NPAPI und die Hardware-Sticks

[avw42]

Hallo,

Oracle hat ja vor einiger Zeit bekanntgegeben, dass das Java-Plugin für Browser nicht mehr mit der JRE (Java Runtime) ausgeliefert wird. Beim letzten Update auf Version 8.0.74 wurde es dann auch entfernt.

Somit ist auch im Firefox (und auch im IE) unter Windows 7 x64 SP1 keine Möglichkeit mehr vorhanden, sich mit dem Stick (G&D StarSign USB Token für ELSTER) einzuloggen.

Jetzt wurde ja vor einiger Zeit gesagt, dass man an einer Lösung für die Sticks arbeite, die dann ohne NPAPI auskomme.
Wie weit ist denn die Arbeit daran fortgeschritten?

Die Zeit eilt jetzt ziemlich, da es keine Möglichkeit mehr gibt, sich bei ElsterOnline mit dem Stick einzuloggen.

Eine ältere Version der JRE zu installieren, bei der das Browser-Plugin noch enthalten ist, ist angesichts der Sicherheitsrisiken für mich keine Option.

Ein neues Profil mit einem Softwarezertifikat anzulegen kommt auch nicht in Frage, da der Stick ja ein Plus an Sicherheit bietet und darauf kann ich nicht verzichten.

Vielen Dank!

Mit freundlichem Gruß
avw42

[Charlie24]

AW: NPAPI und die Hardware-Sticks

Das nächste Release ist für Ende März 2016 geplant, vorher wird da wohl nichts kommen.

Gearbeitet wird an dem Thema, aber mehr ist derzeit nicht bekannt.

[holzgoe]

AW: NPAPI und die Hardware-Sticks

Hallo,



Ein neues Profil mit einem Softwarezertifikat anzulegen kommt auch nicht in Frage, da der Stick ja ein Plus an Sicherheit bietet und darauf kann ich nicht verzichten.

Vielen Dank!

Mit freundlichem Gruß
avw42

Hallo avw42,

welches konkrete Plus an Sicherheit hat denn der Stick für dich in der Praxis gehabt ?

Ich habe noch nichts konkretes erlebt, ein Softwarezertifikat auf einem normalen Stick gesichert hat den gleichen Effekt.

Tschüß

[Basteltyp]

AW: NPAPI und die Hardware-Sticks

Hallo avw42,

habe gerade von hier:
http://www.java.com/de/download/manual.jsp
die offline Datei für 8u73 (eine höhere wird nicht angeboten) downgeloadet und installiert.
Windows 7 (32 Bit) und Firefox 43.0.4
JRE im FF aktiviert und erfolgreich einen Login mit Java und einer Zertifikatsdatei vollzogen.

Im Prinzip sollte das auch bei Ihnen funktionieren.

Edit:
So, jetzt mit der JRE 8u74 (Oracle) von hier:
http://www.oracle.com/technetwork/ja...s-2133155.html

Gleicher Act, gleicher Erfolg wie oben.
Keine Spur von ....dass das Java-Plugin für Browser nicht mehr mit der JRE (Java Runtime) ausgeliefert wird.

[avw42]

AW: NPAPI und die Hardware-Sticks

Hallo avw42,

welches konkrete Plus an Sicherheit hat denn der Stick für dich in der Praxis gehabt ?

Ich habe noch nichts konkretes erlebt, ein Softwarezertifikat auf einem normalen Stick gesichert hat den gleichen Effekt.

Tschüß

Hallo,
ich bin da vielleicht etwas paranoid, was Sicherhheit angeht...
Mit dem Stick kann man sich nur mit Passwort anmelden. Ist das beim Softwarezertifikat auch so? Wenn ja, wäre das wirklich ein Grund, den Stick nicht mehr zu benutzen.

Auch bei der Lohnsoftware, die wir benutzen, muss man das Passwort angeben, wenn die Elsterbestätigungen heruntergeladen werden sollen. Ich glaube, mich zu erinnern, dass das beim Softwarezertifikat nicht der Fall ist.

Diese Passwortabfrage ist mir sehr wichtig, muss ich sagen, weil sonst halt Missbrauch betrieben werden könnte.

Gruß
avw42

- - - Aktualisiert - - -

Hallo avw42,

habe gerade von hier:
http://www.java.com/de/download/manual.jsp
die offline Datei für 8u73 (eine höhere wird nicht angeboten) downgeloadet und installiert.
Windows 7 (32 Bit) und Firefox 43.0.4
JRE im FF aktiviert und erfolgreich einen Login mit Java und einer Zertifikatsdatei vollzogen.

Im Prinzip sollte das auch bei Ihnen funktionieren.

Edit:
So, jetzt mit der JRE 8u74 (Oracle) von hier:
http://www.oracle.com/technetwork/ja...s-2133155.html

Gleicher Act, gleicher Erfolg wie oben.
Keine Spur von ....dass das Java-Plugin für Browser nicht mehr mit der JRE (Java Runtime) ausgeliefert wird.

Hallo,
ich habe einen Denkfehler gemacht ;-)
Ich nutze FF ESR 38.6.1 und der ist ja 32Bit. Nun hat mir aber der Oracle-Installer die 32Bit-Version letztes Mal deinstalliert und nur die 64Bit installiert. Damit kann ein 32-bittiger Firefox natürlich nichts anfangen.
Du hast recht: Nachdem ich jetzt die 32Bit-JRE wieder installiert habe, ist das Plugin auch wieder da.
Da bin ich aber erleichtert :-)

Aber nichtsdestotrotz wird das Java-Plugin auf Dauer nicht mehr unterstützt werden (auch von FF) und Oracle lässt es ganz verschwinden.
Laut Golem ist das beschlossene Sache:
http://www.golem.de/news/security-oracle-will-keine-java-plugins-mehr-1601-118798.html

Ein Nachfolger ohne NPAPI wird also nötig sein. Aber wie es aussieht, wird ja an einer anderen Lösung gearbeitet.

Danke!

Gruß
avw42

[Beamtenschweiß]

AW: NPAPI und die Hardware-Sticks

Bei jedem einloggen im EOP oder bei authentifizierten Übersendungen / Belegabruf mit einem Steuerprogramm muss die ELSTER-PIN (Passwort) eingegeben werden.
Ohne das Passwort dazugehörige Passwort ist das Software-Zertifikat wertlos.

Der einzige Vorteil des Sticks liegt darin, dass dieser nochmals verschlüsselt ist. im übrigen bietet dieser bei einem Organisationszertifikat (z.B. für Firmen oder Steuerberater) einen größeren Funktionsumfang. Für die private Verwendung des EOP/EF ist er jedoch eigentlich nicht nötig.