Zitat geschrieben von Captain FRAG
Zitat geschrieben von aquamaniac
Also ich wuerde niemals von "echtem" HBCI auf Pin/TAN (egal in welcher Form) umsteigen...
Aus Bequemlichkeit oder aus Sicherheitsgesichtspunkten?
Hauptsaechlich wegen der geringeren Uebertragungssicherheit von PIN/TAN.
Ich gebe Dir Recht, dass der Ansatz von SmartTAN die Auftragsdaten einzubeziehen, richtig ist, aber letztlich traue ich doch eher RSA-Schluesseln als der Uebertragung ueber HTTPS.
Zitat geschrieben von Captain FRAG
"Echtes" HBCI hat viele Vorteile, aber gegen ein Manipulation einer Clientsoftware ist das System machtlos, da man (derzeit) zwangsweise blind die Aufträge signieren muss.
Richtig, aber wenn die Client-Software manipuliert ist, hilft einem wohl auch SmartTan nicht weiter...
Da finde ich das Verfahren mit der SMS sicherer. Wenn einem da angezeigt wird, welche Auftraege eingereicht wurden (also das 2-Step-Verfahren verwendet wird, bei dem erst die Auftraege gesendet werden - die dem Kunden per SMS angezeigt werden koennen - und in der naechsten Nachricht die TAN), ist das praktisch kaum zu knacken. Da haette es wirklich nicht SmartTAN bedurft.
Man haette meiner Meinung nach ueberhaupt viel mehr darueber nachdenken sollen, wie man das blinde Signieren bei echtem HBCI aufloesen kann, um es damit wasserdicht zu bekommen, statt sich immer neue und abstrusere Verfahren fuer PIN/TAN auszudenken... (iTAN, mTAN, smartTan, was wohl als naechstes kommt?).
Gruss
Martin