Hallo,

ich wollte mal nachfragen, ob es irgendwie eine Möglichkeit gibt, die zu einem Konto gehörige PIN zu speichern. Es ist mir klar, dass es dadurch ein Sicherheitsrisiko gibt. Aber ich glaube, dass mein Rechner gut genug geschützt ist und ich dieses Risiko eingehen kann, um nicht bei jeder aktualisierung 10 verschiedene PINs einzugeben.

Oder darf ich wieder mal ein Programm umschreiben?

Nein, das Speichern der PIN ist nicht permanent sondern nur pro Sitzung moeglich. Allerdings nicht, weil es technisch nicht ist moeglich ist, sondern weil ich es nicht will. Siehe hierzu auch https://www.willuhn.de/bugzilla/show_bug.cgi?id=185#c4

Gruss
Olaf

Oki, danke für die Info. Dann werde ich gleich mal über deine Quelltexte herfallen

Da meine Banken die Umsätze sofort nach der Gutschrift auf dem Kontoauszug anzeigen, werde ich wohl noch eine Funktion einbauen, die z.B. zur jeden vollen Stunde sich die aktuellsten Umsätze von der Bank holt und bei neuen Umsätzen eine Nachricht anzeigt. (Ala E-Mail Programm)

Der relevante Code dazu findet sich in DialogFactory (die Funktionen getCachedPIN und setCachedPIN). Im POrinzip musst du zum Speichern nur den verschluesselten Stream in eine Datei umwandeln und beim Lesen umgekehrt. Aber wie gesagt, Im Hibiscus-CVS will ich das eigentlich nicht drin haben, da es genau das in alten Hibiscus-Versionen schonmal (zumindest fuer Schluesseldiskette) gab und mir Fehlermails beschert hat, weil User mangels Passwort nicht mehr an die Schluesseldiskette rangekommen sind. Bei PIN/TAN waere die Problematik die gleiche, wenn User die PIN aendern und Hibiscus dann nicht mehr funktioniert.



Genau das baue ich gerade - allerdings etwas umfangreicher - als separates Plugin namens "Hibiscus Payment Server". Damit wird es moeglich sein, Hibiscus ohne GUI auf einem Server laufen zu lassen. Dieser fuehrt dann HBCI-Auftraege automatisiert und zyklisch durch. Ein Web-Interface zum Administrieren wird ebenfalls dabei sein. Allerdings wird es ein kommerzielles Plugin.

PS: Ich empfehle dir, deine Erweiterungen als separates Jameica-Plugin zu bauen. Dann sparst du dir das wiederkehrende Mergen deiner Aenderungen in den Hibiscus-Code. Da man in Hibiscus angeben kann, welcher HBCICallback verwendet werden soll, kann man auch das Speichern der PIN in einem separaten Plugin erledigen. (Der Payment-Server wird genau das - also das Speichern der PIN) auch machen

Gruss
Olaf

Ja, ich habe vorhin den Code kurz überflogen und da ist mir auch das Problem mit der PIN Änderung in den Sinn gekommen. Ich denke, dass ich nicht die Funktion setCachedPIN zum wiederherstellen einer gespeicherten PIN verwenden werde, sondern bei der ersten Abfrage nach dem Programmstart das Dialog Fenster erscheint. Gibt man in diesem keine neue PIN ein, so wird die gespeicherte verwendet. Wird jedoch eine neue PIN eingegeben, so wird diese anschließend verschlüsselt in einer Datei gespeichert.



Also die Timer Funktion werde ich als Plugin einbauen. Bei der PIN Funktion bin ich mir noch nicht ganz sicher. Ich denke mal, dass ich zuerst in deinem Core rumbauen werde. Und dann in einer ruhigen Minute daraus dann ein Plugin machen werde. Ich muss mir auch mal anschauen, wie ich etwas mit Jameica machen kann.

Hast du eigentlich schon eine Vorstellung, wann der Hibiscus Payment Server fertig sein wird und was eine Lizenz kosten soll?

Nein, leider noch nicht. Insbesondere auch, weil ich mir in dem Zusammenhang ja auch noch Gedanken ueber die Formulierung des Lizenztextes Gedanken machen muss.

Gruss
Olaf

@LL0rd:

Leider sind nicht alle so begabt wie du, weshalb ich dich mal
fragen wollte, ob du dein Werk nach Fertigstellung auch hier
posten und erklären würdest, so daß andere es auch nutzen
könnten ...?

mfG
Hibiscus-User

Woran hast du den Interesse?

Ich habe mir am Wochenende vorgenommen 1-2 Stunden Zeit zu nehmen und mir Jameica ganz genau anzuschauen. Am gleichen Wochenende werde ich wahrscheinlich auch diese PIN speichern Geschichte fertigmachen.

Das ganz neue Modul mit dem "jede volle Stunde den Kontostand abfragen" werde ich mir dann irgendwann bei Gelegenheit vornehmen. Aber zuerst habe ich noch Projekte, die für mich wichtiger sind.

Mit dem begabt sein ist es so eine Sache. Für meine Großeltern ist es schon fast Zauberei, wenn sich meine Bürotür aufschließt, sobald ich nur die Türklinke berühre. Für mich ist die ganze Elektronik mittlerweile Alltag geworden und nicht mehr wegzudenken.

In meinem Studium wurde mir Eingetrichtert, dass man Wissen teilen muss. Ich habe deshalb auch kein Problem die Arbeit, die ich für mich gemacht habe, anderen zur Verfügung zu stellen.

Deine Meinung/Ergebnisse kannst du dann gern hier posten. Fuer Jameica existieren inzwischen zwar bereits einige Plugins (neben denen von mir noch www.jollina.de und www.jverein.de). Dennoch interessiert mich auch andere Meinungen zu dem Code und insb. zum Modell/Design. Man wird ja im Laufe der Zeit betriebsblind

Gruss
Olaf

Wenn du mich fragst was ich möchte, dann kann ich als erstes natürlich die
Sachen aufzählen, die Olaf nicht umsetzt.

- Logbereich entfernen (Einblendung nur bei Fehler)
- Hilfe entfernen (ausblenden)
- Navigation ausblenden
-

Ansonsten bin ich selbst für alles offen und müßte mir erst Gedanken
machen, wie ich dir die Zeit vertreiben kann.
Es würde mir schon entgegenkommen, wenn du deine Änderungen zur
freien Verfügung stellst und eine kleine Anleitung dazu mit auf dem Weg
gibst, wie wo was gemacht werden muß und was es bewirkt.

mfg
Hibiscus-User

Eine Sache hätte ich dann doch ganz gern:
- Aktualisierung nach dem Programmstart

und dann wie oben schon erwähnt:
- im Intervall weitere Aktualisierungen durchführen

Mir ist heute ein anderer Fehler aufgefallen, vieleicht kann Olaf da auch seinen Senf dazu geben. Eins meiner Konten ist bei der Cortal Consors. Mir ist schon sehr oft aufgefallen, dass die Reihenfolge, in der die Buchungen stehen, sich ändern kann. Da es der erste Monatsanfang war, in dem ich Hibiscus benutze, ist mir dieser Fehler erst jetzt aufgefallen. Schau dir am besten einfach meinen Screenshot an.

Schau mal hier.

Ist es das?!?

Hylli

Auch wenn die Umsaetze doppelt vorhanden zu sein scheinen. Laut Spalte "Saldo zu diesem Zeitpunkt" sind sie das nicht. Grund: Der Wert in dieser Spalte wird nicht von mir berechnet sondern genauso von der Bank geliefert. Hibiscus zeigt hier also nicht doppelte Umsaetze an. Stattdessen existieren die Umsaetze meiner Meinung nach tatsaechlich doppelt.

Gruss
Olaf

Hallo LL0rd,

ich waere auch sehr an einer Loesung der "PIN-Speicherung" interessiert, falls Du sie fertig hast.

Vielen Dank im voraus.

Gruss
Johannes

Hallo!
Ich als neuer Hibiscus User wäre auch sehr an der Lösung dieses "Problems"(vielleicht sogar als Plugin?) interessiert. Gibt es hierzu Neuigkeiten?

--
Gruß Mullti

Ich habe mich zwar heute erst "angemeldet" - verfolge aber diesen Thread schon seit über 2 Jahren und wäre auch an einer "Antwort" sehr gern interessiert.

Ja, ich weis - wir reden hier nicht von den kostenpflichtigen populären Programmen wie z.B. StarMoney oder der preislich besseren Alternative AlfBanco - aber bei diesen Programmen ist das Abspeichern der HBCI-Karten-PIN ohne weitere Probleme mit Haken setzen möglich.

Zumal das auch kein Sicherheitsrelevantes Thema ist (für mich) - da ich mein Notebook allein nutze und ja der Programmstart von Hibiscus durch ein separates Passwort (wie alle anderen ja auch) erst möglich ist.

Gern würde ich auch von mir aus einen Betrag X einmalig für ein entsprechendes Plugin bezahlen !?! Dann wäre ich auch sehr GLÜCKLICH wenn man diese Funktion von Version zu Version "mitnehmen" bzw. weiternutzen kann !!!

ALSO meine Frage: ist nun nach zwei Jahren Ankündigung etwas möglich??? Auch gern gegen einen einmaligen Betrag???

EINE ANTWORT WÄRE GANZ PRIMA !!! !!!

Ich verstehe nicht, was so furchtbar dramatisch daran ist, die PIN eingeben zu muessen? Im Gegenteil, ich sehe hier sogar Vorteile:

1) ganz banal: Durch die regelmaessige Benutzung vergisst man sie nicht

2) wenn man sie nicht permanent speichert, muss man sich auch keine Gedanken darueber machen, ob sie sicher aufgehoben ist oder nicht

3) und das halte ich fuer den wichtigsten Punkt: Durch die Eingabe der PIN gebe ich a) Hibiscus explizit die Freigabe - das Programm kann also nicht von sich aus agieren sondern muss sich meine Freigabe holen. ...und b) die Anwendung gibt mir ein deutliches Signal fuer "ACHTUNG, ich greife jetzt auf dein Konto zu. Ist das OK?"

Hallo Chefche

zunächst "furchtbar" "dramatisch" ist es nicht, hält mich aber und alle in meinem Freundes- & Bekanntenkreis davon ab, von z.B. Starmoney, AlfBanco, usw., auf Hibiscus umzusteigen. Soweit sehr Schade, da Dein Programm, auch mal abgesehen vom Kostenfaktor, eine sehr gut gelunge Leistung ist!!! (optisch und auch technisch - ausser der HBCI-PIN Speicherfunktion)

zu 1) -> sind wir mal ehrlich, jeder bzw. viele andere haben das Schreiben Ihrer Bank mit der HBCI-PIN in Ihrem Bankordner oder wo anders aufbewahrt . Das ist also kein Argument!

zu 2) -> ich nutze seit 2003 HBCI-fähige Homebankingsoftware, diesen Gedanken werde ich mir auch in Zukunft nie machen - warum wohl bieten das soviele andere gerade kommerzielle Programme an, über die eigene Sicherheit selbst zu entscheiden. Kein Argument!

zu 3 a) -> ich kenne keine Homebankingsoftware, auch von den mir selbst getesteten Prgrammen, was selbstätig eigenmächtig "von sich aus selbst agieren" könnte und/oder würde! Also, auch kein Argument!

zu 3 b) -> also wenn ich mit meinem Homebankingprogramm (derzeit AlfBanco) arbeite, ich eine Überweisung, Dauerauftrag, usw. ausfülle, dies dann an meine Bank übermitteln möchte bzw. werde - dann ist mir doch schon sehr wohl bewusst bzw. es mit Deinen Worten: "ein deutliches Signal", dass ich mir, mit Deinen Worten: "ACHTUNG, ich greife jetzt auf dein Konto zu." doch wohl sehr bewusst (geistesgegenwärtig) bin!!! Das ist ja nun überhaupt kein Argument. Deine Frage: "Ist das OK?" = Nö, isses nicht, auf keinen Fall!

Auch die Argumentation im Support FAQ-Bereich: "Es ist vergleichbar mit der Eingabe des Root-Passwortes für Administrations-Aufgaben unter Linux oder der Benutzerkontensteuerung von Windows Vista." ist nicht relevant, da ich auch hier die absolute frei Wahl habe, die Benutzkontensteuerung auszuschalten. Ja, ich werde darauf hingewiesen, das dies nicht sicher ist, wie in den anderen Homebankingprogrammen ja auch, aber Vista sowie viele andere Hombankingsoftware lässt mich wenigsten selbst entscheiden!!!

Also alles in Allem sind dies wirklich KEINE Argumente, die HBCI-PIN Sicherheit nicht in die Hände des Users / Benutzers zu geben!!!

Eine Banking-PIN gehört nicht gespeichert.

Software, die das trotzdem anbietet, mag zwar "komfortabel" sein - aber genau dieser Typ Software ist es, der lohnendes Ziel diverser Viren, Trojaner, Phisher ... ist.

Letztendlich wird Olaf diesbezüglich das letzte Wort haben, aber meine Meinung ist: wem das Eingeben der PIN zu "lästig" ist, und als Begründung für die vermeintliche Sicherheit anbringt, dass der betreffende Rechner ja nur von ihm selbst genutzt wird... nun ja. Ich sage mal: viel GLÜCK weiterhin beim Online-Banking!

-stefan-