Online-Banking selber programmieren

[Tazidus]

Hallo,

ich beschäftige mich zurzeit mit dem Thema Online-Banking zu Studienzwecken.

Ich finde zwar jeder Menge Infos zu Sepa / FinTS / HBCI u.a. aber nicht das was ich suche.

Ich würde gerne wissen, wie man die Verbindung zu einem Bankserver herstellt, Befehle übermittelt und Meldungen empfängt.

Mich interessiert in erster Linie die programmtechnische Umsetzung in Delphi/C++ und ich will keine API verwenden.

Außerdem interessiert mich noch die Flickergrafik, die für das ChipTAN/SmartTAN Verfahren benötigt wird.
Wie wird diese erstellt? Gibt es hierfür irgendwelche Infos? oder ggf. eine API?

Ich habe mir auch schon DDBAC uund FinTS-API angesehen. Ich habe aber hier einige Bedenken, weil
a) ich nicht weiß, wie ich diese Komponenten einbinden soll und
b) eigentlich auch die Kommunikation mit dem Server selber machen

Außerdem müsste ich noch Informationen finden, wie man eine SEPA-XML-Datei an die Bank online übertragen kann ohne sich einer Banking-Software oder einer Banking-Homepage zu bedienen.

Wer kann mit helfen oder sachdienliche Infos geben?

Vielen Dank
Gruß
Daniel

[himitsu]

Zitat:

und ich will keine API verwenden

Egal wie, das mußt du dennoch.

Erstmal die API (also die Schnittstelle) für das SEPA, also der Aufbau der XML. Dann die API für das Übertragungsmedium, wie z.B. HTTP und TCP-IP, um es zur Bank zu schicken, eventuell auch die APIs für da DateiSystem (CreateFile) und dann viele APIs um irgendwelche Funktionen im Delphi und Computer zu benutzten. usw.

Ob APIs nochmal in anderen Komponenten (z.B. Indy und TFileStream) versteckt sind, ist egal, denn auch diese Komponenten besitzen wieder ihre API, über welche du sie ansprechen kannst.


Beispiel:

• Man kann eine SEPA-Komponente benutzen,
• man implementiert das SEPA-Protokoll selber und nimmt via TIdHTTP mit einem WebServer Kontakt auf,
• man implementiert das SEPA-Protokoll und das HTTP (Hypertext Transfer Protocol) selber und nimmt via TIdTCP mit dem WebServer Kontakt auf,
• man implementiert das SEPA-Protokoll, HTTP und das TCP (Transmission Control Protocol) selber und nimmt via Socket-Komponente mit dem WebServer Kontakt auf,
• man implementiert das SEPA-Protokoll, HTTP, TCP und auch das Socket-Zeugs selber,
• oder man bastelt das SEPA-Protokoll und sogar die XML manuell als String zusammen und implementiert das HTTP, das TCP und auch noch das Socket-Zeubs selber.
• Man kann auch noch auf die Speicherverwaltung verzichten und bastelt dann sogar die Strings selber (GetMem) und die extrem Harten verzichten sogar auf dem Delphi-Speicher-Manager und wenden sich direkt an Windows (VirtualAlloc) und die nutzen Assembler (maschinennahe Programmiersprache) oder gleich mit'm Hexeditor geschriebenen Maschinencode, eigene Treiber und wenden sich direkt an die RAM-Riegel
  und am Ende bauen sie sich natürlich auch noch den Computer selber, nachdem sie die Rohstoffe selbst von Hand geschürft und im Keller zu Mikrochips verarbeitet haben.

Tipp: Es gibt hier bereits ein paar Themen zum Thema SEPA und da würde ich anfangen mit Suchen.

Und bevor du gleich alles selber machen willst, fang erstmal ganz unten an, implementier dir z.B. das SEPA, verwende dafür bereits vorhandene Komponenten/Funktionen
und wenn das dann geht, kannst du immernoch eine Zwischenschicht nach der Anderen entfernen, bis am Ende (in paar Jahrzehnten) alle selbstgemacht ist.
Ansonsten solltest du natürlich am anderen Ende anfangen, weil du sonst jahrelang nichts testen kannst, und findest erstmal raus, wie man Kontakt zu "irgendeinem" Webserver aufnehmen kann. (Request hinschicken und den Response empfangen <- bei HTTP das POST/GET hin und eine Antwort ala Text/XML/HTML/sonstwas zurück)

[sh17]

Sorry, aber willst Du nur lernen oder das irgendwann mal produktiv einsetzen? Welche Bank lässt Dich denn bitte an deren Servern testen?

Hier mein Vorschlag:

https://subsembly.com/de/hbci-fints-api.html

[OrNEC]

Zitat von sh17:

Sorry, aber willst Du nur lernen oder das irgendwann mal produktiv einsetzen? Welche Bank lässt Dich denn bitte an deren Servern testen?

Das habe ich auch gedacht. Nicht mal nen Drucker kannst Du einfach so in ein Bankennetz schalten. Wenn es geht, suche Dir ein einfacheres Projekt.

[Captnemo]

Schau mal hier: DDBAC.

Muß zwar mit weitergegen werden, und auch auf dem jeweiligen Client installiert werden. Dafür ist das wunderbar von Delphi nutzbar. Gibt auch Beispiele für Delphi und eine gute Dokumentation.

Ich habe selbst schon in ein Programm integriert, und es funktioniert super. Bisher ohne auch nur einmal zu mucken. Und wenn man das erst mal verinnerlicht hat, ist es auch einfach.

Der Preis ist allerdings Hammer.

[Edit] Grad gesehen, dass du das schon kennst.

Zitat von Tazidus:

Ich habe mir auch schon DDBAC uund FinTS-API angesehen. Ich habe aber hier einige Bedenken, weil
a) ich nicht weiß, wie ich diese Komponenten einbinden soll und
b) eigentlich auch die Kommunikation mit dem Server selber machen

Aber so schwer ist das nun nicht. Wenn du das nicht verstehst, wird das mit dem direkten Datenaustausch, den du vorhast auch nix.
Ich weiß ja nicht wie das bei deiner Bank ist, aber wenn bei meiner in der Anmeldung oder dem Datenaustausch zu viele Fehler auftreten, wird mein Onlineaccount erst mal zur Sicherheit gesperrt.[/Edit]

[vagtler]

Zitat von Captnemo:

[...] Ich weiß ja nicht wie das bei deiner Bank ist, aber wenn bei meiner in der Anmeldung oder dem Datenaustausch zu viele Fehler auftreten, wird mein Onlineaccount erst mal zur Sicherheit gesperrt.[/Edit]

Dafür bieten die Banken und Sparkassen ja auch Testzugänge. Dass die selten kostenfrei sind, steht auf einem anderen Blatt...

[PC-John]

Zitat von Tazidus:

Hallo,
ich beschäftige mich zurzeit mit dem Thema Online-Banking zu Studienzwecken.
Ich finde zwar jeder Menge Infos zu Sepa / FinTS / HBCI u.a. aber nicht das was ich suche.
Ich würde gerne wissen, wie man die Verbindung zu einem Bankserver herstellt, Befehle übermittelt und Meldungen empfängt.
Mich interessiert in erster Linie die programmtechnische Umsetzung in Delphi/C++ und ich will keine API verwenden.
Außerdem interessiert mich noch die Flickergrafik, die für das ChipTAN/SmartTAN Verfahren benötigt wird.
Wie wird diese erstellt? Gibt es hierfür irgendwelche Infos? oder ggf. eine API?

Zu "Studienzwecken"? Wieso denn genau bei dieser Anwendung?

Ich war drei Jahre als PC-Techniker bei einer Grossbank, genau in jener Abteilung, welche das Online-Banking entwickelte und laufend pflegte.
Ein paar tiefere Einblicke konnte ich schon gewinnen, und die laufende Entwicklung auch verfolgen bei den internen Tests, wo (natürlich) auch unsere interne Abteilung mit eingebunden wurde.

Die entsprechenden Sicherheits-Vorkehrungen aber wurden von einem ganz kleinen Team entwickelt, welches sogar den PC-Support und den täglichen Backup in einer voll geschlossenen Umgebung machen konnte/musste.

Das heisst für mich also, dass man nur mit grösseren Schwierigkeiten an diese Details kommt, wenn überhaupt.
Währenddem zu den Anfangszeiten des Internet-Banking die Applikation noch auf dem lokalen PC lief, monatliche Updates waren die Regel, wurde schon bald aber alles in den Browser ausgelagert, damit konnte auf die regelmässigen Updates verzichtet werden, und die Funktionen konnten besser geschützt werden gegen aussen.

PC-John

[Codehunter]

Zitat von PC-John:

wurde schon bald aber alles in den Browser ausgelagert

Was aber nur in den einfachen Fällen ein Ersatz ist. Jede Firma mit häufigen Kontenbewegungen (z.B. Onlinehändler) werden "Browserbanking" verfluchen. Die meisten haben ja nicht mal Listenexporte. Services wie Sammellastschriften lassen sich bis heute meist nur mit den proprietären HBCI-Programmen der jeweiligen Bank realisieren. Da geht weder mit dem Browser noch mit Standard-HBCI etwas.

[Bernhard Geyer]

Zitat von PC-John:

Währenddem zu den Anfangszeiten des Internet-Banking die Applikation noch auf dem lokalen PC lief, monatliche Updates waren die Regel, wurde schon bald aber alles in den Browser ausgelagert, damit konnte auf die regelmässigen Updates verzichtet werden, und die Funktionen konnten besser geschützt werden gegen aussen.

Sorry, aber das ist naiv. Eine Browser-Lösung ist mitnichten sicherer als eine native Anwendung für Windows/MacOS. Es ist sogar so das es eigentlich viel einfacher ist hier die Schwächen der Implementierung zu suchen und Angriffe zu entwickeln. Die Debuggen-Möglichkeiten eines Modernen Browsers sind hier viel besser als wenn man auf Assembler-Ebene mit entsprechenden Debuggern gegen eine Win32-Exe arbeiten muss.
Eine gute Sicherheitslösung sollte es egal sein ob es über Browser ober native Apps läuft. Die API die bereit gestellt wird muss sicher sein und keine Buffer-Overflows oder ähnliches beinhalten.