Gut, die Bundesregierung hat sich ja ein paar ganz tolle Dinge einfallen lassen, was man alles mit den Lesegeräten in Kombination mit dem nPa machen kann: Onlineeinkäufe “sicher” durchführen können, Anmeldungen bei Onlineportalen und -diensten automatisieren usw., Alterverifikationen, Identifikation des Nutzers und noch ganz viele tolle Dinge mehr. Der erste Schritt, seine Bürger besser überwachen zu können?

Wofür man zum jetzigen Zeitpunkt solch ein Basislesegerät gebrauchen kann, ist mir noch nicht wirklich offensichtlich. Ich suche noch einen wirklich guten Verwendungszweck um das Lesegerät sinnvoll zu nutzen. Also mehr als “nur mal damit rumspielen”…..

Um schon einmal ein Lesegerät für die Zukunft zu haben und es vielleicht irgendwann mal nutzen können, ist auch nicht die schlechteste Idee
Also habe ich meinen inneren Schweinehund überwunden und mich das erste Mal in meinem Leben an einer ComputerBild (Ausgabe vom 06. Dezember 2020) vergriffen und diese gekauft. Beigelegt war ein Reiner SCT Cyberjack RFID Lesegerät. Zum Lesegerät gehörend noch eine LoginCard, mit der man über Dienste bei Reiner SCT sein Lesegerät für den Zugriff auf Onlinedienste nutzen kann.

Installation des Treibers f. das Lesegerät
Die Installation des Lesegerätes soll laut Hersteller grundsätzlich in wenigen Schritten erledigt sein. Wie es unter Windows läuft, ist mir egal und interessiert mich auch nicht.
Also betrachte ich nur den Vorgang unter Linux (in meinem Beispiel Ubuntu 10.10). Treiber für den Zugriff auf CCID (RFID Karten) installieren. Danach noch einen weiteren Treiber und Browser-Plugin für den OWOK (One Web One Key) Dienst installieren. Fertig.
Zumindest in der Theorie:
Irgendwie scheint der Treiber für Ubuntu 10.10 nicht der aktuellste zu sein (Version 1.3.11, aktuelle Version f. Ubuntu 10.04: 1.4.0) und funktioniert nicht richtig. Installiert man jedoch den eigentlich für Ubuntu 10.04 vorgesehenen Treiber, so klappt die Installation des CCID Treibers.
Treiber finden sich unter http://www.reiner-sct.com/index.php?option=content&task=view&id=218.
Ich habe den Treiber http://support.reiner-sct.de/downloads/CCID/ubuntu/libccid_1.4.0-2rsct_ubuntu10.04_i386.deb für Intel 32 Bit Architektur bzw. http://support.reiner-sct.de/downloads/CCID/ubuntu/libccid_1.4.0-2rsct_ubuntu10.04_amd64.deb für Intel 64Bit/ AMD Architektur genommen.

Installation nach dem Herunterladen über sudo dpkg -i libccid_1.4.0-2rsct_ubuntu10.04_$ARCH.deb. Unter Umständen werden noch ein paar Abhängigkeiten mitinstalliert. Wer auf der Konsole nicht firm ist und mit den Meldungen nicht viel anfangen kann, installiert das Paket über den Software-Manager seines OS.

Test, ob der Treiber korrekt funktioniert
Zum Testen, ob der Treiber das Lesegerät korrekt erkannt und nutzbar gemacht hat kann man die LoginCard auf den Leser legen. Die grüne LED auf der Geräteoberseite blinkt kurz und leuchtet danach dauerhaft grün.
Entfernt man die Karte, so erlischt die LED. Das sollte einem auch zeigen, wie weit die Karte reicht und ausgelesen werden kann…

LoginCard mit OWOK nutzen
Nach der erfolgreichen Installation des CCID Treibers kann man die OWOK-Funktion nutzen. Hierzu geht man auf http://www.reiner-sct.com/cardlogin.
Bei erstmaligem Aufruf und noch nicht durchgeführter Installation des OWOK Browserplugins (für Firefox existiert aktuell die OWOK Version 2.0.0.3) erhält man im Browser den Hinweis, dass man das OWOK Plugin installieren muss. Ein paar Klicks und das Plugin ist installiert. Danach muss noch der OWOK Treiber installiert werden, der Browser neu starten, fertig. Die OWOK Funktion sollte einem nun zur Verfügung stehen.

OWOK Dienste/ Partner
Eine Liste mit den derzeit unterstützden Partnern und Funktionen bei OWOK findet sich auf https://cardlogin.reiner-sct.com/?action=partner
Nach und nach sollen/ werden wohl noch mehr hinzu kommen. Ob man nun diese Funktionen nutzen möchte oder nicht, bleibt einem sicherlich selbst überlassen. Vielleicht findet man ja das ein oder andere sinnvoll.

Probleme mit OWOK und dem Lesegerät
Eigentlich sollte die Kombination Linux/ MacOS X, Firefox und OWOK Plugin laut Reiner SCT funktionieren. Sollte…
Leider scheint das Plugin weder unter Linux noch unter MacOS-X zuverlässig zu arbeiten und zeigt immer wieder fehlerhafte Stati an und lässt sich damit nicht nutzen.
Folgendes Verhalten zeigt sich:
Aufruf der Seite http://www.reiner-sct.com/cardlogin mit angeschlossenem Kartenleser. Karte auflegen, das Symbol des Lesegerätes im Browserfenster wechselt auf grün mit aufgelegter Karte:

(Karte liegt auf Lesegerät und wird korrekt erkannt.)

Nun können die unterstützen Onlinedienste genutzt werden. Soweit, so gut und alles, wie es soll.

Manchmal passiert es jedch, dass die LoginCard trotz aufgelegter Karte und grüner LED auf dem Lesegerät vom OWOK Plugin gar nicht erkannt wird und der Status als “rot” aufgezeigt wird:

(Karte liegt auf dem Lesegerät wird aber nicht erkannt.)

Angeblich würden andere Browserfenster oder -tabs ebenfalls einen Zugriff auf die OWOK Dienste nutzen. Selbst, wenn mein Firefox nur ein Fenster und nur ein Tab geöffnet hat, tritt das immer wieder auf. Ein Raus- und wieder Reinstecken des Lesegerätes behebt das. Manchmal. Und leider auch nicht immer und nicht zuverlässig.

Leider kommt dann auch noch das Problem zum Tragen, dass zumindest unter Linux der Kartenleserstatus nicht zu 100% korrekt ausgelesen werden kann.
Der Status des Lesegerätes wird einem ebenfalls falsch angezeigt, wenn das Lesegerät komplett vom Rechner entfernt wurde:

(Lesegerät ist angeblich bereit ohne Karte.)

Hier wird vermutlich nur geprüft, ob der Treiber für den Kartenleser geladen wurde. Der bleibt geladen, solange man diesen nicht entlädt oder den Rechner neu startet.

Die richtige Anzeige für dieses Problem wäre die Anzeige, wenn der Kartenleser am USB gar nicht erkannt/ noch nicht angeschlossen wurde:

(Lesegerät ist gar nicht angeschlossen.)

Das ist zum derzeitigen Standpunkt alles noch relativ unbefriedigend. Wenn ich schon einen Kartenleser für diese Dienste nutzen möchte, so muss das verlässlich funktionieren. Mal, mal nicht ist nicht das, was ich will…

// Update 1: 16.12.2010
Eine neue Version von OWOK Plugin, Version 2.0.0.4 ist gerade herausgekommen. In Kombination mit dem Firefox 3.6.12 auf einem Ubuntu 10.10 ist das obige Verhalten etwas besser geworden. Leider nicht deutlich besser. Immerhin ist die Anzeige nun zuverlässiger. Der Wechsel zwischen Karte ist erkannt und ist vom Lesegerät genommen wird nun instantan angezeigt. Mehrfache Versuche mit der Erkennung der Logincard brachten jedoch mehr als eine gute Minute (!!!) blockiertem Browserfenster zwischen “keiner Karte auf dem Lesegerät” hin zu “Karte befindet sich auf dem Lesegerät“.
Mehr als eine Minute (um die 70 Sekunden) wird das Browserfenster komplett blockiert und ausgegraut nachdem die Karte aufgelegt und die LED aufgehört hat zu blinken (und dauerhaft leuchtet).
Das ist auch kein Zustand!
@ReinerSCT: Auch wenn die Erkennung nun fast gut ist, das Blockieren darf nicht sein!
// Update ENDE //

// Update 2: 19.12.2010
Mit Firefox 3.6.13 funktioniert das OWOK Plugin in Version 2.0.0.4 so, wie man es erwartet. Keine lange Wartezeit nach dem Auflegen der Karte, kein Blockieren des Browsers. Man könnte damit also schon fast arbeiten
// Update ENDE //

eigene Ideen für das Lesegerät
Schade, dass noch nicht viele Tools auf dem Markt sind bzw. derzeit noch zu wenig Funktionen sinnvoll genutzt werden können. Vor allem in Kombination mit dem Lesegerät unter einem Nicht-Windows-System.
Sinnvoll würde ich folgende Dinge sehen:

• Login: Anmeldebildschirm von GDM in Kombination mit dem Lesegerät. Anhand der Karten-ID wird der richtige Benutzer angemeldet. Wird die Karte entfernt, so sperrt sich der Bildschirm bzw. loggt den Nutzer aus.
• Datenverschlüsselung: Integration von Truecrypt. Nur bei korrekter Karte und einer PIN wird ein Truecrypt-Volume entschlüsselt. Natürlich nur solche, die für einfachste Verschlüsselungen gedacht sind….
• eMail Programm: GnuPG Key wird über die aufgelegte Karte verifiziert
• Netzwerkeinstellungen: Nur mit korrekter Karte können Netzwerkeinstellungen verändert werden
• Nutzung von OpenVPN: Statt Benutzer/ Passworteingabe wird der Key über die Karte verifiziert
• und noch viele mehr….

Das sind derzeit alles noch Ideen, die noch lange nicht umgesetzt sind. Und vermutlich noch sehr lange brauchen ;-(

Kosten
Neben den derzeit für den Kartenleser angefallenen Kosten von subventionierten 3,70 Euro fällt erstmal kein weiterer Euro an.
ABER. Und da muss man sich schon ein wenig am Kopf kratzen: Eine Ersatzkarte kostet mal gediegene 13 Euro bei Reiner. Das ist schon ein Haufen Geld für eine Mifare Karte mit der man derzeit noch nicht viel machen kann.
Und man sollte natürlich bedenken, dass Karten mal verloren gehen, mal defekt sind. Hat man sich nun die Mühe gemacht, seine Onlinedienste oder Datenverschüsselung mit der LoginCard zu verbinden, steht man dann vor einem nicht unerheblichen Problem.
Gut, man könnte noch überlegen, (s)einen NPa Personalausweis zu nehmen. Aber wer keinen biometrischen Ausweis haben will, steht hier wieder vor einem Problem. Also doch noch einmal nach Karten suchen, damit man zumindest eine als Ersatz hat.

Fazit
Grundsätzlich ist die Idee mit einem RFID Kartenleser sicherlich gut. Leider muss ich noch feststellen, dass

1. derzeit einfach noch zu viele Probleme/ Bugs im Treiber unter Linux/ MacOS-X vorhanden sind
2. das Angebot zur Nutzung noch übersichtlich ist

Das wird sich vermutlich demnächst weiter ändern und ausgebaut werden. Und die Fehler bei Nicht-Windows-Nutzern werden hoffentlich bald behoben werden.

Die Investitionskosten von 3,70 Euro für eine ComputerBild (und der Peinlichkeit, damit zur Kasse laufen zu müssen) sind für das Gerät sicher gut investiert. Einige andere Unternehmen verteilen andere RFID Leser (CosmosDirekt verschickt SCM Geräte), die unter Umständen für das Auslesen von RFID genau so gut funktionieren. Der Mehrwert mit der LoginCard ist allerdings schon gut.
Leider werden nicht alle RFID (also nur die OWOK bzw. LoginCards von Reiner SCT) Karten von OWOK Unterstützt. Man kann also leider nicht seine Zutrittskarten für Schließanlagen anderer Hersteller nutzen.

Links
http://www.reiner-sct.com/
http://forum.reiner-sct.com/
Ersatzkarten für Cardlogin bei Reiner-SCT
https://cardlogin.reiner-sct.com/
https://cardlogin.reiner-sct.com/?action=partner

Leider scheidet mein bevorzugter und schon mehrfach genutzter Hoster EUServ für diesen Bedarfsfall aus.
Warum?
EUServ hat leider einmalige (ich meine, das war “früher” mal nicht so) Kosten für die Einrichtung einer Domain bei KK Umzug. Damit kommen für den Umzug mehrerer Domains gleich mal einige Euro für den Umzug auf mich zu. Schade, ansonsten bin ich bisher mit EUServ äußerst zufrieden gewesen. Die sind schnell bei Neuregistrierungen, haben eine recht intuitiv und gut zu bedienende Konfigurationsoberfläche und bieten für wenig Geld genau das, was ich brauche. Zudem sie auch bei Fragen an den Support schnell und kompetent geantwortet haben.
Die hierfür anfallenden Kosten hätte ich natürlich bei ein, zwei Domains akzeptiert und mir wäre es wurscht. Aber da nun doch ein paar mehr umgezogen werden sollen/ müssen kommt eine Summe zusammen, die man sich ja auch sparen könnte. Schließlich gibt es Möglichkeiten, das Geld lieber anderweitig zu investieren (neues elektronisches Spielzeug vielleicht?).

Also musste ich weitersuchen und bin bei Tecspace e.K. gelandet. Von der Funktionsbeschreibung der dort angegebenen Produkte für meinen Bedarf komplett ausreichend. Ich brauche eigentlich nur die Registrierung und Änderungen der DNS Einträge (die ich im Idealfall alle selber ändern und weitere Einträge hinzufügen kann). Dazu noch günstige Preise.
Was will man mehr?
Schlechte Kritiken konnte ich online schon mal nicht auf die Schnelle finden. Also habe nun den Versuch gewagt und mich dort registriert (erforderlich, um Domains zu registrieren, einen Domainumzug anzustoßen usw.). Nach der Registrierung erhält man nach einiger Zeit ein Passwort für den gewählten Benutzernamen per eMail zugestellt. Hiermit kann man sich an der Konfigurationsoberfläche (adminX – webinterface genannt) anmelden.
Der weitere Prozess der Domainneuregistrierung (oder ein KK-Umzug) ist quasi selbsterklärend. Und was mich ja komplett erstaunt: Sauschnell.
Um zum Beispiel eine Domain von einem anderen Hoster zu transferieren bedarf es nur wenige Schritte:
- Einloggen
- Menüpunkt Domain Verwaltung
- Feld Passwort mit dem Auth-Code des bisherigen Hosters ausfüllen,
- Zahlart auswählen,
- Fertig.
Wenige Minuten später ist die Domain (sofern von dem bisherigen Hoster der richtige Auth-Code mitgeteilt und Domain freigegeben wurde) transferiert.
Unter dem Menüpunkt Domain Konfiguration -> Zonen kann nun der DNS Eintrag angepasst werden. Für mich natürlich wichtig. DNS A-Eintrag abändern, zur Not kann man noch über die TTL drüber nachdenken (86400 Sekunden/ 1 Tag ist Voreinstellung), speichern, fertig.
Alles andere (eMail Weiterleitungen usw.) kann man durch durchklicken und ausprobieren selber herausbekommen. Noch etwas irritieren derzeit, das wird sich aber auch klären, ist eine noch nicht ganz ersichtliche “catch-All” Funktion der eMailadressen. Weiterleitungen lassen sich anlegen, aber eine *@domainname kann ich nicht einrichten.

Auch eine gute Möglichkeit: Man kann mehrere Domains “en Block” transferieren oder registrieren. Ist natürlich sinnvoll, wenn man einen größeren Schwung Domains hat…

Was man nun natürlich noch nicht absehen kann und die Zeit mit sich bringen wird: Problemlösungen, sollte es mal Probleme geben. Auch die Verfügbarkeit (trotz guter Bewertungen) kann man noch nicht abschätzen. Aber das soll mir auch erstmal egal sein.

bisheriges Fazit:
- Sehr günstiger Hoster (einmalige Einrichtung: 1,25Euro/ DE-Domain)
- monatliche Kosten pro DE-Domain ab 0,21 Euro
- Keine Einrichtungsgebühr bei KK
- DNS Zonen-Einträge lassen sich verändern
- Sehr schnelle Bearbeitung von Transfer

Nachteil:
- Domainregistrierungen und jährliche Kosten sind günstig. Das verleitet dazu, wieder mal die ein oder andere Domain zu registrieren, auch wenn man die eigentlich überhaupt nicht gebrauchen kann

Mal sehen, welche Nachteile sich nun im täglichen Betrieb zeigen und was sich an Fragen ergibt. Bisher bin ich optimistisch und erwarte keinerlei Probleme. Aber man kann ja nie wissen…

Heißt also, mal wieder eine Unmenge KK Anträge erstellen, AuthCodes erzeugen, einen anderen Hoster finden und von Strato zu diesem wechseln. So werde ich also wieder weg von Strato……..
Und das, wo ich mich vor wenigen Wochen noch sehr positiv über Strato HiDrive geäußert hatte…
Danke.

Einen Pluspunkt gibt es für gute Dokumentation und Unterstützung von OpenVPN. Ohne große Verrenkungen findet man bei Strato einen Link mit den nötigen OpenVPN Dateien (Konfigurationsdatei, Zertifikate), kann diese einspielen und stellt, nach Eingabe von Benutzername und Passwort (gleiche wie für den Onlinespeicher auch) eine getunnelte Verbindung zu den SMB/ CIFS, FTP, SFTP, rsync Servern her. Routing zu den Servern wird entsprechend angepasst, so dass von nun an bei bestehendem Tunnel auf die Speicher zugegriffen werden kann.
Ob der Tunnel auch korrekt arbeitet, kann man einfach mal testen: Entweder mit Wireshark lauschen oder eine Datei transferieren. Im tun Device wird einem dann auch angezeigt, dass Daten gesendet und empfangen wurden. Weiterhin ist netstat -nr aussagekräftig:

10.144.x.y 0.0.0.0 255.255.255.255 UH 0 0 0 tun1
85.214.x.y 10.144.y.z 255.255.255.255 UGH 0 0 0 tun1
10.144.x.y 10.144.y.z 255.255.255.255 UGH 0 0 0 tun1

Die IP 85.214.x.y ist der cifs/ SMB Server. Von diesem kann man sich seinen “online Diskspace” mounten.
Einfache Variante: Eintrag in die fstab.

/etc/fstab
# Strato Hidrive
//BENUTZERNAME.cifs.hidrive.strato.com/root /media/MOUNTZIEL cifs user,username=BENUTZERNAME,noauto,rw 2 2

(BENUTZERNAME und MOUNTZIEL sind entsprechend anzupassen, eine Zeile von ‘//’ bis ’2′.)
Braucht man das “Laufwerk” nicht immer, so ist ein noauto Mounteintrag sinnvoll.
Wenn der Tunnel besteht, kann die Freigabe ganz einfach durch einen Mount Aufruf gemountet werden:
sudo mount /media/MOUNTZIEL mountet den per CIFS freigegebenen Onlinespeicher, man wird nach einem Passwort gefragt (das HiDrive Passwort; u.U. noch das sudo Passwort):

//BENUTZERNAME.cifs.hidrive.strato.com/root
20G 5,0G 16G 25% /media/MOUNTZIEL

Voilá. Damit ist nun über den Tunnel die Freigabe gemountet und kann ganz normal genutzt werden.

Also ist alles vorbereitet, um das mal zu testen. Mal sehen, was die Performance so sagt.

Natürlich werden, auch wenn das nur ein Test ist, die zu sichernden Daten verschlüsselt. Online Daten speichern, auf deren Systeme man keinen Einfluss hat? Nein. Absolutes No go! Datensicherheit ist auch hier unumlässlich. Und gerade hier. Über die Festplatte auf seinem Schreibtisch hat man (zumindest physikalische) Gewalt. Man kann (mit entsprechend großem Aufwand) sicherstellen, dass die Platte nur für die Personen zugänglich ist, die es auch darf. Aber bei Onlinespeichersystemen sollte man immer davon ausgehen, dass der Anbieter (ob nun gewollt oder ungewollt) Zugriff auf seine Daten hat. Gut, das mag bei seinen Sicherungen von irgendwelchen Programmen belanglos sein. Aber wer würde irgendwelche heruntergeladenen Programme auf Onlinespeichersystemen sichern? Das Runterladen aus dem “normalen” Internet ist schneller und aktueller als irgendwelche Sicherungen, die man hier hätte. Also unnötig.

Schnell mal einen verschlüsselten Datencontainer von 5 GB erzeugt. Den könnte man (auch ohne Daten) schon mal hochladen. Aber das macht ja keinen Spaß. Noch ein paar Daten in den Container gelegt und los geht es: rsync ist dein Freund.

Was sich hierbei nun zeigt: Die Uploadrate eines normalen ADSL ist halt doch etwas bescheiden. Da dauert es doch schon mal etwas länger, bis alles da ist, wo es sein soll.

Und so kommt es, dass mir Strato eine Mail schickt mit der Werbung, dass man für einmalig Summe X ohne weitere Kosten Speicher online bekommt. 20 GB. Und nur für die ersten zig tausend Kunden. Und natürlich nur, solange man Kunde bei denen ist… Aha. Da ist also der Haken. Will man das? Will man mit (s)einer Domain für immer auf Grund dieses Produktes dort bleiben?
Überlegt: Brauche ich das? Nein. Eigentlich nicht. Aber halt nur eigentlich. Sicher gibt es auch für mich noch einen Nutzen. Speicher habe ich genug online. Also bräuchte ich das nicht wirklich.
Aber zum Probieren und vll. doch irgendwann einmal nutzen habe ich dann mal bestellt. Die Bestätigungsmail kam auch prompt. Mit dem Hinweis, dass auf Grund der hohen Nachfrage das ganze ein wenig dauern könnte.

Also heißt es abwarten. Mal sehen, wann es losgeht.