Newsgroup: it.comp.sicurezza.varie
Titolo: Poste.it - che casini fai?

Ho una carta postepay prepagata che uso solo per acquisti (saltuari) su
internet.
Volevo vedere il saldo, dato che è un po' che non lo controllo.
 
Apro il browser (firefox su una chiavetta con linux debian), vado sul sito
poste, do user e pass e...
E non manda l'SMS (e neppure mi chiede conferma del numero telefonico) col
codice, ma mi mostra subito il saldo con le ultime operazioni (ho un cellulare
normale, niente app)!
 
Non è abilitata neppure la voce "logout" del menu personale!
 
Chiudo il browser (non è abilitata la voce logout) e mi ricollego al sito
poste e questa volta funzione l'autentificazione coll'SMS.
Chiudo nuovamente il browser in quanto il logout non è abilitato.
 
Rifaccio nuovamente l'accesso ed anche questa volta non esegue la procedura di
autentificazione tramite SMS.
 
Spengo computer e modem, cambio chiavetta con sempre una debian, ma versione
diversa, e riaccendo il tutto.
 
Ho quindi un IP nuovo ed un sistema diverso che inoltre non è mai stato
utilizzato per accedere al sito poste.
 
Rifaccio l'accesso al sito poste ed anche questa volta non manda l'SMS col
codice di autentificazione mostrandomi direttamente il saldo.
 
Chiamato numero di roma (0645263322) e dopo 8 minuti per togliermi dalle p...e
l'assistente robotizzato, finalmente riesco restare in attesa per avere un
colloquio con un umano...
 
"Lo sappiamo, ci stiamo lavorando"!   :(
 
Mi ci sono voluti 22 minuti!
 
    :(
 
Mi sa che in 
poste.it
 "c'è grossa crisi" (cit.)  !!!
 
-- 
--- Maximus 2.01wb
 * Origin: GIF & MOD BBS - Software & Porkware - Linea 2 (2:332/520)

 Mi sa che in 
poste.it
 "c'è grossa crisi" (cit.)  !!!
 
Acc!!
Andiamo bene... 8-o :/

Non è abilitata neppure la voce "logout" del menu personale!
 
Non è abilitata nel senso che è grigia, però se ci clicchi sopra fa
fare il logout regolarmente. Almeno questo è quello che mi succede da
diversi mesi ormai e fatto anche proprio pochi minuti fa.
 

Guglielmo ha detto questo mercoledì :

è da moooolto tempo che io considero schifoso il sito delle Posta, non 
c'è mai lo stesso tipo di login, non si sa se le credenziali gli vadano 
bene perchè in 3 accoun all'ingresso propone 3 cose diverse, non 
memorizza il fattoo che io voglio l'SMS sul tel e NON sull'app, che 
rifiuto), dopo ftta un'operazione non si riesce a tornare alle pgine 
precdenti, eccetera eccetera, leultime 2 volte ad un loro sondaggio ho 
dato zerospaccato

è da moooolto tempo che io considero schifoso il sito delle Posta
 
 
Ovviamente è sentimento condiviso.

 
 
Ti confesso che non ricordo se ho provato a cliccarci sopra!
 
Resta il fatto che accedendo dopo almeno un paio di mesi, con IP
 diverso, con browser azzerato[1] o con un'altro dispositivo[2],
 salti la doppia autentificazione.
 
[1] anche supercookies azzrrati.
[2] uso solo chiavette usb con distro debian, l'HD solo per
 salvare files.
 
-- 
Cin cin

 dato zerospaccato
 
Che il sito poste faccia schifo credo sia condiviso da tutti
 coloro che lo debbono usare, me compreso...
 
Io lo uso solo per avere il saldo della postapay, poi mi scollego
 subito.
Tutte le altre cose non le ho mai usate!
 
-- 
Cin cin

  coloro che lo debbono usare, me compreso...
 
qui non si tratta semplicemente di un sito che fa schifo. è un problema di 
incompetenza a tutto tondo.
 
prendi ad esempio il portale poste mobile:
 
http://www.postemobile.it/
 
 
noterai che è in http, non solo, se forzi https vieni rediretto in http 
cioè l'esatto contrario del comportamento del sito di un pincopallo 
qualsiasi.
 
tu dirai: ma è solo la home page, quando entro in una area protetta ci 
entro in https. a parte che se io attaccante mi sostituisco man-in-the-
middle alla homepage poi ti mando dove voglio, però nota in basso a destra 
la chat del servizio clienti. prova ad entrare e, premendo f12, vai a 
vedere l'url di connessione, è in http. questo vuol dire che quando chatti 
con il servizio clienti le info che fornisci nonché le risposte sono tutte 
in chiaro. poi uno dice "ma il sim swapping è un fenomeno difficile che 
succeda", guardate che razza di cialtroni ci sono a giro e poi 
riparliamone.
 
l'unica cosa da fare sarebbe stare alla larga.

 [1] anche supercookies azzrrati.
 
Mi sembra quasi impossibile il poterli eliminare, tu come fai?
Usi forse una vpn per tutte le tue connessioni?
 
Ma anche usare un vpn significa cedere tutte le informazioni della tua 
navigazione ad un terzo operatore di cui ti devi fidare, e torniuamo 
all'inizio...

 Usi forse una vpn per tutte le tue connessioni?
 
Scusa ma... che c'entrano i cookies (super o meno), che vengono
memorizzati localmente dal browser con l'uso di una VPN ? Sarò ancora
mezzo addormentato stamattina, ma sinceramente non capisco :P
 

Rispondo qui sotto a ObiWan

Spero di non sbagliare ma per quello che ne so i supercooky non vengono 
memorizzati dal/sul browser, ma nel sito che stai visitando e forse 
pure altri...

Rispondo qui sotto a ArchiPit

e se non sbaglio l'uso di https sempre e di una vpn possono aiutare pur 
 senza risolvere del tutto

 altri...
 
speri male. e non ha senso quello che scrivi.
 

BIG Umberto ha scritto:

L'altro ieri non si rusciva neanche a loggarsi... e questo è il minimo.
 
Ieri mattina, al momento di loggarsi, uscivano i dati di un'altra carta
e di un'altra persona.
Prima che lo diciate, no: c'erano solo 17 euro sopra :-D :-P
E ovviamente la carta legittima è stata bloccata immediatamente andando
fisicamente in ufficio postale.
 
Anche qui "Lo sappiamo, ci stanno lavorando" >:-[
 
Bye, G.

 Usi forse una vpn per tutte le tue connessioni?
 
Da quanto lessi, mi sembra su una pagina da qualche parte di firefox,
dovrebbero essere (linux debian, ff 91):
 
/home/$USER/.mozilla/firefox/$PROFILO/SiteSecurityServiceState.txt
 
ci si trovano molte info sui siti visitati...
 
 
-- 
--- UnEd 3.141592653589793238462643
 * Origin: Lucrezia! Ti amo, perche' ti sei sposata?? (2:332/1)

In date: Thu, 29 Dec 2022 10:53:49 on group: it.comp.sicurezza.varie,

Scusate, ma stavo discutendo sul fatto che 
poste.it
 mi ha saltato
l'autentificazione a 2 fattori, non chiedendomi tramite SMS il secondo codice
di accesso, accettando direttamente solo user e pass!
 
Sono andato sul sito poste per vedere il saldo, dopo che avevo fatto un ordine
su Amazon.
 
Uso firefox come browser, non salvo password e cancello all'uscita cronologia
con annessi e connessi.
 
Accedendo al sito poste, con un link diretto (che uso da... anni?):
 
https://securelogin.poste.it/jod-fcc/fcc-authentication.html
 
su qesto pc, con questa chiavetta USB, è bastato inserire user e pass e vedere
direttamente il saldo e gli ultimi movimenti. L'ultima volta che avevo
controllato il saldo e ricevuto l'SMS era stato il 12 novembre.
 
Al secondo tentativo, dopo aver chiuso il browser, invece ha eseguito la
procedura 2FA.
 
Poi con un'altra chiavetta USB, con una versione diversa di linux (e quindi
shutdown della precedente chiavetta, spegnimentyo PC, cambio chiavetta e
riaccensione PC), cambio IP (ruoter spento e poi riacceso e verificato che
l'IP fosse diverso), e partendo dalla home "
poste.it
", (non ricordavo il link
diretto, per cui sono partito dalla "home"), mi ha saltato amcora la 2FA.
 
Ed in questo caso, indipendentemente che abbia fatto o meno il logout dal
browser della chiavtta precedente...
 
 
-- 
--- Point Manager 3.21 Unreg.
 * Origin: E l'ultimo che lascia il pianeta si ricordi di spegnere il sole!
(2:335/
206...@fidonet.org
)

Rispondo qui sotto a rootkit

Non credo di avere abagliato di molto
 
https://www.tecnobabele.com/cosa-sono-i-supercookie-ecco-come-rimuoverli-correttamente/2019-08-23/
 
 
https://www.wired.it/article/privacy-germania-supercookie-sperimentazione-vodafone/
 
 
Comunque spiega meglio quan to dici, sono sempre grato a chi mi 
insegnase hai informazioni migliori

Rispondo qui sotto a ArchiPit
 
 

...partito mentre stavo ancora scrivendo, correggo e concludo
 
Comunque spiega meglio quanto dici, sono sempre grato a chi mi spiega 
meglio dove sbaglio.

 meglio dove sbaglio.
 
Prova a fare il relativo test della connessione:
https://supercookie.me
 
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
Assolto perché il fatto non costituisce dibattito.
#v-
 
 

 
https://supercookie.me
 
 
Firefox me lo blocca.
Cosa fa?
 
Pur cercandone sul web non ho trovato nulla.

ArchiPit <Bruram48C...@LeTreDiNotteVirgilio.it> ha scritto:

Lo blocca, perché conferma che la connessione non è  sicura.
-- 
 
    * b *
  *   y   *
*   Piero   *

 Lo blocca, perché conferma che la connessione non è  sicura.
 
Anche forzandolo ad andare avanti in http restituisce un 404.
 
Bye, G.

 Lo blocca, perché conferma che la connessione non è  sicura.
 
"Connessione non sicura" significa tante cose, non che il sito ti 
lancia un supercookie nel posteriore...
 
Tu vuoi dire che FF blocca tutti i siti che vorrebbero scrivere 
supercookie?

 supercookie?
 
no. significa in questo caso che il certificato https non è emesso da una 
ca valida, è un certificato autoprodotto ("traefik default cert" come cn).
peraltro se guardi la data emissione del certificato vedi che ne viene 
emesso uno nuovo ad ogni richiesta.

 emesso uno nuovo ad ogni richiesta.
 
Grazie per aver chiarito, ogni tanto in effetti mi capita la 
segnalazione del certificato non valido, o scaduto, ed ovviamente non 
vado in quei siti che mi danne queste segnalazioni.
 
Ok, ora aggiungo le possibilità da te indicate e ti auguro buon anno!

 Ok, ora aggiungo le possibilità da te indicate e ti auguro buon anno!
 
auguri anche a te.

 che ne viene emesso uno nuovo ad ogni richiesta.
 
A parte il certificato non valido, se c'hai tempo e voglia studiati
questa interessante pagina:
https://github.com/jonasstrehle/supercookie
 
 
Tra l'altro (riferito ai supercookie) trovi scritto:
 
The tracking method works even in the browser's incognito mode and is
not cleared by flushing the cache, closing the browser or restarting the
operating system, using a VPN or installing AdBlockers.
 
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
È un genio della scrittura, ha inventato il paragrafo senza fili.
#v-
 
 

operating system, using a VPN or installing AdBlockers.
 
Forse una difesa è utilizzare il browser dentro una VM, io ho una MX-19.4 su
VirutualBox con su Firefox e Chromium che uso esclusivamente per navigare in
siti poco sicuri o fare lo streaming da siti che possono essre troppo invedenti.
 
Ho preso l'abitudine di usare una VM Linux pre navigare da quando usavo Xp, e
continuo a farlo.
 
 
-- 
ciao
  Stefano

 usavo Xp, e continuo a farlo.
 
Ottimo per virus e robaccia varia, ma inefficace con i supercookie.
Sempre IMHO :-)
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-ad maiora-
#v-
 
 

IMHO
 
Non sono d'accordo, il supercookie resta comunque nella VM, per esempio non può
passare all'host con FStab, che è la comunicazione dati che uso a volte.
 
Poi basta semplicemente ripristinare uno screenshot della VM, o eventualmente
ripristinare  il file .vhd per riportarla ald una situazione incontaminata, non
vedo proprio come possa il supercookie sopravvivere. 
 
Uno dei vantaggi di usare una VM per queste cose è proprio la facilità di
ripristino, e io ripristino spesso alla situazione di partenza, e poi faccio un
nuovo screenshot dopo gli aggiornamenti.
 
Il perchè poi non l'abbiano scritto non lo so, ma non vuol dire molto, in fondo
usare una VM solo per navigare non è una cosa molto frequente, io ho preso
l'abitudine usando Xp.
 
 
-- 
ciao
  Stefano

 dati che uso a volte.
 
OK, se così fosse sarebbe la soluzione, ma aspetto che sia confermato da 
chi ne sa più di me.
Del resto i supercoockie sono una cosa piuttosto recente e poco 
conosciuta, spero che l'argomento sia approfondito da chi li ha fatti 
conoscere.
    ..._skipped!_
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-do ut des-
#v-
 
 

 
https://github.com/jonasstrehle/supercookie
 
 
ma anche
 
https://coveryourtracks.eff.org/
 
 
 

 "Lo sappiamo, ci stiamo lavorando"!   :(
 
No, neanche questo "usi un altro browser"