Seit heute Meldung bei Umsatzabruf Sparkasse

Hallo

Habe gerade folgende Meldung von Hibiscus bekommen, als ich die Umsätze abrufen wollte:

Sicherheitsabfrage

Sie verbinden sich mit einem für Jameica unbekannten System. Bitte prüfen Sie die Eigenschaften des Zertifikats, und entscheiden Sie, ob Sie ihm vertrauen möchten.

??

Hat die Sparkasse was umgestellt, oder ist da tatsächlich was faul?

Hallo

Ja, das stimmt alles.
Hier mal ein Screenshot:




jameica ist V 1.7, hibiscus 1.9

Otto, warum ist denn das im Screen von Deimos nicht erkennbar? Müsste dann dort nicht als "Gültig von" ein Datum wenigstens in der Nähe des 07.04.2010 stehen?

Achso. Damit auch Softwarehersteller genügend Zeit für Updates haben. Verstehe.
Dann dürfte wohl in Hibiscus / hbci4java ein Zertifikatsupdate fällig sein, oder?

Hallo

Also ist das vertrauenswürdig, und ich muss hier keinen Hack befürchten?
Das war nämlich mein erster Gedanke.

Streng genommen ist dieser Test nicht "sicher", denn wenn jemand die DNS-Einträge für die finanz-it-Server auf eigene Server umgebogen hat, könnte das im Browser angezeigte Zertifikat tatsächlich mit dem von Hibiscus angezeigten identisch und trotzdem unecht sein.

"Sicherer" wäre, auf drittem Wege (Medienbruch!) den Fingerprint des neuen Zertifikates zu erfragen - z.B. durch einen Telefonanruf. Natürlich weiß ich, dass dieser Vorschlag ziemlich praxisfern ist - es ging mir ums Prinzip

Gruß
-stefan-

Jau, genau das ist der Fall.
Denn wenn Du in bestimmten Bereichen mit den Begriffen Fingerprint oder Fingerabdruck hantierst, kommen sofort Kundenanfragen, ob sie bei uns im Browserbanking sich mit dem Fingerabdruck legitimieren können.....

Die Begrifflichkeiten und die unterschiedlichen Verwendungen der Sachen sind für die Vielzahl der Nutzer nicht transparent. Einen IT-Führerschein gibt es ja (leider) nicht.

Insofern ist aus Sicht einer Bank eine Software in der Tat ein Grauen, die nicht die aktuellen Zertifikate selbst importiert/pflegt.
Es wäre wirklich schön, wenn Ihr das übernehmen würdet, denn das gehört meines Erachtens zu einer vernünftigen Onlinebanking Software dazu.

Mir ist bisher keine Bank untergekommen, deren Zertifikat nicht durch das in Java eingebaute cacert validiert werden könnte (jedenfalls habe ich noch keinen diesbezüglichen Feedback bekommen)...

Das einzige Problem könnte entstehen, wenn jemand mit einer Uralt-Java-Version arbeitet, bei der die cacert-Datei nicht auf dem aktuellsten Stand ist.

-stefan-

Ja, ok. 1.5 ist ja nun inzwischen auch schon reichlich alt

Aber fuer den Fall existiert ja nach wie vor die Sicherheitsabfrage, mit der der User dann selbst die Pruefung vornehmen kann.