Fefes Blog

Fragen? Antworten! Siehe auch: Alternativlos

Tue Nov 9 2010

• [l] Die Ausweis-Äpp hat ja nicht lange gehalten. Nicht mal eine Nacht. Stellt sich raus, dass das Autoupdate zwar SSL benutzt, aber nicht den Hostnamen prüft. m(

  Fürs Archiv: Der Hersteller der Äpp, und was sticht mir da sofort ins Auge: die werben da mit Common Criteria EAL4+ Zertifizierung. Da sieht man mal wieder, wie wertlos diese ganze Zertifizierungsscheiße ist. Reines Snake Oil.

  Oh und wo wir gerade bei Hirnriss waren: aus der BSI-FAQ zur Ausweis-App:

  Der Windows7-eigene Screenreader fängt beim Vorlesen die Eingaben über die Tastatur direkt ab. Dadurch wird auch die eingegebene PIN im Klartext vorgelesen. Unter JAWS, NVDA und VoiceOver tritt dieses Problem nicht auf.

  Update: So eine Autoupdatefunktion einer Ausweis-Äpp wäre ja auch genau die Infrastruktur, die man für die Installation des Bundestrojaners braucht.