Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

TOMillr

Benutzer

Geschlecht: keine Angabe
Beiträge: 21
Dabei seit: 07 / 2005

Betreff:

Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 12.08.2005 - 18:40 Uhr · #1

Hallo zusammen,

habe jetzt endlich meine WebSign-HBCI Karte von der Deutschen Bank erhalten. Besitze dafür nun auch ein passendes Chipkartenlesegerät der Klasse 2 und habe auch die entsprechenden Treiber installiert.

Wenn ich nun das Onlinebanking-Portal der DB verwenden möchte (also ohne ein zusätzliche Bankingsoftware zu verwenden), wird der PIN nur unsicher über die Tastatur abgefragt und es ist mir nicht möglich, das Keypad des Chipkartenlesers zu verwenden. Kann ich dies vielleicht irgendwie in den Optionen umstellen? Konnte da leider bislang keinen entsprechenden Eintrag oder Hinweis auf der DB Seite finden.

Wenn ich hingegen eine Software wie z.B. Starmoney verwende, wird bei der Pineingabe die Eingabemaske des Chipkartenlesers aufgerufen, sodass ich den PIN sicher eingeben kann...
EDIT: Wird vielleicht der Chipkartenleser von der WebSign Software nicht richtig erkannt? Wenn ja, wo kann ich vielleicht die Einstellungen von Hand editieren?

Gruß,
Tom

mafi

Benutzer

Geschlecht: keine Angabe
Beiträge: 233
Dabei seit: 10 / 2004

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 14.08.2005 - 08:25 Uhr · #2

Hallo Tom,

es gibt einen Unterschied in den Schnittstellen, die von Starmoney und dem Java-Applet der Website benutzt werden. Starmoney arbeitet mit der sogen. CT-API-Schnittstelle und die WebSite mit der PCSC-Schnittstelle.

Es gibt Kartenleser, die für jede Schnittstelle einen seperaten Treiber verwenden. Da Du aber zur Eingabe der PIN aufgefordert wirst, müsste auch PCSC installiert sein. Kontrolliere doch mal, ob Dein Kartenleser zwei Treiber braucht und ob Beide in der aktuellen Version vorliegen.
Außerdem muss Java in einer aktuellen Version installiert sein.

Manuelle Einstellmöglichkeiten gibt es in der Datei HBCIKRNL.INI im Windows-Verzeichnis. Dort wird mit dem Schalter PinEntry=2 festgelegt, dass die sichere PIN-Eingabe verwendet werden soll.

Gruß
Marc

TOMillr

Benutzer

Geschlecht: keine Angabe
Beiträge: 21
Dabei seit: 07 / 2005

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 14.08.2005 - 16:44 Uhr · #3

Habe mal nachgesehen und auf meinem Rechner sind sowohl der aktuelle Treiber für CT-API als auch PCSC installiert. Da die sichere PIN-Eingabe mit allen von mir getesteten Bankingprogrammen problemlos funktioniert, liegt der Fehler wohl am JAVA Applet der DB. Diese erkennt mein Chipkartenleser dann offenbar als Klasse 1 Gerät (und nicht als Klasse 2).

Der entsprechende Eintrag in der von dir genannten INI-Datei ist bereits auf "2" eingestellt gewesen. Suche daher die entsprechenden Dateien der DB Software... irgendwo müssen die Settings für die zu erkennenden Chipkartenleser abgelegt sein

hochexplosiv

Benutzer

Geschlecht: keine Angabe
Beiträge: 1221
Dabei seit: 02 / 2003

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 14.08.2005 - 21:01 Uhr · #4

Hallo,

Zitat geschrieben von mafi

es gibt einen Unterschied in den Schnittstellen, die von Starmoney und dem Java-Applet der Website benutzt werden. Starmoney arbeitet mit der sogen. CT-API-Schnittstelle und die WebSite mit der PCSC-Schnittstelle.

Komisch. Und warum funktioniert bei mir die sichere PIN-Eingabe auch auf der DB-Webseite? Ich dachte, die sichere PIN-Eingabe funktioniert "nur" mit CtAPI Treiber.

@CrazyLexx
Was verwendest du für einen Chipkartenleser?

Gruß

TOMillr

Benutzer

Geschlecht: keine Angabe
Beiträge: 21
Dabei seit: 07 / 2005

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 16.08.2005 - 15:41 Uhr · #5

Zitat geschrieben von hochexplosiv

@CrazyLexx
Was verwendest du für einen Chipkartenleser?

Verwende die Cherry-HBCI-Tastatur G83-6700 mit eingebautem Klasse-2 Chipkartenlesegerät. Wie gesagt: Habe bei den ganzen Homebanking-Programmen überhaupt keine Probleme mit der sicheren PIN Eingabe. Lediglich die online Variante der Deutschen Bank macht mir da Probleme

hochexplosiv

Benutzer

Geschlecht: keine Angabe
Beiträge: 1221
Dabei seit: 02 / 2003

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 16.08.2005 - 20:59 Uhr · #6

Hallo CrazyLexx,

für mich stellt sich die Situation wie folgt dar. Normalerweise funktioniert die Websign-Karte über die Webseite nur über PC/SC Treiber und somit nur per Sicherheitsklasse 1. Eine sichere PIN-Eingabe gibt es bei PC/SC m.W. nicht.
siehe http://www.deutsche-bank.de/pb…witoko.pdf Seite 10

Es scheint offensichtlich Ausnahmen zu geben. Die Chipkartenleser von Reiner SCT funktionieren über die Webseite auch mit sicherer PIN-Eingabe (also Klasse 2). Mit einem solchen Kartenleser habe ich es getestet.
siehe http://www.deutsche-bank.de/pb…reiner.pdf Seite 9

Was mich nur verwundert ist der Umstand, dass i.V.m. Websign immer von PC/SC gesprochen wird, eine sichere PIN-Eingabe mit Reiner Lesern dennoch möglich ist. Für die sichere PIN-Eingabe gibt es eigentlich nur die CtAPI Kommandos "Perform Verification" bzw. "Modify Verification Data". Ich vermute, dass man für die Kartenleser von Reiner SCT eine Sonderlösung gefunden hat. So was in der Art "CtAPI zu PC/SC Bridge". Das würde mich auch nicht weiter verwundern, schließlich stammt die Websign-Software auch von Reiner SCT.

Eine verbindliche Auskunft kann ich dir jedoch nicht geben. An deiner Stelle wurde es mal mit einer Supportanfrage bei der DeuBa, Reiner SCT oder Cherry probieren.

Gruß

Captain FRAG

Benutzer

Geschlecht: keine Angabe
Herkunft: Westfalen
Beiträge: 5096
Dabei seit: 05 / 2003

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 17.08.2005 - 07:56 Uhr · #7

Hi hochexplosiv,

das PC/SC nicht im sicheren PIN-Eingabebmodus arbeiten kann glaube ich nicht.
Unsere Web-Anwendung vom DSV zur Verwaltung und Bestellung von Signaturkarten arbeitet ebenfalls ausschliesslich auf PC/SC Basis und gestattet den Zugriff mittels spezieller Signaturkarte nur mit sicherer PIN-Eingabe über Klasse3 Leser.
Ich kenne aber weder CTAPI noch PC/SC en detail, es ist lediglich ein "Anwenderbericht". PC/SC als Microsoft-eigene Schnittstelle (IMHO) traue ich aber prinzipiell auch alles und nichts zu

hochexplosiv

Benutzer

Geschlecht: keine Angabe
Beiträge: 1221
Dabei seit: 02 / 2003

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 17.08.2005 - 11:01 Uhr · #8

Hallo Captain,

Ich habe heute noch mal nachgesehen. Die Informationen die ich fand sind etwas widersprüchlich.

In einer recht neuen PC/SC Spezifikation steht, dass die sichere PIN Eingabe auch mit PC/SC funktionieren sollte.
http://www.pcscworkgroup.com/s…2.01.3.pdf

Unter www.kobil.de/d/pressinfos/pres…-Kobil.pdf (10/2004) steht jedoch

Zitat

Einheitliche Einbindung der sicheren PIN-Eingabe
...
Bereits seit Ende der 90er Jahre ist die Einbindung von Chipkarten, nicht jedoch die der entsprechenden Lesegeräte mit PIN-Eingabe im international anerkannten PC/SC-Standard definiert. Weltweit mussten daher Hersteller von Smart Card Terminals eigene Software- und Treiberlösungen entwickeln und diese den Entwicklern von Chipkarten-Anwendungen zur Verfügung stellen.

Eventuell kann Herr Selle oder Herr Sommer mal was dazu sagen.

Gruß

Carsten Sommer

Benutzer

Geschlecht: keine Angabe
Beiträge: 22
Dabei seit: 07 / 2003

Betreff:

Sichere PIN-Eingabe ueber PC/SC

· Gepostet: 17.08.2005 - 12:09 Uhr · #9

Hallo Zusammen,

es ist in der Tat so, dass PC/SC bis zur Version 2.0 keine sichere PIN-Eingabe unterstützt hat. Aufgrund der Nachfrage vieler Kunden aus dem Bereich von signaturlösungen (dort ist der PC/SC-Standard vorherrschend während beim Homebanking zumeist die CT-API-Schnittstelle verwendet wird) haben wir bereits vor Jahren einen kleinen Workaround in unsere Treiber implementiert, der es auch mit minimalsten Änderungen am Code möglich mach, die sichere PIN-Eingabe auch unter PC/SC zu unterstützen. Diese Funktion wird auch bereits in sehr vielen Applikationen unterstützt, unter anderem in WebSign.

Ich hoffe, ich konnte etwas Licht in die Diskussion bringen und stehe für Rückfragen jederzeit gerne zur Verfügung.

Viele Grüße

REINER SCT

Carsten Sommer.

hochexplosiv

Benutzer

Geschlecht: keine Angabe
Beiträge: 1221
Dabei seit: 02 / 2003

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 17.08.2005 - 12:43 Uhr · #10

Hallo Herr Sommer,

danke für die wirklich erhellende Antwort. Das bedeute also, dass es sich bei Websign und Reiner Lesern (wie von mir vermutet) bei der sicheren PIN Eingabe um eine Sonderlösung handelt, die nicht mit anderen PC/SC Chipkartenlesern funktioniert. Es sein denn, man modifiziert auch dort die Treiber.

Gruß

TOMillr

Benutzer

Geschlecht: keine Angabe
Beiträge: 21
Dabei seit: 07 / 2005

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 17.08.2005 - 16:05 Uhr · #11

Gut, dann müsste ich mich also an Cherry (als Hersteller der Tastatur) wenden und sie auf die inkompatibilität hinweisen... Was genau muss denn an den Treibern modifziert werden - oder was soll ich den Damen und Herren schreiben?

Guestuser

Betreff:

Re: Deutsche Bank: Keine sichere PIN-Eingabe bei WebSign

· Gepostet: 19.08.2005 - 15:32 Uhr · #12

Zitat geschrieben von hochexplosiv

Genau! Ich benutze einen SCM Chipdrive mit WebSign, und die PIN wird abgefragt. Allerdings stammt auch dieses Gerät von der DB, welche auch den (modifizierten?) Treiber zum Download zur Verfügung stellte.

Grüße
Totaltimo