Sparkasse mit virtueller HBCI-Karte - auf welchen Chip ?

Eigentlich währe es möglich, die Haspa auch auf die VR-NetWorld Card zu bringen, aber:
Die neue SECCOS Karte wird von der Haspa nicht unterstützt (und die VRNWS könnte dies derzeit nur, wenn die Haspa unsere Zertifikate akzeptieren würde...)
Auf der alten VR-NetWorld Card würde es gehen, aber die läuft Ende des Jahres aus und der Kunde müsste dann für die VoBa eine neue Karte erhalten.

Möglich ist aber die gemeinsame Nutzung einer VR-NetWorld Card basic. Hier gehen beide Kennungen drauf.

Gruß

Holger

Hi,

interessant... ich dachte immer alle Sparkassen würden ausschließlich und zu 100% DDV-Karten unterstützen... jetzt sehe ich, dass das wohl nicht so ist.
ZKA-Liste sagt: HASPA macht kein HBCI... wickeln die das dann über ein anderes Rechenzentrum ab?
Die haben doch bestimmt nicht für bevorzugte Kunden einen eigenen HBCI-Server da stehen...

Unterstützen die RDH-Schlüssel? Das wäre mir aus Sparkassen-Kreisen völlig neu... Wirklich gut zu wissen.

Gruss, Marcel

lol... das heisst wohl auf dauer werden sie es nicht mehr?

@Stoney

Warum ist DDV sicherer als RDH ?

Gruß,
Vader

Moinsen,

also ich sehe das so: die Spk machen nur die Chipkarte, da beim DDV-Verfahren die Verschlüsselung symetrisch ist und deswegen
sichergestellt werden muß, dass die Zertifikate sicher gespeichert sind.

Bei RDH liegt das Geheimnis ja im privaten Teil des Schlüssels, den sich der Kunde (mit freundlicher Unterstützung der Software) ausdenkt. Aber auch hier können ja die Banken noch entscheiden was und wie angeboten wird.
Deine angespreochene Problematik betrifft ja die "Disketten-Variante". Es gibt ja aber auch RDH-Chipkarten...personalisiert oder auch blanco; je nach dem...

Also am Verfahren allein kann man das NICHT festmachen.


Od

Sorry Stoney,

aber Du vergleichst Äpfel mit Birnen.
Die DES Schlüssel müssen auf einer Chipkarte liegen, da ansonsten die Sicherheit sofort auf Null währe.

Vom Verfahren gilt DES als sicheres Verfahren, da von der Methode als nicht entschlüsselbar gilt. Angriffsziel ist hier daher der Schlüssel.

Beim RSA Verfahren weiß man sehr genau, wie die Verschlüsselung zu knacken ist. Der einzige Schutz ist hier die Verschlüsselungstiefe, bei der im Moment die Rechenkapazität nicht zur Entschlüsselung reicht.

Zusätzlich hat man durch das asymetrische Verfahren die Möglichkeit verschiedenen Leuten die Möglichkeit zu geben, die Eigene Nachricht zu entschlüsseln.

Von sicherer oder unsicherer kann man also nicht so einfach sprechen!

Gruß

Holger

Hi,



Von Bankseite sehe ich keinen Unterschied zwischen beiden Verfahren, jedoch halte ich RSA-Karten aus Kundensicht für sicherer.
Das Geheimnis heisst digitale Signatur und genau diese ist bei DDV leider nicht möglich. Da Bank und Kunde den gleichen symmetrischen Schlüssel benutzen, lässt sich hinterher nicht mehr erkennen, ob die Bank oder der Kunde die Nachricht verschlüsselt hat.
Eng genommen heisst das, daß ein Bankmitarbeiter theoretisch einen Kundenauftrag fälschen könnte. Realistisch betrachtet ist sowas natürlich nur ein äußerst theoretisches Szenario, weil sich Banken und Rechenzentren ebenfalls gegen solche Angriffe von intern absichern und sicherlich nicht jedem Bankmitarbeiter Zugang auf die hinterlegten Kundenschlüssel gewähren, aber rein rechtlich hat eine symmetrisch signierte Nachricht keine Belegkraft.
Bei asymmetrischen Verfahren wie RSA, kann klar unterschieden werden ob eine Nachricht von der Bank oder vom Kunden generiert wurde.

Gruss Marcel

Ich habe ja gesagt: "Nur sehr theoretischer Ansatz", aber das ist halt der entscheidende Punkt, der für asymmetrische Kryptographie und gegen symmetrische Spricht. Einen anderen Vorteil sehe ich nicht.



Bei DES ist es auch im Prinzip egal wo der Schlüssel liegt. Ein Schlüssel ist eine ziemlich lange Zahl. Mehr nicht.
Beim DDV-Verfahren ist es nur rechtlich vorgeschrieben, dass der Schlüssel auf einer Chipkarte liegen muss!

Bei modernen RSA-Chipkarten kann der Schlüssel genauso sicher hinterlegt werden, wie bei DDV-Karten. Nämlich so, dass sichergestellt ist, dass der Schlüssel die RSA-Karte nicht verlässt. Wird der Schlüssel auch noch vom Seccos-Betriebssystem der RSA-Karte generiert, kann der Kunde sogar sicher sein, dass nichtmal der Bankmitarbeiter seinen privaten Schlüssel kennt.



Die Schlüssellänge macht aber keinen Unterschied. RSA ist mit 640 Bit bereits geknackt (allerdings mit einer großen Zahl Rechner, die über mehrere Monate beschäftigt waren)... 768 Bit ist davon nicht mehr so weit entfernt. Deshalb wird die Schlüssellänge alle paar Jahre einfach angehoben, so daß der Aufwand zum Brechen nicht mehr vertretbar wird.

http://www.heise.de/newsticker/meldung/65957

Bei Tripple-DES wird eine Nachricht mit 3 verschiedenen Schlüsseln hintereinander verschlüsselt. Würde man eine solche Verschlüsselung ebenfalls mit 1024 Bit ansetzen, würde das Ver- und Entschlüsseln der Nachrichten extrem lange dauern. 128 Bit sind also bei DDV sicherheitstechnisch absolut vertretbar, während ein RSA-Schlüssel mit 128 Bit dies nicht mehr wäre.

Hehe, aber wir ich vermute fast dass wir diese Diskussion besser im internen Forum weiterführen sollten

Gruss, Marcel

Moin,

nur so eine qualifizierte Vermutung:

ich könnte mir aber vorstellen, dass sich auch die verwendeten oder verwendbaren Chips auf den Karten unterscheiden. Es werden bei den Verfahren doch unterschiedliche Dinge vorausgesetzt. Und da könnte ich mir auch deutliche Preisunterschiede vorstellen. Diese gibt es bestimmt auch bei den Backend-Systemen: mit der Zertifikatsverwaltung gibt es bestimmt unterschiede...

Vielleicht weiß noch einer mehr?

Von wegen Paranoia: Woher weiß ich eigentlich, dass das Bargeld, das ich mir natürlich nur am Tresen hole auch echt ist? Also ich laß mir immer einen Bundesbankscheck von der Bank ausstellen und gehe dann zur nächsten Filiale der Bundesbank und hole mir dann dort das Geld ab. Oder, macht das jemand hier anders? Sicherheit geht doch vor Vertrauen, oder?
Wie war der alte Slogan der DeuBa? Vertrauen ist der Anfang... oder war es das Ende...?

Bis demnächst

Od

Nein, Beamte...

Und die Kernaussage ist doch die, ohne Vertrauen geht nichts :!:

Od