Mehrere Zertifikate für eine Anmeldung

[keimling]

Moin,

ist es möglich mehrere Zertifikate für eine Registrierung zu haben? Oder verschiedene Passwörter für ein Zertifikat?

Grund: Wenn die Chefbuchhalterin und Geschäftsführerer im Urlaub sind soll eine dritte Person Elster machen. Die ritte Person soll aber nicht das Passwort vom aktuellen Zertifikat haben sondern sein eigenes.

MfG

Michael

[holzgoe]

AW: Mehrere Zertifikate für eine Anmeldung

Hallo Keimling,

für jedes Zertifikat gibt es immer nur ein aktuelles Passwort.
Mit einem Organisationszertifikat sind mehrere Registrierungen möglich -> allerdings gibt es für jedes Zertifikat oder jede Registrierung ein eigenes Konto.
Also bei Umsatzsteuer-Voranmeldungen oder Lohnsteueranmeldungen sollte es keine Probleme geben, dass eben vom Konto 1 die Meldung für Juni kommt und von Konto 2 die Meldung für Juli als Beispiel.
Aber wenn es um ELSTAM geht -> sollte alles über ein Zertifikat abgewickelt werden.

Tschüß

[neysee]

AW: Mehrere Zertifikate für eine Anmeldung

ist es möglich mehrere Zertifikate für eine Registrierung zu haben? Oder verschiedene Passwörter für ein Zertifikat?

Die PIN ist an die Zertifikatsdatei und nicht die Registrierung gebunden.

Also kann man folgendermaßen vorgehen:

Sicherheitskopie der alten pfx-Datei machen.
Einloggen, Konto verwalten, PIN ändern.

Hier die alte PIN und die neue PIN für die dritte Person eingeben, Name der neuen Datei auswählen, PIN speichern und neues Zertifikat runterladen.
Das alte Zertifikat wird nicht gelöscht und ist weiterhin genauso gültig wie bisher. Somit kann die dritte Person das Zertifikat kriegen, ohne dass sie die PIN vom Geschäftsführer erfährt. Machen kann die dritte Person aber all das, was der Geschäftsführer darf, denn es ist nicht unterscheidbar, mit welcher Zertifikatsdatei das Einloggen erfolgte.

[holzgoe]

AW: Mehrere Zertifikate für eine Anmeldung

Hallo neysee,

wieder was dazugelernt, ich dachte immer, das nach der PIN Änderung, das alte Zertifikat nicht mehr nutzbar ist.

Ich habe es getestet und kann mit beiden Zertifikaten auf dasselbe Konto zugreifen.

Allerdings sollte man wirklich darauf achten, dass alles was über ELSTAM läuft mit ein und demselben Zertifikat gemacht wird.

Tschüß

[ErnstK62]

AW: Mehrere Zertifikate für eine Anmeldung

Das alte Zertifikat wird nicht gelöscht und ist weiterhin genauso gültig wie bisher.

Das mag jetzt (noch) so funktionieren, jedoch würde ich mich nicht längerfristig auf diese Variante verlassen. Es scheint mir an dieser Stelle eher eine Schwachstelle des Elster-Sicherheitskonzeptes zu sein, die in naher Zukunft aller Wahrscheinlichkeit nach im Zuge eines unangekündigten Updates bereinigt werden wird.

[holzgoe]

AW: Mehrere Zertifikate für eine Anmeldung

Hallo ErnstK62,

das wird meiner Meinung nicht ohne Vorankündigung passieren.
Denn ich habe diese Lösung schon vom Elster-Support für ein bestehendes Problem vorgeschlagen bekommen, ohne diese richtig zu verinnerlichen, deswegen war ich neysee dankbar für den Hinweis.
Der Support hat Anfang diesen Jahres folgendes geschrieben ->
Von daher schlagen wir folgende Lösung vor:
Loggen Sie sich mit dem Zertifikat ABCÄ_elster_22.07.2015.pfx ins ElsterOnline-Portal ein und ändern Sie dort die PIN ( Konto verwalten – PIN ändern).
Bei diesem Ablauf wird ein neues Zertifikat erstellt. Nachdem das neue Zertifikat erstellt wurde hinterlegen Sie dieses bitte bei ElsterFormular und versuchen Sie dann eine Datenübermittlung für die nächste Anmeldung vorzunehmen.

Viele ähnliche Fehlermeldungen mit folgender Lösung (z.B. SUP-64050)

Tschüß

[ErnstK62]

AW: Mehrere Zertifikate für eine Anmeldung

@holzgoe

Vielleicht bin ich im Moment 'betriebsblind', aber ich sehe im von Dir angeführten Supportvorschlag noch nicht die Aussage, dass das vorherige Zertifikat weiterhin Verwendbarkeit besitzt, sondern lediglich die Aussage, dass das neue Zertifikat das alte Zertifikat ersetzt.

[holzgoe]

AW: Mehrere Zertifikate für eine Anmeldung

@holzgoe

Vielleicht bin ich im Moment 'betriebsblind', aber ich sehe im von Dir angeführten Supportvorschlag noch nicht die Aussage, dass das vorherige Zertifikat weiterhin Verwendbarkeit besitzt, sondern lediglich die Aussage, dass das neue Zertifikat das alte Zertifikat ersetzt.

Hallo ErnstK62,

da lag das Problem etwas anders, deshalb wurde das nicht explizit geschrieben -> aber der Sachverhalt funktioniert so wie wir es oben diskutiert haben.

Tschüß

[ErnstK62]

AW: Mehrere Zertifikate für eine Anmeldung

...der Sachverhalt funktioniert so wie wir es oben diskutiert haben

Einverstanden. Schlussendlich liegt die Entscheidung beim Anwender

[neysee]

AW: Mehrere Zertifikate für eine Anmeldung

Es scheint mir an dieser Stelle eher eine Schwachstelle des Elster-Sicherheitskonzeptes zu sein, die in naher Zukunft aller Wahrscheinlichkeit nach im Zuge eines unangekündigten Updates bereinigt werden wird.

Warum? Es ist der normale Workflow bei PKI. Die Passphrase encrypted den private key, und wenn ich die Passphrase ändere, wird der private key re-encrypted, und beide, der neue und eine Kopie des alten, bleiben gültig. PGP/GPG funktionieren seit Jahrzehnten nicht anders, völlig sicher, mit durchaus ein paar mehr Nutzern, wo liegt da also ein angebliches Sicherheitsproblem?

[L. E. Fant]

AW: Mehrere Zertifikate für eine Anmeldung

Allerdings versteh ich nicht welchen Vorteil man mit dieser Methode hat. Im Gegensatz dazu, die Zertifikatsdatei und das Passwort einfach weiterzugeben

[neysee]

AW: Mehrere Zertifikate für eine Anmeldung

Allerdings versteh ich nicht welchen Vorteil man mit dieser Methode hat. Im Gegensatz dazu, die Zertifikatsdatei und das Passwort einfach weiterzugeben

Vielleicht wurde ein Passwort gewält, dass die dritte Person nicht wissen soll, sei es, dass als PIN das Schweizer Nummernkonto, die Kombination vom Safe oder die Telefonnr. der Geliebten genommen wurde.

[ErnstK62]

AW: Mehrere Zertifikate für eine Anmeldung

Warum? Es ist der normale Workflow bei PKI. Die Passphrase encrypted den private key, und wenn ich die Passphrase ändere, wird der private key re-encrypted, und beide, der neue und eine Kopie des alten, bleiben gültig. PGP/GPG funktionieren seit Jahrzehnten nicht anders, völlig sicher, mit durchaus ein paar mehr Nutzern, wo liegt da also ein angebliches Sicherheitsproblem?

Wahrscheinlich habe ich mich falsch ausgedrückt. Ich empfand die Tatsache, dass es parallel mehrere funktionierende Zugangszertifikate geben kann als ein gewisses Sicherheitsrisiko (Missbrauch etc.). Ich habe ja schließlich auch nur einen einzigen gültigen Personalausweis und nicht mehrere gleichzeitig (den Reisepass sehe ich hier in einer etwas anderen Funktion). Erhalte ich einen neuen Personalausweis, so wird der alte Personalausweis bewusst 'amtlich ungültig' gemacht - warum wohl?
Aber wir wollen jetzt hier nicht um des Kaiser's Bart streiten. Ich denke dass nun klar ist, was ich meinte.

Edit: Soweit ich weiß beansprucht ELSTER ein etwas höheres Sicherheitsniveau - respektive Sicherheitsdenken, als es denn bei E-Mail-Standards der Fall ist. Warum sonst z.B. die aufwändige Registrierungsprozedur. Hier geht es schließlich um besonders sensible persönliche Daten.

[neysee]

AW: Mehrere Zertifikate für eine Anmeldung

Edit: Soweit ich weiß beansprucht ELSTER ein etwas höheres Sicherheitsniveau - respektive Sicherheitsdenken, als es denn bei E-Mail-Standards der Fall ist. Warum sonst z.B. die aufwändige Registrierungsprozedur. Hier geht es schließlich um besonders sensible persönliche Daten.

Dieser Absatz beweist, dass du das technische Prinzip von PKI nicht im Ansatz verstanden hast.

[ErnstK62]

AW: Mehrere Zertifikate für eine Anmeldung

Dieser Absatz beweist, dass du das technische Prinzip von PKI nicht im Ansatz verstanden hast.

Nö, hab ich nicht. Ich kenn nur PKK.