Newsgroup: it.comp.sicurezza.varie
Titolo: Codici di sicurezza Unicredit

Oggi ho fatto un'operazione online sul conto Unicredit.
Ero stato avvertito che i controlli di sicurezza erano
cambiati, e che oltre a codice cliente, pin e codice
generato dal token ci sarebbe stato un nuovo fantomatico
codice di sicurezza che non mi era chiaro cosa fosse.
Arrivo al dunque. Preparo il bonifico, inserisco il pin,
il codice generato dal token, proseguo, mi chiede di
inserire questo fantomatico codice di sicurezza, e li' per
poco non collasso, non credo ai miei occhi. Si tratta
semplicemente di ricopiare a mano un codice mostrato a
video (forse in forma di immagine) pochi pixel piu' sopra.
Qualcuno saprebbe dirmi che caspita di senso ha?
No, non era neanche un captcha, era leggibilissimo.
 
Ciao
Paolo Russo
 

 Paolo Russo
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Da noi le perle del pensiero sono prodotte dalle cozze.
#v-
 
 

 ha
scritto:

Anch'io ho usato Unicredit online, e trovo migliorativo in termini di sicurezza
inserire all'accesso oltre a Pin e Password anche un numero dal token.
 
Riguardo al dover inserire la cifra di conferma oltre al numero token e alla
password, è per evitare che qualcuno si inserisca in mezzo e faccia un
'webinject' variando i dati del bonifico come i malware  Zeus o Citadel.
 
https://www.malwaretech.com/2014/02/webinjects-basics.html
 
 
Se il malware si inserisce e intercetta la videata con la cifra non avrà nè il
numero token nè la password, e dopo l'inserimento dei dati non potrà più variare
il destinatario che è legato al numero di conferma.
 
L'unica cosa che forse è superflua è l'inserimento della password oltre al
numero del token, per fortuna che si può fare il copia e incolla.
 
-- 
ciao
  Stefano

 incolla.
 
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-ad maiora-
#v-
 
 

trovata la "pappa pronta" :-D
 
No, il numero a video compare subito dopo aver inserito i dati del bonifico,
insieme al box di digitazione di token e password (quindi ancora da inserire),
ma a quel punto l'operazione non è più modificabile.
 
Il numero difatti si riferisce ai dati dell'operazione inseriti in precedenza, a
quel punto se anche il malware intercettasse token e pw non può più cambiare
niente, altrimenti il numero non sarebbe più valido e la cosa non andrebbe a
buon fine.
 
Mi sembra un sistema abbastanza difficile da aggirare.
 
 
-- 
ciao
  Stefano

 Mi sembra un sistema abbastanza difficile da aggirare.
 
Praticamente, è un "checksum" dell'operazione e, solo accettando quel
codice, l'operazione va a buon fine. Modificando un qualsiasi dato
dell'operazione il check cambia, invalidandola.
 
Ho capito bene?
 
A questo punto, però, mi manca la "seconda fase", garantita dall'OTP.
A meno che sia ciò tu chiami "token".
Oppure mi è sfuggito qualcosa?
 
 
Ciao,
un TJL73 che ha ancora un po' di confusione in testa...
 
-- 
"I problemi non possono essere risolti
 allo stesso livello di conoscenza di chi li ha creati."
                                                      -- Albert Einstein

 Mi sembra un sistema abbastanza difficile da aggirare.
 
Prima di tutto, grazie della risposta. Pero` devo ammettere
che ho la stessa perplessita` di P/ero; non ho mica ancora
capito come funziona il tutto.
Allora, io digito dei parametri, il malware cambia qualcosa
(il destinatario del bonifico) e il tutto viene inviato al
server, che risponde con un numero che se ho ben capito
sarebbe uno hash crittografico dei parametri. Il malware non
deve cambiare il numero, gli va gia` bene cosi' perche'
rispecchia i parametri cosi' come li ha cambiati lui. Non
capisco quindi come la cosa lo metta in difficolta`. Chi
controlla che lo hash quadri con i parametri cosi' come li
ho inseriti e li vedo visualizzati? Del codice javascript
lato client? Decisamente mi sfugge qualcosa.
 
Ciao
Paolo Russo
 

Decisamente mi sfugge qualcosa.
 
Capisco le tue perplessità.
 
-- 
ciao
  Stefano

*non usa https* ma http, quindi basta questo a lasciare dubbiosi.
 
Qui chiarisce che l' https non basta:
 
https://defintel.com/blog/index.php/2017/10/what-are-webinjects.html
 
 
 
-- 
ciao
  Stefano

 Mi sembra un sistema abbastanza difficile da aggirare.
 
Certo, ma /repetita iuvant/: il rischio ZERO non esiste.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-deus ex machina-
#v-
 
 

 Paolo Russo
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-ad audiendum verbum-
#v-
 
 

"SB" [by Forte Agent 1.93/32.576 English (American)] on 30/05/19 10:56:41

'AZZO! i webinjects mi erano totalmente sconosciuti, sembrano collegarsi
al post più sopra che ho inoltrato da I.C.S.V.
 
Sarà tutto vero? Leggendo la pagina trovo anche un link:
https://defintel.com/nemesis.php
 che rimanda ad una pagina "NEMESIS" che
propone soluzioni di sicurezza, quindi è fatto a scopo pubblicitario?
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Assolto perché il fatto non costituisce dibattito.
#v-
 
 

 effettuata e posso verificare se corrispondono.
 
Ecco, questo si' mi sembra un controllo sensato, dato che
PC e cellulare sono indipendenti. E` quel doppio controllo
sul solo PC che continua a sembrarmi completamente senza
senso.
 
Ciao
Paolo Russo
 

 Paolo Russo
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-deus ex machina-
#v-
 
 

(chiavetta) e questa purtroppo non sarà più accettata.
 
Unicredit consente un codice generato sia dal token che dall'app sul dispositivo
mobile, l'uno non esclude l'altro, l'unica differenza rispetto a prima è il
numero di sicurezza che compare sulla schermata.
 
https://www.unicredit.it/it/privati/internet-e-mobile/tutti-i-servizi-internet-e-mobile/domande-utili-e-assistenza/strumenti-sicurezza.html
 
 
 
 
-- 
ciao
  Stefano

 
https://www.unicredit.it/it/privati/internet-e-mobile/tutti-i-servizi-internet-e-mobile/domande-utili-e-assistenza/strumenti-sicurezza.html
 


P/ero ha spiegato il 05/06/2019 :

mi sono accorto anch'io della novità da qualche settimana. ma è anche 
vero che dovrebbe essere una soluzione temporanea. mi risulta che da 
settembre TUTTI i servizi di home banking dovranno prevedere l'uso di 
uno smartphone o altro dispositivo dove ricevere il codice usa-e-getta 
e i token diventeranno inutilizzabili.
con BNL e INTESA sono già in questa situazione. per Unicredit invece no