Ich wollte nun mal die Grundsteuer angehen.
Die Quälerei mit der Registrierung bei ELSTER habe ich doch geschafft.
Bei der Anmeldung haben die meinen PC durchsucht, und gemeckert, dass W7
nicht so recht geeignet sei und der Browser unbedingt Javascript
braucht.
Ich habe das nie gebraucht und ist auch auf mehreren W7/W10 Rechnern
nicht vorinstalliert.
Eigentlich will ich mir den PC nicht damit vollmüllen.
Braucht man das wirklich für die Grundsteuer?
Hat da jemand Erfahrung?
Zumal für die Installation habe ich im Netz gefunden, dass es unter W10
die Prof/Enterprise Version braucht.
Bei Home ging es nicht.
Eigentlich unverschämt.
Bei mir (BW) gab es keine meckerei unter W7 FF100.0b3 Javascript ist
aktiviert.
Hab ein Zertifikat seit zig Jahren und habs am ersten Wochenende
geschafft ohne Meldungen wegen Browser ...
Elster Seite war ereichbar und dort habe ich das Formular eingegeben.
Vielleicht haben Sie mal etwas aktualisiert, aber warum fragen Sie die
Anwender Seite ab wenn se selber ewig alte Versionen einsetzen.
Vorgaukeln von "Aktualisierter" Sicherheit?
Ist das Bundesland-/Seitenabhängig ?
Komisch bin grad in Elster angemeldet und finde den Konfig Assistent
nicht auch nicht wenn ich abgemeldet bin.
Es tauchen auch keine Warnungen auf.
Hab noch google bemüht und habe den Konfig Assistent entdeckt.
Auch bei mir Meldungen wegen dem Browser, aber warum nicht wenn ich mich
anmelde ?
Ich würde sagen works as designed in den speziellen Bereichen und für
neu User.
Weiterer Test, habe den FF zugemacht und neu gestartet.
Java Forderung wieder da.
Beim zweiten Login-Versuch geht es dann.
Bin jetzt guter Hoffnung.
Kann es sein, dass der FF merkt, dass es benötigt wird und es beim
zweiten Versuch freischaltet?
https://www.elster.de/eportal/infoseite/systemanforderungen
Ha Ha. Ich kann mich anmelden ohne Probleme aber der Konfig Assistent
meckert
Die Überprüfung war erfolgreich
Ihr System erfüllt die grundlegenden Voraussetzungen zur Nutzung von
ELSTER.
Erfolgsmeldung - Grafik Häkchen
Windows 7
Die Funktionalität von ELSTER unter Betriebssystem Windows 7 wird nicht
garantiert, eine Nutzung kann jedoch möglich sein. Falls ein Problem
auftritt, kann Sie die Hotline nicht bei der Behebung unterstützen.
Warnung - Grafik Warndreieck
Firefox 100 oder älter (Ausnahme: Firefox 91 ESR)
Die Funktionalität von ELSTER unter diesem Browser wird nicht
garantiert, eine Nutzung kann jedoch möglich sein. Falls ein Problem
auftritt, kann Sie die Hotline nicht bei der Behebung unterstützen
Das heisst nur "wird nicht garantiert" und die an der Hotline sitzen
kennen sich mit älterer Software nicht aus .....
Einfach mal durchführen.
Das beste der Check FF ist falsch FF100.0b3 ist doch größer als 100 ?
Kennen die keine Beta Versionen?
Hab noch kurz aktualisiert
FF 106.0b2 (64-Bit) keine Mldung mehr wegen Browser sondern nur noch OS.
michael_ schrieb:> Eigentlich will ich mir den PC nicht damit vollmüllen.
Weshalb haben nur soviele Angst vor Javascript? Oder verwechselt mal
wieder jemand Javascript mit JAVA?
michael_ schrieb:> Die Quälerei mit der Registrierung bei ELSTER habe ich doch geschafft.
Damit muss man sich eigentlich nicht quälen. Für den elektronischen
Personalausweis eID freischalten lassen, einen Kartenleser der Klasse 3
dazu (z.B. Reiner SCT Standard oder Komfort), die AusweisApp2
installiert, und schon kommt man "ohne Quälerei" in das Elster-Portal.
Chris K. schrieb:> Kennen die keine Beta Versionen?
Eher mögen die keine Beta-Programme. Die werden wohl von den Machern
nicht getestet, und deshalb nicht in die Kompatibilitätsliste
aufgenommen, meine Vermutung.
Chris K. schrieb:> Ha Ha. Ich kann mich anmelden ohne Probleme
Gut! Dann fällt das eigentliche Anliegen der Aktion nicht so auf.
Bin auch schon auf die Vervielfachung der Steuern gespannt.
René H. schrieb:> michael_ schrieb:>> Die Quälerei mit der Registrierung bei ELSTER habe ich doch geschafft.>> Damit muss man sich eigentlich nicht quälen. Für den elektronischen> Personalausweis eID freischalten lassen, einen Kartenleser der Klasse 3> dazu (z.B. Reiner SCT Standard oder Komfort), die AusweisApp2> installiert, und schon kommt man "ohne Quälerei" in das Elster-Portal.
eID gabs zu meinem Zeitpunkt noch nicht nur Zertifikat.
eID ist eine zusätzliche gängelung auf externe Hardware,
hätte zwar alles da dafür aber Ändert nichts daran welche Daten wohin
geliefert werden sollen.
Mein FA weiss schon seit zig Jahren ganz genau wieviel Wohnfläche und
Grundstücksfläche vorhanden ist. Warum denn die erneute Abfrage?
Wegen dem alten Datenmüll der mal auf aktuellem Stand gebracht werden
soll.
Es gibt nur zu viele "alte" Datensätze die aktualisiert werden müssen.
Hab mit jemand aus der Gegend mich unterhalten und die sind noch immer
gleich niedrig eingestuft seit über 40 Jahren.
An die Datenpflege denkt keiner und macht bisher niemand wirklich.
Außerdem bekomm ich noch immer Anrufe für den vorherigen Hausbesitzer
der schon vor über 15 Jahren verstorben ist und ich die Tel Nummer
übernommen habe.
Datenpflege findet nicht wirklich statt.
Chris K. schrieb:> eID ist eine zusätzliche gängelung
Finde ich nicht. Passwort und Benutzername ist auch nicht besser, vor
allem nicht in Verbindung mit 2FA (was aber für einen guten Schutz
besser ist als ohne 2FA). eID hat den Vorteil, dass das noch nicht
geknackt wurde, anders als viele andere Verschlüsselungen. Zudem kann
man den RFID-Komfort-Leser auch noch für andere Dinge nutzen, z.B. für
ChipTAN (tanjack easy von Reiner-SCT kann sogar Flickercode in ChipTAN
umwandeln).
Chris K. schrieb:> eID gabs zu meinem Zeitpunkt noch nicht nur Zertifikat.
Das gibt's seit >10 Jahren.
Ist echt praktisch. z.B. Bei Postident: Kein Laufen zur Filiale & dort
ewig anstehen, kein Herumhampeln vor der Videokamera, einfach Perso
auf's Handy oder Kartenleser, Pin eingeben, fertig.
Εrnst B. schrieb:> Chris K. schrieb:>> eID gabs zu meinem Zeitpunkt noch nicht nur Zertifikat.>> Das gibt's seit >10 Jahren.>>
Aber von den Behörden genutzt wird es noch nicht solange.
René H. schrieb:> Aber von den Behörden genutzt wird es noch nicht solange.
Für ELSTER seit 2013?
Ok, also noch nicht ganz 10 Jahre.
Welche Laufzeit hat deine Elster-Zertifikatsdatei?
René H. schrieb:> Damit muss man sich eigentlich nicht quälen. Für den elektronischen> Personalausweis eID freischalten lassen, einen Kartenleser der Klasse 3> dazu (z.B. Reiner SCT Standard oder Komfort), die AusweisApp2> installiert, und schon kommt man "ohne Quälerei" in das Elster-Portal.
Zertifikatsdatei auswählen, Passwort eingeben, fertig. Ganz ohne
Zusatzkosten für Hardware, die ich sonst nicht brauche. Zumal... geht
das Gefuddel überhaupt, wenn man kein Windows hat? 🐧
René H. schrieb:> Zudem kann man den RFID-Komfort-Leser auch noch für andere Dinge nutzen,> z.B. fürChipTAN (tanjack easy von Reiner-SCT kann sogar Flickercode in> ChipTAN umwandeln).
Ich habe keinen Schimmer, was Flickercode oder Chiptan sind. Ich schätze
aber mal, es hat was mit Onlinebanking zu tun. Sowohl meine Bank als
auch meine primäre Kreditkarte machen das übers Handy mit ihrer App.
Benachrichtigung poppt auf, Antippen, Finger zur Zustimmung auf den
Fingerabdruckleser, fertig. (Ja, Handy is tauch zusätzliche Hardware,
hat aber einen höheren "Ehda-Faktor" und braucht keinen Platz aufm
Schreibtisch.)
Εrnst B. schrieb:> Ist echt praktisch. z.B. Bei Postident: Kein Laufen zur Filiale & dort> ewig anstehen, kein Herumhampeln vor der Videokamera, einfach Perso> auf's Handy oder Kartenleser, Pin eingeben, fertig.
Mein letzter Postident ist > 10 Jahre her. So oft braucht man das ja nun
echt nicht. Und eine Videokamera war da auch nicht beteiligt. Wie kommt
die da mit ins Spiel?
Nachdenklicher schrieb:> Und eine Videokamera war da auch nicht beteiligt. Wie kommt> die da mit ins Spiel?
Für das "VideoIdent"-Verfahren, wo du deinen Perso in die Kamera hältst,
und jemand am anderen Ende dein Foto vergleicht, und prüft dass du eine
echte, lebende Person bist.
Nachdenklicher schrieb:> Zumal... geht> das Gefuddel überhaupt, wenn man kein Windows hat?
Unter Linux: Gar kein Problem, funktioniert out-of-the-box.
Zu MacOs kann ich nichts sagen.
Nachdenklicher schrieb:> Ganz ohne> Zusatzkosten für Hardware, die ich sonst nicht brauche.
Es gibt zumindest eine kleine Bevölkerungsgruppe, die bereits im Besitz
eines sogenannten "Smartphones" ist, was die nötige Hardware bereits
enthält, und was unter Umständen, in seltenen Fällen, auch für andere
Dinge genutzt werden könnte...
Aber Hey: Es gibt keine Pflicht, die eID-Funktionen des nPA zu nutzen.
Ich finde sie praktisch, wenn du sie nicht magst: Nutze sie einfach
nicht.
michael_ schrieb:> So sieht das aus.> Warum brauchen die das gerade?> Kein Programm in den letzten 20 Jahren hat das von mir gefordert.
Elster benutzt JS für eine clientseitige Authentifizierung mittels
Zertifikat. D.h. die lesen die Zertifikatsdatei im Browser aus, bekommen
eine Challenge vom Server, berechnen eine Antwort direkt im Browser
mittels des private Keys im Zertifikat und schicken die Antwort zurück.
So kann der Server (vom FA) sicher stellen, dass du im Besitz der
Zertifikatsdatei bist, ohne dass diese Datei übertragen werden müsste.
Das erhöht die Sicherheit gegenüber einem gewöhnlichen Passwort ganz
erheblich. Jemand der die gesamte Kommunikation abhört, z.B. durch
aufbrechen von TLS mittels einschleusen eines CA-Zertifikats
(AV-Software macht das gerne, manche Firmen/Uni-Netze erfordern es für
transparente Proxies) kann das Zertifikat also nicht abhören und sich
somit also nicht beim FA anmelden, anders als bei einer gewöhnlichen
Passwort-Authentifizierung. Prinzipiell ähnlich wird es schon lange bei
SSH gemacht.
Es ist also sehr sinnvoll JavaScript hier zu nutzen, um eben die
Sicherheit zu erhöhen. Es gibt sehr wenig Grund, das nicht zu tun.
Εrnst B. schrieb:> Für das "VideoIdent"-Verfahren, wo du deinen Perso in die Kamera hältst,> und jemand am anderen Ende dein Foto vergleicht, und prüft dass du eine> echte, lebende Person bist.
Okay, davon habe ich noch nicht gehört. Aber okay, meine einzige
Videokamera kann kein Livebild an den PC übertragen, das geht nur über
USB-Dateidownload oder SD-Karte. (Nein, ich habe keine Webcam. Ich mag
die Dinger nicht. Und in meinen beiden Laptops sind sie entweder kaputt
-ups, Kabel beim Displaytausch gerissen- oder abgeklemmt.)
Εrnst B. schrieb:> Unter Linux: Gar kein Problem
Danke, das ist gut zu wissen.
Εrnst B. schrieb:> Es gibt zumindest eine kleine Bevölkerungsgruppe, die bereits im Besitz> eines sogenannten "Smartphones" ist, was die nötige Hardware bereits> enthält, und was unter Umständen, in seltenen Fällen, auch für andere> Dinge genutzt werden könnte...
Ich dachte, man braucht dafür dieses Reinerdings?
Naja, wenn in 5 Jahren ein neuer Perso fällig ist, kann ich das ja noch
mal neu bedenken. Aber extra, um das jetzt zu aktivieren, wieder Urlaub
zu nehmen, um während der Öffnungszeiten ins Rathaus zu gehen, neeeeee.
Εrnst B. schrieb:> Geht auch ohne. Du kannst die Ausweis-App am Telefon mit der am Computer> koppeln (wenn die im gleichen Netzwerk sind), und dann das Telefon als> Kartenleser benutzen.
Danke, das wußte ich noch nicht. Entweder ging das vor 5 Jahren als ich
den Perso bekommen habe noch nicht, oder ich habe einfach mangels
Notwendigkeit nicht tiefer gesucht.
Εrnst B. schrieb:> Liste kompatibler Telefone findet sich hier:> https://www.ausweisapp.bund.de/mobile-geraete
Meins wäre zumindest dabei...
Εrnst B. schrieb:> Geht auch ohne. Du kannst die Ausweis-App am Telefon mit der am Computer> koppeln (wenn die im gleichen Netzwerk sind), und dann das Telefon als> Kartenleser benutzen.
Das funktioniert aber nicht zuverlässig, meinen Tests zufolge.
Denkt daran, dass es zwei Formulare sind.
Diese werden leider in der Formularübersicht nicht separat aufgelistet.
So ähnlich wie Mantelbogen,
Anlage N,
Anlage dingsbumbs..etc.
Nur hier gibt es den "Mantelbogen" und den anderen nicht separat
aufrufbar.
Beide sieht man nur direkt am Anfang.
Dann die Eingaben in den jeweils richtigen machen, sonst rasselt es
Fehlermeldungen.
ciao
gustav
So, ich musste heute auch dort vorbeischauen, konnte mich nicht mal
einloggen, die Zertifikatsdatei wollte gar nicht anspringen, also dort
angerufen, eine eher unhöfliche bis unfähige Dame dran gehabt, mit
Verweis auf deren techn. Basics bzgl. OS u. dann welche Browser noch
damit gingen.
Demnach hätte ich mir einen neuen PC zulegen müssen, weil WIN 10 macht
der hier nicht mehr mit, u. dazu natürl. auch das OS-Gefrickel von WIN.
Ergo PC neu gebootet auf WIN 7 u. mit dem FF so um die Version 91.xx
versucht, u. was kam da, natürlich so ne ewig nervende Meldung mit
fehlendem Java-Script, weil das über No-Script im FF deaktiviert war. Eh
ich das hinbekommen habe hätte ich fast in die Tischplatte gebissen, hat
dann aber doch noch gefunzt mit zig mal Ausschalten oder Deaktivieren.
Und wieder hat sich bewiesen, den Trollen dort beim Amt kein Wort zu
glauben, Probieren geht halt schon immer über ... .
Einfach nur fuck was da für Typen auf unsere Kosten ihr Gehalt beziehen.
Ein dressierte Affe könnte es nicht besser oder gleich nur ne FAQ an die
richtige Stelle oder einen Web-Server der gleich mal ansagt dass es
nicht geht.
Aber Behörden u. funktionierende Technik war schon immer ein
Widerspruch.
Das ist eben das Problem wenn man in Windows aus lauter Angst vor
Angreifern oder Werbung alles blockiert. Dabei ist Javascript auch nicht
gefährlicher als morgens aufzustehen (man könnte ja über die Bettkante
stolpern und sich dabei das Genick brechen).
Jemand schrieb:> Ein dressierte Affe könnte es nicht besser oder gleich nur ne FAQ an die> richtige Stelle oder einen Web-Server der gleich mal ansagt dass es> nicht geht
Die sollen in ihre FAQ schreiben dass es mit NoScript nicht geht, und
wie man NoScript deaktiviert? Der Telefonsupport soll alle
Browser-Extensions kennen welche die Funktionalität einschränken? Wer
NoScript nicht für einzelne Websites deaktiviert bekommt, sollte es wohl
nicht benutzen. Das FA kann wohl nichts dafür. Ich mache meine
Steuererklärung schon lange mit Elster unter diversen Windows-Versionen
und unter Linux und hatte noch nie irgendwelche technischen Probleme.
René H. schrieb:> Das ist eben das Problem wenn man in Windows aus lauter Angst vor> Angreifern oder Werbung alles blockiert.
Blödsinn, diese "Angstkonfigurationen" machen im Tagesgeschäft keinen
Ärger. Es betrifft nur wenige Seiten, die nicht anständig programmiert
wurden, dann geht man eben wieder weg.
Jemand schrieb:> Ergo PC neu gebootet auf WIN 7 u. mit dem FF so um die Version 91.xx> versucht,
Du könntest natürlich versuchen, ein Linux vom USB-Stick zu booten.
Kali-Linux ist eigentlich für einen anderen Zweck gedacht, aber als
Stick problemlos zu erzeugen und braucht recht wenig Platz. Es bringt
einen Frickelfox mit, der allerdings der Paketverwaltung unterworfen und
nicht frei konfigurierbar ist.
Firefox 91-ESR ist leider vorbei, wird nun auf 102.3 upgedatet.
Manfred schrieb:> Es betrifft nur wenige Seiten, die nicht anständig programmiert> wurden, dann geht man eben wieder weg.
Bei den meisten Anwendern scheint es zu funktionieren.
Manfred schrieb:> Es betrifft nur wenige Seiten, die nicht anständig programmiert wurden,> dann geht man eben wieder weg.
Die Elster-Seite ist ziemlich solide gebaut, das funktioniert alles sehr
glatt, speichert automatisch usw. Nur JavaScript braucht es halt, u.a.
für den Login und andere interaktive Elemente. Es braucht einfach einen
funktionierenden Browser mit JS. Da ein anderes OS für zu starten ist
absurd...
https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Updates-Browser-Open-Source-Software/Der-Browser/Gefahren-und-Risiken/gefahren-und-risiken_node.html
Aktive Inhalte
Java ist eine objektorientierte Programmiersprache, die die Möglichkeit
bietet, Programme plattformübergreifend direkt im Browser einzubinden
und auszuführen. Zugleich ist Java ein beliebtes Ziel für Angriffe und
Missbrauch. Das BSI empfiehlt das Ausführen von Java-Anwendungen im
Browser zu deaktivieren. Mehr hierzu erfahren Sie in dem Text Sicherheit
von Java.
Also diese bösen Verschwörungstheoretiker wieder beim BSI, nun habe ich
jahrelang auf die gehört u. hatte keinen Schaden online, da kommt so ein
staatl. Amt daher und will nun plötzlich genau dieses JavaScript nutzen.
Wir sind hier ja auch im genau richtige Forum, Onlinesicherheit u.
Funktionalität ist was für Angsthasen, u. wer extra ein anderes OS
starten muß hat einfach nur keine Ahnung.
Ich weiß schon warum ich hier als Gast schreibe, bei so vielen
angemeldeten Usern täuscht deren Zugehörigkeit u. Beitragszähler nur
Sachen vor, die so nie zutreffen.
Also vertraue ich dann mal doch lieber auf eigene Erfahrungen u. Fakten
von anerkannten Stellen. Denn bis jetzt hatte ich noch keinen Blackout
auf meinen Systemen wgn. zu wenig Eigeninitiative und dem Vorwurf von
übertriebener Angst.
Und übrigens schreibe ich hier mit nem Browser u. einem OS was schon
lange out ist, funktioniert aber trotzdem tadellos.
War ja auch so ein toller Hinweis von der Supp.Dame, dass ich ein OS
nutze was seit 15 Jahren abgekündigt wäre, u. es mit WIN 7 auch nicht
gehen würde.
Aber morgen oder schon heute werd ich mir dann gleich einen neuen PC nur
für Elster zulegen ....
Java ist nicht Javascript. Wer nicht in der Lage ist, diesen Unterschied
trotz mehrfacher Erwähnung zu begreifen, sollte vielleicht erstmal das
Internet-Seepferdchen machen, bevor er sich an den
Internet-Freischwimmer macht.
Auf jeden Fall soll Javascript reichen, wenn man JAVA nicht zulassen
möchte. Elster-Online soll mit beidem zurechtkommen. Weshalb JAVA und JS
parallel zum Einsatz kommen, sollen die Verantwortlichen mal erklären.
Schließlich erhöht das den Wartungsaufwand.
Jemand schrieb:> Ergo PC neu gebootet auf WIN 7 u. mit dem FF so um die Version 91.xx> versucht,
Solltest mal Update machen. Aktuell ist 105.
Aber die Grundsteuer ist gemacht von Bürokraten für Bürokraten.
Im TV hat einer von den Leuten abgewiegelt, als ein Reporter nach
bestimmten Begriffen gefragt hat.
Die der Normalo nicht kennt und nicht zuordnen kann.
Es kam eine hochnäsige Antwort.
michael_ schrieb:> Solltest mal Update machen. Aktuell ist 105.michael_ schrieb:> Es kam eine hochnäsige Antwort.
Fass dich an die eigene Nase, wer hat da ganz oben rumgejammert? Das
warst doch du selber!
Das Prinzip "never change a running System" scheint dir auch unbekannt
zu sein!
Vor ein paar Wochen ging das bei Elster noch mit dem alten Browser, aber
von den Leuten dort beim Amt Sachverstand zu erwarten ist echt zu viel
verlangt.
René H. schrieb:> Was hat JAVA mit Javascript zu tun? Das sind zwei verschiedene> Script-Sprachen.
Java ist keine Scriptsprache.
René H. schrieb:> Elster-Online soll mit beidem zurechtkommen
Elster nutzt kein Java und hat es auch nie genutzt. Wie kommst du auf
die Idee, es würde Java nutzen? JavaScript deaktiviert und Java
aktivieren bringt also gar nichts.
René H. schrieb:> Weshalb JAVA und JS parallel zum Einsatz kommen,
Tun sie nicht.
Jemand schrieb:> Das Prinzip "never change a running System" scheint dir auch unbekannt> zu sein!
Dieses Prinzip wird in der IT praktisch nicht genutzt, weil da keiner
für bezahlen möchte.
Jemand schrieb:> aber von den Leuten dort beim Amt Sachverstand zu erwarten ist echt zu> viel verlangt.
Die Tatsache dass Elster sehr gut funktioniert und sogar diese clevere
clientseitige Zertifikatsauthentifizierung auf Javascript-Basis nutzt,
zeugt von signifikantem Sachverstand.
Elster dürfte auf jeden System funktionieren, auf dem aktuellen Web-Apps
wie Instagram oder Youtube auch laufen. Das sollte also jeder Teenager
benutzen können. Nur die Leute in einem Technikforum scheitern daran und
brauchen eine Hotline zum Händchen halten...
Niklas G. schrieb:> Nur JavaScript braucht es halt, u.a.> für den Login und andere interaktive Elemente.
Und, anders als bei vielen anderen Websites heutzutage, wird das alles
vom eigenen Server geladen, wenn ich das richtig in Erinnerung habe
(letzte Steuererklärung habe ich vor etlichen Monaten gemacht,
Grundsteuer betrifft mich nicht). Also selbst mit NoScript gibt man
Javascript für eine einzige Domain frei und es läuft. Und - mal ganz
ehrlich - wenn man dem Elster-Portal nicht vertraut*, und deshalb kein
JavaScript für diese Seite freigibt, sollte man da auch keine sensiblen
Finanzinformationen drüber laufen lassen.
Jemand schrieb:> as BSI empfiehlt das Ausführen von Java-Anwendungen im> Browser zu deaktivieren.
Gibt es überhaupt noch halbwegs aktuelle Browser, die überhaupt
Java-Applets unterstützen?
Niklas G. schrieb:> Elster nutzt kein Java und hat es auch nie genutzt.
Ähm, da wäre ich mir nicht ganz sicher. Ich meine, daß vor laaaanger
Zeit (als das privat noch wenig genutzt wurde, und ich mich zwecks
Umsatzsteuer damit rumgeärgert habe) der Login mit Zertifikatsdatei über
ein Applet ging. Aber das ist definitiv nicht mehr der Fall. Was ich
aber auf keinen Fall ausschließen möchte, ist daß da Java irgendwo im
Back-End genutzt wird. Aber das kann dem Anwender ja völlig wurscht
sein.
*) Technisches Vertrauen. Nicht inhaltlich/politisch/Zustimmung zu
unserer Steuerpolitik.
Ich habe auf meiner Win 10 Maschine überhaupt kein JRE installiert.
Sobald ich Javascript im Browser zulasse und es nicht SeaMonkey ist,
funktioniert bei Elster alles. SeaMonkey ist zugegeben nicht der
häufigste Browser, so das ich ihnen diesen Lapsus nachsehe.
Natürlich habe ich bei der Grundsteuer nicht durchgeblickt und ein paar
Dinge falsch eingetragen, habe aber eben mit einem sehr netten
Mitarbeiter meines FA gesprochen und der hat alles verstanden und fixt
es. Alles sehr erfreulich - der hat sich auch Zeit genommen und selbst
nochmal durchgeguckt.
Nicht das Elster-Online Webseiten-Formular mit Elster-"Offline"
verwechseln, was in diversen Steuersoftware-Paketen zum Einsatz kommt
und tatsächlich in Java geschrieben ist.
Jemand schrieb:> aber> von den Leuten dort beim Amt Sachverstand zu erwarten ist echt zu viel> verlangt
Die können auch nur das was man ihnen beibringt. Und in unserer
Regierung mangelt es an fast allen Stellen an Sachverstand, nach dem
Motto "Was der Bauer nicht kennt, das frisst er nicht".
René H. schrieb:> Und in unserer> Regierung mangelt es an fast allen Stellen an Sachverstand
Jeder mit Sachverstand würde Elster-Online als technisch ganz wunderbar
einstufen. Gerade eben weil es JavaScript und damit die
Zertifikat-Authentifizierung nutzt. Hätte man es ohne JavaScript und mit
klassischer Passwort-Authentifizierung gemacht, wäre es viel unsicherer.
Tatsächlich können Browser eine clientseitige Authentifizierung mit
Zertifikaten auf TLS-Ebene auch "nativ" ausführen. Dazu muss man das
Zertifikat über das Einstellungsmenü importieren. Das hat StartSSL
damals so gemacht, wer erinnert sich? Das ist aber so kompliziert, dass
jemand, der in NoScript den "Deaktivieren"-Button nicht findet, das
sicherlich nicht hinbekommen würde. Über transparente Proxies oder
AV-Software mit eigenem CA-Zertifikat dürfte das wohl auch nicht
funktionieren. Wohl um die armen Support-Mitarbeiter nicht vollends
verzweifeln zu lassen, hat man sich für die JavaScript-Lösung
entschieden, die ein einfach zu bedienendes Formular zur Dateiauswahl
präsentiert.
René H. schrieb:> Weshalb haben nur soviele Angst vor Javascript?
Wohl weil JS DIE Krücke ist, die praktisch jede
Malware/Spyware/Website benutzt, um dich zumindest auszuspionieren, im
Extremfall aber auch zu kompromittieren.
Das sollte natürlich nicht so sein (zumindest bezüglich der
Kompromittierung, die Spionage hingegen ist ein fest eingebautes
JS-"Feature"), aber es gibt immer wieder Lücken in den Sandboxes, über
die halt dieser unsägliche JS-Dreck dann doch zum Trojanischen Pferd
werden kann.
Ohne JS lebt man einfach sehr viel sicherer.
Niklas G. schrieb:> Jemand schrieb:>> Das Prinzip "never change a running System" scheint dir auch unbekannt>> zu sein!> Dieses Prinzip wird in der IT praktisch nicht genutzt, weil da keiner> für bezahlen möchte.
Ach ne, verständlich erklären kannst es aber wohl nicht? Du gehst wohl
von den IT-DL wie dir selber aus, dann ist das wohl klar dass dafür ohne
was zu tun kein Kd. was bezahlen würde, nur weil es einfach weiter
funktioniert!
> Jemand schrieb:>> aber von den Leuten dort beim Amt Sachverstand zu erwarten ist echt zu>> viel verlangt.> Die Tatsache dass Elster sehr gut funktioniert und sogar diese clevere> clientseitige Zertifikatsauthentifizierung auf Javascript-Basis nutzt,> zeugt von signifikantem Sachverstand.
Wenn es so gut funzen würde gäbe es diesen Thread hier nicht!
> Elster dürfte auf jeden System funktionieren, auf dem aktuellen Web-Apps> wie Instagram oder Youtube auch laufen. Das sollte also jeder Teenager> benutzen können.
Teenager werden sich wohl kaum mit Elster beschäftigen müssen u.
ClickyBunty wie bei YT oder Insta in Verbindung mit Teenes .. die
arbeiten nicht mit eventuell langlebiger HW wie PC oder im HO.
> Nur die Leute in einem Technikforum scheitern daran und brauchen eine> Hotline zum Händchen halten...
Du argumentierst nur aus der Sichtweise eines IT-DL, aber nicht von der
eines Anwenders, was machst du denn so beruflich?
Wenn das Java-Script Zeugs so genial wäre zur Autentifizierung, warum
verwenden das die Banken dann nicht beim Onlinebanking?
Dass man bei Problemen, die sich nicht von selbst erklären, die Hotline
kontaktiert ist ja wohl klar, v.a. wenn es vor paar Monaten noch
tadellos lief.
Lt. Aussage der Hotline-Dame ginge es mit WIN 7 ja auch nicht, also fass
dich an die eigen Nase oder stellt dich zu denen in die Ecke, ich habe
es damit aber hinbekommen, also wäre ich dann wohl ein IT-Zauberer?
Das Elster-Zeugs ist Nicht jedes Users hier seine primäre
Arbeitsaufgabe.
Wir sind hier keine STB oder Steuer-Anwälte.
Jemand_1 schrieb:> Ach ne, verständlich erklären kannst es aber wohl nicht?
Bezahlst du Microsoft regelmäßig dafür dass sie Windows 7 warten?
Software-Unternehmen finanzieren sich i.d.R. darüber, dass sie neue
Versionen verkaufen. Wenn sie die alten Versionen ewig am Leben halten,
wie kommt dann Geld rein? Gibt es auf der Welt überhaupt genug
Programmierer, um alle alten Windows-Versionen weiter zu warten, und
gleichzeitig neue zu entwickeln? z.B. der Schritt auf 64bit war extrem
sinnvoll. Hätte Microsoft auf alle Ewigkeit bei 32bit XP bleiben sollen,
weil "never change a running System"? Oder einfach gleich bei DOS, das
hat doch funktioniert!
Jemand_1 schrieb:> Wenn es so gut funzen würde gäbe es diesen Thread hier nicht!
Es funktioniert halt nicht wenn man es blockiert. Schockierend.
Jemand_1 schrieb:> die arbeiten nicht mit eventuell langlebiger HW wie PC oder im HO.
Nur weil die HW langlebig ist muss man JavaScript deaktivieren? Auf
meinen alten PCs ist JavaScript aktiviert und Elster funktioniert
wunderbar.
Jemand_1 schrieb:> Wenn das Java-Script Zeugs so genial wäre zur Autentifizierung, warum> verwenden das die Banken dann nicht beim Onlinebanking
Das musst du die Banken fragen. Wahrscheinlich weil sie sowieso
2-Faktor-Authentifizierung nutzen. Dazu braucht es aber ein aktuelles
Smartphone und eine App, also vermutlich zu Clicki-Bunti für dich. Unter
Android basiert die App auch auf Java!
Jemand_1 schrieb:> Dass man bei Problemen, die sich nicht von selbst erklären, die Hotline> kontaktiert ist ja wohl klar,
Naja, man darf auch erstmal selbst denken. Wenn NoScript meldet dass
Scripte blockiert wurden kann man drauf kommen, dass die Seite aufgrund
von NoScript nicht geht...
Jemand_1 schrieb:> Lt. Aussage der Hotline-Dame ginge es mit WIN 7 ja auch nicht
Die können halt auch nicht jede Uralt-Software unterstützen, auch wenn
es schon damit geht.
Niklas G. schrieb:> D.h. die lesen die Zertifikatsdatei im Browser aus,
Du sag mal, irgendwie weisst du glaube ich gar nicht wie das dort
eigentlich abläuft?
Für dich mal ein Screenshot der Seite u. dann schau es dir mal selber
an.
Da wird nichts aus dem Browser ausgelesen, dort ist die
Zertifikats-Datei hochzuladen.
Bei mir auf dem Browser hier kommt weder ne Fehlermeldung, noch passiert
da was wenn ich auf den Button Durchsuchen klicke.
Das brauchst du mir aber nicht auch noch versuchen zu erklären, du bist
hier in dem Bereich sowie an der falschen Adresse.
Dort drüben in dem Bereich
https://www.mikrocontroller.net/forum/pc-programmierung
kannst du zeigen was du drauf hast.
Die paar Beiträge dort von dir haben mir allerdings schon gezeigt dass
Andere fitter sind als du!
Niklas G. schrieb:> Wahrscheinlich weil sie sowieso> 2-Faktor-Authentifizierung nutzen. Dazu braucht es aber ein aktuelles> Smartphone und eine App
Nicht unbedingt. Es geht auch mit chipTAN. Oder mit QR-Code. Man braucht
nicht unbedingt ein Smartphone. Es gibt auch andere externe Geräte, z.B.
von Reiner-SCT, die sind sogar sicherer da sie keinerlei externe
Zugriffe haben und autark arbeiten.
Jemand_1 schrieb:> Du sag mal, irgendwie weisst du glaube ich gar nicht wie das dort> eigentlich abläuft
Ähm doch. Wie gesagt, ich benutze das schon seit langem erfolgreich.
Jemand_1 schrieb:> Da wird nichts aus dem Browser ausgelesen, dort ist die> Zertifikats-Datei hochzuladen
Sag ich doch!
Jemand_1 schrieb:> Bei mir auf dem Browser hier kommt weder ne Fehlermeldung, noch passiert> da was wenn ich auf den Button Durchsuchen klicke.
Dann ist wohl Javascript deaktiviert. NoScript hat eine Anzeige was
alles blockiert wurde und einen Knopf um es freizugeben.
Jemand_1 schrieb:> Die paar Beiträge dort von dir haben mir allerdings schon gezeigt dass> Andere fitter sind als du!
Klar, irgendwo gibt es immer wen der es besser kann. Gilt auch für dich!
Man lernt nichts dazu wenn man ewig auf seinem alten Stand stehen
bleiben will...
René H. schrieb:> Nicht unbedingt. Es geht auch mit chipTAN. Oder mit QR-Code
Das hätte ich jetzt auch als 2-Faktor angesehen.
Jemand_1 schrieb:> Für dich mal ein Screenshot der Seite u. dann schau es dir mal selber> an.
Eben. Schau dir das selber an. Javascript an, Entwickler-Tools
aufmachen, Netzwerkanfragen protokollieren, Meinetwegen irgendeine
Dummy-Datei statt eines echten Zertifikats auswählen.
==> Die Datei wird im Javascript lokal im Browser verarbeitet, und
NICHT hochgeladen.
Das Passwort zur Datei bleibt auch nur lokal im Browser bei dir.
Sonst würde die ganze Zertifikats-Hampellei ja auch keinen Sinn ergeben.
c-hater schrieb:> Ohne JS lebt man einfach sehr viel sicherer.
Im Vergleich zu was?
Wenn die einzig mögliche Alternative wäre, ein EXE-File herunterzuladen
und auszuführen?
Εrnst B. schrieb:> Nachdenklicher schrieb:>> Ich dachte, man braucht dafür dieses Reinerdings?>> Geht auch ohne. Du kannst die Ausweis-App am Telefon mit der am Computer> koppeln (wenn die im gleichen Netzwerk sind), und dann das Telefon als> Kartenleser benutzen.
doch nur wenn das Schmartfon RFID lesen kann: Smartphones mit NFC-Chip
meines kann es nicht weil ich das explizit nicht wollte!
Joachim B. schrieb:> Εrnst B. schrieb:>> Nachdenklicher schrieb:>>> Ich dachte, man braucht dafür dieses Reinerdings?>>>> Geht auch ohne. Du kannst die Ausweis-App am Telefon mit der am Computer>> koppeln (wenn die im gleichen Netzwerk sind), und dann das Telefon als>> Kartenleser benutzen.>> doch nur wenn das Schmartfon RFID lesen kann: Smartphones mit NFC-Chip>
Es genügt nicht wenn das Smartphone NFC kann. Es muss NFC mit extended
Length unterstützen, einfaches NFC (ohne extended length) kann man für
den ePA nicht nutzen.
René H. schrieb:> Es genügt nicht wenn das Smartphone NFC kann. Es muss NFC mit extended> Length unterstützen, einfaches NFC (ohne extended length) kann man für> den ePA nicht nutzen.
ja die Industrie ist findig immer, immer was Neues zu verkaufen, kaum
gekauft schon wertlos!
Ein Schelm der Böses dabei denkt!
Auch nach Ankündigung von DVB-T2 wurden immer noch fleissig DVB-T Geräte
verkauft ohne update Möglichkeit!
Der doofe Kunde schluckt es ja und informierte informierende Verkäufer
gibt es kaum.
Joachim B. schrieb:> ja die Industrie ist findig immer, immer was Neues zu verkaufen
Im Fall von NFC ist das nicht so. Eigentlich sollten alle Smartphones ab
Baujahr 2016, spätestens 2017, "Extended Length" unterstützen. Ich
glaube noch nicht einmal, dass es in Smartphones überhaupt noch alte
NFC-Chips gibt, die alten NFC-Chips dürfte es (für die Hersteller) schon
garnicht mehr zu kaufen geben.
Niklas G. schrieb:> Gerade eben weil es JavaScript und damit die> Zertifikat-Authentifizierung nutzt. Hätte man es ohne JavaScript und mit> klassischer Passwort-Authentifizierung gemacht, wäre es viel unsicherer.
Mit JavaScript ist es also deiner Meinung nach sicherer!
Beitrag "Online-Banking und Browser-Zertifikate?"Εrnst B. schrieb:> Zertifikats-Fingerprint-Prüfungen sind ein Support-Alptraum für die> Bank, seitdem es "modern" geworden ist dass sog.> "Internet-Insecurity-Suiten" dem Browser ein gefälschtes Root-Zertifikat> unterjubeln.> Nötig ist das, damit die TLS-Verbindung aufgebrochen werden kann, um den> Seiteninhalt auszuspionieren und Tracker/Datenklau-*Javascript* in die> Seiten zu injecten.> Der Browser und damit der User hat dann keine Möglichkeit mehr das> Original-Zertifikat zu prüfen, er sieht es ja garnicht mehr.
Hier schreibt wohl Einer der nicht nur aus dem IT-Grundschul-Lehrbuch
nachplappern kann.
Jemand_1 schrieb:> Hier schreibt wohl Einer der nicht nur aus dem IT-Grundschul-Lehrbuch> nachplappern kann
Ich schrieb bereits, dass trotz einer aufgebrochenen TLS-Verbindung
die JavaScript-basierte Authentifizierung sicherer ist, weil das
Zertifikat eben niemals den Browser verlässt! Ein MitM-Angreifer (also
z.B. die AV-Software) könnte höchstens die aktuelle Session
missbrauchen, sich aber in Zukunft nicht erneut einloggen. Bei einem
simplen Passwort wäre das anders - einmal abgefangen, kann man es immer
wieder nutzen. Das lernt man übrigens in Lehrbüchern oder auch im
Informatik-Studium.
Allerdings hat AV-Software i.A. sowieso Zugriff auf alle Dateien und
kann wahrscheinlich auch keyloggen, also macht es keinen wirklichen
Unterschied ob sie die Zertifikatsdatei von der Festplatte liest oder
ein Passwort abfängt. Das gilt aber nur für lokal installierte Software,
nicht für transparente Proxies/Firewalls im Netz, bei solchen hat die
JavaScript-basierte Authentifizierung trotz eingeschleustem
CA-Zertifikat einen absoluten Vorteil gegenüber Passwort.
Die Authentizität des Servers kann man in beiden Fällen nicht prüfen; es
bleibt zu hoffen dass die tolle AV-Software das tut. Besser ist
natürlich sowas gar nicht zu verwenden.
Jemand_1 schrieb:> Mit JavaScript ist es also deiner Meinung nach sicherer!
Ja. Weil die "Sichere Lösung ohne Javascript" von sogenannter
"Sicherheits-Software" verhindert wird.
Hat weiter oben Niklas schon ausgeführt:
Niklas G. schrieb:> Tatsächlich können Browser eine clientseitige Authentifizierung mit> Zertifikaten auf TLS-Ebene auch "nativ" ausführen. [...]> Über transparente Proxies oder> AV-Software mit eigenem CA-Zertifikat dürfte das wohl auch nicht> funktionieren.
Jemand_1 schrieb:> Da wird nichts aus dem Browser ausgelesen, dort ist die> Zertifikats-Datei hochzuladen.
Du weisst schon, das so ein öder Dateiauswahldialog (oder ein D&D eines
Files) die einzige Möglichkeit ist, im Browser-JS selbst an die Daten
des dahinterstehenden Files zu kommen? Hochladen muss man da gar nichts.
Dieselbe Methode wird von so gut wie allen ernsthaften Uploadportalen
(YT, ...) genutzt, damit man den unzuverlässigen Dateiupload im Browser
umgehen kann. Dann gehen Chunks, Progressbars, adaptive Bandbreiten,
automatische Retries, etc.
