iTAN plus der Fiducia (Split von Topic Institus-PIN)

 
null8null2
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 299
Dabei seit: 12 / 2003
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 22.01.2008 - 20:13 Uhr  ·  #21
Ich hab' mir den Namen iTAN-Plus ja nicht ausgedacht. Aber es werden halt mehr Daten angezeigt als "nur"
'Geben Sie TAN XY ein'

Es ist sicher nicht die super-duper-Lösung die alle Angriffe abwehren kann, minimal besser als reines iTAN finde ich es schon...
MauriceE
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 303
Dabei seit: 01 / 2008
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 10:35 Uhr  ·  #22
Die Sicherheit am iTAN - Plus Verfahren wird erst, wie schon von Captain FRAG geschrieben, ab Anfang - mitte März vollständig sein. Der Vorteil an diesem Wasserzeichen(das Feld wo die Tan und das Geb. Dat hinterlegt ist) ist, das das Feld nicht fälschbar ist! Bzw. noch nicht!
Captain FRAG
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Westfalen
Beiträge: 5096
Dabei seit: 05 / 2003
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 10:59 Uhr  ·  #23
Warscheinlich wird die Lösung für Softwareprodukte über das HBCI-PIN/TAN System aber auch "nur" normale iTAN sein. Ich kann mir nicht vorstellen, das der HBCI-Server an die Software als Challenge eine Grafik übermitteln kann. Die Challenge (heisst das in diesem Fall so?) ist ein reines Textfeld.
kleiner77
Benutzer
Avatar
Geschlecht:
Beiträge: 779
Dabei seit: 08 / 2004
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 11:05 Uhr  ·  #24
Ich kann mich erinnern, dass es irgendwo mal ein Daten-Element "Challenge-Grafik" gab. Aber in den aktuellen Spezifikationen (insbesondere des Segments HITAN) ist das nicht mehr enthalten. Sieht so aus, als wurde diese Idee ersatzlos gestrichen.
-stefan-

edit: ... was wohl bedeutet, dass es prinzipiell nicht mehr vorgesehen ist, etwas anderes als Text als Challenge zu verwenden. Damit kann iTAN-Plus wohl auch höchstens übers Web, nicht jedoch über HBCI genutzt werden.
ronald.n
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 633
Dabei seit: 07 / 2003
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 11:06 Uhr  ·  #25
Zitat geschrieben von MauriceE
Der Vorteil an diesem Wasserzeichen(das Feld wo die Tan und das Geb. Dat hinterlegt ist) ist, das das Feld nicht fälschbar ist!


Ähhh - was soll denn "nicht fälschbar" bedeuten?

Als Trojaner kann ich dem Kunden doch so ein Wischiwaschi-Bildchen zurückspielen und da die von mir gewünschten Klartext-Daten einblenden... wo ist das Problem?

O.k. - da ist dann vielleicht nicht das korrekt Geburtsdatum abgebildet, aber glaubst Du wirklich das besonders viele Kunden da so genau drauf achten?

In ZV-Programmen - da geb ich dem Captain recht - wird wohl es nie ein "plus" für die iTAN geben... oder findet sich diese Bildchen-Geschichte irgendwo in den ZKA-Vorgaben? [kleiner77 war schneller... Danke!]
MauriceE
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 303
Dabei seit: 01 / 2008
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 11:19 Uhr  ·  #26
Zitat geschrieben von Captain FRAG
Warscheinlich wird die Lösung für Softwareprodukte über das HBCI-PIN/TAN System aber auch "nur" normale iTAN sein. Ich kann mir nicht vorstellen, das der HBCI-Server an die Software als Challenge eine Grafik übermitteln kann. Die Challenge (heisst das in diesem Fall so?) ist ein reines Textfeld.


Da geb ich dir auf jedenfall Recht ! Es wird glaub nicht wirklich im Software-Bereich ein Plus für das iTan-Verfahren geben!

Nur die schwächere Stelle im Onlinebanking ist ganz einfach OB via Internet-Seite ! Also wurde versucht das schwächste Glied in der Kette(bzw. ein schwaches Glied) zu stärken. Der Vorteil der Software ist einfach der, der breiten Masse an Angeboten! Da jedes Programm anders geschrieben ist und viel zu viele Programme im Umlauf sind, lohnt es sich nicht wirklich da was zu programmieren !

Aber schaut euch doch mal die Onlinebanking-Maske der Banken im FAG Netz oder im Netz des Sparkassenrechenzentrums !


Zu ronald.n, ich meine du kannst dem Kunden ne lange Zeit an der Hand halten, aber irgendwann muss er selbst laufen können !

Das Problem ist, das es immer Hacker geben wird die das System umgehen wollen ! Du wirst immer ne Schwachstelle an nem System finden ^^ Da könnten wir noch Jahre drüber reden ^^

Es wird mit diesem iTan - Plus nur versucht in Bewegung zu bleiben ! Und die FAG wollte das iTan- Verfahren gar nicht haben ! Das mussten sie irgendwann auf druck der Banken einführen!
Holger Fischer
Benutzer
Avatar
Geschlecht:
Herkunft: Korschenbroich
Alter: 53
Beiträge: 6209
Dabei seit: 02 / 2003
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 11:40 Uhr  ·  #27
Ich weiß gar nicht warum ihr so hitzig diskutiert!
iTAN plus ist eine Lösung für das WebBanking. Das sicherlich keine absolute Sicherheit bringt, aber die Sicherheit gegenüber der einfachen Papier TAN deutlich erhöht und gegenüber der normalen iTAN einen Angriff ebenfalls noch mal etwas schwerer macht.

Genau um dieses erschweren geht es doch, egal ob man ein Captcha beim Einloggen verwendet, oder einen DibaKey nutzt, oder eben das Captcha für die Transaktion. Jeder der Punkte erhöht den Aufwand für einen Angriff.

Auch die Diskussion darüber, dass die Softwareschnittstelle noch ein Einschrittverfahren nutzt ist aus informativen Gründen sicherlich gut zu wissen, aber für die Übergangsszeit keine Sicherheitsverlust gegenüber der Situation vor Einführung der iTAN plus. Zumal praktisch jede Bank (mir fallen als Ausnahme nur eine Großbank -bei der ich mir nicht sicher bin- und die Banken, die an einem bestimmten der genossenschaftlichen Rechenzentralen angebunden sind ein), die ein Zweischrittverfahren eingeführt hat, dieses erst für das Internetbanking zur Verfügung gestellt hat. Die Softwareprodukte kamen dann zeitversetzt. Solange die Zeitverzögerung nicht so groß wie bei einer großen deutschen Bank ist, hält sich ein eventuelles Problem deutlich in Grenzen.

Gruß

Holger

PS @Stefan: die ITAN wird ganz normal als Standard Zweischrittverfahren unter FinTS 3.0 angeboten werden.
kleiner77
Benutzer
Avatar
Geschlecht:
Beiträge: 779
Dabei seit: 08 / 2004
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 11:43 Uhr  ·  #28
Zitat geschrieben von Holger Fischer
PS @Stefan: die ITAN wird ganz normal als Standard Zweischrittverfahren unter FinTS 3.0 angeboten werden.
?? Worauf bezieht sich das jetzt? Steht wohl grad etwas auf dem Schlauch...
-stefan-
Holger Fischer
Benutzer
Avatar
Geschlecht:
Herkunft: Korschenbroich
Alter: 53
Beiträge: 6209
Dabei seit: 02 / 2003
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 13:08 Uhr  ·  #29
Hi Stefan,

das bezog sich auf die Diskussion grafischen Captcha über HBCI oder nicht. Bedeutet, die iTAN plus ist für Kundenprodukte eine iTAN auf Basis FinTS 3.0 ohne plus.

Gruß

Holger
kleiner77
Benutzer
Avatar
Geschlecht:
Beiträge: 779
Dabei seit: 08 / 2004
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 23.01.2008 - 13:24 Uhr  ·  #30
Ach so Holger, alles klar. Ich meinte mit meiner Bemerkung oben folgendes: in der Spezifikation "FinTS-3 Sicherheitsverfahren PIN/TAN" vom 21.6.2005 gibt es in HITAN neben dem "normalen" Challenge-Feld noch ein Feld "Challenge-Struktur grafisch", das wohl zur Aufnahme binärer Grafikdaten gedacht war.

Damit hätte man auch das "plus" zum iTAN via FinTS-3 realisieren können. In der aktuellen Spezifikation zu PIN/TAN und Zweischrittverfahren gibt es dieses Feld jedoch nicht mehr - warum auch immer...

(Das ganze ist an sich schon ziemlich verwirrend, weil ich mit dieser alten Version der Spezifikation die Implementierung begonnen habe und mich später gewundert habe, dass kein Server mit meinen Nachrichten zurechtkam (und umgekehrt), bis ich merkte, dass es eine neue Version der Spez. gibt, die an manchen Stellen völlig inkompatibel mit der vorherigen Spez. ist. Auf beiden steht aber "FinTS-3.0" drauf... - Nun ja, es waren wohl nicht die "final"-Versionen, darum will ich mich auch nicht beklagen... ;-) )

Grüße
-stefan-
duerry
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 34
Dabei seit: 08 / 2006
Betreff:

Re: iTAN plus der Fiducia (Split von Topic Institus-PIN)

 · 
Gepostet: 29.02.2008 - 11:50 Uhr  ·  #31
Ab 05.03.08 wird das iTAN-Verfahren der Fiducia auch
in Softwarelösungen unterstützt.
Gewählte Zitate für Mehrfachzitierung:   0