chipTAN-USB: Datengenerierung in Hibiscus aus chipTAN-manuell?

Hallo,
leider hat mir die DKB mitgeteilt, das chipTAN-USB von der DKB nicht mehr unterstützt wird (und ich nicht zu blöd zur Einrichtung bin oder eine schlechte Banking-Software verwende, was deren erste Antwort war), was alles jetzt sehr umständlich macht (ich möchte keine Handy-App für Banking).
Ich habe mich schon immer gewundert, warum das verschiedene Verfahren von Seiten der Bank aus sind und das nicht einfach die Banking-Software die Umsetzung für die verschiedenen Endgeräte macht. Tatsächlich scheint das aber möglich zu sein, irgendwo habe ich gelesen (finde ich leider nicht mehr, vielleicht sogar in diesem Forum), das als Reaktion in einem Banking-Programm die Daten, welche für chipTAN-USB an den Kartenleser geschickt werden, jetzt in der Software generiert werden und somit eine Unterstützung von chipTAN-manuell seitens der Bank ausreichend ist (nicht von chipTAN-optisch/Flickercode, was wohl die gleichen Daten wie chipTAN-USB sind und auch von der DKB eingestellt wurde).

Gibt es Pläne das auch in Hibiscus umzusetzen?

Viele Grüße
Stefan

Das hatte ich auch so gelesen, da war aber explizit mit Bezug zu der DKB-Situation die Rede von USB-Daten generieren aus manuell/QR.

Ich sehe zwei mögliche Erklärungen warum das prinzipiell nicht gehen könnte:
a) Die Daten, die an den USB-Leser geschickt werden, wurden von der Bank elektronisch signiert. Halte ich für nicht so wahrscheinlich, da entweder der Leser eine Datenbank mit allen Public-Keys der Banken hat (und die auch updaten muss) oder alle Banken nutzen den selben festen privaten Key (sicherheitstechnisch schlecht).
b) Das Verfahren, mit welchem die TANs generiert werden unterscheidet sich, also Hibiscus sendet Startcode etc. an den Leser über USB, Gerät erzeugt aber andere TAN als wenn das manuell eingegeben worden wäre. Ich meine mich aber zu erinnern, dass bei der Anmeldung zum DKB-Webbanking der Flickercode gemeinsam mit dem Startcode angezeigt worden wäre. Die DKB kann also nicht wissen, ob ich das manuell eingetippt oder mein Kartenleser den Flickercode gelesen hat (natürlich könnten sie an der Stelle prinzipiell beide TANs annehmen).
Falls jemand noch eine Bankverbindung hat, in der Flickercode und manuell geht: Bitte mal ausprobieren ob beides die gleiche TAN erzeugt.

Bist du dir da sicher? Leider ist die Spezifikation nicht öffentlich (habe ich gerade gesucht) sondern wird nur an Entwickler von Banking-Software rausgegeben, angeblich wird zwar nur eine Bearbeitungsgebühr erhoben, aber ich weiß nicht wie streng die Bedingungen sind und ob die Entwickler von Hibiscus darauf Zugriff haben. Mit Hilfe daraus sollte man doch klären können ob das prinzipiell geht.

Absurderweise ist EBICS ja extrem unsicher im Vergleich, einfach nur eine Schlüsseldatei, kein Zwei-Faktor etc. Man hätte HBCI ja auch einfach kostenpflichtig für Geschäftskunden machen können, genau wie EBICS. So werden die Privatkunden gegängelt.
Leider ist ein Bankenwechsel ja nicht so einfach wie Handyanbieter: Kontonummer mitnehmen müsste es geben.

Ja stimmt, gerade ausprobiert. Dann könnte es natürlich wirklich so sein, dass dort unterschiedliche TANs je nach Verfahren generiert werden und die Bank daraus das Verfahren ablesen kann.

Falls es tatsächlich so sein sollte, das es technisch nicht möglich ist, könnte man vielleicht Rainer-SCT dazu bewegen ein Firmware-Upgrade bereitzustellen, dass chipTan-manuell-over-USB ermöglicht, also die Eingaben für chipTAN-manuell einfach über USB entgegen nehmen (zur Not auch kostenpflichtig, chipTAN hat ja auch schon 10€ gekostet).
Die haben ja Interesse daran, das weiter chipTAN genutzt wird und Leute nicht auf EBICS oder Handy-Apps wechseln.

Ich gebe hier mal meinen Senf aus Entwicklersicht hinzu.
Das ist tatsächlich die Begründung warum zu einer chipTAN QR Challenge keine gültige TAN per USB oder Flicker oder manuell erzeugt werden kann. Die Challenge ist für Karte des Kunden signiert. Der Leser hat damit nichts zutun. Nur die Karte macht die Kryptographie.



Hier liegt es am Padding der übertragenen Werte was zwischen manuell und den anderen Verfahrensarten abweicht. Eine Challenge die nur den Startcode nutzt würde sogar in beiden Verfahren funktionieren, da dieser schon maximale Länge hat. Sobald aber weitere Daten angezeigt oder eingegeben werden müssen funktionieren die TANs nicht mehr weil sie anders erzeugt werden.

Ist nicht ganz richtig deine Schlussfolgerung.
Nur bei QR-codes gibt es eine Signatur der Challenge, die geprüft wird. Die älteren Verfahren optisch/USB und manuell haben das nicht.
Wichtiger hier ist aber dass sich die Art der Berechnung der TAN unterscheidet bei den 3 unterschiedlichen Verfahren. Also der Aufbau der Daten aus denen die TAN erzeugt wird. Deswegen kann man eine Bankchallenge nicht ohne weiteres in ein anderes Verfahren umbauen und immer noch erwarten, dass die erzeugte TAN im Backend der Bank akzeptiert wird.
Wenn die DKB nur manuell und QR anbietet, kann man leider nicht viel machen.
Würde man manuell anfordern fehlen schlicht die Daten zur TAN-Erzeugung in der Challengeantwort.
Würde man QR anfordern erwartet das Backend eine TAN, die durch anderen Daten-Aufbau entstanden ist als sie dein USB Leser erzeugt.
Hier wäre die einzige Chance, dass ein neuer Leser die QR-Code Daten (das png) nicht optisch sondern per USB entgegennimmt und nach chipTAN QR-Spez verarbeitet.
So einen Leser gibt es soweit ich weiß nicht. Ein Downgrade der Daten in die optische/USB Verfahrenswelt und eine Erzeugung der TAN damit wird nicht funktionieren beim Nachrechnen auf der Bankseite.

Ja sowas wäre auch denkbar. Aber ich vermute auch dass sich kein Hersteller für die kleine Zielgruppe an sowas ran traut wenn er auch noch auf die korrekte Decodierung eines Softwareproduktes angewiesen ist auf der anderen Seite.

Naja. Die Zielgruppe für die die usb-Variante in die REINER Chipkartenleser implementiert wurde war

(ALLE Sparkassenkunden Deutschlands) + (Alle VR-Kunden Deutschlands) + (ALLE Postbankkunden Deutschlands) + (ALLE Sparda-Kunden Deutschlands) + Kunden div. kleinerer Banken

Und das zu Zeiten, als die Freigabe über App noch etwas exotisches war.

Diese Zielgruppe dürfte doch wohl ETWAS größer gewesen sein als die heute noch an chipTAN interessierte Kundschaft der DKB.

Und von wegen Neuentwicklung auf dem Gebiet: Nicht umsonst hat REINER sämtliche chipTAN-Leser bis auf QR/photo komplett eingestellt (Bluetooth usw.). Die Banken wollen chipTAN soweit wie möglich sterben lassen. Zuletzt die Postbank. Und die DKB hat das ja auch nur noch für Kunden gelassen, die um's Verrecken die App nicht nutzen wollen.

Ich weiß, wovon ich spreche. Ich hatte bis zum Herbst selbst 16 Jahre meine Hauptbankverbindung bei der DKB und bin im Bereich Hausverwaltung tätig und hatte auch einige Dutzend Verwaltungskonten bei der DKB. Ich war immer hoch zufrieden. Bis das neue Management die Bank komplett umgekrempelt hat. Es ist ja nicht nur so, dass der HBCI-Server eine Zumutung ist. Die ganze Bank ist inzwischen eine Zumutung. Allein das komplette Verstecken einer Telefonnummer im Web ist unsäglich. Und wenn man sie dann nach langem Suchen gefunden hat und anruft, dann kriegt man Leute dran, die erstens keine Ahnung haben und zweitens mangels Befugnissen nicht helfen KÖNNEN. Früher brauchte es einen Anruf alle paar Jahre und das Problem war in Minuten final gelöst. Alles dahin. Für Geschäftskunden gibt es überhaupt keine Telefonische erreichbarkeit mehr. Und mit der inzwischen eingeführten KI-Betreuung (alle Daten wandern nach USA?) wird es sicher auch nicht besser.

Vor dem Hintergrund ist das böswillige Weglassen von Flicker im neuen Server fast schon vernachlässigbar

Nicht alle. Ich hab gehandelt! Ich habe inzwischen kein Verwaltungskonto mehr bei der DKB - Gott sei Dank. Jetzt muss ich nur noch den Schluss-Kontoauszügen nachlaufen. Die scheint man auch nicht mehr freiwillig zu bekommen. Und privat ist mein Konto seit Herbst auf 0,00 und ohne Buchungen (außer natürlich den 0,00-Abschlüssen). Auflösen werde ich es noch nicht, weil ich neugierig bin, wie es da weiter geht

FinTS-Unterstützung egal?
Befrag vielleicht auch mal Ihmchen.

sind wir bei sie wünschen wir spielen?
und dies auch noch am besten kostenlos von a-z
irgendwie/-wo müssen alle Branchen was verdienen
warum bekommst du Gehalt? deinem Chef würde es eher zusagen, wenn du kostenlos arbeitest
(+ somit on top keine Verwaltung, Betriebsprüfung, keine Krankentage, Urlaubsansprüche usw.)

auf Basis von iOS macht sich diesbzgl. niemand Gedanken - dort wird es als Sicherheit verkauft
im Zusammenhang mit Sicherheit, ist dies auch nur ohne root gegeben. (siehe erneut Haftung / Bank)

Die Freigabe-Funktion ist von der gleichen Bank, also was spricht dass dort die Umsätze drin sind?
wenn es um angebliche Haftung geht nochmals der Hinweis auf Forensuche


dann solltest die vorhandene Energie nehmen und in eine bessere Suche investieren
(die Diskussion hat also nur den Zweck, alles so zu belassen für kleines/schmales Geld)

//edit: Die Deutsche Kreditbank will dank einer Kooperation mit OpenAI eine Vorreiterstellung beim KI-Banking einnehmen.
https://www.heise.de/news/KI-B…73074.html