• 3 Posts
  • 29 Comments
Joined 1 year ago
cake
Cake day: June 16th, 2023

help-circle











  • Interessante Geschichte, hoffe sie kann andere vor so einem Missgeschick bewahren.

    Ich habe dazu zwei Anmerkungen:

    1. Sollte es wirklich stimmen, dass die Fehlversuche durch Neustart der App bei 2 bleiben, würde es bedeuten, dass die Anzahl der übrigen Versuche nicht auf dem Chip des Ausweises gespeichert werden. Das wäre eine gewaltige Sicherheitslücke, da dann so ein Ausweis durch Bruteforce geknackt werden könnte.
    2. warum du zwischen Browser und App hin und hergeschickt wirst: das liegt an dem Authentifizierungsverfahren. Die Servicedienstleister nutzen Web-Schnittstellen um eine Authentifizierung anzufordern. Die App hat einen eigenen Server laufen, zu dem du im Browser umgeleitet wirst. Diese Umleitung hat die Auth-Anfrage im Schlepptau, die die App somit empfangenen, verifizieren kann und danach den Datenaustausch mit deinem Ausweis startet. Ist der abgeschlossen wirst du wieder in den Browser geschickt (auf die Seite des App-Servers), welcher dann wiederum eine automatische Umleitung auf die Seite des Dienstleisters anstößt. Die daraus resultierende Anfrage an die Seite des Dienstes enthält die von der App generierte Auth-Antwort.
      Somit können Webdienste die Funktion der lokalen App über einen sicheren Kanal nutzen. Der Ablauf ist ähnlich zum Single-Signin Protokoll SAML.