Newsgroup: it.comp.sicurezza.varie
Titolo: Banche e sicurezza

Ripensando alla clonazione dei bancomat e delle carte di credito mi
sono chiesto quanto possa essere difficile implementare il sistema
seguente:
1. un cliente va in filiale e richiede una carta - di credito,
bancomat, prepagata
2. l'operatore fornisce al cliente un ID_UTENTE, generato a caso,
chiedendogli di comunicare alla banca un numero mobile (o una email)
al/alla quale la stessa fornirà una PASSWORD DISPOSITIVA temporanea,
con la quale di volta in volta l'utente verrà autorizzato ad eseguire
le operazioni
3.il
 cliente poi, da casa, associerà al suo ID_UTENTE una
PASSWORD_DI_ACCESSO, necessaria per richiedere l'invio della PASSWORD
DISPOSITIVA, tramite home banking.
Nel momento in cui il cliente, con la sua carta, vorrà fare una
qualche operazione accadrà questo:
Esempio: cliente usa bancomat a sportello per prelievo:
1. il cliente inserisce il bancomat nella macchina
2. la macchina riconosce il bancomat e richiede il pin al cliente
3. il cliente inserisce il pin e riceve sul telefonino un messaggio
dalla banca del tipo 'E' stata inoltrata una richiesta di
autorizzazione dalla macchina n. XYZ della filiale AG. ABC. Per
favore, risponda al presente messaggio con il suo ID_UTENTE e la
PASSWORD DI ACCESSO'
4. il cliente digita sul telefonino il proprio ID_UTENTE e la PASSWORD
DI ACCESSO e invia il messaggio al numero della banca
5. la banca, ricevuto il messaggio, riconosce l'ID_UTENTE e la
PASSWORD DI ACCESSO, e re-invia sempre a quel numero di cellulare la
PASSWORD DISPOSITIVA temporanea, con la quale l'uente potrà effettuare
le sue operazioni.
In questo modo, chiunque cloni un bancomat, non ci potrà fare una
mazza perchè:
1. dovrà aver clonato pure il numero di cell o l'email associata
2. dovrà conoscere l' ID_UTENTE e la PASSWORD di accesso
Non so se una cosa del genere è fattibile o no, però. Voi che ne
pensate?

 
Che è impraticabile... se hai il cell scarico che fai?
Se sei da un benzinaio (dove *teoricamente* i telefonini non si potrebbero 
usare) che fai?
Se sei in un grande centro commerciale dove i telefonini funzionano una 
volta sì e 5 no che fai?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Mi e' impossibile dirvi la mia eta': cambia tutti i giorni.
		-- Alphonse Allais

 Che è impraticabile...
ci saranno tutti i problemi che elenchi tu
però a me l'idea non sembra tanto malaccio.
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
 

 le sue operazioni.
ma non basterebbe fare questo:
- inserito il pin, la banca invia un sms con una un pin ulteriore 
temporaneo per quell'operazione?
ciao


Già oggi alcune banche avvisano via SMS in caso di utilizzo di bancomat 
e/o carte di credito.
Ti arriva il messaggio...
Se non è una operazione 'legale' chiami la banca e blocchi tutto, 
altrimenti non fai nulla e tutto continua come se niente fosse..
Più semplice della tua ipotesi, no?
Ciao ciao
-> GbC
www.gbcweb.com

 Come si vede un informatico verso i 60 ?
Un parente di mia moglie ha detto: "Nonno è chi dorme 
con la nonna". E si è messo con una biondina di 29 anni.

 temporaneo per quell'operazione?
infatti, solo che l'sms e' nato per altri scopi, il canale di 
segnalazione e' stato abilitato all'invio di messaggini tra utenti solo 
successivamente, non e' detto che arrivi o arrivi in tempi utili, a 
questo punto, meglio un OTP come quelloche mi ha dato la mia banca per 
le operazioni dispositive tramite home banking


 le operazioni dispositive tramite home banking
indubbio, ma si potrebbe pensare una cosa non in real time, una 
richiesta alla banca di un pin extra da usare una sola volta e con
validita' limitata
ciao

 Come si vede un informatico verso i 60 ?
Un parente di mia moglie ha detto: "Nonno č chi dorme 
con la nonna". E si č messo con una biondina di 29 anni.

 password generate partendo da un seriale.
Questo sistema mi sembra un giusto compromesso. Manca solo la protezione 
in caso di furto del portachiavi, prevista dal sistema di GS con 
password ulteriore. Se all'OTP aggiungi un sistema di protezione con 
password si ottiene lo stesso numero di dispositivi protetti da password 
necessari a fare l'operazione (portachiavi/cellulare, carta bancomat, 
password e codici vari), ma senza i rischi descritti da altri sull'uso 
degli SMS. 
In ogni caso ti possono sempre rubare tutti i codici, le password, i 
dispositivi; al limite aspettano che prelevi e poi ti rapinano ;-) 
Mi sovviene che avevo un conto dove al posto del portachiavi dovevo 
grattare delle caselline su una tessera (un misto tra gratta e vinci e 
scacchiera da battaglia navale) e ricavare un pin in base alle 
coordinate che vedevo sul sito della banca. Ad esmpuio, per concludere 
l'operazione bisognava comunicare i numeri sotto le caselle A3, B5, C8.
-- 
Luca Fraggante

 sotto le caselle A3, B5, C8. 
 
quando avevo un conto in banca intesa, avevo 2 liste di mezzi 
codici,una inviata per osta e una ritirata in filiale, dovevo 
prendere una riga di ognuna, troppo scomodo.


Allora ci ho pensato un pò su e:
1. il cell scarico non è un problema. Sinceramente, a me non capita
mai di averlo scarico, ai miei amici neppure, tranne qualche rara
volta. Quindi, statisticamente, avere il cell scarico mentre stai
effettuando una operazione del genere è un evento, secondo me, raro.
2. dal benzinaio puoi usare una carta prepagata dove metti al max 100
euro e buona notte. In teoria, si potrebbe usare sempre questa per
ogni cosa, ma la gente è de coccio.
3. nei centri commerciali a me il cell ha SEMPRE preso e così a tutti
quelli che conosco. Perciò, a meno che tu non sia abituato a fare la
spesa dentro una gabbia di Faraday :-), il problema non esiste.
4. per Gbc: il sabato e la domencia le banche sono chiuse, e nei
normali giorni lavorativi hanno a) la pausa pranzo b)sono aperte fino
alle 16.00 / 16.30
5. per Rodolfo Valdelli: appunto, più semplice, manca
l'autenticazione; il cell potrebbero avertelo rubato assieme al
bancomat. Ma se non hanno i dati per l'autenticazione - ID + password
di accesso - non ci fanno nulla lo stesso.
6. per AndryAtWork: a volte potrebbe succedere ma: il Monte dei
Paschi, ad esempio, permette di accedere al proprio conto online anche
da dove vuoi - Opzione Accesso Dove Vuoi. In pratica, utilizzi un
qualsiasi pc senza il certificato di autenticazione installato, accedi
alla homepage del PaschInHome, inserisci ID_UTENTE e pass di accesso
poi loro via sms o via email, a tua scelta, ti mandano una pass
temporanea. L'sms, a me, arriva sempre all'istante quindi penso che
per queste cose le banche abbiano delle linee privilegiate con gli
operatori. Inoltre 50 persone in fila...dai! :-)
Ho pensato, quindi, che una cosa del genere potesse essere anche usata
con le carte per gli acquisti di tutti i giorni. E a me, analizzando i
punti di cui sopra,sembra una cosa assolutamente fattibile.

 Come si vede un informatico verso i 60 ?
Un parente di mia moglie ha detto: "Nonno è chi dorme 
con la nonna". E si è messo con una biondina di 29 anni.

 Mi sovviene che avevo un conto
Deutsche Bank usa quel metodo, ad esempio.
-- 
Words are very unnecessary
They can only do harm

 Deutsche Bank usa quel metodo, ad esempio.
Anche Bancoposta Online, oltre ad username e PW per leggere l'estratto
conto, richiede la tal lettera nella tal posizione (od un certo numero
di lettere nelle posizioni tali) per effettuare pagamenti.
Vista comunque la rigidita' della gestione bancomat (ad esempio, mi
hanno rubato il portafoglio. Ho bloccato IMMEDIATAMENTE i 2 bancomat e
carte di credito. Due ore dopo, l'ho ritrovato "alleggerito". UNA banca,
mi ha ripristinato il bancomat, l'altra ha detto che era irrevocabile.
Branco di burocrati.), manco si puo' personalizzare il codice segreto,
volete che si riesca a mettere tutti d'accordo per fare una procedura
appena appena un po' complessa? E' gia' molto (ed infatti, non lo fanno
tutti) che ti arrivi un SMS dopo l'operazione!
Quanta gente c'e' che scrive il codice segreto su un foglietto (orrore
orrore!), nella rubrica del cellulare, nell'agendina?
Del resto, non ci si puo' ricordare *tutto* a memoria.
Fabrizio