Hibiscus PIN speichern

T-banking Software, Starmoney, AlfBanco, usw. usw. = sind z.T. KEINE Lösungen für Firmenkunden! Sondern sind Programme für PRIVATKUNDEN, die diese "Firmenkundenleistungsmerkmale" besitzen. D.h. diese o.g. Programme haben diese HBCI Karten PIN Speichermöglichkeit, das ist einfach so, weil ich diese selbst benutzt habe!

Wahlmöglichkeit ob Privat oder Firma, oder ob Home- oder Onlinebanking? Finde ich nicht diskutabel, da Du ja meinen privaten Aufwand bzw. Nutzen mit meinem Konto nicht wissen kannst. Auch wenn es von Dir nur ein Vorschlag sein sollte, vielleicht sogar eine Art von "Hilfe" die Du mir zukommen zu lassen wolltest, ich findes es nicht hilfreich, da dies beides nicht vergleichbar ist und auch keine Alternative darstellt, bezgl. Speicherung HBCI KARTEN PIN in einem Softwareprogramm. Warum werden dann solche Programme für Privatkunden angeboten, die diese Funktion besitzen? Also, das ist kein Argument!

Egal, Ich habe Deine amusische Nachricht verstanden und wenn sich trotzdem jemand findet der die Möglichkeit zur Änderung hat, dann spricht doch nichts dagegen dies zu unterstützen, das finde ich zumindest ganz O.K. und dem sollte auch nichts entgegen stehen. Da ich die Programmierung nicht beherrsche, kann man das ja auch mit finanziellen Möglichkeiten unterstützen.

> Und die Doku die ich von dir finde, genügt,
> um das zu bewerkstelligen?

Alle relevanten Infos findest du in den Wikis http://jameica.berlios.de und http://hibiscus.berlios.de sowie im Quellcode bzw Javadoc.

> Oder brauche ich wahrscheinlich noch Hilfe von dir,

Weiss ich nicht, ich kenne deine Java-Fertigkeiten ja nicht.

> und bist du dazu bereit?

Naja, verstaendlicherweise nicht wirklich, oder?
Ich meine, wenn ich da mit helfe, kann ich's ja auch gleich selbst einbauen

BTW: Mit einem separaten Plugin wird das ohnehin nicht loesbar sein, da die relevanten Code-Stellen fuer andere Plugins nicht zugaenglich sind. Es laeuft also auf Aenderungen direkt von Hibiscus-Quellcode hinaus.

> Das hast du irgendwo selbst geschrieben, dass es mit
> einem Plugin ginge.

Muss schon lange her sein. Kann mich da jetzt nicht erinnern. Kann auch sein, dass ich meinte: "Koennte man ueber ein Plugin loesen, wenn ich vorher noch ein paar Sachen aendere"

> Ich wäre also darauf angewiesen dass du zumindest die
> entsprechenden Schnittstellen zur Verfügung stellst.

Solche Schnittstellen bergen dann natuerlich wieder eine erhebliche Gefahr.

> Ein anderer Vorschlag wäre, ich schreibe ein separates Programm, das
> den PIN-Dialog abfängt und ausfüllt. Hast du dagegen irgendwelche
> Vorkehrungen getroffen (z.B. um Trojanern das auslesen zu erschweren)

Ich wuesste nicht, wie sowas aus SWT/Java heraus moeglich sein soll.
Direkter Einfluss auf das Fenster-Management ist aus Java heraus ja gar nicht moeglich - hoechstens mit JNI. Das geht dann aber auch nicht plattformneutral und sicher auch nicht auf allen OS.

> oder wäre das gut denkbar?

Kannste ja versuchen.

> Wird die PIN eigentlich nur als Hash an die Bank übermittelt, so dass
> man gar nicht die PIN selber irgendwo ablegen müsste?

Welchen Sinn macht denn ein Hash, wenn er direkt uebertragen wird? Der wuerde doch nur dazu dienen, dass die Bank die PIN nicht im Klartext in ihrem System speichert. Wuerde man sich mit einem Hash einloggen koennen, braeuchte sich ja niemand mehr um das Knacken von Hashes kuemmern

> Ist dir das denn die liebste Variante?

Naja, rein technisch waere das schon die unschoenste Variante. Zumal das ja dann am Ende eigentlich nichts anderes als eine Art Proof-of-Concept-Trojaner waere.

> Wenn die Übermittlung mit so einem Hash wäre

Nochmal: Natuerlich wird NICHT der Hash an die Bank geschickt. Andernfalls wuerde die doch eine Autorisierung ohne Kenntnis der PIN zulassen. Dann koennte sich jemand einloggen, der die PIN gar nicht kennt sondern nur deren Hash.

Die Diskussion zu diesem Thema läuft ja schon ziemlich lange :-(
Die Argumente sind, denke ich, auch alle vorgetragen.
Ich fasse die für eine Speicherung noch mal zusammen:
- Bei mehreren Konten (ich z.B. habe 6 User zu verwalten mit jeweils mehreren Bankverbindungen) kann kein Mensch alle PINs behalten. Die PINs werden aufgeschrieben - auf einem Zettel, der dann i.d.R. unter der Tastatur klebt - oder in einer mehr oder weniger gut geschützten Datei. Da nützt der Erziehungsgedanke ("soll dem User deutlich gemacht werden, dass er einen sensiblen Vorgang startet") wenig.
- Das Argument mit dem "privaten Durchschnitts-User", der viel weniger Konten zu verwalten hat, sticht allein schon deshalb nicht, weil Hibiscus zusammen mit anderen Plugins, z.B. einer Vereinsverwaltung, betrieben werden kann. Und wenn ich die verschiedenen Beiträge hier lese, finde ich immer wieder den Hinweis auf div. Banken.
- Bereits mehrfach wurde hier erwähnt, daß viele Nutzer Hibiscus meiden, weil sie die PIN manuell eingeben müssen. Das ist schade, denn ich halte es für ein gutes Programm. Aber wer sich bei der Bank widerholt freischalten lassen mußte, weil er sich in der Reihenfolge der PINs vertan hat oder sich einfach nur vertippt hat, dem reicht es irgendwann. So ging es mir 2006 auch schon mal. Ich bin räumütig zu StarMoney bzw. dem T-online-Banking zurückgekehrt.

Nun meine Vorschläge:
- Dem Benutzer sollte bereits bei der Eingabe des Masterpaßwortes ein Hinweis gegeben werden, wenn dieses zu schwach ist.
- Die PIN sollte gut verschlüsselt (ggf. mit einem weiteren PW geschützt) auf einem extra Medium (Stick, Diskette, CD, ...) gespeichert werden können. Dort wäre es vor fremden Zugriffen geschützt, sämtlichen Sicherheitsbedenken wäre genüge getan.

Der Onlinezugriff ist erheblich schwerer: Das externe Medium ist nur kurze Zeit erreichbar, der Ort ist nicht einheitlich.
Eine gute Verschlüsselung mit einem Master-PW ist nur mit erheblichem Rechenaufwand zu knacken.
Absolute Sicherheit gibt es nicht. Aber mein Vorschlag gibt mehr Sicherheit als Zettel oder beliebige Dateien.

Idealerweise nimmt man eine Verschlüsselungsmethode, bei der man nicht feststellen kann, ob man das richtige Passwort gefunden hat. Jedes beliebige falsche Passwort müsste einfach eine gültig aussehende PIN ergeben und erst der echte Versuch mit der Bank gäbe dann Klarheit.

Ich auch nicht. Kam mir gerade erst in den Sinn, bin aber davon ausgegangen dass es das sicher längst gibt. Vielleicht sollte ich es gleich patentieren lassen? Ich glaube das wäre relativ leicht zu implementieren - nicht als generelle Verschlüsselungsmethode, sondern speziell für PINs. Ich habe nur gerade keine Zeit, mich ohne Bezahlung mit sowas zu beschäftigen...

Meines Wissens gelten sämtliche Public-Key-Verfahren (RSA, DH/DSS) z.Z. als sicher.

Mit Verlaub: Ich finde es eine riesige Arroganz von dir, dass du deine Zeit fuer so wertvoll haelst, dass du dich nur gegen Bezahlung damit beschaeftigen wuerdest - und mir sagst, dass ich das schon machen werde. Schliesslich gehe es mir ja nicht ums Geld sondern nur ums Prinzip. Bin ich dein Angestellter oder was?

Ich hatte den Code dafuer schon geschrieben. Aber so werde ich den nicht einchecken.