Newsgroup: it.comp.sicurezza.varie
Titolo: Affidare C.C. e pagamenti carta ad android

Ho preso di recente un nuovo smartphone con nfc e il tablet.
Entrambi con connessione 4g e relativa sim.
Ormai tutte (o quasi) le banche hanno APP per la gestione del proprio 
conto corrente e i nuovi metodi di pagamento sono tramite lo smartphone 
con nfc, ritengo. Ancora sono indeciso se affidargli i miei C/C anche se 
in giro ormai mi sembra di essere uno dei pochi a non farlo.
Perché fidarsi e perché no, rispetto al PC tradizionale?
Eventuali suggerimenti su come migliorare la sicurezza, nel caso in cui 
faccia "il grande passo" sono molto graditi.
Ciao.


La sicurezza te la offre la tua Banca o le Poste. Hanno combinato un 
accesso protetto con 1 o più settaggi di sicurezza con passaggi 
progressivi e incrociati fra Pc e Smartphone /Tablet........
 
Forse ti conviene andare sui relativi siti e leggerti qualcosa.
Ciao
 
-- 
ciao Effegi

 Perché fidarsi e perché no, rispetto al PC tradizionale?
 
Ormai l'utilizzo di smartphone/tablet č consigliabile in ogni caso anche se
continui ad accedere alla banca via PC, in quanto ti consente di attivare
l'autenticazione a due fattori che č di gran lunga il metodo piů sicuro.
 
Per l'accesso ai servizi bancari direttamente da smartphone/tablet per me č
fondamentale che le app supportino perlomeno l'accesso biometrico (es.
impronta digitale). Sarei sorpreso se ci fossero ancora delle banche che
non lo supportano, ma in tal caso sicuramente non userei la loro app.
 
-- 
Fletto i muscoli e sono nel vuoto.

 Ciao
 
E per la gestione dell'apertura porte e localizzazione dell'auto cosa mi 
dici?
 

 non lo supportano, ma in tal caso sicuramente non userei la loro app.
 
Quindi ormai la sicurezza di android, da quanto scrivete, è paragonabile 
a quella di un PC?
 
 

 Farci home banking o pagamenti? Manco morto.
 
È quello che ho sempre detto anch'io. :-)
Ma tanti altri si sentono sicuri, e lo resteranno fino a quando... <eg>
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
M'hanno regalato un libro, ma si sono dimenticati del software.
#v-
 
 

 non lo supportano, ma in tal caso sicuramente non userei la loro app. 
 
ocio che l'impronta digitale è una comodità non una ulteriore sicurezza.
tant'è vero che si può sempre scegliere di bypassare e sbloccare con pin/credenziali.

 tant'è vero che si può sempre scegliere di bypassare e sbloccare con pin/credenziali.
 
L'impronta serve per codificare le credenziali in modo sicuro nel telefono.
La maggiore sicurezza è data dal fatto che puoi generare una password
difficile a piacere, visto che poi non la dovrai ricordare. Idealmente
potresti anche non conoscerla per nulla: il sito a cui devi accedere te ne
potrebbe generare automaticamente una casuale, e poi il telefono te la
codificherebbe automaticamente attraverso l'impronta.
 
Le password mnemoniche sono il male, non è un caso che tutto il mondo stia
tentando di eliminare.


 codificherebbe automaticamente attraverso l'impronta. 
 
l'impronta digitale consente di bypassare la login con le credenziali. ci sono metodi (password manager) che permettono di non farlo. tecnicamente è come avere una serratura blindata e un comodo passepartout per non dover usare la chiave, ma per quanto ingannare un lettore possa essere complicato nella pratica non lo è altrettanto nella teoria.

 teoria.
 
Stavo parlando di sicurezza di massa. Se consideri tutti gli utenti
(inclusi quelli che usano 12345678 come password, e non sono pochi) passare
in massa all'autenticazione biometrica costituirebbe un enorme
miglioramento in termini di sicurezza.
 
Poi sono d'accordo che esistano metodi che in senso assoluto sono più
sicuri dell'impronta digitale, come ad esempio l'autenticazione a due
fattori che praticamente ormai tutte le banche supportano. Ma questo è un
altro discorso.


 lo è altrettanto nella teoria.
 
Non condivido, sicuramente una impronta è equivalente ad una master 
password forte.
 
Piuttosto io considero in modo molto critico il fatto che se l'impronta 
viene scassinata, e dato che non è cambiabile, poi ti rubano tutto su 
tutti i siti in cui hai accesso tramite impronta (e credenziali portate 
dall'impronta).
 
Allora potrebbe essere meglio usare un rfid sotto pelle al posto 
dell'impronta, dato che l'rfid è programmabile, e puoi anche scegliere 
una master password e credenziali per ogni sito più forti 
dell'impronta.
 
Dovrebbe però essere molto ma molto piccolo (antenne)


Secondo me ogni sistema può essere craccato, dipende molto dalle 
motivazioni che spingono l'attaccante e dalle sue reali capacità.
Certo mettere più barriere possibili è utile. Il problema che magari ti 
proteggi per non fare accedere sul telefono ma se per sbaglio cadi in un 
phishing sei punto e a capo. Per questo secondo me android ha molti 
molti limiti.

 password forte. 
 
una frase di 5 o 6 parole e numeri è mnemonica e un algoritmo di hashing adeguato (come quelli attuali) può tenere occupato un computer odierno fino alla fine del sistema solare. l'impronta digitale la lasci ovunque e teoricamente è già possibile clonarla, si tratta solo di quanto si vuole farlo e in ultima analisi quanto si vuole investire. è ovvio non si tratta di tecnologia alla portata di comuni malfattori ma è per dire che non va attribuito a questi sistemi un grado di sicurezza che non hanno. i lettori di impronte non è impossibile ingannarli. 
 
detto questo, io per inciso ho attivato lo sblocco con l'impronta dello smartphone e l'accesso all'home banking come ad altre app che lo consentono, perché lo trovo molto comodo e sufficientemente sicuro. ma non più sicuro di digitare una passphrase forte. 

 digitare una passphrase forte. 
 
Pure io uso l'impronta: molto comoda.

 detto questo, io per inciso ho attivato lo sblocco con l'impronta dello smartphone e l'accesso all'home banking come ad altre app che lo consentono, perché lo trovo molto comodo e sufficientemente sicuro. ma non più sicuro di digitare una passphrase forte.
 
Scusate ma se non era una fake, mi risultava che  qualche miliardo di 
simmm avessero un bug di sicurezza  intriseco nell' architettura
e solo i provider potevano chiudere  questo bug...
se cosi' e' di cosa stiamo parlando ...
vedro che anche da Pc poteri prendere un rootkit appunto :-))o altro
ma almeno un minimo di controllo lo ho ...
 
io no  dal telefonino in banca non entro proprio ..
 
 
 
-- 
Boogyman:Gravemente allegico al politically correct

 ma almeno un minimo di controllo lo ho ... 
 
sicuro?
visto che parti di bug intrinseco nell'architettura, prova a dare un'occhiata a questo:
https://meltdownattack.com/
 
praticamente tutti i processori pc da 25 anni a questa parte sono potenzialmente attaccabili. e non è una fake.

praticamente tutti i processori pc da 25 anni a questa parte sono potenzialmente attaccabili. e non è una fake.
 
Vero, ma che l'attacco sia pratico è da vedersi (nella stragrande maggioranza
dei casi la velocità di lettura di Meltdown è troppo bassa), e soprattutto, è
possibile mettere in sicurezza il kernel senza perdite di performance. Credo,
da quel che ho letto, che i moderni kernel di Linux siano immuni.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 praticamente tutti i processori pc da 25 anni a questa parte sono potenzialmente attaccabili. e non è una fake.
 
No sicuro di nulla :-)
specialmente in campo sicurezza informatica
ma anche in generale ...
pero' sicuramente il mio Pc sta on line poco tempo
lo smartfone perennemente ...


 Leonardo
 
OT dott. Serni che piacere rivederla
dopo 25 anni ...
praticamente non  vedo piu' nessuno di allora ...


 lo smartfone perennemente ...
 
Che per me è un controsenso... Mah, probabilmente, alla fine, come la 
metti metti, non c'è nulla di sicuro.
 


beh la mia era poco più che una provocazione, in risposta alla presunta vulnerabilità delle sim citata da boogyman.