Hi @ll,

wieder einmal stand die Zusendung einer neuen TAN-Liste an. Statt dessen bekam ich diesmal einen Smart-TAN Generator. Wie beurteilt Ihr eigentlich die Sicherheit von Smart TAN?

Die Papier TAN waren bisher immer eine relativ sichere Sache. Zunächst einmal brauchte man Zugriff auf die Wohnung oder im richtigen und unabsehbaren Moment auf dem Briefkasten. Dann musste man eine alte und teilweise eine neue TAN eingeben, um neue Bogen freizuschalten.

Meine Nachfrage ergab, dass der Smart-TAN-Generator nicht personalisiert ist, sondern beliebig gewechselt werden kann. Das hieße aber, dass allein der Besitz der Karte ausreicht, um unendlich viele TAN zu generieren. Diese Karte hat theoretisch bis zu 4 Jahren keinen Kontakt mit irgendeinem Bankrechner. Das Sicherheits-Verfahren muss also über diese Zeit ohne Abgleich funktionieren. Wenn die Karte nun unenedlich viel TAN generieren kann, müsste doch fast jede von den möglichen 1.000.000 drankommen. Ein Erraten einer TAN wäre somit kaum mehr ein Zufall. Der Bankrechner kann wegen des fehlenden Kontaktes zur Karte nicht feststellen, ob die geratene TAN mit Hilfe der Karte generiert wurde.

Die einzige Erklärung, die ich habe ist, dass im Generator oder auf der Karte eine Uhr steckt. Die Uhrzeit ist maßgeblich an der Errechnung einer TAN beteiligt. Der Bankrechner kann nachvollziehen, wann eine TAN generiert wurde und lässt eine solche nur zeitnah zu.

Es wäre schön, wenn das mal jemand so erklären kann, dass ein nicht Banker das versteht.

Hallo Prox,

wie das genaue kryptische Verfahren hinter Sm@rt TAN aussieht kann ich Dir nicht sagen eventuell ist dies aber sogar besser so, um die Sicherheit zu erklären.
Zuerst: Auch in die berechnung der TAN gehen bestimmte Faktoren ein (u.a. ein Zähler), die nur der Prozessor auf deiner Bankkarte und der Bankrechner kennt!

Wenn Du eine TAN generierst und diese nutzt, rechnet der Bankrechner nach, ob diese TAN gültig ist. Da sowohl der Prozessor auf der Karte, als auch der Bankrechner den gleichen Startwert kennen, erlaubt der Bankrechner nur ein relativ kleines Fenster in denen er die TAN akzeptiert.
D.h. Du kannst zwar hingehen, Dir 1000 oder mehr TANs generieren, aber akzeptieren würde er nur (beispielweise) die TANs 1 - 10.
Nimmst Du jetzt die TAN Nr. 3 sind die TAN 1 und 2 sofort ungültig und es werden künftig nur noch die TANs 4 - 14 akzeptiert.

Das ist auch schon der erste Unterschied zur papierhaften TAN! Hier sind alle TANs auf dem TAN Bogen bis zur Nutzung unabhängig von der Reihenfolge gültig. Wenn jemand also geschickt ist und Dir bei der Eingabe über die Schulter schaut, kann er TANs ausspähen und später beliebig nutzen, ohne dass Du das merkst. Beim Sm@rt TAN währen alle TANs vor der eingesetzten sofort ungültig.

Sollte der Zähler beim Bankrechner und auf der Karte auseinander laufen (z.B. weil Du 100 TANs zum Zeigen generiert hast), müssen diese Zähler wieder abgeglichen werden, damit die Bank Deine TANs akzeptiert.

Die Wahrscheinlichkeit, eine brauchbare TAN zu erraten, oder eine ausgespähte TAN zu nutzen ist also deutlich geringer als bei der Papier-TAN.
Das Risiko eines Verlustes bleibt natürlich, wie bei der Papier TAN bestehen. Wobei die Akzeptanz des TAN Generators mit der Sperrung der Karte auch gesperrt ist.

Gruß

Holger

Hallo Holger,

erst mal vielen Dank für Deine Antwort.


Genau! Das hätte ich auch nicht erwartet und wohl auch nicht verstanden. Der von Dir im Folgenden gewählte Level ist genau richtig.


Soweit war mir das schon klar. Aber es lesen vielleicht noch Andere. Ich nutze daher eine frisch generierte TAN.


Da wären wir also bei des Drudels Kern. Diese maximale Zählerdifferenz ist also der Wert "100"?

Wie aber geschieht der Abgleich?
Wenn der Zähler um mehr als 100 differiert, wird keine Smart-TAN mehr akzeptiert? Muss Smart-TAN dann von der Bank wieder freigeschaltet werden, wenn sie sich davon überzeugt hat, dass die Karte noch im rechtmässigen Besitz ist?

Eine andere sinnvolle Möglichkeit sehe ich nicht, denn um sich an eine Zählerstand größer 100 anzugleichen, müsste der Bankrechner erstmal eine TAN mit Zählerstand größer 100 akzeptieren. Dies darf aber nicht, da dann wieder die leichte Ratemöglichkeit zum Tragen käme.


Unter der gegeben Info, dass die Zähler beieinander bleiben müssen, jetzt vollkommen klar. Bleibt nur noch die Frage nach dem Abgleich.

Hallo proxx,

Du hast die Möglichkeit, den Zähler Deiner Karte mit dem Sm@rt TAN Leser auszulesen. Im Internetbankibg gibt es dann soweit ich weiß die Möglichkeit diesen Zähler abzugleichen.

Die 100 TANs waren ein Beispiel. Das Fenster ist wennich das richtig im Kopf habe deutlich kleiner.

Gruß
Holger

Zusätzlich zu dem bereits gesagten lässt sich der TAN Generator mit einer eignen, von dir bestimmbaren PIN schützen. Ab Werk ist die PIN Eingabe nicht zwingend (so kenne ich das von unseren Karten, die den TAN Generator zwar aufgebracht haben, die Selbsterzeugte PIN wird aber derzeit nicht akzeptiert). Somit wäre selbst der Verlust der Karte kein Beinbruch, das sie ja noch zusätzlich geschützt ist.

Hallo proxx,

zunächst einmal ganz deutlich:

Der TAN-Generator ist der Chip auf Deiner VR-Bankcard, das kleine Gerät ist nur ein Lesegerät, mit dem die auf dem Chip erzeugte TAN angezeigt wird.

Ich schreibe das extra hier als 1. Position, da der Leser immer irrtümlich als TAN-Generator bezeichnet wird.






Das ist zwar grundsätzlich richtig, aber....
mit der Aktivierung dieser PIN ist der kleine Sm@rtTAN-Leser nicht mehr einsetzbar, denn dort kann man keine PIN eingeben.
Diese PIN-Eingabe wäre nur sinnvoll in Verbindung mit einem HBCI-Kartenleser, aber dann kann ich auch gleich das HBCI-Verfahren nutzen und brauche kein PIN/TAN-Verfahren.
Hier beisst sich die Katze in den Schwanz.........
Mir ist übrigens auch noch kein HBCI-Kartenleser bekannt, in dem dieses Verfahren integriert ist.



Genauso ist es, in unserem Rechenzentrum GAD werden TAN außerhalb der Range -bei uns 25- als falsche TAN bewertet. Das heißt, solltest Du 100 TAN generiert haben und drei aus der 2. Hälfte nehmen, wird der TAN-Generator zunächst blockiert. Diese Blockade kann auch nur die Bank zurücksetzen, das läuft unter dem Fachbegriff: "Zurücksetzen Fehlbedienerzähler TAN". Erst wenn die Bank diesen "Zähler" zurückgesetzt hast, kannst Du wie von Holger beschrieben den sogenannten "ATC-Zähler" über eine Internetbankingfunktion zwischen Karte (=TAN-Generator) und Rechenzentrum anpassen.

Ich nenne diese Fachbegriffe ausdrücklich, weil im Internetbanking steht: "ATC-Zähler anpassen" , sonnst kannst Du damit nichts anfangen.

Bei der Anpassung wird auch noch die Eingabe der Kartennummer verlangt, also erst wenn alle 3 Felder:

- Kartennummer
- ATC-Zähler
- TAN

ausgefüllt sind, wird der TAN-Generator wieder aktiv gesetzt und nutzbar.

beliebiger HBCI Leser in Verbindung mit der Software Chipcard Master.

Hallo Zusammen,


Bevor es jemand ausprobiert: Mit der Änderung des Vorgabewertes funktioniert der TAN Generator mit dem Hintergrundsystem nicht mehr!

@Cap: Grundsätzlich hast Du mit der Möglichkeit recht. Die Nachteile würden aber deutlich überwiegen:
- Es sind andere, teurere Leser notwendig.
- Das ganze Verfahren wird deutlich unhandlicher
z.B. durch eine andere PIN. Die PIN würde sich von der PIN im Internetbanking und von der von der EC Karten Funktion unterscheiden müssen (Wenn nicht ist der Vorteil der leicht höheren Sicherheit nicht mehr vorhanden!)

Wie bei den Papier TANs kann ein anderer ohne PIN nichts mit der TAN anfangen. Wozu also eine weitere PIN?

Gruß

Holger

Vielen Dank an Euch alle .

Das Verfahren ist in Gemeinschaftsarbeit auf einer laienverstehbaren Basis mit FAQ Qualität erklärt.

Nur eine Frage trieb mich noch um. Wie kann ich den ATC-Zähler mit dem Lesegerät sichtbar machen? Es hat ja nur zwei Tasten: TAN und Bargeld. Dann kam ich auf die glorreiche Idee, beide Tasten gleichzeitg zu drücken. (Auch wir Industrieelektroniker nutzen so etwas für versteckte Diagnose-Funktionen in Maschinen ) Und siehe da: Erst zeigte der Leser das Bargeld, dann eine TAN und zuletzt den ATC Zähler an. Damit dürfte dann auch der letzte dunkle Punkt geklärt sein.

Zwei Dinge hätte ich noch anzumerken:
1) Es wäre vielleicht ganz sinnvoll, die Kunden davon zu unterrichten, dass sie nicht unnötig viele TAN erzeugen sollten, weil Smart-TAN dann aus Sicherheitsgründen gesperrt wird. Auf den gedruckten Beipackzetteln ist dies mit keiner Silbe erwähnt.
2) Es wird in der Beschreibung darauf hingewiesen, dass Altbatterien besonders zu entsorgen sind. Soweit sehr sinnvoll. Wie man jedoch dem Gerät die Batterie entnimmt, bleibt das Geheimnis der Autoren. Wohl dem, der Augen und einen solch winzigen Kreuzschraubendreher hat.

Zusammen mit den hier gegebenen Infos finde ich das Smart-TAN Verfahren sicherheitstechnisch überzeugend und vorteilhaft in der Anwendung. Ein "sehr gut" vergibt der Warentest-Proxx und ein Lob an die Banken .

In der Regel erscheint der ATC wenn man die TAN-Taste länger als 2 Sekunden gedrückt hält.

Da es verschiedene Hersteller mit verschiedenen Leser-Modellen gibt, kann es hier aber Unterschiede geben.

Normalerweise sollte dem Leser eine Kurzanleitung beiliegen - so ist es zumindest bei den Lesern von Reiner SCT.



zu 1:

Da diese "Range" von Rechenzentrum zu Rechenzentrum unterschiedlich sein kann, wäre hier die einzelne Bank gefordert ihre Kundeninformationen zu erweitern - dem Kartenleser selber diese Info beizupacken ist nicht unbedingt sinnvoll.

zu 2:

Zumindest beim Leser von Reiner SCT ist der Batteriewechsel ganz einfach. Aber wie gesagt, es gibt verschiedene Leser am Markt, die alle so ihre Vor- und Nachteile haben. Ich würde aber erwarten, dass der Beipackzettel zu deinem Kartenleser die gesuchte Information enthält.

Hallo Zusammen,

jetzt muss ich mich doch tatsächlich noch selber korrigieren.... ops:
Den Part mit der PIN muss ich wohl im Zustand geistiger Umnachtung geschrieben haben.

Also so lautet es richtig:
Wird die PIN des TAN-Generators geändert funktionieren die Sm@rt TAN Leser nicht mehr. Also nicht rumprobieren!

Gruß

Holger

Das kommt mir vor wie bei meiner Frau, als sie die Bedienungsanleitung der Waschmaschine nicht lesen wollte. Du solltest eigentlich eine neue Kundenbedingung für den TAN-Generator erhalten haben. Hier und in der zugehörigen Verfahrensanleitung bzw. Bedienungsanleitung des Leser steht eigentlich alles für den Kunden wissenswerte - oder hast Du gar keine bekommen ?

Jetzt mal Klartext und ohne Interna auszuplaudern:

:!: Zum Verfahren
Der TAN-Generator ist eine Anwendung der EMV-Chip-Karte. Er erzeugt eine kontinuierliche Reihe von Pseudozufallszahlen (d.h. voraussehbar, wenn man die Parameter kennt). Dazu wird eine leere EMV-Zahlungstransaktion mit dem Zähler der Karte (ATC) gemacht. Das RZ versucht den Zähler zu schätzen. Gelingt dies nicht, muss der Kunde den Zähler ausdrücklich angeben (Sychronisation). Die Sicherheit ist dadurch gegeben, dass alle empfindlichen Parameter geheim im Chip gespeichert sind.

:!: PIN
Hier rumzuprobieren kann in der Tat schnell gefährlich werden, aber

das ist nicht richtig. Man kann eine PIN einstellen, wobei in der Regel die TAN-Ausgabe ohne PIN gesperrt wird. Mit der PIN kann man dann den Anwendung wieder entsperren. Es sind dann TAN mit und ohne PIN-Eingabe möglich. Das RZ kann an der TAN erkennen, ob sie mit oder ohne TAN erzeugt wurde und sollte das dann bei der Prüfung entsprechend berücksichtigen.
Irgendwannmal wird es dafür auch kleine (?) Taschenkartenleser mit Tastatur geben. Der Vorteil davon ist dann, dass diese Leser nicht an den PC angeschlossen werden müssen. Denn das ist für die Anwender - zu Recht - das eigentliche Problem. :mad:

Hallo Janus,

ich weiß nicht woher Du dieses "Interna" hast, aber so sind sie definitiv nicht richtig! Ich versuche mal die Richtigstellung soweit ich Sie verstanden habe, ohne zu sehr ins Detail zu gehen.

1. Der TAN Generator ist keine Anwendung der EMV Chipkarte, sondern ist eine Anwendung auf der SECCOS Karte, die wiederum EMV fähig ist. (In anderen Ländern gibt es andere Karten die EMV fähig sein können)

2. Die Pseudozufallszahlen sind so nicht richtig. Es werden über ein spezielles kryptisches Verfahren eine nachvollziehbare Reihe von aufeinanderfolgenden Zahlen generiert. Vorraussetzung ist, dass man hierfür neben den verwendeten Verschlüsselungsschlüsseln noch diverse andere Parameter der Karte kennt z.B. jener ATC Zähler. Das RZ versucht auch nicht den Zähler zu erraten, sondern das RZ kennt den Startwert des Zählers und rechnet schlicht und ergreifend die TANs in einem bestimmten Range vor, die dann auch akzeptiert werden. Liegen die Zähler soweit auseinander, dass die errechneten TANs nicht mit den eingegebenen übereinstimmen, muss der Zähler wieder abgeglichen werden.


Mit den aktuellen Sm@rt TAN Lesern, die nur eine Taste für die TAN-Erzeugung haben ist das so richtig!


Fast richtig. Man könnte die PIN ändern, wenn man eine geeignete Software oder einen geeigneten Leser hat. Die TAN Ausgabe wird damit auch nicht gesperrt, sondern der Sm@rt TAN Leser erhält mangels der Möglichkeit eine PIN einzugeben keinen Zugriff auf den TAN Generator.


Das kann das RZ mit den derzeitigen Lesern/Verfahren definitiv nicht! (Das hatte ich ja ursprünglich in geistiger Umnachtung so behauptet).



Der Sinn dieser Kartenleser liegt in einer anderen Anwendung des TAN Generators. Mit einem solchen Leser ist es z.B. möglich zu prüfen, ob der Anwender wirklich die Karte in der Hand hält, die er z.B. jetzt zum Kauf im Internet einsetzen möchte. Hierzu wird eine Zahl vorgegeben, die der Anwender dann in diesen Leser eintippt. Der TAN Generator errechnet mit dieser zusätzlichen Variablen eine Zahl, die der Anwender dann als Bezahlbestätigung im Internetshop eingibt. Das RZ prüft, die Zahl dann und bestätigt dem Shop, dass die Karte dem Käufer vorliegt.

Vor diesem Hintergrund vermute ich auch, dass Du die Ausprägung des TAN Generators für die Kreditkarte mit der des Sm@rt TANs verwechselst.

Gruß

Holger

Hallo Holger,
die Zitiererei ist zwar echt lästig, aber das muss nun wohl sein. Meine Aussagen beruhen dabei rein auf öffentlich zugänglichen Informationen.

Ja ja ja. Wenn ich deutsch schreibe, richte ich mich v.a. an die deutschen Anwender. Müssen die armen Anwender jetzt - wie bei den MS-PCs auch noch über das Betriebssystem Bescheid wissen? Die neuen Karten werden doch v.a. wegen ihrer EMV-Anwendung(en) eingeführt.

Das Verfahren ist 3-DES. Und was erzeugt DES? Eine Pseudo-zufällige Bitfolge. Der monoton wachsende ATC bewirkt die Kontinuität (War wohl etwas zu mathematisch).

Das RZ kennt den genauen ATC der Karte also doch nicht! (Außer im Auslieferungszustand) Warum sollte es wohl sonst mehrere Varianten innerhalb eines Range ausrechnen und ggf. Abgleich vornehmen?

Wie schon das Sprichwort sagt: Ohne Arme keine Kekse.

Deswegen hatte ich geschrieben TAN-Ausgabe ohne PIN.

Oh, da werde ich wohl noch mal nachfragen.

Und zum Abschluss noch was ganz philosophisches:
Der Sinn der Dinge liegt m.E. in der Fülle aller Möglichkeiten, zu denen sie verwendet werden.

Zankt euch nicht, es ist Weihanchten (zumindest bald...)

Einen Kommentar kann ich mir aber doch nicht verkneifen:


Über EMV vs. SECCOS habt ihr euch schon ausgetauscht, um es nochmal ganz präzise zu sagen:
Für das Verfahren ist eine SECCOS-Karte notwendig, die die Kommandos zur Unterstützung von EMV-Applikationen implementiert hat. Theoretisch wäre also eine Karte ohne EMV-Anwendung denkbar, praktisch wird es so eine wohl nicht geben (wozu auch?).

Das RZ "schätzt" aber keineswegs den Zähler der Karte (ATC), sondern führt den ATC grundsätzlich im Hintergrundsystem mit.
Vereinfacht gesagt, wird die eingegeben TAN dann akzeptiert, wenn das Ergebnis einer Berechnung im Hintergrundsystem mit der TAN übereinstimmt.
Basis der Berechnung sind ein kartenindividueller Triple-DES-Key, der ATC und noch einige andere Informationen.

Wenn keine Übereinstimmung gefunden wird, wird im Hintergrundsystem mit einigen folgenden ATC-Werten die gleiche Berechnung durchgeführt. Erst wenn das schiefgeht, muss der ATC von Chipkarte und Hintergrundsystem synchronisiert werden.


Das ist wirklich eine spannende Frage.
Ohne es gerade prüfen zu können, meine ich, dass eine Prüfung, ob die TAN mit oder ohne PIN erzeugt wurde aktuell zwar nicht geht, die TAN aber in jedem Fall (alos unabhängig vom CVR) akzeptiert werden sollte.
CMIW...

Ich wünsche noch frohe Weichnachten allerseits (und hoffe, nicht allzusehr gelangweilt zu haben )

Gruß
BW