Re: Arbeitstreffen im Dezember?

Moin,

On Mittwoch, 21. November 2007, Martin Schulze wrote:
[...]
> Die Kommunikation zwischen den beiden Endpunkten wird verschluesselt
> und auf dem Client wird das Server-Zertifikat ueberprueft -> zwischendurch
> kann keiner mithorchen. (Gut, setzt voraus, dass die Verschluesselung
> hinreichend durchdacht ist, was Du zumindest zu Teilen widerlegt hast).
[...]

Das mit dem Zertifikat gilt nur fuer den Pin/Tan-Modus. Eine "echte"
HBCI-Verbindung arbeitet derzeitig noch nicht mit Zertifikaten, das ist
allerdings auch nicht noetig, weil die Gueltigkeit der Schluessel implizit
gegeben ist (durch Ausgabe einer Chipkarte durch die Bank) bzw. durch
Schriftverkehr sichergestellt ist.

Die Sicherheit des DES-Verfahrens bei HBCI beruht darauf, dass jede Nachricht
mit einem eigenen, zufaelligen Schluessel verschluesselt wird. Dieser
Schluessel wiederum wird mit den Schluesseln des Benutzers/der Bank
verschluesselt.

Daher kann derzeit die Kommunikation zwischen Bank und Benutzer auch
wahrscheinlich nicht in Echtzeit dekodiert werden.

Allerdings: Beim DDV-Verfahren (wo also der Nachrichten-Schluessel wieder mit
einem DES-Schluessel verschluesselt wird) koennte man natuerlich versuchen,
den Schluessel des Benutzers zu knacken. Ab da koennte man wieder alles
mitlesen...

Gruss
Martin

-- 
"Things are only impossible until they're not"
Martin Preuss - http://www.aquamaniac.de/
AqBanking - http://www.aqbanking.de/
LibChipcard - http://www.libchipcard.de/