🚀 go-pugleaf

On Jan 15, 9:33 am, Stefan Werner <009wcq...@sneakemail.com> wrote:
> david mosberger schrieb  am 15.01.2008 15:24:
>
> >> lässt, wäre ein peer-review des codes relativ wichtig. Ich konnte den
> >> Quellcode nicht finden, hast Du einen Link?
>
> > Ich glaube der einzige Sicherheitskritische Teil ist das JavaScript
> > Programm das die Felder einfüllt.  Den kann man in der Firefox
> > Erweiterung finden.  Normalerweise findet man dies in:
>
> Naja, sicherheitskritisch ist der Teil in dem möglicherweise ein
> Trojaner sitzen könnte, der sich freut, dass ich grad eine Verbindung zu
> meiner Bank offen habe, und der die Verbindungsdaten dann seinem
> Herrchen nach Malaysia schickt, welcher seinerseits ein paar für ihn
> interessante Transaktionen durchführt, während ich meine ESR einlese.
> (Natürlich möchte ich Dir solches nicht unterstellen, aber die Banken
> empfehlen ja ganz klar, dass man KEINE andere Software laufen lassen
> soll, während die E-Banking Verbindung offen ist).

Das einzige Programm das innerhalb des Browsers läuft ist ezleser.js
und weil es so kurz und einfach ist, kann man sich leicht davon
Überzeugen dass es ein sicheres Programm ist.

> (Ich weiss ja nicht, wo Du Dich befinden wirst, wenn ich das Programm
> laufen lasse. Vielleicht in Malaysia? ;-))

Ich sehe nicht warum das eine Rolle spielen sollte.  Wie gesagt: der
JavaScript-Source kannst Du lesen und ich sehe keine Möglichkeit wie
das Programm eine Gefahr darstellen sollte.  Ausserdem kannst Du
meinen Namen in Google eintippen und wahrscheinlich mehr als genügend
Informationen über mich herausfinden...

> >> Oder, Anregung für eine Erweiterung, das Programm könnte aus dem ESR ein
> >> DTA-File generieren, anstatt die gelesenen Daten direkt in die
> >> E-Banking-Maske zu übertragen. Dann könnte man es offline verwenden.
>
> > Was für Software gibt es auf Linux zum die DTA Dateien zu verarbeiten?
>
> Jeder Webbrowser kann die DTA-Files an die Bank schicken.
>
> Ablauf: Ich scanne eine reihe ESR's ein, das Programm erfragt fehlende
> Daten (Name, Adresse) über ein UI und speichert diese in einer kleinen
> Datenbank ab (ESR Identity-Part als Schlüssel). So erkennt es denselben
> Adressaten wieder, wenn man wieder einen ESR für ihn einscannt.
> Aus den ESR's erstellt es DTA-Files.
> Wenn ich alle ESR's eingescannt habe, starte ich meinen Browser, öffne
> eine Verbindung zu meiner Bank und übermittle die DTA-Files.
> In diesem Fall wäre ich auf der sicheren Seite: Die unbekannte Software
> muss gar nicht mehr laufen, während ich die Verbindung zur Bank herstelle.

Ah, Danke für die Information.  Für meine Zwecke (meinen Eltern ihr
Leben etwas zu vereinfachen) ist die aktuelle Lösung besser, weil sie
weniger Schritte benötigt, aber ich kann schon verstehen das
raffinierterte Benützer einen anderen Arbeitsablauf benützen möchten.
Aber wie gesagt, Sicherheitsmässig sollte es sowieso kein Problem
sein.

  --david