Internet banking Raiffeisenbank - rok a půl poté

10. 5. 2004 | Stanislav Puffler | Různé | 8802×

Klady a zápory z pohledu uživatele GNU/Linuxu.

Internetové bankovnictví ve verzi 3.2 má za sebou téměř rok a půl provozu, ve kterém měli uživatelé možnost využít a vyzkoušet jeho funkce také na platformě GNU/Linux. Raiffeisenbank provoz i-bankingu na Linuxu dodnes nezmiňuje v žádných reklamních materiálech. Důvod je zřejmě ponechat i-banking na Linuxu dozrát, ověřit jeho možnosti a zajistit pro něj podporu ve formě helpdesku na bezplatné lince.

Stručný popis řešení

Internetové bankovnictví společnosti Raiffeisenbank a.s. je ve verzi 3.2 funkční od 9.prosince 2002 - informace k migraci naleznete zde. Oproti verzi předchozí došlo k výraznému posunu celého řešení s ohledem na vyšší mobilitu, zjednodušení ovládání, implementaci nových funkčností a odpoutání se od tria MS Windows / MSIE / MS Java Virtual Machine. Nerad bych, aby se tento článek nesl v duchu agitace či propagace bankovního ústavu. Přejděme tedy ke kernelu věci a podíváme se i-bankingu RB na zoubek .

Původní tlustý klient ve formě java appletu byl nahrazen klientem tenkým, kterým je nyní samotný webový prohlížeč. I-banking se však od Javy tak úplně nedistancoval - zůstaly java applety, které nadále řeší práci s javovským modálním file dialogem a operují se souborem podpisového certifikátu. Certifikát je soubor s příponou .p12, který vám souborový manažer (např. Konqueror) identifikuje jako "Balík certifikátů PKCS#12" . Tento soubor je vlastně formou elektronického podpisu a je zabezpečen vámi zvoleným heslem. Umístění certifikátu je volitelné - /mnt/floppy, mnt/removable, /home/user a tak dále. Veškerá zadaná data se přenáší ve formě XML zabezpečeným SSL kanálem - protokolem Secure Socket Layer 3.0 o šířce šifrování 128bit.

Java

V nové verzi je možné použít pro práci s java applety jinou implementaci Virtual Machine než jen MS JVM. Pro práci v Linuxu je doporučen java plugin ze Sun Microsystems JRE, ale lze použít i Blackdown Javu, která je oblíbená zejména mezi uživateli distribuce Debian GNU/Linux. Z javovského balíku je potřeba zmíněný java plugin, který je nutno prolinkovat s prohlížečem. Stačí udělat symlink z adresáře pluginů prohlížeče na java plugin umístěný v adřesáři /plugins nainstalovaného Java Runtime Environment. Příklad :

ln -s /usr/bin/j2re-verze/plugin/i386/ns610/libjavaplugin_oji.so /usr/lib/mozilla-verze/plugins/libjavaplugin_oji.so

Práce s applety vyžaduje vytvořit v domovském adresáři uživatele soubor .java.policy, který povoluje práci s java applety na internetu. Soubor má tento obsah :

grant { permission java.security.AllPermission; permission java.io.FilePermission "<<ALL FILES>>", "read, write";
};

Tento kód povoluje spuštění veškerých java appletů. Jiný kód, např. konkretizace grant pro samotnou URL, již neumožňuje korektní chod aplikace a je tedy nutno vystačit s tímto kódem. Na druhou stranu je to dostupná informace - tudíž je možné se velmi dobře bránit negativům z ní plynoucích. Ideální bezpečnostní pravidlo je umístit tento soubor do home pouze tehdy, když uživatel pracuje na internetu s aplikací a nehrozí tedy, že by byla navíc otevřená stránka s jiným potenciálně nebezpečným appletem. Guru si jistě snadno naprogramují nějaký shell skript, nebo sáhnou po některém z programovacích jazyků jakými je Perl či Python a tuto rutinu si jednoduše automatizují.

Veškeré java applety v i-bankingu jsou podepsány dodavatelem internetového bankovnictví - firmou BSC Praha a podpis ověřen společností VeriSign.

Prohlížeč

Internet banking běží plně funkčně na prohlížečích s jádrem Mozilly. To znamená, že pokud používáte Mozillu, Phoenix, Firebird či Galeon, máte možnost využívat všech funkcí aplikace tak jako uživatel s MSIE. Není problém ovládat váš účet také přes Operu nebo Konqueror, což umožňuje velmi málo bankovních ústavů na našem trhu. Textové klienty bohužel nelze pro práci s aplikací použít ani na pasivní náhled, jediné co v nich zjistíte, je Váš zůstatek

Co se browserů s jádrem Gecko týče, stačí pokud máte v preferencích povolenu Javu globálně a JavaScript pro Navigatora. Zda je správně prolinkován java plugin s browserem, zjistíte pomocí about:plugins. V Mozille si také můžete zapnout nástroj Java Console, který Vám bude ukazovat, kdy je použit java plugin a jaký applet je inciován - prostě tak můžete mít velmi dobrý přehled nad tím, co se děje uvnitř.

Konqueror má trochu jiný přístup ke zpracování java appletů. V jeho nastavení povolíte Javu globálně a nadefinujete si cestu k souboru java z vaší instalace Java Runtime Environment. Stále je potřeba mít na mysli, že v domovském adresáři musí být umístěn výše zmíněný soubor .java.policy.

V Opeře funguje i-banking až od posledních verzí, kdy se transparentně změnil přístup ke zpracování java appletů. Před verzí 6.1 se používal standardně Java Plugin jako v Mozille. V nových verzích se již používají knihovny z jre/lib/i386. V preferencích, sekce Multimedia si nastavíte cestu k tomuto adresáři a povolíte Javu. Následně si můžete tlačítkem pro kontrolu cesty k Javě ověřit, zda je vše OK. Opět platí .java.policy.

Demoverzi i-bankingu si můžete ve Vašem Linuxu vyzkoušet na této adrese. Ne všechny vlastnosti jsou plně funkční a odpovídající verzi ostré, ale pro ukázku je to dostačující. Obecné info ke službě i-bankingu naleznete na stránkách www.rb.cz v sekci "Přímé bankovnictví" kategorie Internetové bankonvictví. Oficiální článek o provozu aplikace na GNU/Linuxu je umístěn zde.

Závěrem

Osobně vidím v internetovém bankovnictví RB řadu výhod pro své i obecné uživatelské potřeby. Mezi nimi zejména vysokou mobilitu bankovní aplikace či možnost exportu měsíčních výpisů do XML souborů a následné hry a hříčky s těmito soubory (XML transformace, export do PDF...). V době, kdy mnoho bankovních ústavů ještě stále nechce o Linuxu slyšet, kdy je většina aplikací internetového bankovnictví optimalizována pro svět modrého "e" a nejrozšířenějšího operačního systému Windows společnosti Microsoft, je tu ověřená alternativa od Raiffeisenbank. Alternativa, která není sice dokonalá, ale která se nebrání světu linuxové komunity a minimálně se snaží vyjít mu vstříc.

       

Komentáře

[Bob Bobovich]

RB není naštěstí jediná - s ČSOB to taky celkem jde (I když některé věci prostě bez IE neuděláte. Třeba nastavení zasílání informací na mobil - nepochopím, proč je problém udělat nejen v IE chodivý checkbox a tlačítko odeslat ;).

[hwsoft]

Tak od CSOB prave kvuli neschopnosti resit problem s jejich IB odchazim. Me totiz nestaci jen pasivne koukat, ja potrebuji se svymi ucty pracovat. A po nekolika telefonatech a emailech na technickou podporu muzu rici jedine, od CSOB ruce pryc.

Tak se presouvam z casti do Ebanky, a premyslim i o RB, jen me stve, ze hned nedostanu kontokorent. Ten potrebuju a treba Ebanka mi ho da hned a v potrebne vysi :(.

[CIJOML]

muzete zkusit i Ceskou sporitelnu. Jeji bankovnictvi je jedno z tech, co jede i pod Konquerem.

[Tomáš]

Jo jo, a SMS posílá zadarmo.

[Tomáš Tichý]

Dokonce i pod Linksem. Spíš by mě zajímalo, pod čím IB ČS nejede

[mikesh]

ČSOB internet banking funguje pod Konquerorem také.

[mikesh]

Konqueror v KDE3.2 (ve starších verzích byly problémy)

[David]

ČSOB v Opeře funguje, v Mozille občas zlobí.

[Jakub C. Gelion]

Já používám s ČSOB internet-banking.

Na mozille mi to nechodilo. Nějak prapodivně napsané ovládání menu a ostatních částí formulářů přes javascripty, takže jsem měl problémy stisknout tlačitka (SUBMIT).

Tak jsem nainstaloval Operu 7 a tam to je OK.

Sice bych raději pracoval v mém oblíbeném Firefoxu s jeho otevřenou architektůrou ale co dělat. K close-source řešením v tomto ohledu mám pořád jistou nedůvěru (díky jistým borcům z Redmondu). Ale i tak se mi to jeví od ČSOB jako pokrok.

Možná, že je to jenom náhoda a programátoři v ČSOB přidají nějakou úžasnou novou blikající a úplně zbytečnou pitomost a i ovládání v Opeře půjde do háje. Pokud budou mainstreamový rádoby experti ignorovat množství uživatelů pod 15% stále to hrozí.

Takže zatím zůstávám ale mám neustále připravené kufry.

[Milan Hejpetr]

) CSOB...Tam je to asi dost beznadejne... Nekolikrat jsem s nimi komunikoval, ochota mit aplikaci korektni a platforme nezavislou je tam minimalni...

[tritony]

Aktivni CSOB IB pod linuxem? Vazne vam to vsem funguje????

[hwsoft]

Ne rekl bych ze to vsem spis nefunguje, ale uz se da aspon udelat platba :(, vic ani tuk.

[Jiri Semecky]

Ja mam taky zkusenost, ze CSOB IB pod Linuxem nejede. Mohu si maximalne prohlizet historii uctu, ale prikazy podavat nelze. V Konqueroru se dostanu o pak kliku dal nez v Mozille, ale ne dost daleko... Docela otrava.

[Vojta Pichl]

Na mém Debianu něco kolem 3.0r2 a na Knoppixu 3.2 se mi java applety startují pouze s javou od IBM a to se ještě zobrazí nějaké varování. Jinak to ale jede a zdá se že plně funkčně.

[jiri]

Můžu potvrdit funkčnost, ale žonglování s .java.policy souborem se mi pranic nelíbí. Vážně by se to nedalo řešit jinak?

[Vojta Pichl]

Řeším to tak, že mám Mozillu nainstalovanou dvakrát a ve verzi pro RB mám nalikovaný plugin pro javu od IBM (s javou od Sunu jsem to nerozjel a od IBM je navíc česky), ve které je upraven soubor jre/lib/security/java.policy. Pro bankovnictví pak spouštím tuto mozillu s porofilem, ve kdem mám záložky na RB.

[Open Mage]

To mi přijde jako rozumné řešení. Díky za tip ;o)

[Ctibor Ott]

Používám suse 8.2 a v této nové verzi bankovnictví mi nešel vytvořit nový certifikát /před rokem to šlo/.Máte někdo podobnou zkušenost?

[Lubos Sterba]

Certifikat mi nesel take obnovit, ale po dvou dnech experimentu se mi to podarilo. Chce to trpelivost a pred kazdym pokusem promazavat ~/.java. K tomu mi cele bankovnictvi funguje pouze v kombinaci Mozilla 1.1 se Sunovskym pluginem 1.3.1_09-b03. S novejsimi verzemi jsem neuspel.

[Ondroid]

O RB jsem taky uvažoval nakonec sem šel do E-banky. Vše funguje bez problému jak v Mozille tak i v Konqueroru. Zkoušel sem i víc variant javy a s ničím nebyl problém.

[David Olszyński]

Dulezite je, ze tam zadna Java neni vubec nutna.

[David Olszyński]

1. Ten policy soubor pro JRE urcite nepovoluje spousteni appletu. Myslim, ze se jim povoli spise zapis a cteni libovolneho souboru na disku pro libovolnou tridu, coz neni zrovna idealni reseni. Pokud jsou ty tridy IB nekym podepsane, tak by se ten policy soubor dal napsat mnohem sikovneji.

2. Soubor p12 nejspis neni formou elektronickeho podpisu. Spis to bude uloziste certifikatu.

[Vojta Pichl]

ad 1. Potvrzuji, že i bez změny tohoto souboru se appelty načtou, pak to ale nepracuje korektně.

[Pavel Stržínek]

ad. 2 no hlavně je to úložiště soukromého (podpisového) klíče spolu s certifikátem

[Open Mage]

Moje chyba. Máte samo pravdu. Nekamenovat pls ;o)

[Pedro]

Je to celé s těmi bankami takové smutné. Nevím odkud autor čerpal informace o tom, že vše se přenáší ve formě XML souborů. Pokud je to pravda, je celá věc tím smutnější. Vytvořit si XML soubor s příkazem k úhradě, podepsat si ho pomocí openssl přeci není nic extrémně složitého. Bohužel nejspíš nikdo netuší, jak má takový XML soubor vypadat a kam a jak ho poslat. Nebo se pletu ? Chtěl bych mít možnost dávat bance příkazy a prohlížet si pohyby i bez prohlížeče a hlavně bez java appletů. Obsah souboru .java.policy mě opravdu děsí, nic takového si nenechám procházet po svém disku. Bohužel, banky na něco takového nejspíš nikdy nepřistoupí a přitom je k tomu už jen malý krůček. Ono to tedy celé nejspíš funguje (t.j. někam pošlu podepsaný XML soubor s příkazem k úhradě a dostanu zpět asi nějaké potvrzení. Toto si mohu zpracovat a vytvořit sám, jak sám chci. Ne nějakým java appletem, o kterém nic nevím. Podpis firmy vyrábějící aplikaci je pro mě bezcenný. Problém je v tom, že banky utajují strukturu XML souborů a metodu komunikace.
Před pár týdny jsem o tom diskutoval na Měšci se zástupcem Živnobanky, zdá se, že pochopil, o co mi jde, ale jeho odpověď byla v tom smyslu, že tímto směrem se ŽB neubírá. Je to nepochopitelné a mrzuté proto, protože umožnit tento přístup je tak jednoduché - stačilo by zveřejnit jak se to dělá ((.

[pajout]

Zkusil jsem toho zastupce Zivnobanky jeste trochu pritlacit ke zdi, bohuzel jiz ale bylo tesne po terminu, takze mi na moje dotazy neodpovedel (coz nepovazuju za nekorektni). Myslim, ze prvnim krokem by bylo zverejnit vsechny zdrojaky od veci, ktere bezi na klientovi - kdyz to cele je tak supr bezpecne, nemuze to uskodit :)

[Tomas Tintera]

Jeste horsi je, ze ve svete je zcela bezne, aby banky poskytovaly standardni rozhrani pro homebanking. (Viz zde zrejme neoblibeny, lec inspirativni program MS Money)

[Tomas Tintera]

Jeste horsi je, ze ve svete je zcela bezne, aby banky poskytovaly standardni rozhrani pro homebanking. (Viz zde zrejme neoblibeny, lec inspirativni program MS Money)

[Korec]

Dobry den, No, nevim jestli opravdu vsichni vedi jaky je rozdil mezi aktivnim a pasivnim internetbankingem.-:) Protoze aktivni internetbanking mi u RB nefunguje. Aktivni= podepisovani prikazu a odeslani bance. Testoval jsem Sun javu (1.4.2), Blackdown javu(1.3), Mozillu(1.6), Konqueror(3.2.2) s uvdedenym .java.policy (skousel jsem to take presne podle navodu na www.rb.cz) ale ono to nefunguje. Skousel jsem ruzne kombinace a skonci to porad stejne. Mozilla v javascript console napise "secto.base64encode is not a function" a konqueror konci s hlasenim "java.lang.IllegalArgumentException: argument type mismatch".

Mozna ze jsem jenom trochu dementni...))) Asi bude nejlepsi ta Sporitelna, nebo e-banka, jen kdyby meli nizsi poplatky...

[Korec]

Uz to slape! Kombinace IBM Java 1.4.1 a Mozilla 1.6! Nechapu, ze v jinych kombinacich browser/java neni mozne stahnout ten "secto" applet a ulozit ho do java cache. Nevi nahodou nekdo proc?

[Open Mage]

Zdravicko, no s tim laborovanim s ruznymi verzemi browseru a javy mate bohuzel naprostou pravdu - nebudu nic zastirat :o( Mel jsem stanice kde slapaly snad vsechny browsery co jsem jmenoval (bylo to na Mandrake 9.2 - jela mozilla, galeon, netscape, opera, konqueror - proste na co jsem si vzpomnel), ale byly take kompy na kterych jsem nerozebehnul temer zadnou kombinaci :o( Hlavne ze se Vam nakonec zadarilo ;o)))

[Ctibor Ott]

A odkud je to, prosím, stažené?(Právě jsem přešel na Mozillu 1.6) Na IBM chtějí registrace, našel jsem něco na apt.kde-redhat.com/yum/package , ale v SUSE mi to nejde nainstalovat /ani s nomd54 nebo nosignature/.