Stellenausschreibung IT-MitarbeiterInnen - bitte um Weiterleitung an Interessierte
Liebe ListenteilnehmerInnen, Ich möchte Euch auf folgende Stellenausschreibung aufmerksam machen: Der Büchereiverband Österreichs sucht zum ehestmöglichen Termin eine(n) IT-MitarbeiterIn Arbeitszeit: mindestens 30 Stunden bis Vollzeit (38,5 Stunden), befristet auf 2 Jahre. Zur Unterstützung unseres Teams suchen wir eine/n IT-MitarbeiterIn für Informationsorganisation und Webseitengestaltung, Systemadministration und für die Mitwirkung am Projektmanagement laufender Projekte. Ihr Profil: * Erfahrung im Umgang mit Windows-Betriebssystemen * Erfahrung mit der Umsetzung von IT-Projekten * abgeschlossenes Studium oder Ausbildung mit IT-Background * gute Kenntnisse von gängigen CMS, HTML und CSS * grundlegende Datenbankkenntnisse (MySQL/SQL) * hohe Lernbereitschaft zur Einarbeitung in neue Arbeitsfelder (z.B. Bibliotheksprogramme) Bewerbungen (Motivationsschreiben, Lebenslauf) bitte bis 08. Dezember per E-Mail an personal@bvoe.at. Weitere Informationen unter http://www.bvoe.at/Ueber_uns/Stellenangebote Für Rückfragen stehe ich gerne zur Verfügung! Mit herzlichen Grüßen, Barbara Haubenwaller ----------------------------------------------- Barbara Haubenwaller EDV-Abteilung Büchereiverband Österreichs Museumstraße 3/B/12 1070 Wien Tel.: 01 406 97 22 - 20 Fax: 01/ 406 35 94 22 Mail: <mailto:haubenwaller@bvoe.at> haubenwaller@bvoe.at <http://www.bvoe.at> http://www.bvoe.at
Hi, ich wuerd mal vorschlagen, dass du dir dein mobiltelefon freischlaten laesst. dann hast du tel nr + passwort und sms code als 2-faktor auth statt der buergerkare und kannst dir die schwindelige java-software und den kartenleser sparen. freischalten koennen das z.b. die diversen it-abteilungen der bundeslaender. oder wenn du schon ne buergerkarte hast kannst du das selber machen. greetz red 2013/11/27 <BDuN@gmx.net>
hi alle, bin gerade am Überlegen, mir eine sogenannte Bürgerkarte zuzulegen, um im Internet die ganzen unangenehmen Amtswege erledigen zu können und habe mich auf den help.gv.at -Seiten umgesehen - da werden mehrere Versionen von Software angeboten etc etc
Jetzt frage ich mich und euch - im Zeitalter der Überwachung, was nehme ich da am Besten, wo vermeide ich trotz aller Verschlüsselung trotzdem die Bürgerkarte, welche Risiken hat die (wenn sie mir abhanden kommt, klar - aber sonst ?) - was kann mir damit blühen, was mir erspart bliebe, wenn ich weiter sinnlose Stunden auf Ämtern versitze und was gewinne ich wirklich damit (außer der Zeit beim Versitzen und dem grantigen Beamten )
Hat jemand von euch damit Erfahrung(en) ?
also - soll i oda soll i net ?
Sonnigen Nachmittag B.
------------------------------ Diese E-Mail wurde aus dem Sicherheitsverbund E-Mail made in Germany versendet: http://www.gmx.net/e-mail-made-in-germany<http://www.gmx.net/e-mail-made-in-germany?mc=footer@textlink@emig.emig>
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
Am 2013-11-28 09:12, schrieb red667:
Hi,
ich wuerd mal vorschlagen, dass du dir dein mobiltelefon freischlaten laesst. dann hast du tel nr + passwort und sms code als 2-faktor auth statt der buergerkare und kannst dir die schwindelige java-software und den kartenleser sparen.
freischalten koennen das z.b. die diversen it-abteilungen der bundeslaender. oder wenn du schon ne buergerkarte hast kannst du das selber machen.
Hi, auf den ersten Blick klingt die "Handy-Signatur" verlockend, ich w�rde die aber, aus folgenden Gr�nden, niemals nehmen: .) Du legst Deine Unterschrift die der "Eigenh�ndigen" gesetzlich gleich gestellt ist (mit Ausnahme Erbschaft & Grundst�ckskauf) in die H�nde eines "Dritten"! .) Du �bergibst die Kontrolle �ber Sicherheitsma�nahmen, etc. an diesen "Dritten". Auch wenn die dort in einem HSM liegt und Du dem Betreiber zu 100% vertraust, gibt es gewisse Risken wie ein kompromittiertes Handy. .) Deine Unterschrift ist _nur_ �ber ein SMS abgesichert, mit allen Angriffsm�glichkeit gegen SMS/Mobiltelefon. .) die Haftung ist im Signaturgesetz geregelt und recht strikt, viel Spa� beim Beweis, dass Dein Handy gehakt wurde, etc. .) die Signatur steht 24x7 "in der Cloud", Du hast keine einfache M�glichkeit das Ding vor�bergehend au�er Betrieb zu nehmen um z.B. das Risiko zu minimieren. .) MTM Attacken sind auf einem kompromittieren PC gegen die Digitale Signatur m�glich, speziell wenn "nur" ein Web-Viewer zum Einsatz kommt, da es kein unabh�ngiges Leseger�t gibt auf dem Du pr�fen kannst was Du eigentlich tats�chlich unterschreibst. Das ist ein generelles Problem und tritt auch mit Karte/Leseger�t auf, der (angeblich) "sichere Viewer", macht es aber zumindest ein kleinwenig schwieriger. Mein Konklusio: Die Signatur auf der Karte mit Kartenleser ist super m�hsam, aber man beh�lt wenigstens die Kontrolle dar�ber wann/wo die Karte zum Einsatz kommt. Und wenn man die Karte aus dem Leser zieht ist wenigstens sicher, dass sie nicht zum Einsatz kommen kann. Ich hatte eine Zeitlang eine Signaturkarte mit Leser (beruflich begr�ndet), f�r mich hat sich aber Aufwand/Nutzen/Risiko nicht gerechnet und ich habe es daher ganz bleiben lassen. Wenn Du mehrere/viele Beh�rdenwege hast die Dig.sig. unterst�tzen mag es aber den Aufwand wert sein. Ich empfehle Dir Dich zu erkundigen ob die Services die Du im Auge hast auch tats�chlich mit Dig.Sig. funktionieren, zumindest bis vor ein paar Jahren gab es au�er Finanz-Online nicht viel. LG Wolfgang
Hi, kurzer Einwurf: ist nicht sowieso der Private-Key auf einem A-Trust Server, auch wenn er zusätzlich auf der Karte liegt, oder ist das ein anderer? LG 2013/11/28 Wolfgang Trexler <wt-lists@trexler.at>
Am 2013-11-28 09:12, schrieb red667:
Hi,
ich wuerd mal vorschlagen, dass du dir dein mobiltelefon freischlaten laesst. dann hast du tel nr + passwort und sms code als 2-faktor auth statt der buergerkare und kannst dir die schwindelige java-software und den kartenleser sparen.
freischalten koennen das z.b. die diversen it-abteilungen der bundeslaender. oder wenn du schon ne buergerkarte hast kannst du das selber machen.
Hi,
auf den ersten Blick klingt die "Handy-Signatur" verlockend, ich würde die aber, aus folgenden Gründen, niemals nehmen:
.) Du legst Deine Unterschrift die der "Eigenhändigen" gesetzlich gleich gestellt ist (mit Ausnahme Erbschaft & Grundstückskauf) in die Hände eines "Dritten"! .) Du übergibst die Kontrolle über Sicherheitsmaßnahmen, etc. an diesen "Dritten". Auch wenn die dort in einem HSM liegt und Du dem Betreiber zu 100% vertraust, gibt es gewisse Risken wie ein kompromittiertes Handy. .) Deine Unterschrift ist _nur_ über ein SMS abgesichert, mit allen Angriffsmöglichkeit gegen SMS/Mobiltelefon. .) die Haftung ist im Signaturgesetz geregelt und recht strikt, viel Spaß beim Beweis, dass Dein Handy gehakt wurde, etc. .) die Signatur steht 24x7 "in der Cloud", Du hast keine einfache Möglichkeit das Ding vorübergehend außer Betrieb zu nehmen um z.B. das Risiko zu minimieren. .) MTM Attacken sind auf einem kompromittieren PC gegen die Digitale Signatur möglich, speziell wenn "nur" ein Web-Viewer zum Einsatz kommt, da es kein unabhängiges Lesegerät gibt auf dem Du prüfen kannst was Du eigentlich tatsächlich unterschreibst. Das ist ein generelles Problem und tritt auch mit Karte/Lesegerät auf, der (angeblich) "sichere Viewer", macht es aber zumindest ein kleinwenig schwieriger.
Mein Konklusio: Die Signatur auf der Karte mit Kartenleser ist super mühsam, aber man behält wenigstens die Kontrolle darüber wann/wo die Karte zum Einsatz kommt. Und wenn man die Karte aus dem Leser zieht ist wenigstens sicher, dass sie nicht zum Einsatz kommen kann.
Ich hatte eine Zeitlang eine Signaturkarte mit Leser (beruflich begründet), für mich hat sich aber Aufwand/Nutzen/Risiko nicht gerechnet und ich habe es daher ganz bleiben lassen. Wenn Du mehrere/viele Behördenwege hast die Dig.sig. unterstützen mag es aber den Aufwand wert sein. Ich empfehle Dir Dich zu erkundigen ob die Services die Du im Auge hast auch tatsächlich mit Dig.Sig. funktionieren, zumindest bis vor ein paar Jahren gab es außer Finanz-Online nicht viel.
LG Wolfgang
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
Ohai, nach allen Regeln von PKI und digitalen Zertifikaten darf der Pirvate-Key nur auf der Chipkarte sein. Der Public-Key kann sehr wohl noch an anderen Orten gespeichert sein. Wenn jemand etwas anderes zur B�rgerkarte weiss, w�re ich mehr als interessiert das zu erfahren (gerne auch off-list, mein PGP key liegt mehrfach signiert auf den �blichen Key- Servern), das w�re der Knaller auf der n�chsten DeepSec. Greets, MiKa On 13/11/28/ 19:45, stefan2904 wrote:
Hi, kurzer Einwurf: ist nicht sowieso der Private-Key auf einem A-Trust Server, auch wenn er zus�tzlich auf der Karte liegt, oder ist das ein anderer?
LG
Hi On 2013-11-28 22:53, Michael Kafka wrote:
Ohai,
nach allen Regeln von PKI und digitalen Zertifikaten darf der Pirvate-Key nur auf der Chipkarte sein. Der Public-Key kann sehr wohl noch an anderen Orten gespeichert sein.
Wenn jemand etwas anderes zur Bürgerkarte weiss, wäre ich mehr als interessiert das zu erfahren (gerne auch off-list, mein PGP key liegt mehrfach signiert auf den üblichen Key- Servern), das wäre der Knaller auf der nächsten DeepSec.
das würde mich jetzt aber auch interessieren. scheinbar ist es aber so, dass bei der handysignatur gar kein private/public key verwendet wird sondern dies nur bei der eCard variante passiert? zumindest interpretiere ich die FAQ auf der bürgerkarten seite so... mich würde auch wundern wo der private schlüssel denn hin soll? Am handy habe ich den ja nicht... Wie habe ich eigentlich diesen Satz zu verstehen: Die E-Mail-Signatur ist weniger rechtsverbindlich: Es ist immer nur eine fortgeschrittene Signatur (keine qualifizierte), weil das RSA-Zertifikat auf der e-card kein qualifiziertes Zertifikat ist. Dazu §5 SigG http://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Bundesnormen&Dokumentnummer=NO... Welche dieser Punkte erfüllt das Zertifikat auf der eCard denn nicht? LG
Greets,
MiKa
On 13/11/28/ 19:45, stefan2904 wrote:
Hi, kurzer Einwurf: ist nicht sowieso der Private-Key auf einem A-Trust Server, auch wenn er zusätzlich auf der Karte liegt, oder ist das ein anderer?
LG
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
Okay ich beantworte das mal selber: http://www.buergerkarte.at/experten-informationen.html Unter "Was passiert bei der Aktivierung der Bürgerkarte?" steht genau beschrieben wie das abrennt. interessant dabei ist, dass sie in Schritt 2 die SVNR verwenden die theoretisch doppelt vergeben werden kann und in Schritt 4 Name, GB und PLZ als abgleich verwenden. ich denke mal in beiden fällen sind die chancen gering aber kommt es nicht besonders bei personen die gleich heißen, am selben tag geboren sind und im selben bezirk wohnen am ehesten zu einer doppelten svnr nummer? allerdings kann ich ja auch handy sig ohne bürgerkarte verwenden? Ich habe irgendwie nie was auf die ecard gespielt afaik? lg On 2013-11-29 12:41, Sebastian Bachmann wrote:
Hi
On 2013-11-28 22:53, Michael Kafka wrote:
Ohai,
nach allen Regeln von PKI und digitalen Zertifikaten darf der Pirvate-Key nur auf der Chipkarte sein. Der Public-Key kann sehr wohl noch an anderen Orten gespeichert sein.
Wenn jemand etwas anderes zur Bürgerkarte weiss, wäre ich mehr als interessiert das zu erfahren (gerne auch off-list, mein PGP key liegt mehrfach signiert auf den üblichen Key- Servern), das wäre der Knaller auf der nächsten DeepSec.
das würde mich jetzt aber auch interessieren. scheinbar ist es aber so, dass bei der handysignatur gar kein private/public key verwendet wird sondern dies nur bei der eCard variante passiert? zumindest interpretiere ich die FAQ auf der bürgerkarten seite so... mich würde auch wundern wo der private schlüssel denn hin soll? Am handy habe ich den ja nicht...
Wie habe ich eigentlich diesen Satz zu verstehen: Die E-Mail-Signatur ist weniger rechtsverbindlich: Es ist immer nur eine fortgeschrittene Signatur (keine qualifizierte), weil das RSA-Zertifikat auf der e-card kein qualifiziertes Zertifikat ist.
Dazu §5 SigG http://www.ris.bka.gv.at/Dokument.wxe?Abfrage=Bundesnormen&Dokumentnummer=NO... Welche dieser Punkte erfüllt das Zertifikat auf der eCard denn nicht?
LG
Greets,
MiKa
On 13/11/28/ 19:45, stefan2904 wrote:
Hi, kurzer Einwurf: ist nicht sowieso der Private-Key auf einem A-Trust Server, auch wenn er zusätzlich auf der Karte liegt, oder ist das ein anderer?
LG
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
Hallo Sebastian,
interessant dabei ist, dass sie in Schritt 2 die SVNR verwenden die theoretisch doppelt vergeben werden kann und in Schritt 4 Name, GB und PLZ als abgleich verwenden. ich denke mal in beiden fällen sind die chancen gering aber kommt es nicht besonders bei personen die gleich heißen, am selben tag geboren sind und im selben bezirk wohnen am ehesten zu einer doppelten svnr nummer?
die SVNR ist eindeutig. Siehe: http://de.wikipedia.org/wiki/Sozialversicherungsnummer#.C3.96sterreich lg, Roman
On 2013-11-29 13:15, Roman Zechmeister wrote:
Hallo Sebastian,
interessant dabei ist, dass sie in Schritt 2 die SVNR verwenden die theoretisch doppelt vergeben werden kann und in Schritt 4 Name, GB und PLZ als abgleich verwenden. ich denke mal in beiden fällen sind die chancen gering aber kommt es nicht besonders bei personen die gleich heißen, am selben tag geboren sind und im selben bezirk wohnen am ehesten zu einer doppelten svnr nummer?
die SVNR ist eindeutig. Siehe: http://de.wikipedia.org/wiki/Sozialversicherungsnummer#.C3.96sterreich [1] dennoch könnte sie doppelt vergeben werden. fehler passieren :)
LG
lg, Roman
Links: ------ [1] http://de.wikipedia.org/wiki/Sozialversicherungsnummer#.C3.96sterreich
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
ich hab das nicht so richtig verfolgt, aber ich hab am Mittwoch einen Vortrag von jemandem vom Bundeskanzleramt genau ueber dieses Thema gehoert. der hat erzaehlt, dass genau in seiner Abteilung jemand sitzt der den gleichen Namen, das gleiche Geburtstdatum und die gleiche Sozialversicherungsnummer hat wie jemand aus Vorarlberg (die Sozialversicherungsnummer wurde dann geaendert.) der hat immer wieder erwaehnt: laut paragraph 4, abs. 1 signaturgesetz ist eine digitale signatur mittels buergerkarte/handysignatur einer haendischen unterschrift gleichzusetzen. Ausnahmen: hochzeit, grundstueckskauf und testament. Ansonsten hat er eigentlich gemeint, das system sei recht sicher. Wir haben aber (40 Informatiker) schon eine Idee gehabt wie man dieses System aushebeln (SMS abgreifen) oder zumindestens dem Staat einiges an Geld abknoepfen (Der TAN der einem aufs Handy geschickt wird, kostet dem Staat 16 Cent pro SMS) koennte. Ich hoffe das war nicht ganz am Thema vorbei. -- LG Roland On 29 Nov 2013, at 13:15 , Roman Zechmeister <Mento@gpgtools.org> wrote:
Hallo Sebastian,
interessant dabei ist, dass sie in Schritt 2 die SVNR verwenden die theoretisch doppelt vergeben werden kann und in Schritt 4 Name, GB und PLZ als abgleich verwenden. ich denke mal in beiden fällen sind die chancen gering aber kommt es nicht besonders bei personen die gleich heißen, am selben tag geboren sind und im selben bezirk wohnen am ehesten zu einer doppelten svnr nummer?
die SVNR ist eindeutig. Siehe: http://de.wikipedia.org/wiki/Sozialversicherungsnummer#.C3.96sterreich
lg, Roman _______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
On 2013-11-28 22:53, Michael Kafka wrote:
Ohai,
nach allen Regeln von PKI und digitalen Zertifikaten darf der Pirvate-Key nur auf der Chipkarte sein. Der Public-Key kann sehr wohl noch an anderen Orten gespeichert sein.
Wenn jemand etwas anderes zur Bürgerkarte weiss, wäre ich mehr als interessiert das zu erfahren (gerne auch off-list, mein PGP key liegt mehrfach signiert auf den üblichen Key- Servern), das wäre der Knaller auf der nächsten DeepSec.
der private schlüssel der handy signatur liegt scheinbar bei a-trust: A-Trust verschlüsselt den Hash-Wert mit dem privaten Schlüssel und sendet das Ergebnis (d.h. den signierten Hash-Wert) an FinanzOnline. vgl http://www.buergerkarte.at/experten-informationen.html#jump2 / Mit dem Handy punkt 9 lg
Greets,
MiKa
On 13/11/28/ 19:45, stefan2904 wrote:
Hi, kurzer Einwurf: ist nicht sowieso der Private-Key auf einem A-Trust Server, auch wenn er zusätzlich auf der Karte liegt, oder ist das ein anderer?
LG
_______________________________________________ Metalab mailing list Metalab@lists.metalab.at https://lists.metalab.at/mailman/listinfo/metalab
On 2013-11-28 22:53, Michael Kafka wrote:
Ohai,
nach allen Regeln von PKI und digitalen Zertifikaten darf der Pirvate-Key nur auf der Chipkarte sein. Der Public-Key kann sehr wohl noch an anderen Orten gespeichert sein.
Wenn jemand etwas anderes zur Bürgerkarte weiss, wäre ich mehr als interessiert das zu erfahren (gerne auch off-list, mein PGP key liegt mehrfach signiert auf den üblichen Key- Servern), das wäre der Knaller auf der nächsten DeepSec.
Greets,
MiKa
On 13/11/29/ 12:53, Sebastian Bachmann wrote:
der private schlüssel der handy signatur liegt scheinbar bei a-trust: A-Trust verschlüsselt den Hash-Wert mit dem privaten Schlüssel und sendet das Ergebnis (d.h. den signierten Hash-Wert) an FinanzOnline.
vgl http://www.buergerkarte.at/experten-informationen.html#jump2 / Mit dem Handy punkt 9
lg
Die Diskussion entwickelt sich recht spannend, Handy-Signatur hatte ich mir bisher nicht genau angesehen: SigG § 2.3.c): "mit Mitteln erstellt wird, die der Signator unter seiner alleinigen Kontrolle halten kann, " Handy-Signatur: "Bei Bürgerkarte am Handy: das Hochsicherheits-Rechenzentrum der A-Trust (Zugriff durch das Handy-Signatur Passwort geschützt)" Wie kann ein Signator alleinige Kontrolle des Hochsicherheits-Rechenzentrums erlangen, bzw. wie ist gesichert, dass es keine wie auch immer geartete Möglichkeit gibt, zu signieren, ohne dass der Signator sein Handy-Signatur Passwort eingibt? Über welche Wege wird das Handy-Signatur Passwort übertragen, wie ist es dort gesichert, wo ist das Passwort bei der A-Trust gespeichert, wie wird die Authentizität des H.Sig.Passwortes überprüft? Wir hatten letzte Woche ein paar spannende Vorträge über Smart- phones und deren Sicherheit. Greets, MiKa
On 2013-11-29 13:22, Michael Kafka wrote:
On 2013-11-28 22:53, Michael Kafka wrote:
Ohai,
nach allen Regeln von PKI und digitalen Zertifikaten darf der Pirvate-Key nur auf der Chipkarte sein. Der Public-Key kann sehr wohl noch an anderen Orten gespeichert sein.
Wenn jemand etwas anderes zur Bürgerkarte weiss, wäre ich mehr als interessiert das zu erfahren (gerne auch off-list, mein PGP key liegt mehrfach signiert auf den üblichen Key- Servern), das wäre der Knaller auf der nächsten DeepSec.
Greets,
MiKa
On 13/11/29/ 12:53, Sebastian Bachmann wrote:
der private schlüssel der handy signatur liegt scheinbar bei a-trust: A-Trust verschlüsselt den Hash-Wert mit dem privaten Schlüssel und sendet das Ergebnis (d.h. den signierten Hash-Wert) an FinanzOnline.
vgl http://www.buergerkarte.at/experten-informationen.html#jump2 / Mit dem Handy punkt 9
lg
Die Diskussion entwickelt sich recht spannend, Handy-Signatur hatte ich mir bisher nicht genau angesehen:
SigG § 2.3.c): "mit Mitteln erstellt wird, die der Signator unter seiner alleinigen Kontrolle halten kann, "
Handy-Signatur: "Bei Bürgerkarte am Handy: das Hochsicherheits-Rechenzentrum der A-Trust (Zugriff durch das Handy-Signatur Passwort geschützt)"
Wie kann ein Signator alleinige Kontrolle des Hochsicherheits-Rechenzentrums erlangen, bzw. wie ist gesichert, dass es keine wie auch immer geartete Möglichkeit gibt, zu signieren, ohne dass der Signator sein Handy-Signatur Passwort eingibt?
ich glaube man sollte mal dort hin fahren udn seine alleinige kontrolle verlangen^^
Über welche Wege wird das Handy-Signatur Passwort übertragen, wie ist es dort gesichert, wo ist das Passwort bei der A-Trust gespeichert, wie wird die Authentizität des H.Sig.Passwortes überprüft?
vermutlich https mit rc4 :D
On 2013-11-29, at 13:22, Michael Kafka <m.kafka@aon.at> wrote:
Wie kann ein Signator alleinige Kontrolle des Hochsicherheits-Rechenzentrums erlangen, bzw. wie ist gesichert, dass es keine wie auch immer geartete Möglichkeit gibt, zu signieren, ohne dass der Signator sein Handy-Signatur Passwort eingibt?
Vielleicht wird die IMEI als shared key verwendet? ;) Schöne Grüße Andreas
On Fre, 2013-11-29 at 13:57 +0100, Andreas Monitzer wrote:
On 2013-11-29, at 13:22, Michael Kafka <m.kafka@aon.at> wrote:
Wie kann ein Signator alleinige Kontrolle des
D.h. aktuell dürfen Signaturen nicht auf Handys, Windows-Rechner und anderen proprietären OSs erzeugt werden?! In Zukunft - wenn die Quellen-TKÜ kommt - wird es auch zu Hause für alle anderen eng. Dann braucht jeder einen netzwerklosen Rechner dafür (und die Keys dürfen den nur per Sneakernet verlassen).
Hochsicherheits-Rechenzentrums erlangen, bzw. wie ist gesichert, dass es keine wie auch immer geartete Möglichkeit gibt, zu signieren, ohne dass der Signator sein Handy-Signatur Passwort eingibt?
Vielleicht wird die IMEI als shared key verwendet? ;)
Und weil es keiner weiß, ist es sicher;-) Vllt. sind die IMEIs auch nur die public keys von irgendeiner asymmetrischen Verschlüsselung? Die NSA hat sicher ein Service, wo man gratis Key-Paare bekommen kann .... SCNR und mfG, Bernd -- Bernd Petrovitsch Email : bernd@petrovitsch.priv.at LUGA : http://www.luga.at
Am 2013-11-28 19:45, schrieb stefan2904:
Hi, kurzer Einwurf: ist nicht sowieso der Private-Key auf einem A-Trust Server, auch wenn er zus�tzlich auf der Karte liegt, oder ist das ein anderer?
Hi, wei� nicht wie das heute ist, aber als ich mich zuletzt damit besch�ftigt habe waren auf der "echten" A-Trust Karte (nicht e-Card afaik) zwei Signaturen drauf: - ein "Verschl�sselungs-Zertifikat" bei dem eine Kopie des Private-Keys in der A-Trust aufliegt, es kann bei Verlust eine Karte mit dem selben Zertifikat nacherzeugt werden. Das ist z.B. dann erforderlich wenn private Daten mit dem Key verschl�sselt werden, schlie�lich will niemand seine Daten verlieren nur weil die Signaturkarte defekt ist. - eine "qualifizierte Signatur" bei der der Private-Key nur in der Karte (im z.B. ACOS Chip) liegt. D.h. bei Verlust der Karte (Defekt, etc.) ist der Schl�ssel unwiederbringlich verloren. Das ist beim Signieren aber egal da ja trotzdem weiterhin die Echtheit der Signatur gepr�ft werden kann, es kann halt keine neue mehr erstellt werden (mit diesem Zertifikat). Die beiden Zertifikate hatten/haben auch unterschiedliche PINs in unterschiedlicher PIN-L�nge. Dieser Umstand wird/wurde aber mitunter (selbst) von den Dienstbetreibern nicht verstanden, so gab es Dienste die f�r "Transaktionsbest�tigungen", also klassische Unterschriftsleistungen nicht die "qualifizierte Signatur" verlangt haben, sondern "nur" das "Verschl�sselungs-Zertifikat". LG Wolfgang
On 2013-11-28, at 12:30, Wolfgang Trexler <wt-lists@trexler.at> wrote:
auf den ersten Blick klingt die "Handy-Signatur" verlockend, ich würde die aber, aus folgenden Gründen, niemals nehmen:
Die Signatur via Kartenreader ist leider mittlerweile deprecated, zumindest auf Macs (geht da auch technisch gar nicht mehr). Nur mehr die Handysignatur wird da unterstützt. Schöne Grüße Andreas
Hallo, 2013/11/28 Andreas Monitzer <metalab@monitzer.com>:
Die Signatur via Kartenreader ist leider mittlerweile deprecated, zumindest auf Macs (geht da auch technisch gar nicht mehr). Nur mehr die Handysignatur wird da unterstützt.
Ich glaube kaum, dass sie offiziell deprecated ist (bzw. woher hast du diese Info?), nur scheint Mocca (die Bürgerkartenumgebung) ein paar Java-Bugs zum Vorschein gebracht zu haben, nachdem Java für OS X jetzt nicht mehr von Apple sondern von Oracle vertrieben wird. Außerdem werden Probleme bei der 32-/64-Bit-Interoperabilität genannt. Höchstwahrscheinlich also ein "mir san no ned so weit". Leider habe ich keinen ausreichend aktuellen Mac, um die Situation besser einschätzen zu können. (Ich hatte mir dummerweise einen der ersten Intel-Macs gekauft, als die Dinger noch mit Core-1-Prozessoren ohne 64-Bit-Unterstützung ausgeliefert wurden, bin also bis auf weiteres auf Snow Leopard gefangen.) Liebe Grüße, ~~ Ondra
On 2013-11-29, at 00:26, Ondřej Hošek <ondra.hosek@gmail.com> wrote:
Ich glaube kaum, dass sie offiziell deprecated ist (bzw. woher hast du diese Info?),
Ein Bekannter von mir ist Projektleiter in der Firma, die ecard-Software implementiert hat. Er kennt sich mit der Technik hinter der Bürgerkarte ziemlich gut aus.
nur scheint Mocca (die Bürgerkartenumgebung) ein paar Java-Bugs zum Vorschein gebracht zu haben, nachdem Java für OS X jetzt nicht mehr von Apple sondern von Oracle vertrieben wird. Außerdem werden Probleme bei der 32-/64-Bit-Interoperabilität genannt. Höchstwahrscheinlich also ein "mir san no ned so weit".
Er hat dazu gemeint, dass nur die Handysignatur noch weiterentwickelt wird. Mich persönlich wunderts nicht, mich hats selber mehrfach gestrauchelt bei der Einrichtung und Bedienung dieses Systems, und ich bin immerhin Softwareentwickler… Wie das jemand machen soll, der von Kryptografie absolut keine Ahnung hat, ist mir ein großes Rätsel. Schöne Grüße Andreas
Teilnehmer (12)
-
Andreas Monitzer -
Barbara Haubenwaller -
BDuN＠gmx.net -
Bernd Petrovitsch -
Michael Kafka -
Ondřej Hošek -
red667 -
Roland -
Roman Zechmeister -
Sebastian Bachmann -
stefan2904 -
Wolfgang Trexler