רוטר - מישהו יודע האם יש API לחברות כרטיסי האשראי לנתוני לקוח

האשכול	מחבר	תאריך כתיבה	מספר
לא חושב שיש משהו ציבורי	dj_boy	17.10.20 10:06	1
גם ב-Finanda הם עושים סקרייפינג בעצמם	כובען	17.10.20 10:49	2
הזוי לחלוטין	dj_boy	17.10.20 14:21	4
אומת ההייטק	כובען	17.10.20 16:28	7
איזה אינטרס יש להם לעשות את זה?	E-do	17.10.20 16:35	8
ואז מישהו יגלה איזה Heartbleed-like אקספלויט ואללא יוסטור	Bar	26.10.20 09:47	11
חולשות אבטחה תמיד היו ותמיד יהיו	כובען	26.10.20 11:21	12
ברור שתמיד יהיו חולשות	Bar	27.10.20 16:24	13
מכתב	כובען	27.10.20 16:35	14
אתם רוצים להגיד לי שאנשים אשכרה מביאים להם את היוזר והסיסמא	jon snow	17.10.20 13:36	3
גם לזה יש פתרונות	dj_boy	17.10.20 14:31	5
מעניין אם זה שאתה מוסר את הפרטים שלך לא מכסה את נותני השירות	jon snow	17.10.20 15:07	6
חלק מהאתרים תומכים ב2FA	E-do	17.10.20 16:37	9
אני נתתי להם, משתמש בפיננדה כבר שנתיים בערך	oranum	17.10.20 19:06	10
ספר חוויות	gilgol1	27.10.20 16:41	15
Stripe	אוהב לתכנת	18.11.20 00:30	16
אי אפשר להשתמש ב-api של אפליקציית המובייל של הבנק?	CaTz	30.06.21 22:11	17

dj_boy
חבר מתאריך 16.4.18
326 הודעות, דרג אמינות חבר זה

10:06 17.10.20

1. לא חושב שיש משהו ציבורי
בתגובה להודעה מספר 0

באתר השני שהבאת הם במפורש כותבים שהם רוצים את פרטי הכניסה לבנק בשביל לאסוף את הנתונים
אז נראה שהם עושים scrapping

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

כובען

חבר מתאריך 2.3.10
25271 הודעות, 21 פידבק, 10 נקודות

10:49 17.10.20

2. גם ב-Finanda הם עושים סקרייפינג בעצמם
בתגובה להודעה מספר 1

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

dj_boy
חבר מתאריך 16.4.18
326 הודעות, דרג אמינות חבר זה

14:21 17.10.20

4. הזוי לחלוטין
בתגובה להודעה מספר 2

קראתי את מדיניות הפרטיות שלהם
והם אשכרה רושמים
"במקרה שתוך כדי עדכון הנתונים פיננדה נתקלה בבעיה לא מוכרת ייתכן שפרטי הגישה שלכם יישמרו למשך זמן שלא יעלה על 5 ימי עסקים בכדי שננסה לטפל בתקלה שמנעה את עדכון חשבונכם."
כלומר שמעבר לכך שהם מצפים לקבל פרטי גישה, הם גם יתנו למישהו לראות את זה ב־clear text
שיתחבר לחשבון שלך וינסה לדבאג
הזוי לחלוטין!

במערכות שאני מפתח אני אפילו לא מסכים לתת למישהו סיסמא זמנית
רק קישור לאיפוס.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

כובען

חבר מתאריך 2.3.10
25271 הודעות, 21 פידבק, 10 נקודות

16:28 17.10.20

7. אומת ההייטק
בתגובה להודעה מספר 4

אפשר לחשוב מה זה כבר דורש מהבנקים להחצין API עם הרשאות read-only עבור אפליקציות כאלה..

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

E-do
חבר מתאריך 29.10.03
2401 הודעות, דרג אמינות חבר זה

16:35 17.10.20

8. איזה אינטרס יש להם לעשות את זה?
בתגובה להודעה מספר 7

-----------------
בברכה,
e-do

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Bar

חבר מתאריך 24.3.02
24147 הודעות, 7 פידבק, 14 נקודות

09:47 26.10.20

11. ואז מישהו יגלה איזה Heartbleed-like אקספלויט ואללא יוסטור
בתגובה להודעה מספר 7

מעדיף שיהיה כמה שפחות attack surface

He who makes a beast out of himself,
gets rid of the pain of being a man.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

כובען

חבר מתאריך 2.3.10
25271 הודעות, 21 פידבק, 10 נקודות

11:21 26.10.20

12. חולשות אבטחה תמיד היו ותמיד יהיו
בתגובה להודעה מספר 11

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Bar

חבר מתאריך 24.3.02
24147 הודעות, 7 פידבק, 14 נקודות

16:24 27.10.20

13. ברור שתמיד יהיו חולשות
בתגובה להודעה מספר 12

אבל תחשוב על זה,
בעצם הם יצטרכו לחשוף מידע שמגיע מתוך מערכת פנימית, שככל הנראה תכנתו אותה עם המחשבה שהיא תהיה רק פנימית.
עכשיו תפתח את המערכת לקריאות API, ואתה בעצם חושף המון Attack Surface שככל הנראה יש בו פרצות אבטחה.

He who makes a beast out of himself,
gets rid of the pain of being a man.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

כובען

חבר מתאריך 2.3.10
25271 הודעות, 21 פידבק, 10 נקודות

16:35 27.10.20

14. מכתב
בתגובה להודעה מספר 13

א. הם כבר עושים את זה היום, הרי האפליקציה שלהם מקבלת את המידע הפיננסי מה-backend איכשהו. הפונקציונליות תהיה זהה ואפילו מרודדת, אז איך משטח התקיפה גדל?

ב. בהחלט מתקבל על הדעת, בתור משתמש, שה-API שחשוף לצד שלישי יוכל לבצע פעולות קריאה בלבד, כדי לא לאפשר לאף אחד שהשיג את הטוקן בצורה כזו או אחרת לבצע פעולות בלתי מורשות בחשבונות.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

jon snow

חבר מתאריך 18.7.13
859 הודעות, 1 פידבק, 1 נקודות

13:36 17.10.20

3. אתם רוצים להגיד לי שאנשים אשכרה מביאים להם את היוזר והסיסמא
בתגובה להודעה מספר 0

והם מתחברים ועשים סקרייפינג?
איך אנשים נותנים להם את הפרטים האלה

טוב שאני חושב על זה זה גם משהו שאני יכול לפתח לעצמי, אבל הרבה יותר מעצבן
מה שאני לא מבין זה אם זה מה שהם עושים למה אתרי הבנקים והאשראי לא שמים captcha בהתחברות כדי למנוע את זה

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

dj_boy
חבר מתאריך 16.4.18
326 הודעות, דרג אמינות חבר זה

14:31 17.10.20

5. גם לזה יש פתרונות
בתגובה להודעה מספר 3

היה לי פעם צורך במשהו כזה
מצאתי שירות API בהודו שאתה שולח לו את התמונה והוא מחזיר לך בתוך 90 שניות את הפיענוח
שנעשה ע"י אדם!
$0.15 לפיענוח.

היום זה בטח שונה בגלל שאין תמונה אחת של אותיות וצריך לענות על שאלות, אבל בטוח יש משהו

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

jon snow

חבר מתאריך 18.7.13
859 הודעות, 1 פידבק, 1 נקודות

15:07 17.10.20

6. מעניין אם זה שאתה מוסר את הפרטים שלך לא מכסה את נותני השירות
בתגובה להודעה מספר 5

במקרה של גניבה מהחשבון איכשהו

זאת אומרת בהסכם תנאי שירות נגיד של הבנק/חברת אשראי במקרה ומסרת את הפרטי התחברות וגנבו לך כסף, בעיה שלך מה שנקרא

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

E-do
חבר מתאריך 29.10.03
2401 הודעות, דרג אמינות חבר זה

16:37 17.10.20

9. חלק מהאתרים תומכים ב2FA
בתגובה להודעה מספר 3

הבינלאומי למשל יש אפשרות להגדיר 2FA בכניסה, אמנם רק בSMS שזה לא הכי מאובטח אבל עדיף מכלום.
לא רואה סיבה לחייב CAPTCHA, זה סתם מעצבן ולא נדרש מאחר ובכל מקרה רוב הבנקים יחסמו אותך אחרי 3 נסיונות לא נכונים.

-----------------
בברכה,
e-do

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

oranum

חבר מתאריך 6.6.09
2784 הודעות, 2 פידבק, 4 נקודות

19:06 17.10.20

10. אני נתתי להם, משתמש בפיננדה כבר שנתיים בערך
בתגובה להודעה מספר 0

זה אכן מביך שאין api רציני לאף בנק
עזוב api- תנו לי לייצר עוד יוזר גישה לחשבון, שיש לו רק הרשאת צפיה אותו אני יכול לחלק בראש הרבה יותר שקט

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

gilgol1

חבר מתאריך 15.6.10
1121 הודעות, 2 פידבק, 4 נקודות

16:41 27.10.20

15. ספר חוויות
בתגובה להודעה מספר 10

זה עולה כסף? כמה חשבונות וכרטיסי אשראי אתה יכול להוסיף?

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

אוהב לתכנת
חבר מתאריך 30.3.17
38 הודעות

00:30 18.11.20

16. Stripe
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

CaTz
חבר מתאריך 2.10.04
14601 הודעות, דרג אמינות חבר זה

22:11 30.06.21

17. אי אפשר להשתמש ב-api של אפליקציית המובייל של הבנק?
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד