Vorstellung Moneypenny vom Entwickler (split)

So, dann hab ich als MP-Entwickler es jetzt also auch ins Forum geschafft . Also erstmal, um Missverständnisse von vornherein aufzuklären:

MoneyPenny kann man auf zwei verschiedene Arten benutzen.

1. Von CD! Dies ist die sichere und empfohlene Variante. Das System startet von einem Knoppix und ist daher nicht mehr manipulierbar. Die CD-Version ist virengeprüft und richtet sich an Windows-Benutzer, die sich kein Linux installieren möchten und/oder Anwender, die maximale Sicherheit haben möchten. Man muss zwar den Rechner neu booten, allerdings kann man sich auf diese Weise sicher fühlen.

2. Unter Linux. Generell gilt: MoneyPenny ist ein Linux-Programm und kann unter aktuellen Linux-Distributionen in Betrieb genommen werden.
Eine Installationsanleitung befindet sich im Tarball. Diese Variante richtet sich an Linux-Anwender, die Erfahrung mit der Installation von Programmen haben. Allerdings sollte bedacht werden, daß auch unter Linux keine hundertprozentige Virenfreiheit garantiert werden kann.

-> Eine gaaaaanz schlechte Idee wäre es MoneyPenny in einer VM-Ware unter Windows laufen zu lassen. Das Problem ist ganz einfach, dass Sabotage-Programme unter Windows dann zugriff auf den Datenbestand der Speichermedien haben. Dann kann man aber doch auch gleich Starmoney, Quicken, usw. benutzen. Diese Programme sind in der Regel vom Funktionsumfang besser als MoneyPenny, bieten aber durch den Betrieb unter Windows sehr viel weniger Sicherheit. MoneyPenny unter Windows zu emulieren würde also wenig Sinn machen. Dies ist auch der Grund, warum wir das Programm NICHT nach Windows portieren werden, obwohl es tatsächlich möglich wäre (vorrausgesetzt man schaltet diverse Sicherheitsfeatures ab)

So, das wär es erstmal. Warte jetzt nur noch drauf, dass meine HBCI-Karte kommt, damit ich anfangen kann die LibChipCard unterzubauen.

MFG, Marcel

/edit von Raimund: Hab mir erlaubt, den thread zu splitten

hallo, habe auf der cebit das erste mal von dem prog gehört und ne cd bekommen. habs auch heute direkt ausprobiert. leider ist meine bank nicht aufgeführt, zumindest nicht meine filiale. kann mir vielleicht jemand sagen wie ich die einfügen kann? habe es bei der bankenliste mit manueller eingabe versucht, das das scheint er nicht zu akzeptieren. für hilfe wäre ich sehr dankbar.

33060592

Also bisher gehen noch garkeine Chipkarten, aber wir arbeiten dran ... Wenn wir Chipkarten hätten, ginge es natürlich besser, aber wenn wir von euch eh welche kriegen ist das prima

Mit der CD werde ich Walter nochmal anhauen, dass der euch eine vorbeibringt, allerdings können wir mit Problemen wie Bildschirmauflösung usw. im moment wenig machen. Das liegt eher am Knoppix-Betriebssystem, was da drunter liegt ... sollten wir uns vielleicht mal zusammensetzen und gucken woran das liegt.

....

Die Bankliste ist die Liste der Banken, die laut ZKA das HBCI-Verfahren unterstützen. So wie ich das auf der CeBIT gelernt habe ist das wohl durchaus nicht ungewöhnlich, dass Banken das zwar unterstützen, aber nicht in der Liste drin sind. Wenn man solche Banken nutzen will, muss man die Daten (BLZ, Server) leider von Hand eintragen. Sollte aber trotzdem funktionieren.

MFG, Marcel

versuchst du mit pt oder diskette?

pin/tan

Bitte verwenden Sie folgende Zugangsparameter für die manuelle Eingabe:
Kunden- & Benutzernummer: Geben Sie hier Ihre Kundennummer ein
HBCI Version: 2.20
HBCI Seite: https://www.bankingonline.de/hbci/pintan/PinTanServlet

diskette konnte ich noch nix finden
edit: Konnte ich ja auch gar nicht finden, weil sie es wohl nicht anbieten, deswegen stehen sie auch nicht in der ZKA-Übersicht nicht drin...

Achso? Hatte ich nicht irgendwo gelesen, dass P&T jetzt auch umgesetzt wurde?

na gut dann geht es halt im moment noch nit, schade. wunderte mich halt nur, weil wie gesagt andere sparda banken wie südwest, münchen, nürnberg und mehr in der liste standen. daher dachte ich das west auch gehen müsste. dann muss ich mich mal aufm laufenden halten ab wann es geht, danke an alle.

Hmm, PIN/TAN ist ja genauso ein Sicherheitsmedium von HBCI wie Chipkarte und Diskette... Nutzt man PIN/TAN nur mit Moneypenny als BootCD gibt es von der Sicherheit her doch keinen Unterschied oder wo übersehe ich was?

Gibt es eigentlich Richtlinien wie eine PIN und TAN auszusehen haben? Die PIN ist ja normalerweise 5stellig und alphanumerisch, die TAN 6stellig und numerisch, kann man davon abweichen oder über welches Abkommen ist das geregelt?

Die Sicherheit von HBCI liegt ja nicht alleine in der Sicherheit des Clients. sondern auch am Übertragungsverfahren. Der Nachrichtenaustausch zwischen Bank und Client geht über eine 768-bittige asymmetrische Verschlüsselung. Mein Rechner bräuchte durchschnittlich 500 Jahre um eine solche Verschlüsselung zu knacken. Beim herkömmlichen PIN/TAN-Verfahren gehen die Daten noch Klartext über die Leitung, obwohl das iglücklicherweise inzwischen bei den meisten Banken wenigstens durch eine SSL-Verbindung abgesichert ist.
Der Client kann noch so unhackbar sein. Das nützt mir nix, wenn ich die Nachrichten unterwegs abfangen und manipulieren kann. Man greift ein System nicht an seiner stärksten Stelle an. Deshalb der bewußte Verzicht auf PIN/TAN.

Also mir ist kein Übertragungsweg mit PIN/TAN bekannt der nicht 128bit verschlüsselt ist und so läuft auch HBCI PIN/TAN mit SSL. So müßte dann ja schon die Verbindung direkt auf einem Server manipuliert werden...