Newsgroup: it.comp.sicurezza.varie
Titolo: Una opinione sulla sicurezza dei sistemi informativi bancari (forse OT)

Oggi sono stata in banca per far attivare il servizio di home banking:
l'impiegata compila la solita sequenza di maschere e alla fine lancia la
stampa del mio codice segreto: nella stampante ad aghi viene inserita una
busta sigillata con all'interno carta carbone mentre l'esterno è ricoperto
da un pattern 'mimetico' nero che dovrebbe impedire all'impiegato di leggere
il codice segreto stampato (a dire il vero una bella idea) senonchè sembra
che non esca la stampa e l'impiegato preme una seconda volta il pulsante di
invio, in realtà era solo lento il sistema e finalmente esce il mio codice
segreto sulla busta sigillata, ma, siccome era partita un'altra stampa la
stampante preleva dal vassoio un altro foglio bianco e stampa nuovamente il
codice in CHIARO ! Bella sicurezza !!!!!! Un impiegato 'furbo' potrebbe
rubare un bel po' di apssword segrete (basterebbe premere due volte invio e
mettere off-line la stampante alla fine della stampa della busta e poi
appena il cliente se ne è andato rimettere on-line e stampare il codice in
chiaro).
Non è finita qui, mentre stavamo compiendo l'operazione il direttore ha
chiesto all'impegato delle informazioni su un conto, l'impiegato diligente
ha avviato un altro programma, ha inserito un suo codice di accesso  (in
chiaro ! senza asterischi per mascherarlo !) e ha visualizzato tutta una
serie di dati (con nome e cognome) che poi ha stampato e che io potevo
vedere benissmio e si è allontanato dall'ufficietto qualche minuto (durante
i quali io avrei potuto armeggiare con il suo PC) Alla faccia della privacy
e della sicurezza !
Per concludere in bellezza mi viene in mente l'assicurazione che occupa il
piano terreno del palazzo dove ho l'ufficio: molte impiegate hanno scritto
su un post-it appiccicato al monitor la password, peccato che diano di
spalle alle pareti e le pareti siano in realtà delle vetrate ! (la sera a
uffici chiusi potrei passeggiare all'esterno e leggere un bel po' di
password :-) ) !
Cosa ne pensate ? E' serietà questa ? Cosa serve avere sistemi super-sicuri
se poi accadono queste cose ?
Saluti

 Oggi sono stata in banca per far attivare il servizio di home banking:
Ti consiglio di leggerti il paper sul Social Engineering che puoi scaricare
su 
http://www.blackhats.it
 .
Social Engineering, ovvero impersonare qualcun altro e/o per ottenere
informazioni riservate..etc
Le maggiori violazioni di sicurezza avvengono proprio attraverso situazioni
tipo quelle descritte da te...

 su 
http://www.blackhats.it
 .
Grazie, simpatici gli esempi, verosimili, ma non direi proprio veri (forse
modificati per mascherare le aziende): in nessuna delle aziende per le quali
ho lavorato avrebbero funzionato.
Intanto aggiungo due altre chicche bancarie:
Parlando con mio cognato che lavora in banca, mi ha raccontato che da lui
non esiste un nome_utente e una password, ma semplicemente un codice che non
è personale, ma comune a tutta la filiale e che varia a seconda della
funzione richiesta, questi codici dovrebbero restare riservati, ma per non
dimenticarli è stata fatta una bella targhetta riassuntiva per ogni
sportello, e ai clienti basta sporgersi un po' per vederla :-). In questo
modo - aggiungo io - non è neanche semplice risalire all'impiegato che ha
fatto una certa operazione (magari disonesta) ... L'Idiozia del sistema
sembrerebbe essere stata ereditata dai vecchi sistemi, quando non era
possibile eseguire ogni operazione da ogni terminale, ma ad uno sportello
corrispondeva rigidamente un impiegato e un insieme di operazioni fattibili
(sportello gestione titoli, cassa contanti, versamenti, ecc.ecc.).
Anni fa dovevo pagare le tasse (una delle N tasse che tocca a noi liberi
professionisti :-( ), era l'ultimo giorno utile, passo in banca la mattina
all'orario di apertura e sfiga delle sfighe fino a metà mattina sono in
'riunione sindacale' ... Siccome dovevo andare da un cliente non potevo
aspettare, per fortuna in zona da lui c'era un'agenzia della mia stessa
banca, quindi appena ho un attimo di tregua dal cliente vado in banca per
pagare, lo faccio con il bancomat (incredibile, c'era un solo sportelo su
una dozzina in cui si poteva pagare con il bancomat !) però il pagamento non
riesce ad andare a buon fine, proviamo più volte, ma niente, a questo punto
l'impiegata dice che succede spesso quando piove (e quel giorno pioveva :-(,
chissà cosa centra la pioggia ... )  e chiama un'impiegata sicuramente più
esperta che mi fa accomodare ad un terminale a parte che deve essere ancora
avviato (con una chiave ... Arghhhh), mi chiede se dovevo proprio fare quel
giorno quella operazione, e a quel punto le spiego dell'assemblea sindacale
della mia agenzia un po' incazzato (lo ero anche per la pioggia, per il
parcheggio ecc.ecc.), quindi passati i minuti necessari per la
'connessione', fa scorrere nel lettore il mio bancomat e io digito la
password, ma niente, non funziona, riproviamo più volte (ogni volta mi
toccava ridigitare la password), ogni tanto l'impiegata smanettava un po'
tra i menu del terminale e si innervosiva sempre più poi finalmente
l'operazione riesce, il pagamento viene accettato e io me ne vado a casa
tutto contento per aver fatto il mio dovere di cittadino che paga le tasse
(poi ho controllato l'estratto conto ed era tutto a posto); dov'è l'inghippo
? Che a ripensarci bene per l'operazione andata a buon fine NON HO
RIDIGITATO LA PASSWORD ! Al momento non me n'ero accorto, ma questo vuol
dire che per qualcuno è sufficiente avere il mio bancomat per usarlo senza
codice ?
Scusate per il messaggio un po' lunghetto e OT, ma ormai non ho più fiducia
nei sistemi informativi bancari (o meglio, come mi è stato consigliato in
una precedente risposta, nelle persone che ci stanno intorno...).

 fiducia nel futuro...
Mah ... una volta anch'io la pensavo così, però mi sono reso conto che non è
vero.
Mi è capitato di lavorare come consulente presso aziende nelle quali era
imminente un ridimensionamento del personale (vuoi per crisi del settore,
vuoi perchè acquisiti dalla multinazionale di turno, vuoi perchè trovavano
più efficienti i consulenti :-) ) e tu ti illudi che finalmente i vari
tromboni nullafacenti e tutto-saccenti verranno lasciati a casa (in genere
il consulente venduto a 'body' ha una visione più obiettiva e reale delle
reali capacità dei dipendenti IT con i quali lavora  di quando l'abbia la
direzione), e invece succede l'esatto contrario per questi motivi: le
persone competenti in genere trovano in fretta un nuovo lavoro appena hanno
sentore della crisi e poi i tromboni sono esperti a restare sempre a galla
(se no non cel la farebbero a essere tromboni), poi in genere sono amici di
qualcuno che sta molto in alto (se no se non con le raccomandazioni come
avrebbero fatto ad occupare il posto che occupano ?) e per concludere esiste
sempre il detto 'chi non fa non sbaglia'. Logicamente esistono le eccezioni.
Oggi sono in vena di OT ...