Newsgroup: it.comp.sicurezza.varie
Titolo: Sicurezza carte di credito

Non so se sono OT ma il problema mi sembra interessante e, per quanto del 
tutto banale, nessun altro mi ha saputo dare una risposta soddisfacente e 
neppure facendo ricerche su internet affrontano il problema.
Quando io faccio un acquisto on line con carta di credito devo inserire il 
numero della carta, scadenza, codice di controllo, chi sono, dove abito, 
etc. Anzi, questi numeri mi vengono richeiesti anche in tanti altri acquisti 
non "on line", tipo prenotazioni telefoniche in albergo o addirittura al 
ristorante.
A quel punto la controparte entra in possesso di una serie di dati con cui 
può fare lui tutti gli acquisti che vuole addebitandoli sulla mia carta.
 
Mi sembra il massimo dell'insicurezza, mettersi completamente nelle mani di 
un altro soggetto (generalmente sconosciuto) e affidarsi solo alla sua 
correttezza. Se poi faccio più acquisti il mio numero di carta lo sanno cani 
e porci e in caso uno di questi usi la mia carta, credo sareebbe difficile 
anche per la polizia postale risalire a posteriori all'autore del fatto.
Come si spiega una cosa del genere? 
 
 

 Come si spiega una cosa del genere? 
 
Bella domanda, ma non ha -in pratica- una risposta. Chiamale "ragioni
storiche", se preferisci....
 
E' comunque proprio sulla base di questo che molte banche implementano
meccanismi per i quali l'autorizzazione al pagamento prevede -oltre
all'inserimento dai dati della CC- anche una esplicita autorizzazione da
eseguire con credenziali (username+password o OTP, o altro, dipende
dalla banca) direttamente sul sito dell'istituto di credito che l'ha
emessa...
 
 
-- 
Paranoia is a disease unto itself. And may I add: the person standing
next to you may not be who they appear to be, so take precaution.
-----------------------------------------------------------------------------
http://bofhskull.wordpress.com/
 

 emessa...
 
Questo non l'ho capito bene: in caso di acquisto on line dovrei andare
prima sul sito del venditore ad inserire i codici e poi anche sul sito
della banca ad autorizzare l'addebito? Questo sarebbe fastidioso ma
molto più sicuro.

 della banca ad autorizzare l'addebito? 
 
No. Da qualche tempo, quando paghi con Visa - ad esempio - dopo
aver inserito i dati sul sito del venditore ed aver dato l'ok al pagamento
vieni reindirizzato su una pagina della banca emittente e devi inserire
una PW.
 
E.D.

> emessa...
 
Poi, volendo, ci sono tutele semplici e a rischio calcolato, ad esempio 
usare carte di credito ricaricabili.
 
Ciao
Luca
 
 

 molto più sicuro.
 
 
No. In sostanza dopo aver fornito i dati della CC la sessione HTTPS
viene rediretta al sito della banca, dove ti viene chiesto di inserire
il PIN (in caso di OTP) per autorizzare la transazione.
 
Non vale per tutti i processori di pagamento, comunque, nè per tutte le
banche.


 una PW.
 
Lo fa anche Mastercard.
 
Ciao
Luca
 
 

 meccanismi per i quali l'autorizzazione al pagamento prevede -oltre
 
Le banche si preoccupano UNICAMENTE di non poter essere ritenute
responsabili, della sicurezza degli utenti non frega nulla a nessuno, anzi,
ci sono fior di clausole messe al fine di tutelare la banca dall'utente che,
incaxxato per essere stato truffato, tenta una rivalsa ... e dire che non ci
vorrebbe poi tanto a sistemare le cose.. ma si sa, ci sono dei costi e le
banche, porelle, non posson mica sostenere dei costi per qualcosa che
alla fine della fiera non porta alcun vantaggio all'istituto ... ma solo ed
unicamente agli utenti... ed a quel punto, chissenefrega :P
 

 usare carte di credito ricaricabili.
 
Già.... ma invece di frantumarsi i maroni con quelle, ci vorrebbe proprio
POCO per poter usare una normale carta senza rischi, solo che alle banche
non frega assolutamente nulla... visto che non ci guadagnano nulla (in 
solido)
e visto che poi "l'idea" (sic) potrebbe essere copiata da tutti gli altri :P
 
alle solite :P
 


 
Se ho bene capito la differenza tra spyware e trojan (ammesso che
queste distinzioni abbiano senso) il keylogger si accoppia allo
spyware e trasmette fuori le password rubate. Il trojan invece
utilizza la macchina ma in senso stretto non trasmette dati fuori.
 
Comunque sarebbe bene non prenderne nessuno. E' possibile prenderli
semplicemente visitando siti malvagi o addirittura con la semplice
connessione ad internet?

 connessione ad internet?
 
La "semplice connessione" difficile: se non fai traffico con nessuno,
non puoi essere "infettato" da nulla, almeno fino all'applicazione del
teletrasporto a TCP/IP. Ma è di fatto come se non fossi connesso.
 
Volendo dare indicazioni meno veniali, prova a dare un occhio a:
 
http://goo.gl/eCb7L
 
http://goo.gl/XqRxW
 
http://goo.gl/iET4t
 
 
 
 
[1] Nota che secondo questa accezione metà del SW che manda alla casa
madre i dati di utilizzo dello stesso è tecnicamente spyware... Cosa che
lascia intendere come la malevolenza stia nello scopo, non
necessariamente nella tecnologia in sè.


 Di solito un trojan fa anche quello...
 
Piů che altro... io parlerei genericamente di "malware" dato che nella
stragrande maggioranza dei casi, quello che impesta i sistemi, ad oggi,
non č catalogabile secondo la vecchia distinzione virus/worm/trojan,
anche perchč, di norma, il "dropper" ("injector" se si preferisce)
scarica un tot di altra robaccia e *continua* a scaricarla, quindi
anche un problema apparentemente "minore" puň, invece, essere molto piů
grave di quanto si pensi (e c'č chi invece, spesso, considera il
problema risolto una volta che l'antivirus di turno non segnali piů
nulla :P !)
 
 

 nulla :P !)
 
Dunque il dropper dovrebbe essere il file apparentemente buono che
invece nasconde dentro di sè il malware. Cosa significa che continua
a  lanciarla? Che ogni volta che lo lancio mi appioppa un malware
diverso? E comunque anche in questo caso un buon antivirus, alla
scansione dovrebbe segnalarla. Altrimenti rimane solo il suicidio...


Di solito non è affatto un "file apparentemente buono", ma proprio roba
scritta appositamente per infettare l'utente.
 
 
Il "trucco", banalmente, è che è relativamente facile realizzare un
malware "nuovo" che passi indenne al check antivirus e che si occupi di
 
- installarsi
- eseguire il download di altro SW ed eseguirlo
 
Questi è il dropper, appunto.
 
A questo punto il resto di quel che viene portato in esecuzione può
operare la vera parte cattiva (rendere innocuo l'AV, keylogging, trojan,
etc. etc.)
 
Quindi, meno codice ha dentro il dropper, minori sono le chance che
venga ostacolato dall'AV in esecuzione e più facile e veloce è realizzarlo.
E la stessa cosa vale per le singole componenti che questi scarica ed
esegue: possono essere sempre un passo più avanti dell'AV in esecuzione,
dato che questi, di norma, sono in grado di riconoscere solo ciò che
sono stati istruiti a riconoscere.
 
 
La triste verità (che difficilmente verrà detta pubblicamente da chi
produce AV) è che oramai da parecchio tempo la finestra di esposizione
data dalla frequenza degli aggiornamenti è troppo ampia per essere
efficace, dato che chi produce malware è in grado di metterne in
circolazione diverse (decine di) versioni prima che...
 
- i produttori di AV siano in grado di venire in possesso di un campione
- generino le firme
- pubblichino le firme
- si aggiornino tutte le installazioni dei loro clienti.
 
Quando va bene, infatti, tutto il giro richiede diverse ore[1], e quando
il trojan è in esecuzione è già tardi.
 
 
E in tutta franchezza, se un PC è compromesso, l'unica maniera di essere
sicuri di averlo ripulito è reinstallare da supporto vergine[2].
 
 
Suicidio? Mi pare decisamente esagerato.
Ma la prima e più importante linea di difesa, ancor prima delle
soluzioni tecnologiche, è (meglio: dovrebbe essere) la testa dell'utente:
 
1) mai installare software di cui non si conosce in tutto e per tutto
provenienza ed integrità. Installare una roba scaricata da Internet dal
PC di qualcun altro (o da un sito diverso da quello del produttore) solo
perchè si chiama e si comporta come Photoshop (per dire il primo che mi
viene in mente) è da pirla.
 
2) mantenere la macchina sempre aggiornata all'ultimo rilascio
disponibile dell'OS. *Sempre*.
 
3) mantenere aggiornato *tutto* il SW installato. Avere l'OS aggiornato
all'ultimo fix e poi navigare con un browser il cui plugin Acrobat[3]
vecchio di 6 mesi è come girare per il campo di battaglia con un
blindato decapottabile.
 
 
 
[1] ma posso testimoniare di casi in cui sono passati giorni prima che
${MAJOR_VENDORS} rilasciassero firme per determinati malware in
circolazione...
 
[2] e ponendo *enorme attenzione* all'uso di chiavette/dischi USB, o
appena reinstallata la macchina colleghi il "coso" e sei punto e a capo.
 
[3] riferimento tutt'altro che casuale...


 aggiornato
 
4) Usare un utente standard, non privilegiato, e inattivare la
possibilita' di esecuzione nel profilo utente.
 
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarà lo switch-off, avrò problemi anche col
monitor del PC? Ho visto che è collegato in modalità analogica.

 efficace, dato che chi produce malware è in grado di metterne in
[...]
 
scusami per il "megacut" ma ho pensato di tagliare le spiegazioni e
lasciare alcuni dei punti interessanti; premetto che hai ragione, ma,
permettimi di fare alcune precisazioni
 
Il dropper spesso, non solo ha dimensioni relativamente ridotte, ma è
anche "mutageno"; ho visto siti web che distribui(vano/scono) codice
che cambia ad ogni richiesta e/o ciclicamente ad intervalli, poi c'è
anche da dire che la "roba" scaricata (dal dropper o dai vari payload)
non necessariamente è "malware", alla fine "wget" o "curl" non è che
siano malware, quindi l'AV anche se rimuovesse "quanto conosce" NON
riuscirebbe a rimuovere quello che NON conosce o che NON è segnalato
come "malware"; aggiungiamoci anche il fatto che, di norma, le varie
"bestie" vanno a modificare registry, files ed altro e che anche dopo
una "pulizia" certe cose NON vengono rimesse a posto ed è facile capire
come, l'unico modo per potersi "fidare" di nuovo di un sistema
infettato da malware sia quello di... reinstallarlo da zero
 
Il discorso è semplice, gli antivirus *servono* ad evitare di beccarsi
robaccia "nota" (come, del resto, i vaccini) ma NON forniscono alcun
tipo di protezione contro roba "ignota"; certo, ci sono alcuni AV che
implementano "sandboxes" temporanee ed altro, ma... la cosa lascia
molto il tempo che trova visto che chi scrive il "malware", per evitare
certi sistemi non deve far altro che impostare il codice "infector" in
modo che venga avviato solo dopo un certo tempo e/o solo con privilegi
opportuni :P
 
L'unico sistema per tenersi il più possibile al riparo da questa roba
(a parte il non eseguire supinamente roba scaricata dal "mulo" :D) è
quello di utilizzare un account "non admin" (come si fa da SECOLI in
Unix) e (visto che stiamo parlando di windows) usare sia un accidente
di firewall (quello di sistema va bene) ed antivirus (Microsoft alla
fine della fiera ha fatto un lavoro più che decente con MSE e con le
"dynamic signatures") sia usare il sistema con un accont "standard" ed
implementare delle "Software Restriction Policies" decenti, come ad
esempio 
http://www.mechbgon.com/srp/
 
 
Il discorso è semplice, se si lavora con gli antivirus, il gioco è
quello che gli angolofoni chiamano "whack-a-mole"; in pratica smolli
una martellata non appena ti accorgi che la "talpa" salta fuori, ma...
ovviamente questa è una gara "a prendersi" e... l'attimo che sbagli il
colpo o ti distrai ... *BOOM*
 
Di contro usando un account limitato e delle SRP ben configurate (il
tutto unito a firewall ed antivirus) permette di avere uno "spazio di
manovra" sufficientemente esteso da evitare problemi di distrazione
 
Poi, ovviamente, il cervello va SEMPRE connesso
 
 

 possibilita' di esecuzione nel profilo utente.
 
si ma... se lo fai SOLO quanto accedi al sito della banca, potresti già
"essere impestato" ed a quel punto anche usare un utente standard non
ti metterà al riparo
 


Ma non si faceva infatti un discorso generale? :-o


 
 
Beh si, ma poi ci sono "i soliti" che leggono solo le ultime righe,
capiscono fischi per fiaschi e poi vengon qui a lamentarsi :D
 

Rispondo qui sotto a Luca Sasdelli

Io ho una ricaricabile postepay sempre vuota, che ricarico solo al 
momento dell'acquisto online e solo per la cifra che penso di spendere.
Postepay si appoggia al circuito Visa, ma non chiede affatto 
l'inserimento di una password.
Forse perchè è comunque una ricaricabile e cioè non è una vera e 
propria crata di credito?
 
ArchiPit
 
 

 collegarsi al sito della banca.
 
Che č meglio di niente, basta non sentirsi in una botte di ferro per
questo; perchč nel 99% dei casi oggi il trojan non viene pigliato tanto
sui "troiai", quanto leggendo la posta o spulciando su facebook... :-\