Probleme mit dem Login

[holzgoe]

Hallo Holidria,
ich habe meine Zertifikate alle offen auf meinem Rechner ohne diese in eine Schlüsselspeicher zu legen und noch nie Probleme gehabt.
Tschüß

[nullplaner]

Hallo nullplaner, danke für die ausführliche Erklärung. Gibt es vielleicht auch eine Möglichkeit das mit dem Passwort auszuschalten? Wozu die Zertifikatsdatei passwortsichern wenn das nur für meinen Rechner ist, da ist das völlig überflüssig, Niemand außer mir nutzt den Rechner, er steht bei mir zu Hause und wird auch nirgends hingeschleppt. Ich sichere also die Datei mit einem Passwort somit vor mir selbst....

Das Zertifikat ist zwar der einzige für Elster nötige Schlüssel, sollte m.E. aber nicht ohne Passwort gespeichert werden. Ohne dieses Passwort reicht der Besitz dieser Datei (die ganz einfach kopiert werden kann) aus, um Steuererklärungen in deinem Namen abzugeben. Daher würde ich das aus Sicherheitsgründen nicht machen. Eine Alleinnutzung eines Rechners, der mit dem Internet verbunden ist, kann man nicht als "sicher" bezeichnen. Schadsoftware kann man sich schnell einfangen...

Außerdem - und das ist wohl das Totschlagargument - erwartet der Login auf elster.de wohl mindestens sechs Zeichen als Passwort.

[nullplaner]

Hallo Holidria,
ich habe meine Zertifikate alle offen auf meinem Rechner ohne diese in eine Schlüsselspeicher zu legen und noch nie Probleme gehabt.
Tschüß

Das ist eine andere Ebene der Verschlüsselung. In der *.pfx-Datei sind private Schlüssel. Diese Dateien kann man mit einem Passwort versehen, bei der *.pfx-Datei für Elster ist das der Fall. Daher muss man diese Datei nicht extra "verschlüsseln".

Das Passwort ist wirklich nur für die Datei. Hier unterscheidet sich elster.de fundamental von anderen Webdiensten, die auf Username/Passwort setzen. Bei diesen Diensten ist das (hoffentlich gehashte und gesalzene) Passwort in der Datenbank des Dienstbetreibers gespeichert. Das ist bei elster.de nicht der Fall. Hier ist der öffentliche Schlüssel, der zum privaten Schlüssel in der *.pfx-Datei gehört, in der Datenbank. Mit diesem öffentlichen Schlüssel kann man eine Signatur, die mit dem privaten Schlüssel erzeugt wurde, prüfen. Genau das geschieht beim Login auf elster.de.

[Holidria]

Vielen Dank nullplaner für die Ausführungen. Ich bin zwar kein developer sondern nur ein user, habe also schon etwas Probleme mit den "privaten" und "öffentlichen Schlüsseln", verstehe es aber so, dass einer von beiden bei mir verändert wird und sie somit nicht mehr zusammen passen. Meine Probleme fingen genauso an wie bei maxeraxemaxerax. Irgenwie habe ich das dann doch hinbekommen (direkter Kontakt mit elster-Ansprechpartner), konnte Zugang erneuern und für eine Steuererklärung hat es dann auch funktioniert. Ich konnte sogar zusätzliche Dokumente übermitteln. Sie wurden nachgereicht, dass heißt das notgedrungen vergebene Passwort funktionierte sogar einige Tage. Passwörter schreibe ich mir immer gleich bei Vergabe in ein Heft aus Papier auf, das finde ich am sichersten. Also hat irgend etwas einen der beiden "Schlüssel" verändert. Dann wird es nach der erneuten Zugangserneuerung wieder auftreten....

[nullplaner]

Vielen Dank nullplaner für die Ausführungen. Ich bin zwar kein developer sondern nur ein user, habe also schon etwas Probleme mit den "privaten" und "öffentlichen Schlüsseln", verstehe es aber so, dass einer von beiden bei mir verändert wird und sie somit nicht mehr zusammen passen. Meine Probleme fingen genauso an wie bei maxeraxemaxerax. Irgenwie habe ich das dann doch hinbekommen (direkter Kontakt mit elster-Ansprechpartner), konnte Zugang erneuern und für eine Steuererklärung hat es dann auch funktioniert. Ich konnte sogar zusätzliche Dokumente übermitteln. Sie wurden nachgereicht, dass heißt das notgedrungen vergebene Passwort funktionierte sogar einige Tage. Passwörter schreibe ich mir immer gleich bei Vergabe in ein Heft aus Papier auf, das finde ich am sichersten. Also hat irgend etwas einen der beiden "Schlüssel" verändert. Dann wird es nach der erneuten Zugangserneuerung wieder auftreten....

Nein, die Daten in der *.pfx-Datei haben sich vermutlich nicht geändert. Der vorgeschlagene Test soll dazu dienen, herauszufinden, ob irgendetwas dein Passwort im Browser (bei der Anmeldung auf elster.de) manipuliert. Bei Dullhaus (dem Eröffner des Threads) war das Passwort korrekt, er konnte sich aber dennoch nicht einloggen. Daher liegt die Vermutung mit der Manipulation auf der Webseite nahe.

Dieses Passwort existiert zusätzlich zum Schlüsselpaar in der Zertifikatsdatei und sichert den Zugang zum privaten Schlüssel ab.

Technische Hintergründe: https://de.wikipedia.org/wiki/Asymme...s_Kryptosystem

Aber die vorgeschlagenen Tests (KeyStore-Explorer, anderer Rechner) nutzen natürlich nichts, wenn man sie nicht ausprobiert, sondern davon ausgeht, dass die Zertifikatsdatei geändert wurde. ;-)