

chaotix

Benutzer

Geschlecht: keine Angabe
Beiträge: 12
Dabei seit: 07 / 2015

Betreff:

Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 21.07.2015 - 14:57 Uhr · #1

Hallo.

Ich benutzte seit Jahren Hibiscus unter Linux mit HBCI PIN/TAN und bin sehr zufrieden damit. Nun habe ich jemanden ueberzeugt auch mal Hibiscus zu probieren und nun fangen die Probleme an...

Konkret geht es um Hibiscus (aktuelle Version) unter Windows 7 (32bit) mit einem ReinerSCT Secoder mit Karten fuer die National-Bank und die Dresdner Bank. Nun weiss ich nicht, ob die Fehlermeldung "Chipkarten-Fehler unknown card type - ret=0 response=6a 82 (file not found)" wirklich heisst, dass der Kartentyp nicht unterstuetzt wird oder ob es ein Konfigurationsproblem gibt.

Ich habe schon den ReinerSCT-Treiber auf die neuste Version gebracht. Das hat allerdings keinen Unterschied gemacht.

Wenn ich den Leser automatisch suchen lasse, dann wird er nicht gefunden.

Bei der manuellen Einrichtung habe CTAPI: ReinerSCT cyberjack und PC/SC-Kartenleser (Kobil, ReinerSCT und andere) ausprobiert. Irgendwie redet er auch mit dem Kartenleser, da er mich auffordert eine Karte einzulegen und auch wartet bis ich dies gemacht habe. Danach erhalte ich allerdings die obige Fehlermeldung (oder "Fehler 6A82: Datei wurde nicht gefunden" bei PC/SC).

Kann ich noch irgendwas anderes ausprobieren? Oder sind die HBCI-Karten sowohl von der Dresdner als auch von der National-Bank wirklich inkompatibel mit Hibiscus?

Bin fuer jede Hilfe dankbar,
Lars

Anhaengt noch die Log-Dateien mit CTAPI und PC/SC bei Log-Level TRACE:

Code

[21.07.2015 14:28:23] Teste Sicherheits-Medium...
[21.07.2015 14:28:23]   deliver message [Tue Jul 21 14:28:23 CEST 2015][OK] Einstellungen gespeichert
[21.07.2015 14:28:23]   creating progress monitor for GUI
[21.07.2015 14:28:23]   activating progress monitor
[21.07.2015 14:28:23]   open ddv passport
[21.07.2015 14:28:23]   using config default
[21.07.2015 14:28:23]   searching for bean ReinerSCTCyberJackReader
[21.07.2015 14:28:23]     creating new class de.willuhn.jameica.hbci.passports.ddv.server.ReinerSCTCyberJackReader
[21.07.2015 14:28:23]     no lifecycle -> request scope
[21.07.2015 14:28:23]     jni lib: V:\Jameica\plugins\hibiscus\lib\hbci4java-card-win32.dll
[21.07.2015 14:28:23]     ctapi driver: C:\Windows\System32\ctrsct32.dll
[21.07.2015 14:28:23]     port: COM2/USB2 [ID: 1]
[21.07.2015 14:28:24]     ctnumber: 0
[21.07.2015 14:28:24]     soft pin: false
[21.07.2015 14:28:24]     entry index: 1
[21.07.2015 14:28:24]     passport type: DDV
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   creating new instance of a DDV passport
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   trying to load native DDV library V:\Jameica\plugins\hibiscus\lib\hbci4java-card-win32.dll
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   using chipcard terminal with port 1 and terminal number 0
[21.07.2015 14:28:24]   [bpd] no version, no userid or no data found, skipping update
[21.07.2015 14:28:24]   [upd] no version, no userid or no data found, skipping update
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   deliver message [Tue Jul 21 14:28:23 CEST 2015][ERROR] Bitte legen Sie die Chipkarte in das Leseger\Uffffffff[21.07.2015 14:28:24]   callback [reason 2] handled by class de.willuhn.jameica.hbci.passports.ddv.server.PassportHandleImpl
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   loading lib ok
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   initializing CTAPI ok
[21.07.2015 14:28:24]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:24]     found in context scope
[21.07.2015 14:28:24]   resetCT apdu: 20 11 00 00
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   resetCT response: 90 00
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   resetCT: success
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   requestFunctionalUnits apdu: 20 13 00 81 00
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   requestFunctionalUnits response: 81 03 01 40 50 90 00
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   requestFunctionalUnits: success
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   requestCard apdu: 20 12 01 01 03 80 01 3C 00
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   requestCard response: 3B FF 18 00 FF 81 31 FE 45 65 63 11 08 66 01 56 00 11 43 90 04 04 06 20 D9 90 01
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   requestCard: success
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   ATR: using direct coding convention
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   TA1 present
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   TB1 present
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:25]     found in context scope
[21.07.2015 14:28:25]   TC1 present
[21.07.2015 14:28:25]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:28:26]     found in context scope
[21.07.2015 14:28:26]   TD1 present
[21.07.2015 14:28:26] Fehler beim Testen des Sicherheits-Mediums: unknown card type - ret=0 response=6a 82 (file not found)
[21.07.2015 14:28:26] Aufgetretene Fehlermeldungen:
[21.07.2015 14:28:26] -----------------------------
[21.07.2015 14:28:26]   error while opening chipcard; nested exception is:
▶       org.kapott.hbci.exceptions.HBCI_Exception: Chipkarten-Fehler
[21.07.2015 14:28:26]   Chipkarten-Fehler
[21.07.2015 14:28:26]   unknown card type - ret=0 response=6a 82 (file not found)
[21.07.2015 14:28:26] -----------------------------
[21.07.2015 14:28:26]   searching for bean HBCISynchronizeBackend

Code

[21.07.2015 14:30:10] Teste Sicherheits-Medium...
[21.07.2015 14:30:10]   deliver message [Tue Jul 21 14:30:10 CEST 2015][OK] Einstellungen gespeichert
[21.07.2015 14:30:10]   creating progress monitor for GUI
[21.07.2015 14:30:10]   activating progress monitor
[21.07.2015 14:30:10]   open ddv passport
[21.07.2015 14:30:10]   C:\Users\lb\.jameica\cfg\de.willuhn.jameica.hbci.passports.ddv.DDVConfig.properties has changed, reloading
[21.07.2015 14:30:10]   using config default
[21.07.2015 14:30:10]   searching for bean PCSCReader
[21.07.2015 14:30:10]     creating new class de.willuhn.jameica.hbci.passports.ddv.server.PCSCReader
[21.07.2015 14:30:10]     no lifecycle -> request scope
[21.07.2015 14:30:10]     pcsc name:
[21.07.2015 14:30:10]     soft pin: false
[21.07.2015 14:30:10]     entry index: 1
[21.07.2015 14:30:10]     passport type: DDVPCSC
[21.07.2015 14:30:10]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:30:10]     found in context scope
[21.07.2015 14:30:10]   creating new instance of a DDVPCSC passport
[21.07.2015 14:30:10]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:30:10]     found in context scope
[21.07.2015 14:30:10]   initializing javax.smartcardio
[21.07.2015 14:30:10]   [bpd] no version, no userid or no data found, skipping update
[21.07.2015 14:30:10]   [upd] no version, no userid or no data found, skipping update
[21.07.2015 14:30:10]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:30:10]     found in context scope
[21.07.2015 14:30:10]   C:\Users\lb\.jameica\cfg\de.willuhn.jameica.hbci.passports.ddv.DDVConfig.properties has changed, reloading
[21.07.2015 14:30:11]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:30:11]     found in context scope
[21.07.2015 14:30:11]   deliver message [Tue Jul 21 14:30:10 CEST 2015][ERROR] Bitte legen Sie die Chipkarte in das Leseger\Uffffffff[21.07.2015 14:30:11]   callback [reason 2] handled by class de.willuhn.jameica.hbci.passports.ddv.server.PassportHandleImpl
[21.07.2015 14:30:11]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:30:11]     found in context scope
[21.07.2015 14:30:11]   found card terminals:
[21.07.2015 14:30:11]   searching for bean HBCISynchronizeBackend
[21.07.2015 14:30:11]     found in context scope
[21.07.2015 14:30:11]     REINER SCT cyberJack Secoder USB 1

Holger Fischer

Benutzer

Geschlecht:
Herkunft: Korschenbroich
Alter: 53
Beiträge: 6205
Dabei seit: 02 / 2003

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 21.07.2015 - 17:20 Uhr · #2

Hibsicus unterstützt derzeit "nur" Karten mit einer DES Verschlüsselung. Diese werden -derzeit noch- bei den Sparkassen eingesetzt. Alle anderen Banken setzen auf RSA Verschlüsselung.

Viele Grüße

Holger

chaotix

Benutzer

Geschlecht: keine Angabe
Beiträge: 12
Dabei seit: 07 / 2015

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 21.07.2015 - 18:53 Uhr · #3

Danke fuer die schnelle Antwort, obwohl das natuerlich sehr unschoen ist...

Gibt es da irgendwo etwas drueber nachzulesen? Ich habe im Wiki, im Forum, im Bugtracker und auf der Webseite nichts dazu gefunden... Gibt es Hoffnung, dass sich das in absehbarer Zeit aendert oder muss ich nach Alternativen schauen?

Ich habe bei OpenHBCI den Hinweis gefunden, dass man bei allen Banken, die einen INI-Brief verschicken eine Schluesseldatei erstellen kann. Weisst Du, ob das auch fuer Hibiscus gilt?

Danke,
Lars

CBC

Benutzer

Geschlecht:
Herkunft: Bonn
Homepage: viaembedded.com
Beiträge: 81
Dabei seit: 06 / 2015

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 21.07.2015 - 19:20 Uhr · #4

Das gilt auch für Hibiscus ... allerdings ist das bei den Banken wohl nicht mehr so gerne gesehen. Mobile TAN geht übrigens auch.

msa

Benutzer

Geschlecht:
Herkunft: München
Alter: 62
Beiträge: 7571
Dabei seit: 03 / 2007

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 21.07.2015 - 20:11 Uhr · #5

Zitat geschrieben von chaotix

Ich habe bei OpenHBCI den Hinweis gefunden, dass man bei allen Banken, die einen INI-Brief verschicken eine Schluesseldatei erstellen kann. Weisst Du, ob das auch fuer Hibiscus gilt?

Das ist ja wohl auch der Grund, wieso sich die Programmierer der HBCI-Komponenten nicht mit den RSA-Chipkarten beschäftigt haben. Man kann diese Zugänge eben auch mit Schlüsseldatei benutzen. "Von den Banken nicht gern gesehen" kann ich so nicht bestätigen. Den großen Privaten Banken (HypoVereinsbank, Commerzbank) ist das herzlich egal, die merken letztendlich nicht mal, ob der Schlüssel von Software erzeugt wurde und in einer Schlüsseldatei gespeichert wurde oder ob er in einem Chip erzeugt wurde. In beiden Fällen wird der öffentiche Teil an den Bankrechner gesendet und mittelseines INI-Briefs bestätigt. Den INI-Brief kann man sich übrigens bei den beiden genannten Banken sogar sparen, da man den Hashwert des Schlüssels im WebBanking mittels einer TAN bestätigen kann (sofern man so einen Zugang auch hat).

Die Banken mit der modernsten Chipkarten-Infrastruktur sind die Volks- und Raiffeisenbanken (Rechenzentren Fiducia und GAD). Aber auch bei denen ist das Arbeiten mit Schlüsseldatei statt Chipkarte problemlos möglich und man wird nicht schräg angeschaut.

CBC

Benutzer

Geschlecht:
Herkunft: Bonn
Homepage: viaembedded.com
Beiträge: 81
Dabei seit: 06 / 2015

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 21.07.2015 - 23:26 Uhr · #6

Also grundsätzlich glaube ich nicht, dass der Grund warum sich die Programmierer der HBCI-Komponenten nur nicht mit den RSA Chipkarten beschäftigt haben, der ist, dass man auch Schlüsseldateien verwenden kann

DDV Karten mit dem symmetrisch DES-DES Verfahren werden ja unterstützt und funktionieren problemlos mit Hibiscus, nur eben RSA, ein asymmetrisches Verfahren, funktioniert nicht, weil es ein gewisser Aufwand ist, dies zu implementieren und daher noch nicht den Weg in Hibiscus gefunden hat. Open Source ist ja meistens auch nur für den Anwender umsonst.

Von den Banken wird es deshalb nicht mehr gern gesehen, da Schlüsseldateien gegenüber Chipkarten und einer 2-stufigen Authentifizierung eben nur mal deutlich unsicherer sind.

Ferner ist die Schlüsseldatei auch kein neues Feature, welches modernste Infrastruktur benötigt, sondern eher ein Relikt aus Zeiten der Schlüsseldiskette.

Es mag sein, dass eine Schlüsseldatei z.B. für den Hibiscus-Server noch Sinn macht, da einfach und bequem, allerdings könnte dies genauso gut mit einem internen Kartenleser abgebildet werden, da sich eine Karte nun mal nicht kopieren lässt. Eine Smart-card ist ja deshalb so smart, weil die Kryptographie-Berechnung von dem Mikroprozessor auf der Karte erfolgt und eben dazu die Karte nicht verlassen muss. Ein TPM z.B. ist ja mitunter auch nur eine auf das Mainboard aufgelötete Karte, die den gleichen Prinzipien folgt.

Ergo: Schlüsseldatei ja, kein Problem. aber auf Sicherheit achten und nur tun, wenn man weiß was man tut.

msa

Benutzer

Geschlecht:
Herkunft: München
Alter: 62
Beiträge: 7571
Dabei seit: 03 / 2007

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 22.07.2015 - 01:18 Uhr · #7

Generell sollte man immer wissen, was man tut...

Und diese Chipkarte mag be Privatpersonen mit ein oder zwei Konten eine praktikable Lösung sein, aber eben auch nur da. Und selbst das wäre mir für die ABFRAGE von Daten, also z.B. täglich xmal Umsätze holen, zu umständlich, wenn ich da jedes Mal Karte(n) reinschieben müßte. Völlig unpraktikabel wird es, wenn man VIELE Koten bei VIELEN Instituten hat. Ich habe - in einem anderen Produkt - über 350 Konten bei einem Dutzend Banken. Leider müßte ich da für jedes Institut natürlich eine eigene Karte einschieben. Die Umsätze ruft man vielleicht ein paar Mal so ab, dann haut man das Ganze gegen die Wand.

Die Aussagen zur Sicherheit mögen teilweise zutreffen, aber auch mit Chipkarte können Trojaner z.B. Transaktionen validieren, wovon der Kunde nichts mitbekommt. Auch scheinen Banken derartige Probleme nicht so sehr ernst zu sehen, denn auch bei der Großkundenlösung EBICS wird in den meisten Fällen die Schlüsselhaltung über eine Datei - heutzutage auf USB-Stick - und eben nicht auf Chipkarten durchgeführt. Zumal gerade in Großkundenumgebungen mit virtualisierten Anwendungen die Chipkartenleser an der Workstation des Nutzers zusätzliche Probleme bereiten. Sicher, die sind inzwischen softwaretechnisch lösbar, aber der Aufwand...

Raimund Sichmann

Benutzer

Geschlecht: keine Angabe
Beiträge: 8254
Dabei seit: 08 / 2002

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 22.07.2015 - 09:04 Uhr · #8

Zitat geschrieben von msa

Und diese Chipkarte mag be Privatpersonen mit ein oder zwei Konten eine praktikable Lösung sein, aber eben auch nur da. Und selbst das wäre mir für die ABFRAGE von Daten, also z.B. täglich xmal Umsätze holen, zu umständlich, wenn ich da jedes Mal Karte(n) reinschieben müßte.

du nennst nur die Extremfälle, die Welt ist nicht so.
Gerade bei den meisten Geschäftsleuten sind es eben nicht Hunderte von Konten, sondern zwei oder drei Banken, da ist die Chipkarte eine sehr praktikable, dazu bequeme Lösung und ist eben auch sehr sicher.
Natürlich sind Angriffe auch bei der Karte denkbar.

Das Handling mit der Chipkarte und einer Zahlungsverkehrssoftware wird auch gut verstanden, selbst von alten Menschen, die beim Browserbanking mit SMS oder optischer TAN das Handtuch werfen.

EBICS Nutzer sind meist größere Unternehmen, die eigene IT-Abteilungen oder Dienstleister haben. Dort liegt die Verantwortung und das wissen die auch. Die VR-NetWorld card basic der Genobanken wird übrigens auch für EBICS angeboten.

Aber wir sollten hier im Hibiscus-Forum nicht schon wieder eine Grundsatzdiskussion anfangen.
Gruß
Raimund

Holger Fischer

Benutzer

Geschlecht:
Herkunft: Korschenbroich
Alter: 53
Beiträge: 6205
Dabei seit: 02 / 2003

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 22.07.2015 - 09:10 Uhr · #9

Zitat geschrieben von msa

Die Anzahl der Konten ist für den praktischen Nutzwert der Chipkarte völlig irrelevant. Einzig die Anzahl der Banken und des damit unter Umständen notwendigen Wechsels der Chipkarte mindert den praktischen Nutzwert deutlich. Wenn ich Banken mit einer Chipkarte (zunehmend schwieriger) bedienen kann, ist der Mehraufwand in der Nutzung marginal.

Zitat geschrieben von msa

Die Aussagen zur Sicherheit mögen teilweise zutreffen, aber auch mit Chipkarte können Trojaner z.B. Transaktionen validieren, wovon der Kunde nichts mitbekommt.

Der Trojaner validiert keine Aufträge, er verändert diese

Vom nur anschauen, nicht anfassen hat kein Trojaner etwas

Aber ansonsten ist es natürlich richtig: Sicherheit ist relativ. Die Chipkarte ist unbestritten das sicherste Sicherheitsmedium was wir haben. Nutzt aber im Zweifel gar nichts, da die Chipkarte selber gar nicht angegriffen wird. Erst mit der Visualisierung der Daten in einem Secoder wird das ganze zum aktuell sichersten Verfahren. Das bieten derzeit aber nur die Volksbanken und Raiffeisenbanken an und soweit ich weiß, demnächst auch die Sparkassen.

Zitat geschrieben von msa

Auch scheinen Banken derartige Probleme nicht so sehr ernst zu sehen, denn auch bei der Großkundenlösung EBICS wird in den meisten Fällen die Schlüsselhaltung über eine Datei - heutzutage auf USB-Stick - und eben nicht auf Chipkarten durchgeführt.

Das ist eher das Grundverständnis der EBICS Fraktion. Da glaubt man, dass der Firmenkunde selber verantwortlich für die Sicherheit ist und dem auch nachkommt und daher zusätzliche Features nicht benötigt werden. Bei Kundenprodukten ist das vermutlich auch so, beim Einsatz von Portalen ist diese Ansicht zumindest fragwürdig.

Viele Grüße

Holger

CBC

Benutzer

Geschlecht:
Herkunft: Bonn
Homepage: viaembedded.com
Beiträge: 81
Dabei seit: 06 / 2015

Betreff:

Re: Hibiscus Probleme mit ReinerSCT Secoder

· Gepostet: 22.07.2015 - 20:45 Uhr · #10

Ich möchte zu der Diskussion gerne auch noch beitragen, dass in einem Szenario von HibIscus-Server mit einem Hibiscus-Client , eine sehr einfache Möglichkeit besteht, eine Vielzahl von Konten bei unterschiedlichen Banken, automatisch abzufragen, jedoch aus Sicherheitsgründen nur Zahlungen vom Client erlauben sein können (ob per Chipkarte, TAN, Schlüsseldatei, wie auch immer ).. Wenn man also beim Hibiscus-Server seine Konten jeweils mit dem ordinären Bank-Passwort abfragt, hierzu auf dem Client noch eine andere Bank-Benutzerkennung verwendet als auf dem Server, dann lässt sich schon für viele Einsatzgebiete eine gute Lösung finden und vor allem eine sichere.

Ich halte Hibiscus in der Client-Server Version für leistungsfähig genug, auch dem Bedarf von vielen Firmen zu entsprechen. EBICS hat zwar nette Features, kostet aber auch deutlich mehr in der Unterhaltung und wenn man spezielle Features wie verteile Unterschriften nicht benötigt, dann reicht HBCI bzw FinTS wohl oft auch aus.

Für mein privates Konto gab es jahrelang nicht mal eine Chipkarte, jetzt konnte ich eine bekommen, hat 0 Euro gekostet und ist eben ein deutlicher Komfort- und Sicherheitsgewinn.

Viele Grüße

Christian