问题标签 [onlinebanking]

所以这个问题不是关于将现有的支付网关集成到我的网站中。这更像是一个架构问题。

我想建立一个类似于 Paypal 的系统。现在我知道 Paypal 提供了很多功能，但我无法一次实现所有功能。我想实现 Paypal 和其他此类服务的核心功能。

所以我的问题是（更确切地说是讨论）一个人将如何构建这样一个系统。需要讨论的几点：

1. 通过现有银行处理付款。我猜我需要访问本地银行协议才能得到这个。
2. 允许用户安全地存储和处理他们的付款
3. Paypal 如何处理交易？

想法？

我需要建立从我的 iPhone 应用程序到客户服务器的 HTTPS 2 路 SSL 连接。但是，我没有看到任何安全的方式将客户端证书传递给应用程序（它是一个电子银行应用程序，因此安全性确实是一个问题）。到目前为止，我发现应用程序能够访问证书的唯一方法是将其与应用程序本身预先捆绑在一起，或者公开一个可以从中获取它的 URL（带有 SSL 客户端证书的 iPhone 应用程序） .

问题是这两种方式都不能阻止某些第三方获取证书，如果将其作为风险接受，则无需 2-way SSL（因为任何人都可以拥有客户端证书）。

整个安全协议应如下所示：
- HTTPS 2-way SSL 验证应用程序
- 基于 OTP（令牌）的用户注册（在此步骤生成客户端密钥对）
- SOAP / WSS XML 签名（由密钥签名的请求之前生成的）

关于如何建立第一层安全（HTTPS）的任何想法？

我想在人们付钱的情况下制作一个网络应用程序（例如通过万事达卡/签证/贝宝等）。

我的问题是：是否可以以某种方式使汇款仅在我的 Web 应用程序中满足条件的较长时间后进行。

我已经使用 MS Money 好几年了，由于我的“编码兴趣”，很高兴知道从哪里开始学习编写这样一个应用程序的基础知识。最好说：这不是关于如何设计和编写应用程序，而是关于“银行详细信息”。（一开始只显示某个银行账户的金额对我来说是一个愉快的目标。）。

我想用 C++ 或 Java 来做，因为我已经习惯了这些语言。

对于一个爱好项目来说，它会“太大”吗？我对所有安全问题、银行服务器接口/技术等都不太了解。

首先，在“不”之后，我需要一个可靠的学习来源。

是否有银行通过任何形式的 API 提供个人账户的数据馈送？我本质上是在不登录他们的网站的情况下查看账户余额。

我记得在某个时候读过有关通用银行协议的信息……也许 mint.com 使用它来访问帐户？mint.com 是否与每家银行都有特殊关系，或者我可以利用他们的方法吗？

编辑：根据我的要求，我只对访问自己的财务数据感兴趣。

你能说出一个在线支付网关的基本架构吗？

但它应该只适用于信用卡持有人，即支付网关如何响应信用卡？网关如何识别信用卡发卡机构？

如果可能的话，有人可以列出参考/证据，为什么我们在网上银行等安全网络应用程序中看不到太多 AJAX？

例如 - 网上银行有一个用于账户、付款、工具、报告的选项卡列表。通常，您会看到这些实现为指向不同页面的链接。为什么不能只有一个页面并使用 AJAX 加载不同选项卡的内容？（例如，一个 JSF RichFaces 选项卡控件）

我假设在任何一种情况下都将处理不同 URLS 的书签和处理后退按钮（或禁用它，这对于网上银行来说很常见）。所以我想听听其他事情，比如它如何影响安全性、性能等？

我的团队即将开始构建基于 Web 的支付管理系统（想想设置支付、管理客户账户余额、对账等）。它不会进行实际支付，但会在某个时候与领先银行的网上银行系统集成。

我们在使用一页和使用 AJAX 处理其他所有内容方面存在分歧

或者

仅在真正有助于用户体验的地方使用 AJAX。

我在整个互联网上搜索，试图获得有关像网上银行网站这样真正安全的网站的安全实践的指导，但没有找到任何东西。

我的兴趣是了解您在以下领域使用的做法：

1. 通信：绝对使用 SSL ......任何额外的技巧来防止“中间人”攻击。
2. 身份验证：用户名 + 密码 + 验证码 + 时间限制 + 强制定期更改。
3. 页面之间的导航：有这样的事情吗？
4. 防止 XSS 和 XSRF：已经在平台中。
5. 加密客户端和服务器上的敏感数据：到底是什么？客户端上应该有敏感数据吗？
6. 微调授权：显示/隐藏 + 执行命令 + 权限。
7. 审计？什么 ？以及这与日志记录有何不同。
8. 页面级安全性：防止对页面内容的操纵（我们真的需要这个吗？）

以及如何检测渗透企图？监控 IP，锁定某些帐户...？有没有办法测试或模拟威胁？

好吧，我有一个担心，在 IRC 频道上与人们交谈以及在各种 android 论坛上看到讨论，我倾向于认为由于 Android 操作系统中的一些缺陷（特别是因为它是开源的，每个人都在为它做出贡献）。因此，最好将 Android 用于银行或类似应用程序。我的看法是否正确，或者是否正确，我们可以将其用于此类金融交易等应用程序。

这个问题纯粹是为了满足我自己的好奇心。

在挪威，网络银行通常使用所有账户持有人都拥有的类似计算器的（物理）加密狗。您在加密狗中输入您的个人密码，它会生成一个八位数的代码，您可以使用它来在线登录。设备本身未连接到网络。

有人知道这个系统是如何工作的吗？

我最好的猜测是每个加密狗都存储了一个预先生成的数字序列。因此，如果您键入一个已经使用过的号码或一个距离太远的号码，登录过程将会失败。它可能还依赖于内部时钟来生成数字。到目前为止，我的程序员同行中没有一个能够回答这个问题。

[编辑]

特别是我很好奇它是如何在挪威完成的。