Апплеты в клиент банках

потому что джава это энтерпрайз. другого объяснения нет и не нужно. это как пытаться объяснить, почему сейчас любой наколенный калькулятор в оффтопике пишется на дотнете, весит пару гигабайт и запускается полчаса.

с криптографией

Аппаратные ключи. Альтернатива - ActiveX =)

Любое клиентское шифрование на джаве работает намного быстрее, чем на джаваскрипте.

Еще возможно им нужно выполнять привилегированные операции, например работать с электронным токеном или с файловой системой. Кроссплатформенной альтернативе апплетам тут тоже нет, насколько мне известно.

Апплет - это хорошо! А вот если активх как сказали выше - то труба. Других путей работы с криптоключом локальным нету насколько я знаю.

Так вот в моем банке нет их, просто файлики сертификатов. С таким успехом я и в браузер мог их запихнуть.

Любое клиентское шифрование на джаве работает намного быстрее, чем на джаваскрипте.

А нельзя чтобы браузер кодировал TLS для HTTPS на сишечке?

Ну видимо банкам не хватает TLS. Например в TLS нет понятия цифровой подписи, а многие системы требуют, чтобы клиент подписывал свои действия цифровой подписью.

Проблема решилась бы использованием JavaScript API для криптографических операций, который под капотом использовал бы сишечку, и такое API вроде даже есть в каком-то зачаточном состоянии, но видимо до широкого использования еще далеко.

Есть какая-то бюрократическая причина связанная, ну не знаю, с криптографией или чем-то, почему мы должны страдать?

Если говорить про юрлиц, то да, нужна электронная подпись по требованиям от ЦБ, если не ошибаюсь (может и не ЦБ). Конкретные юридические нюансы не скажу. А вот аппаратные ключи необязательны.

Соответственно, нужно как-то заниматься криптографией на клиенте. А как это сделать? Тут либо activeX, либо джава, либо хитрые плагины к браузеру, либо десктоп-клиент, либо что-то на js.

ActiveX используется потому, что к нему привыкли программисты, которые ничего кроме IE не видели. Сейчас появились более-менее адекватные альтернативы на джаве, которые иногда даже работают на openjdk. Писать плагины под разные браузеры затратно, особенно учитывая постоянные обновления. Что-то криптографическое под js появилось только недавно, а корпоративный рынок жутко консервативен (вон, activeX ещё используют), плюс неясно, насколько хорошо оно с файлами работает. Вот и остаётся только джава, которая более-менее кроссплатформенна и стабильна.

А вот для физлиц обязательных требований такого вида нет - хватает https с авторизацией по кодам или смс-кам. Потому у них могут быть инетбанки как с джавой, так и без, это уже от вкусов разработчиков зависит.

При этом экономят на том, чтобы писать кроссплатформу сразу на сях/плюсах/qt/gtk/wx.

При этом экономят на том, чтобы писать кроссплатформу сразу на сях/плюсах/qt/gtk/wx.

Просто когда в моде были десктопные банк-клиенты, их писали с расчётом «под виндовс, а остальное не важно». Плюс писали иногда так, что даже под виндовс оно не очень работало, а уж кроссплатформенное точно бы не вышло.

А сейчас везде веб, а под веб написать что-то универсальное проще, единственная сложность именно с этапом шифрования. Зато интерфейс получается более простой, так как разница между браузерами не так велика, плюс большая часть работы уходит на сервер-сайд, который «ближе» к разработчику. Таки проще подправить код у себя на сервере, чем рассылать всем обновления в срочном порядке, когда у них формочка поломалась.

Вот только веб оказался не готов к шифрованию на клиенте, что и вылилось в обсуждаемые костыли.

Ок, понятно в принципе