Hallo, als IT Dienstleister müssen wir die KocOBox Version per http IP /connector.sds abrufen können. Das funktioniert seit der neuen Firmware nicht mehr. Gibts da einen Bug?
Zitat von FS007 im Beitrag #3Diese Nuß ist auch ziemliche Baustelle, aber in 2 Jahren kommt sie ja eh in die Tonne, wenn die Zertifikate abgelaufen sind. Wieder eine Milliarde auf dem Schuldenkonto von Gematik&BSI.
Die Zertifikate werden verlängert, Boxen laufen dann noch mal 5 Jahre länger. Und nach 10 Jahren Gesamtbetriebszeit darf so eine Komponente dann in den elektronischen Ruhestand 😉
2 Mitglieder finden das Top!
1 Mitglied hat sich bedankt!
Zitat von benjamin.titze im Beitrag #1KocOBox Version per http IP /connector.sds abrufen können. Das funktioniert seit der neuen Firmware nicht mehr.
Kann es sein dass beim Upgrade auf ptv4 wegen Vorgaben IT-SiRili von CGM der Schalter "auch http zulassen" jetzt default auf "nicht zulassen" steht?
Habe grad hier ptv4 eingefahren- die Option "http auch zulassen" ist weiter da auf der GUI/Anbindung Clientsysteme- und aktuell steht es bei mir auf "nicht zulassen", wobei ich das auch schon für ptv3 so gesetzt hatte- somit kann ich nicht sagen, ob es jetzt ggf. im Zuge von ptv4 neu aktiv so gesetzt wurde, wo es noch nicht gesetzt war bislang- falls da "nicht zulassen" steht, wäre interessant, was passiert, wenn da wieder "ja: http zulassen" steht...
Zitat von FS007 im Beitrag #5Ach sieh mal einer an. Erst hieß es, die Laufzeit von 5 Jahren sei gaaaaanz wichtig für die Sicherheit des Systems, und dann, als den kranken Kassen vermutlich die Kosten klar wurden, ist es mit der Sicherheit nicht mehr soooooo wichtig !
Die Laufzeitverlängerung war beim Konnektor schon vor 10 Jahren konzipiert. Wurde dann aber nicht umgesetzt, weil man hoffte mit dem Wechsel hin zu Alternativen schneller zu sein (konnte ich nie verstehen, solange der Gesetzgeber das BSI als verantwortlich setzt - egal). Da es dann nicht geklappt hat, hat man das vorhandene Konzept wieder aus der Schublade geholt. Die Argumentation, wie lange welche Schlüssel unter welchen Bedingungen längstens eingesetzt werden sollten, sprengt jetzt hier etwas den Rahmen. Die tatsächliche Sicherheitsleistung wird hierdurch allerdings nicht wirklich herabgesetzt.
Ich ging immer davon aus, dass die HW-Boxen erhalten bleiben. Daher überraschte es mich nicht, dass das Konzept nur "geparkt" war. Egal.
Die Smartcards SMC-B, HBA und eGK werden in anderen Kontexten genutzt als die gSMC-K des Konnektors. Von daher ist eine Verlängerung der Zertifikate für diese personen- und institutionsgebundenen Karten nicht sinnvoll - und auch technisch nicht möglich, da die Dateninhalte der Karten, zu denen die Zertifikate gehören, aus Sicherheitsgründen nach Personalisierung unveränderlich sind.
Der Dienstverzeichnisdienst ist grundsätzlich immer über https erreichbar. Zusätzlich kann man auch eine Erreichbarkeit über http konfigurieren – jedoch nicht, wenn die Verbindung außerdem über TLS geschützt werden soll.
Verwirrend. Denn unter „Anbindung Clientsysteme“ gibt es den Punkt „ Zugriff auf Dienstverzeichnisdienst auch via HTTP ermöglichen“. Wenn diese Einstellung aktiv ist, könnte man denken, dass die connector.sds als einzige Seite trotzdem mit http funktioniert.
In der Spezifikation Konnektor gemSpec_Kon_V5_10_0 steht jedoch:
TIP1-A_4515 - Verpflichtung zur Nutzung der TLS-Verbindung Der Konnektor MUSS immer TLS-Verbindungsanfragen von Clientsystemen annehmen. Der Konnektor MUSS bei gesetzter Variable ANCL_TLS_MANDATORY = Enabled den Verbindungsversuch von Clientsystemen ohne TLS ablehnen. Ausgenommen hiervon sind Anfragen an den Dienstverzeichnisdienst bei gesetzter Variable ANCL_DVD_OPEN = Enabled.
Das heißt doch, dass /connector.sds immer gehen muss. Also auch unverschlüsselt mit http trotz TLS-Pflicht.
EDIT: Beim Secunet Konnektor ist die /connector.sds auch über http zu ereichen trotz aktivierter TLS Pflicht.
Dort heißt der Punkt: Ungesicherter Zugriff auf Dienstverzeichnisdienst EIN Kann der Zugriff auf den Dienstverzeichnisdienst auch dann über einen ungesicherten http-Kanal erfolgen (aktiv) wenn „TLS-Pflicht“ aktiv ist?
Dann liegt da wohl ein Fehler bei der KoCoBox vor.
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
TI-Plattform - Hardware, Zugang, Einrichtung
»
KocoBox /connector.sds Aufruf nicht mehr möglich in Firmware 4.2.10
22.09.2021 15:11 (zuletzt bearbeitet: 16.05.2022 11:40)
Thema drucken
Antworten
