חזרה לפורום פיתוח, תיכנות ובניית אתרים
ראשי
פורום פיתוח, תיכנות ובניית אתרים אשכול 22419

jon snow 17.10.2009:35

מישהו יודע האם יש API לחברות כרטיסי האשראי לנתוני לקוח

באמצעות איזה token עם סיסמא או משהו? יש אני יוע אפליקציות שאתה נותן להם הרשאות ומציגות לך מידע על חיובים וכל מיני תובנות כביכול.
בא לי לפתח משהו כזה לעצמי לשימוש אישי.
איך האפליקציות האלו עושות את זה?

https://www.finanda.co.il/?

https://www.familybiz.co.il?
dj_boy 17.10.2010:06
1. לא חושב שיש משהו ציבורי בתגובה להודעה מספר 0
באתר השני שהבאת הם במפורש כותבים שהם רוצים את פרטי הכניסה לבנק בשביל לאסוף את הנתונים
אז נראה שהם עושים scrapping
כובען 17.10.2010:49
2. גם ב-Finanda הם עושים סקרייפינג בעצמם בתגובה להודעה מספר 1
dj_boy 17.10.2014:21
4. הזוי לחלוטין בתגובה להודעה מספר 2
קראתי את מדיניות הפרטיות שלהם
והם אשכרה רושמים
"במקרה שתוך כדי עדכון הנתונים פיננדה נתקלה בבעיה לא מוכרת ייתכן שפרטי הגישה שלכם יישמרו למשך זמן שלא יעלה על 5 ימי עסקים בכדי שננסה לטפל בתקלה שמנעה את עדכון חשבונכם."

כלומר שמעבר לכך שהם מצפים לקבל פרטי גישה, הם גם יתנו למישהו לראות את זה ב־clear text
שיתחבר לחשבון שלך וינסה לדבאג
הזוי לחלוטין!

במערכות שאני מפתח אני אפילו לא מסכים לתת למישהו סיסמא זמנית
רק קישור לאיפוס.
כובען 17.10.2016:28
7. אומת ההייטק בתגובה להודעה מספר 4
אפשר לחשוב מה זה כבר דורש מהבנקים להחצין API עם הרשאות read-only עבור אפליקציות כאלה..
E-do 17.10.2016:35
8. איזה אינטרס יש להם לעשות את זה? בתגובה להודעה מספר 7
Bar 26.10.2009:47
11. ואז מישהו יגלה איזה Heartbleed-like אקספלויט ואללא יוסטור בתגובה להודעה מספר 7
מעדיף שיהיה כמה שפחות attack surface
כובען 26.10.2011:21
12. חולשות אבטחה תמיד היו ותמיד יהיו בתגובה להודעה מספר 11
Bar 27.10.2016:24
13. ברור שתמיד יהיו חולשות בתגובה להודעה מספר 12
אבל תחשוב על זה,
בעצם הם יצטרכו לחשוף מידע שמגיע מתוך מערכת פנימית, שככל הנראה תכנתו אותה עם המחשבה שהיא תהיה רק פנימית.
עכשיו תפתח את המערכת לקריאות API, ואתה בעצם חושף המון Attack Surface שככל הנראה יש בו פרצות אבטחה.
כובען 27.10.2016:35
14. מכתב בתגובה להודעה מספר 13
א. הם כבר עושים את זה היום, הרי האפליקציה שלהם מקבלת את המידע הפיננסי מה-backend איכשהו. הפונקציונליות תהיה זהה ואפילו מרודדת, אז איך משטח התקיפה גדל?

ב. בהחלט מתקבל על הדעת, בתור משתמש, שה-API שחשוף לצד שלישי יוכל לבצע פעולות קריאה בלבד, כדי לא לאפשר לאף אחד שהשיג את הטוקן בצורה כזו או אחרת לבצע פעולות בלתי מורשות בחשבונות.
jon snow 17.10.2013:36
3. אתם רוצים להגיד לי שאנשים אשכרה מביאים להם את היוזר והסיסמא בתגובה להודעה מספר 0
והם מתחברים ועשים סקרייפינג?
איך אנשים נותנים להם את הפרטים האלה

טוב שאני חושב על זה זה גם משהו שאני יכול לפתח לעצמי, אבל הרבה יותר מעצבן
מה שאני לא מבין זה אם זה מה שהם עושים למה אתרי הבנקים והאשראי לא שמים captcha בהתחברות כדי למנוע את זה
dj_boy 17.10.2014:31
5. גם לזה יש פתרונות בתגובה להודעה מספר 3
היה לי פעם צורך במשהו כזה
מצאתי שירות API בהודו שאתה שולח לו את התמונה והוא מחזיר לך בתוך 90 שניות את הפיענוח
שנעשה ע"י אדם!
$0.15 לפיענוח.

היום זה בטח שונה בגלל שאין תמונה אחת של אותיות וצריך לענות על שאלות, אבל בטוח יש משהו
jon snow 17.10.2015:07
6. מעניין אם זה שאתה מוסר את הפרטים שלך לא מכסה את נותני השירות בתגובה להודעה מספר 5
במקרה של גניבה מהחשבון איכשהו

זאת אומרת בהסכם תנאי שירות נגיד של הבנק/חברת אשראי במקרה ומסרת את הפרטי התחברות וגנבו לך כסף, בעיה שלך מה שנקרא
E-do 17.10.2016:37
9. חלק מהאתרים תומכים ב2FA בתגובה להודעה מספר 3
הבינלאומי למשל יש אפשרות להגדיר 2FA בכניסה, אמנם רק בSMS שזה לא הכי מאובטח אבל עדיף מכלום.
לא רואה סיבה לחייב CAPTCHA, זה סתם מעצבן ולא נדרש מאחר ובכל מקרה רוב הבנקים יחסמו אותך אחרי 3 נסיונות לא נכונים.
oranum 17.10.2019:06
10. אני נתתי להם, משתמש בפיננדה כבר שנתיים בערך בתגובה להודעה מספר 0
זה אכן מביך שאין api רציני לאף בנק
עזוב api- תנו לי לייצר עוד יוזר גישה לחשבון, שיש לו רק הרשאת צפיה אותו אני יכול לחלק בראש הרבה יותר שקט
gilgol1 27.10.2016:41
15. ספר חוויות בתגובה להודעה מספר 10
זה עולה כסף? כמה חשבונות וכרטיסי אשראי אתה יכול להוסיף?

אוהב לתכנת 18.11.2000:30
16. Stripe בתגובה להודעה מספר 0
CaTz 30.06.2122:11
17. אי אפשר להשתמש ב-api של אפליקציית המובייל של הבנק? בתגובה להודעה מספר 0
העבר לפורום אחר
העבר לפורום:
סיבה:
תגובה חדשה
כותרת:
תוכן:
סמיילים:
הצג
עריכת אשכול
כותרת:
תוכן:
סמיילים:
הצג