Newsgroup: it.comp.sicurezza.varie
Titolo: Home-banking. Sicuro o no?

Qualcuno di voi ha qualche notizia sui servizi di home-banking offerti
dalle banche nostrane?
Una ditta per cui faccio il consulente mi ha informato informalmente
(anche troppo) che vorrebbe utilizzare un qualche tipo di home-banking
per varie pratiche bancarie, siccome un funzionario della loro banca
gli offerto un programma per W95, ecc ecc.
Ora, visti i vari BO, Netbus, e chi piu' ne ha piu' ne metta, volevo
sapere che requisiti di sicurezza deve avere un simile programma. Io
non so nemmeno se questo prg deve lavora via internet, oppure
direttamente telefonando ad un numero. Siccome dovro' andare a parlare
col funzionario in questione, vorrei sapere se qualcuno di voi ha gia'
avuto esperienze di questo tipo.
THX,
byez,
Zott!

> vorrei sapere se qualcuno di voi ha gia' avuto esperienze di questo tipo.
 puo' essere! ;-))
 Un programma di questo tipo indipendentemente dal sistema usato  ( le
banche usano il dos solitamente ...e lo fanno perche' i corsi per i loro
dipendenti costano meno e glieli puo' fare chiunque.. ogni tanto si trova
qualche as-400 ma sono rarita')  non puo' o comunque non deve usare
internet .. sarebbe assolutamente FOLLE!!!
 Generalmente .. per garantire la sicurezza.. i programmi sono vincolati ad
una rete locale impiantata ad hoc alla quale i clienti possono accedere
soltanto grazie ad un particolare programma e alle loro specifiche password.
 Il programma che andava per la maggiore diversi anni fa era un sistema
della Olivetti che si chiamava 'Stellar' (o qualcosa di simile ;-) .. poi di
banca in banca gli cambiavano nome per far vedere che ci avevano lavorato
sopra!! )  e sfruttava una rete particolare 'inventata' dalla Olivetti con
un suo protocollo dissimile da tutti gli altri.

internet .. sarebbe assolutamente FOLLE!!!
e di folli ce ne sono! Pensa ke il nuovo Money99 ke uscirà a natale prossimo
avrà integrato l'Home Banking via internet. E ci sono un bel po' di banke ke
hanno aderito a questa iniziativa! Da parte loro molto probabilmente sarà
abbastanza sicuro, ma dal lato dell'utente? .... ekkissenefrega! :-(
e "temo" :) ke gli sviluppi futuri di questo H.B. siano proprio via
Internet!
buona fortuna
x

gli offerto un programma per W95, ecc ecc.
Probabilmente gira con Videotel. In ogni caso la connessione Internet, da
una azienda, e' qualcosa che andrebbe schermata subito e fatta da un PC o
con un firewall sicuro (=o con un tecnico sottomano, o niente Win/WinNT).
Leonardo
".signature": bad command or file name

abbastanza sicuro, ma dal lato dell'utente? .... ekkissenefrega! :-(
Diverse banche fanno già home banking via Internet... Ma dal lato
dell'utente (se il sistema e' fatto bene) gli unici dati "pericolosi"
sono quelli relativi ai codici e/o alle password di accesso... Codici
a cui e' probabilmente piu' facile accedere tramite "social
engineering" che non tramite BO o analoghi sistemi di
"pseudo-hacking". La tecnologia e' giovane, e l'utenza ha solo una
percezione piuttosto generica e confusa dei problemi di security;
sicuramente (come sempre) i "pionieri" corrono dei rischi; ma la banca
non puo' farsi carico di installare AVP system watcher sui computer
dei clienti...
In ogni caso, probabilmente i sistemi di home banking via Internet
sono piu' sicuri dei sistemi di home banking tradizionale.
Cipps
Luca
--
Luca Bruschi - 
I.NET
 S.p.A.
luca[@]
Mail.INET.it
Togliere le parentesi [] per rispondere.

 Zott!
A me una volta dissero (quelli della banca con la quale volevo fare
l'H.B.) che durante l'installazione sul tuo pc, prendevano il numero di
serie dell'hard-disk e trasmettevano oltre al login e pwd tale numero.
Se cambiavi pc, dovevi reinstallare todos...
E' vero secondo voi o e' una "leggenda metropolitana"?
Ciao 
MediaMaster
Ps.
Poi non ho fatto niente :-))) e son felice! Ci mando la segretaria in
banca! eh..eh..eh.

Se cambiavi pc, dovevi reinstallare todos...
Puo' essere... e' fattibile, cioe'. Ma il punto non e' se qualcuno e'
in grado di SPACCIARSI per me via HB.
Il punto e' che, SE la connessione va via Internet:
1) Hai un PC Windows 95 collegato ad Internet: ottime possibilita'
   che qualcuno ci entri a scrocco. E, se capisce cos'hai di HB, e
   sa come fare, puo' usare la TUA tastiera per inviare comandi, e
   il server HB lo riconoscera' come comando valido. ZACK!
2) La connessione e' inerentemente POCO sicura, salvo protocolli a
   uso crittografia/validazione.



Chiarissimo.
Io mi riferivo a circa 3/4 anni fa quando proponevano una connessione
modem to modem.In pratica ti collegavi ad una loro "BBS".
(pensa, mi volevano installare un 2400!! Anche se per la modalita' testo
era + che suff.)
In internet e' tutta un'altra parrocchia..
Ciao!
MediaMaster

E' vero secondo voi o e' una "leggenda metropolitana"?
non proprio cosi' ... ma e' possibile utilizzare il numero di serie del disco
per il processo di costruzione della chiave pubblica necessaria magari in
Diffie Helman per passare poi criptata la secret del secondo strato
invy

avuto esperienze di questo tipo.
non ho esperienza diretta. Ma, a mio avviso, modesto avviso, se la
sicurezza si basa sul software e sul suo utente, siete fatti nel momento
stesso in cui la macchina, SE WIN95/98, viene compromessa.
Sfido a NON trovare un dipendente dell'ufficio amministrativo che scriva
password e simili su un bel .txt nel suo disco. Un BOer avrebbe vita facile.
E se il PC fosse su Internet basterebbe ActiveX .... mai sentito parlare
dell'home banking del CCC ?! :P
invy

   uso crittografia/validazione.
ja ... e le implementazione crittografiche proprietarie di molti di questi
servizi sono a mio avviso poco affidabili (XOR ?! :PPP) .... mentre IPSec
langue ancora dietro a poche e POVERE implementazioni rispetto a RFC e drafts.
invy

era + che suff.)
Credo (ripeto: _CREDO_) che la scelta della connessione a 2400 fosse
dovuta (e forse lo e' ancora) al fatto che la Telecom _garnatisce_
l'integrita' dei dati trasmessi solo fino al limite dei 2400 bps... A
velocita' superiori, se il tuo bit con scritto "accreditate 2500 sul
conto di Luca Bruschi" diventa "accreditate 2.500.000.000.000.000 sul
conto di Luca Bruschi" non puoi dare colpa alle linee. Ripeto per la
terza volta, prima che arrivi qualche crociato di Telecom a
insultarmi: non ne sono sicuro, e' solo una voce che avevo sentito
tempo fa.
Ciao


avrà integrato l'Home Banking via internet.
Il nuovo Superenalotto! Dopo il "Gratta e vinci", "Pinga e sgraffigna"!


della Olivetti che si chiamava 'Stellar'
La Olivetti deve ancora farsi perdonare MVS3270 e il suo "multitasking",
che per salvare dei dati su disco (!!!) mi tocco' scrivere un virus!
(se avessi voluto magari STAMPARLI probabilmente dovevo scrivere tredici
trojans e otto bombe logiche... Qualcuno alla Olivetti si era immaginato
"Ma perche' mai qualcuno dovrebbe voler salvare dati su disco?". Io, che
invece ho quel vizio - m'e' costato 15 mila lire, il lettore floppy, ora
lo voglio usare - non riesco a capire che genere di pervertito possa mai
decidere di non mettere a menu i comandi "File" [!] e "Stampa" [!!!])
Quello Stellar non lo toccherei neanche con un palo lungo un chilometro.
A meno che non sia per romperglielo sul groppone, allora magari si'.
Leonardo che dopo tanti anni cia' ancora un po' d'astio, de'.


mmm
ho letto con attenzione le varie mail e la conclusione che posso
trarre e' che l'HB che offrono viaggia su Internet, 'un se ne fa
nulla. Se invece e' su numero telefonico diretto, allora se ne puo'
parlare (e investigare altri aspetti).
Purtroppo nella ditta in questione non ci sono persone che masticano
bit, a parte me, che pero' sono esterno e estemporaneo. Per cui mi
viene da mettermi le mani nei capelli nel concepire una soluzione
adatta a loro. Per il momento la rete e' di una decina di pc wintel in
cui uno solo possiede un modem (per il momento non condiviso) e che
saltuariamente e' connesso ad internet (sostanzialmente x mail).
Non c'e' traccia di NT, solo W95.
Che faccio? Dico di lasciar perdere?

zo...@nowere.forse.non.e'.cosi' wrote:
 >Qualcuno di voi ha qualche notizia sui servizi di home-banking offerti
 >dalle banche nostrane?
No, ma sono gradite informazioni diverse da "sentito dire" oppure
"cinque anni fa ho letto che negli USA fanno cosi`".
 >Ora, visti i vari BO, Netbus, e chi piu' ne ha piu' ne metta, volevo
 >sapere che requisiti di sicurezza deve avere un simile programma. Io
Deve comunicare con il remoto tramite un protocollo crittografico.
SSL e` considerato sicuro, cose "fatte in casa" dalla banca quasi
sicuramente sono piene di buchi (ma probabilmente sono comunque
"abbastanza sicure" per l'uso casalingo).
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

Che faccio? Dico di lasciar perdere?
ecco vedi ?! un po' di pazienza potrebbe portare un intruso ad insinuarsi
durante le saltuari connessioni ed a fregare la chiave privata. O magari ad
usare email con regalo eseguibile da ignoranti informatici per l'invio di
email con dentro le chiavi alla prima prossima sessione ..... :)
Poi se il conto bancario della azienda e' risibile non penso ci sia alcuno,
se non per vendetta, che si addossi la fatica che il procedimento che ho in
mente (simile alla sneakers) richiede e procura ......
invy

Luca[@]
Mail.INET.it
 wrote:
 >Credo (ripeto: _CREDO_) che la scelta della connessione a 2400 fosse
 >dovuta (e forse lo e' ancora) al fatto che la Telecom _garnatisce_
 >l'integrita' dei dati trasmessi solo fino al limite dei 2400 bps... A
Non mi risulta che telecom garantisca qualcosa.
 >velocita' superiori, se il tuo bit con scritto "accreditate 2500 sul
 >conto di Luca Bruschi" diventa "accreditate 2.500.000.000.000.000 sul
 >conto di Luca Bruschi" non puoi dare colpa alle linee. Ripeto per la
Se veramente succedesse una cosa simile darei la colpa al lobotomizzato
che ha scritto il programma senza mettere un sistema di correzione
d'errore.


d'errore.
   Il mio vecchio datore di lavoro quando programmavo e facevo dei programmi
   o troppo belli o troppo completi mi rimproverava perche' diceva che se ci
mettevamo
   tutto subito o se erano privi di errori poi non ci avrebbero piu'
chiamati per gli
   aggiornamenti o per l'assistenza!
    e quel vecchiaccio tirchio e saputo mi insegno' due cose fondamentali
per un
   programmatore:
   1.  Calcolare il tempo necessario alla stesura di un programma:
        Soluzione .. almeno sei mesi! ..QUALUNQUE SIA IL PROGRAMMA
            .. anche solo un PRINTF "ok" ! ;-)))
   2.  Quantificazione monetaria del lavoro svolto:
        Soluzione .. fai tutti i calcoli che devi .. conta le ore,
l'ģimpegno, il piano per l'ammortamento dei tuoi studi e la passione che ci
hai messo.
       Alla fine per avere il costo giusto moltiplica per due e aggiungi due
zeri in fondo! ;-))

buona fortuna
Se il codice da usare vale per una sola volta non si corrono rischi
eccessivi anche se in effetti non è molto comodo. Ogni volta che lo usi devi
aspettare che te ne inviino un altro per posta.
Ciao
Togliere "CIAO" per rispondere
Remove "CIAO" to reply
~~~~~~~~~~~~~~~~~
Davide Veneziano
dveneziano#
pelagus.it
   # = @
dvene#
usa.net
ICQ# 14047537
~~~~~~~~~~~~~~~~~
Devi avere il cervello per fare certe cose,
ma altre volte dimenticare di averlo altrimenti
non le faresti.                                Pantani M.

un virus.
ehi e' ovvio. la sicurezza dipende dal rapporto tra il costo di cio' che
devi proteggere e quanto ti costa proteggerlo .... e dal rapporto tra i tempi
e la fatica ..... sono compromessi, non certezze.
quello che alcuni han detto, senza esser guru, e' che tutto dipende dall'utente
e dal computer su cui gira il software. l'ho ripetuto in due/tre msgs ....
non mi sembra cosi' difficile da capire.
Coppia user/password ?! Puah. Perche' non implementare un protocollo stabile
come il TripleDES o magari altri come IDEA o Blowfish creando la chiave
privata mediante uno scanning di una foto del cliente ?! non tessera, proprio
a scelta !
Oppure usando delle hash di chiavi ottenute da un'impronta digitale.
NON METTO QUI I PASSAGGI LOGICI. QUESTO E' UN GRUPPO DI SICUREZZA, MA NON DI
CRIPTO :) sono solo idee generiche e sensazionalistiche. Ma fattibili.
Le OTPassword sono sicure come i OTPad. Fino a quando il pad e' confidenziale.
Se la macchina che lo implementa viene compromessa, rischia d'esserlo anche
il PAD.
Comunque quello dei media e' sicuramente terrorismo informativo. Ascoltate
invece i L0pht o il CCC ... parlano meno a vanvera.
Grazie Faser per questa iniezione di fiducia sulle procedure Cariplo. Ma finche
non conosco la base utente/pc su cui girano .... beh, io passo. :PPPP
Guru o non Guru.
invy

internet .. sarebbe assolutamente FOLLE!!!
Premetto che seguo qst newsgroup da poco, e molte cose di cui si parla
fatico (e non poco) a capirle.
Spero di non andare fuori tema, ma sono sicuro che quasi tutte le
banche italiane offrono l' Home Banking ai correntisti, con la
possibilita' di gestire il proprio conto corrente da casa via
internet.
Notizia dallo speciale Web di Panorama, ma che gia' avevo sentito da
altre fonti.
In particolare mi sembra che la Cariplo ti permatta di compiere tutte
le operazioni che possono essere fatte in banca; dalle semplici
interrogazioni alla compravendita di titoli o azioni.
Bye, Federico
Togli ABCD dall'indirizzo

aspettare che te ne inviino un altro per posta.
mah ... piu probabile che inviino a mezzo corriere una busta di quelle oscurate
con le password per un periodo di tempo .....
invy

Si puo' ad esempio rubare la chiave mediante estorsione/furbizia con soc.eng.
Scusa l' ignoranza
che e' sto' *social engineering*?
(Giusto per imparare)
Calimero
___
E-mail: 
calimer...@usa.net

in...@HB.it wrote:
 >varianti di BASE64 in qualche .ini o similare. Anche se non lo fossero, un
 >computer sotto Bo, netbus o altro a venire nel futuro, potrebbe esser
 >soggetto a KEYLOGGING ....
E` ovvio che se il computer dell'utente viene compromesso allora viene
compromesso tutto il sistema ma questo non mi sembra addebitabile alla
banca, sono esclusivamente problemi dell'utente.


che e' sto' *social engineering*?
due cose:
1) accontentati di questa introduzione: smanettamento psicologico/sociologico.
Immagina di impersonare agli occhi di una centralinista dell'ufficio, il
responsabile EDP. Di passare di nome in nome, usando magari biglietti da
visita presi in giro, spacciandosi per uffici diversi. Fino ad arrivare ad una
semplice richiesta: mi legge quel file per favore !? (QUESTO E' UN ESEMPIO
CAPESTRO)
2) ti consiglio di cercare la definzione nel jargon file o new hacker' dict.
invy

banca, sono esclusivamente problemi dell'utente.
ovvio. non dicevo questo. dicevo che comunque per instaurare trasmissioni
confidenziali di questo tipo, SSl, OTPasswds ed ammenicoli vari servono a
poco, se la LAN di partenza fa acqua.
non voglio scagliarmi contro le ditte che offrono HB ma contro l'apparente
mentalita' dei vari responsabili aziendali che affidano alla sicurezza del
COME anche la sicurezza del CHI ....
la criptazione e' un ottimo mezzo per la confidenzialita' dei dati. Ma per
l'autenticazione delle parti auspicherei qsa di piu' di semplici password.
tutto qui.
invy

Perchč i tuoi post si accodano sempre e solo al mex radice e non al post a
cui fai reply?
Calimero
___
E-mail: 
calimer...@usa.net

cui fai reply?
sorry .... gia' spiegato ... scuoto i miei msg dalle referenze dei vostri
PERCHE' NON USO UN NEWS READER PER RISPONDERE. creo i msg ed i quoting a
mano .... e quindi tralascio parte degli header.
invy

 criptazione. Adesso hanno solo SSL 128. 
Se il browser con cui ti colleghi non supporta altro che i 40 bit cosa
succede? (nulla, ti avverte, ti butta fuori, ti nuka...)
Ciao 
Francesco

 
Questo pero' lo devi fare OGNI VOLTA, altrimenti come fai a fidarti che
la chiave privata salvata non venga "compromessa" (so che fa ridere ma
non mi viene un termine italiano piu' adeguato)?
Se il PC con cui effettui transazioni ha una backdoor installata, puoi
cifrare come e quanto vuoi ma... non se ne esce, neanche con le
SmartCard!
Ciao
Francesco

paga per i bonifici e le operazioni di borsa !
mi piace essere frainteso :P mi da la possibilita' di replicare ulteriormente.
Non sono contro l'HB. Ho solo detto (e lo ripeto per motivi di evidente
PSICOSI SOLITARIA DA NG):
L'HB si fa cosi e cosi. Punto.
Implementerei diversamente alcune cose. Punto.
Lo userei anche io, xche' con movimenti come i miei, nessuno spendera' in
risorse e rischio il triplo di quello che potrebbero rubarmi. Punto.
SE LA MACCHINA CHE USATE FA ACQUA, TUTTA LA PROCEDURA CHE LA BANCA UTILIZZA
FA UNA PIPPA AL VOSTRO CRACKERINO DI TURNO. Punto.
Tu lo sapevi e lo davi per scontato. Buon per te :PPP
Ma in questo gruppo ho ormai visto che, per tutti i lurker che ci sono, val la
pena esser espliciti a costo di sembrare paranoici.
Poi, a me personalmente, della sicurezza bancaria interessa. Non per lavoro. Ma
per evitare una repubblica di Weimar quando ci saranno i miei figli. E non sono
sospettoso. Sono solo consapevole del livello tecnico/operativo di veri cracker
, non di quelli che usano BO =:)
invy che dice le stesse cose e allora xche' gliele ripeti ?! :PPPPP

SmartCard!
esatto. questo E' UN ALTRO PUNTO. cercavo solo di renderlo ben chiaro a quelli
che ne avevan fatto richiesta riguardo a HB+WIN+BO .....
invy