PIN bei mehreren Konten nur einmal eingeben

Das unterstuetzt Hibiscus leider nicht. Damit das funktioniert, muesste Hibiscus die Geschaeftsvorfaelle unterschiedlicher Konten gruppiert in einem gemeinsamen HBCI-Dialog mit der Bank abwickeln, wenn sie die selbe HBCI-Karte betreffen. Unter https://www.willuhn.de/bugzilla/show_bug.cgi?id=386 findet sich hierzu auch schon seit laengerer Zeit ein Ticket. Das Problem ist, dass elementarer Teil des Synchronisierungsframeworks von Hibiscus ist, die Geschaeftsvorfaelle fuer jedes Konto einzeln auszufuehren. Um das zu aendern, waeren ziemlich umfangreiche interne Umbauten noetig. Und das fuer verhaeltnismaeßig wenig Nutzen.

Nein, damit laesst sich das nicht loesen. Hibiscus besitzt ja bereits die Moeglichkeit, die PIN-Eingabe zu cachen. Das funktioniert aber nur, wenn Hibiscus die PIN ueberhaupt in die Finger bekommt. Bei Chipkarte (jedenfalls wenn man das PIN-Pad und nicht die PC-Tastatur verwendet) ist aber genau das eben nicht der Fall. Das ist ja eben der Sicherheitsgewinn an Klasse-2-Kartenlesern mit eigenem PIN-Pad. Sonst koennte man ja auch beim alten "Towitoko-Kartenzwerg" ohne PIN-Pad bleiben und die PIN ueber die PC-Tastatur eingeben. Bei so einem funktioniert das Cachen der PIN ja auch.

Wie gesagt: Cachen bringt hier nichts. Das laesst sich nur loesen, indem die HBCI-Geschaeftsvorfaelle in einem einzigen Dialog mit der Bank zusammengefasst werden, damit es ueberhaupt nur einmal zum Event "Bitte PIN im Kartenleser eingeben" kommt.

Naja, dann bin ich bei der Chipkarte im Klasse 1 Modus und kann unkontrolliert so ziemlich jeden Auftrag versenden. Die meisten Anwender nutzen die Chipkarte weil Sie die für sicher halten. Mit dem Vorgehen bleibt davon meiner Meinung nach nicht mehr viel übrig.

Viele Grüße

Holger

Hmm, das "für sicher halten" ist meineserachtens des Pudels Kern. Was ist daran sicher, wenn ich am Kartenleser eine PIN eingebe für das Signieren einer Transaktion? Ich weiß ja letztendlich nicht wirklich, WAS ich da signiere!? Klar, die PIN könnte jmd abgreifen, der im Rechner sitzt, wenn ich sie über den Rechner eingebe. Aber was kann er damit tun, wenn ich - wie gefordert - die Karte erst einlege, wenn ich signieren will und sie wieder entnehme, wenn ich signiert habe und sie dann sicher aufbewahre? Wenn man so ängstlich ist, dann dürfte man HBCI mit Schlüsseldatei und im Prinzip auch EBICS mit USB-Stick (= Schlüsseldatei) garnicht mehr anbieten... Klar, es soll alles irgendwo sicher sein, aber auch handelbar.