🚀 go-pugleaf

david mosberger schrieb:
> Dachte diese Software w�re vielleicht f�r verschiedene Schweizer Linux
> Ben�tzer von Interesse:
> 
>   http://www.mosberger-consulting.com/ezleser/
> 
> Im Moment ist es f�r Debian eingerichtet, aber das liess sich einfach
> Verbessern falls Interesse daran besteht.

Finde ich �usserst cool ;-)
Bloss, da das Programm immerhin verlangt, dass man bei ge�ffneter 
E-Banking-Schnittstelle ein Fremdprogramm aufs Userinterface zugreifen 
l�sst, w�re ein peer-review des codes relativ wichtig. Ich konnte den 
Quellcode nicht finden, hast Du einen Link?

Oder, Anregung f�r eine Erweiterung, das Programm k�nnte aus dem ESR ein 
DTA-File generieren, anstatt die gelesenen Daten direkt in die 
E-Banking-Maske zu �bertragen. Dann k�nnte man es offline verwenden.


-stef

On Jan 14, 10:51 pm, Stefan Werner <009wcq...@sneakemail.com> wrote:
> david mosberger schrieb:
>
> Finde ich äusserst cool ;-)
> Bloss, da das Programm immerhin verlangt, dass man bei geöffneter
> E-Banking-Schnittstelle ein Fremdprogramm aufs Userinterface zugreifen
> lässt, wäre ein peer-review des codes relativ wichtig. Ich konnte den
> Quellcode nicht finden, hast Du einen Link?

Ich glaube der einzige Sicherheitskritische Teil ist das JavaScript
Programm das die Felder einfüllt.  Den kann man in der Firefox
Erweiterung finden.  Normalerweise findet man dies in:

  ~/.mozilla/.firefox/*.Default/extensions/{b69b8bbc-
bb49-11dc-9402-633756d89593}/chrome/content/ezleser.js

Das Programm ist kurz und einfach zu Prüfen.

Der Rest der Source ist im Moment nicht offen.  Ich möchte vorläufig
die Option offen lassen das Programm für andere Platformen kommerziell
zu vertreiben.  In aller Wahrscheinlichkeit, wird das nicht passieren
und dann würde ich die komplette Source veröffentlichen.  Wie gesagt,
von einer Sicherheits/Vertrauens-Perspektive, sollte ezleser.js
ausreichen.

> Oder, Anregung für eine Erweiterung, das Programm könnte aus dem ESR ein
> DTA-File generieren, anstatt die gelesenen Daten direkt in die
> E-Banking-Maske zu übertragen. Dann könnte man es offline verwenden.

Was für Software gibt es auf Linux zum die DTA Dateien zu verarbeiten?

  --david

david mosberger schrieb  am 15.01.2008 15:24:

>> l�sst, w�re ein peer-review des codes relativ wichtig. Ich konnte den
>> Quellcode nicht finden, hast Du einen Link?
> 
> Ich glaube der einzige Sicherheitskritische Teil ist das JavaScript
> Programm das die Felder einf�llt.  Den kann man in der Firefox
> Erweiterung finden.  Normalerweise findet man dies in:

Naja, sicherheitskritisch ist der Teil in dem m�glicherweise ein 
Trojaner sitzen k�nnte, der sich freut, dass ich grad eine Verbindung zu 
meiner Bank offen habe, und der die Verbindungsdaten dann seinem 
Herrchen nach Malaysia schickt, welcher seinerseits ein paar f�r ihn 
interessante Transaktionen durchf�hrt, w�hrend ich meine ESR einlese. 
(Nat�rlich m�chte ich Dir solches nicht unterstellen, aber die Banken 
empfehlen ja ganz klar, dass man KEINE andere Software laufen lassen 
soll, w�hrend die E-Banking Verbindung offen ist).


> Der Rest der Source ist im Moment nicht offen.  Ich m�chte vorl�ufig
> die Option offen lassen das Programm f�r andere Platformen kommerziell
> zu vertreiben.  In aller Wahrscheinlichkeit, wird das nicht passieren

Kann ich durchaus verstehen. Wenn eine einklagbare Firma ein solches 
Programm kommerziell vertreibt, ist es auch als ClosedSource n�tzlich 
und verwendbar. Wenn dagegen niemand im Ernstfall haftbares 
dahintersteht, ist es m.E. kritisch, wenn man den Autor nicht pers�nlich 
sehr gut kennt.
(Ich weiss ja nicht, wo Du Dich befinden wirst, wenn ich das Programm 
laufen lasse. Vielleicht in Malaysia? ;-))

>> Oder, Anregung f�r eine Erweiterung, das Programm k�nnte aus dem ESR ein
>> DTA-File generieren, anstatt die gelesenen Daten direkt in die
>> E-Banking-Maske zu �bertragen. Dann k�nnte man es offline verwenden.
> 
> Was f�r Software gibt es auf Linux zum die DTA Dateien zu verarbeiten?

Jeder Webbrowser kann die DTA-Files an die Bank schicken.

Ablauf: Ich scanne eine reihe ESR's ein, das Programm erfragt fehlende 
Daten (Name, Adresse) �ber ein UI und speichert diese in einer kleinen 
Datenbank ab (ESR Identity-Part als Schl�ssel). So erkennt es denselben 
Adressaten wieder, wenn man wieder einen ESR f�r ihn einscannt.
Aus den ESR's erstellt es DTA-Files.
Wenn ich alle ESR's eingescannt habe, starte ich meinen Browser, �ffne 
eine Verbindung zu meiner Bank und �bermittle die DTA-Files.
In diesem Fall w�re ich auf der sicheren Seite: Die unbekannte Software 
muss gar nicht mehr laufen, w�hrend ich die Verbindung zur Bank herstelle.

-stef

On Jan 15, 9:33 am, Stefan Werner <009wcq...@sneakemail.com> wrote:
> david mosberger schrieb  am 15.01.2008 15:24:
>
> >> lässt, wäre ein peer-review des codes relativ wichtig. Ich konnte den
> >> Quellcode nicht finden, hast Du einen Link?
>
> > Ich glaube der einzige Sicherheitskritische Teil ist das JavaScript
> > Programm das die Felder einfüllt.  Den kann man in der Firefox
> > Erweiterung finden.  Normalerweise findet man dies in:
>
> Naja, sicherheitskritisch ist der Teil in dem möglicherweise ein
> Trojaner sitzen könnte, der sich freut, dass ich grad eine Verbindung zu
> meiner Bank offen habe, und der die Verbindungsdaten dann seinem
> Herrchen nach Malaysia schickt, welcher seinerseits ein paar für ihn
> interessante Transaktionen durchführt, während ich meine ESR einlese.
> (Natürlich möchte ich Dir solches nicht unterstellen, aber die Banken
> empfehlen ja ganz klar, dass man KEINE andere Software laufen lassen
> soll, während die E-Banking Verbindung offen ist).

Das einzige Programm das innerhalb des Browsers läuft ist ezleser.js
und weil es so kurz und einfach ist, kann man sich leicht davon
Überzeugen dass es ein sicheres Programm ist.

> (Ich weiss ja nicht, wo Du Dich befinden wirst, wenn ich das Programm
> laufen lasse. Vielleicht in Malaysia? ;-))

Ich sehe nicht warum das eine Rolle spielen sollte.  Wie gesagt: der
JavaScript-Source kannst Du lesen und ich sehe keine Möglichkeit wie
das Programm eine Gefahr darstellen sollte.  Ausserdem kannst Du
meinen Namen in Google eintippen und wahrscheinlich mehr als genügend
Informationen über mich herausfinden...

> >> Oder, Anregung für eine Erweiterung, das Programm könnte aus dem ESR ein
> >> DTA-File generieren, anstatt die gelesenen Daten direkt in die
> >> E-Banking-Maske zu übertragen. Dann könnte man es offline verwenden.
>
> > Was für Software gibt es auf Linux zum die DTA Dateien zu verarbeiten?
>
> Jeder Webbrowser kann die DTA-Files an die Bank schicken.
>
> Ablauf: Ich scanne eine reihe ESR's ein, das Programm erfragt fehlende
> Daten (Name, Adresse) über ein UI und speichert diese in einer kleinen
> Datenbank ab (ESR Identity-Part als Schlüssel). So erkennt es denselben
> Adressaten wieder, wenn man wieder einen ESR für ihn einscannt.
> Aus den ESR's erstellt es DTA-Files.
> Wenn ich alle ESR's eingescannt habe, starte ich meinen Browser, öffne
> eine Verbindung zu meiner Bank und übermittle die DTA-Files.
> In diesem Fall wäre ich auf der sicheren Seite: Die unbekannte Software
> muss gar nicht mehr laufen, während ich die Verbindung zur Bank herstelle.

Ah, Danke für die Information.  Für meine Zwecke (meinen Eltern ihr
Leben etwas zu vereinfachen) ist die aktuelle Lösung besser, weil sie
weniger Schritte benötigt, aber ich kann schon verstehen das
raffinierterte Benützer einen anderen Arbeitsablauf benützen möchten.
Aber wie gesagt, Sicherheitsmässig sollte es sowieso kein Problem
sein.

  --david

david mosberger schrieb:

>> (Ich weiss ja nicht, wo Du Dich befinden wirst, wenn ich das Programm
>> laufen lasse. Vielleicht in Malaysia? ;-))
> 
> Ich sehe nicht warum das eine Rolle spielen sollte.  Wie gesagt: der
> JavaScript-Source kannst Du lesen und ich sehe keine M�glichkeit wie
> das Programm eine Gefahr darstellen sollte.  Ausserdem kannst Du
> meinen Namen in Google eintippen und wahrscheinlich mehr als gen�gend
> Informationen �ber mich herausfinden...

Sorry, ich will gar nicht motzen, sondern mich im Gegenteil bedanken, 
dass Du das geschrieben hast und es ver�ffentlichst. Ich war halt nur im 
Kopf schon bei einer sich darum herum entwickelnden kompletten 
E-Banking-L�sung f�r Linux (deren Fehlen einer der Gr�nde ist, die mich 
von Linux auf dem Desktop abhalten)

-stef

On Jan 15, 1:22 pm, Stefan Werner <009wcq...@sneakemail.com> wrote:
> david mosberger schrieb:
>
> >> (Ich weiss ja nicht, wo Du Dich befinden wirst, wenn ich das Programm
> >> laufen lasse. Vielleicht in Malaysia? ;-))
>
> > Ich sehe nicht warum das eine Rolle spielen sollte.  Wie gesagt: der
> > JavaScript-Source kannst Du lesen und ich sehe keine Möglichkeit wie
> > das Programm eine Gefahr darstellen sollte.  Ausserdem kannst Du
> > meinen Namen in Google eintippen und wahrscheinlich mehr als genügend
> > Informationen über mich herausfinden...
>
> Sorry, ich will gar nicht motzen, sondern mich im Gegenteil bedanken,
> dass Du das geschrieben hast und es veröffentlichst. Ich war halt nur im
> Kopf schon bei einer sich darum herum entwickelnden kompletten
> E-Banking-Lösung für Linux (deren Fehlen einer der Gründe ist, die mich
> von Linux auf dem Desktop abhalten)
>
> -stef

Kein Problem.  Falls Du oder sonst jemand seriös daran Interessiert
ist diese Lösung weiter zu entwickeln, dann will ich sicher nicht im
Weg stehen!  Lass es mich einfach wissen (dmosberger@gmail.com) und
wir können dann sicher was arrangieren.

  --david

david  mosberger schrieb:
> Aber wie gesagt, Sicherheitsmässig sollte es sowieso kein Problem
> sein.

Naja, theoretisch (!) könnte das Programm dir immer noch alle 
eingescannten Einzahlungsscheine zusenden. Auch ich will dir hier nichts 
unterstellen, aber beim Zahlungsverkehr herrschen einfach höhere 
Anforderung betreffend Transparenz, als anderswo.

On Jan 17, 9:26 am, chris...@buergi.lugs.ch (Christof Buergi) wrote:
> david  mosberger schrieb:
>
> > Aber wie gesagt, Sicherheitsmässig sollte es sowieso kein Problem
> > sein.
>
> Naja, theoretisch (!) könnte das Programm dir immer noch alle
> eingescannten Einzahlungsscheine zusenden.

Theoretisch, ja.  Du kannst aber einfach "strace -o /tmp/out -f /usr/
lib/cgi-bin/ezleser" von Hand aufrufen und dann wirst Du sehen, dass
das Program keine Netzwerk-Verbindungen aufnimmt.  Das einzige das
dass Programm macht ist:

 * scanimage aufrufen um das Bild einzuscannen
 * ppmautorot aufrufen um den Einzahlungsschein "richtig" zu
Orientieren
 * ppm2tiff aufrufen um ein TIFF Bild zu machen
 * tesseract aufrufen um die Zahlen einzulesen
 * /usr/lib/ezleser/bin/extract_fields aufrufen um die Felder zu
extrahieren (und Pruefsummen pruefen)
 * /usr/lib/ezleser/map lesen
 * die extrahierten Felder auf stdout Ausgeben (im XML Format)

> Auch ich will dir hier nichts
> unterstellen, aber beim Zahlungsverkehr herrschen einfach höhere
> Anforderung betreffend Transparenz, als anderswo.

Das verstehe ich schon.  Kein Problem.

  --david

Habe mich entschieden den Quellentext für EZLeser unter GPL v3 zu
veröffentlichen.  Alles kann von dieser URL heruntergeladen werden:

  http://www.mosberger-consulting.com/ezleser/

Viel Spass,

  --david

david mosberger schrieb:
> Habe mich entschieden den Quellentext f�r EZLeser unter GPL v3 zu
> ver�ffentlichen.  Alles kann von dieser URL heruntergeladen werden:
> 
>   http://www.mosberger-consulting.com/ezleser/
> 

Vielen Dank! Auch f�r die anderen n�tzlichen Links, die Du angegeben 
hast (z.B. freier OCR- Font)


-stef