Newsgroup: it.comp.sicurezza.varie
Titolo: Pagine SSL e pagamenti on-line

Sto cercando di valutare la possibilità di far effettuare i pagamenti per 
alcuni miei servizi tramite pagina SSL con carta di credito, evitando quindi 
i gestori di pagamenti on-line come ad esmepio PayPal/bancasella etc etc.
Per fare questo (premetto che è solo l'inizio, devo valutare anche aspetti 
legali e bancari) ho quindi creato da molto tempo un certificato SSL self-
signed con OpenSSL che già da tempo faccio girare sotto Apache senza alcun 
problema.
I dati dei form web quindi subiscono questo tipo di trattamento, ovvero il 
passaggio su una pagina crittografata SSL 128 bit e sono poi scritti su un DB
in forma crittata con algoritmi complessi proprietari (per intenderci non uso 
la classica funzione cript() di php, ma un sistema di codifica che mi sono 
inventato io all'uopo)
Le mie perplessità nascono dal fatto che ad esempio alcuni gestori (paypal) 
chiedono in fase di input dati alcuni dati personali, come ad esempio il 
numero di telefono abitazione (vero, si può mettere qualsiasi fregnaccia ma 
non è molto corretto) e quindi l'utente spesso rinuncia al pagamento.
Ipotizziamo che invece il cliente abbia più fiducia del rivenditore dei 
servizi (in questo caso io) che non del gestore dei pagamenti on-line 
(evitare le battute per favore).
Noto che in effetti non tutti i portali si affidano ai gestori di pagamento, 
ma hanno integrato nel loro sito il *loro* sistema di pagamento con relativa 
pagina SSL (ecco, magari hanno un certificato Verisign, ma questo è un altro 
paio di maniche).
Le mie perplessità quindi sono queste:
1) è così sconsigliabile fare qualcosa del genere? Se si, tecnicamente, quali 
insidie si potrebbero avere?
2) quali aspetti valutare in fatto di sicurezza, oltre appunto alla pagina 
SSL ed alla crittografia dei dati salvati su DB? (premetto che uso solo php
e come DB uso dei file di testo .csv oppure Mysql a secondo del tipo di 
lavoro)
3) Questione Privacy, ovviamente così facendo devo comunicare poi il numero 
di CC alla banca per poter eseguire la transazione (ovvio deve esserci un 
accordo con la banca, da verificare ancora le modalità). Del resto anche 
PayPal piuttosto che qualsiasi altro gestore ha questi dati. Quindi il 
problema per l'utente rimane.
Altre possibili/eventuali?
-- 
Ciao, Dmitry
X-Privat F.A.Q. : 
http://www.x-privat.org/faq.php

 inventato io all'uopo)
Non vedo perchè reinventare la ruota, visto che dubito che tu abbia
potuto provare, in breve tempo, la solidità del tuo algoritmo.
sha1() o md5() non vanno bene, visto che sono hash e non sono reversibili?
Ma comunque ribadisco: hai idea del casino che ti scoppierebbe in faccia
qualora qualsiasi cosa dovesse andare storta?
Chi te lo fa fare?

 giovane.
è vero anche questo, infatti sto valutando 


 Message-ID: <djg0s6$55a$1...@localhost.localdomain>
cominciamo dalle basi, comincia a inserire un dominio nel tuo linux o un nome 
a piacere va ..


 Chi te lo fa fare?
era una ipotesi ..


 solidità ecoomica è in grado di fornire.
ok, mi hai convinto. Quindi PayPal e gli altri gestori cosa usano secondo te?
Curiosità


 ok, mi hai convinto. Quindi PayPal e gli altri gestori cosa usano secondo te?
Il bello è proprio che non te ne devi curare.
Nel momento in cui la transazione non passa affatto per
i tuoi sistemi, tu non hai alcuna responsabilità rispetto
a qualsiasi incidente.

 a piacere va ..
Sei specializzato in polemiche inutili.
Temo che tu abbia avuto pessimi maestri, nel campo.

 
D.lgs.196/2003: tu raccogli i dati e ne diventi "titolare". Se li dai a
"terzi" (banca o altri) devi darne informativa ai tuoi clienti ed essere
chiaro a quale finalità lo fai. Se rimani nell'ambito di finalità
strettamente connesse all'esecuzione del contratto (tu compri qualcosa da
me e per incassare devo dare i tuoi dati ad una banca) ti fermi
all'informativa. Se vuoi andare oltre (per esempio vuoi fare Direct
marketing o dare il suo nominativo a qualche agenzia di mailing) allora ti
serve il suo consenso informato.
Ti serve un buon DPS (anche se non tratti dati sensibili, non farti
convincere che non ti serva un DPS) ed una "ottima" informativa ai clienti
in cui gli spieghi cosa farai dei loro dati, a chi li darai e perchè (e poi
fai davvero quello che dici e solo quello -- non solo, ti attrezzi
organizzativamente per poter controllare periodicamente la qualità dei tuoi
processi e che "non vai oltre" le finalità che hai dichiarato).
-- 
AB

 a qualsiasi incidente.
si, vero. Ma qualche info in più ?!? :)


 dichiarato). 
ok, capito l'antifona :)


 Ma vaglielo a spiegare :-/
lol, più che alto vuol dire che sei il classico che si vnta di usare linux
e lascia l'installazione di default di una redhat ..


 linux e lascia l'installazione di default di una redhat ..
L'hai determinato attraverso uno dei tuoi tool automatici o hai bucato 
temporaneamente il gatto per dare un'occhiatina?
Dmitry, un consiglio: datti una regolata.
-- 
Devi sapere che l'Universo puo' essere visto come una battaglia fra i
sistemisti, che cercano di realizzare sistemi a prova d'idiota, e Dio
che crea idioti sempre piu' sofisticati. Inutile dire che, per ora, Dio 
sta vincendo.                                           Leonardo Serni

  
Io *non* sono un avvocato, però la tua informativa proprio non mi piace: 
1) fa riferimento a leggi abrogate (p.e. la L.675/96). Il d.lgs.196/2003
viene detto "Testo Unico" per un motivo preciso... è l'unico riferimento in
tema di privacy...
2) mi dice che se non ti do i miei dati per profilarmi e per farci marketing
e attività promozionali tu con me non ci vuoi avere niente a che fare... da
un punto di vista tecnico-legale forse niente da dire, ma da un punto di
vista di P.R. ....
3) escludi *categoricamente* la cessione dei miei dati a terzi (sei molto
coraggioso o molto avventato?). Cosa succede il giorno che cambi modello
organizzativo e dai i miei dati al tuo commercialista per gestire le
fatture o ad una agenzia di marketing anche solo per gestire operativamente
il mailing? Richiami tutti i tuoi "interessati" per dirgli che qualcosa è
cambiato e per raccogliere il loro consenso e per gestire chi ti dice di
si, chi ti dice di no e chi non ti risponde? Brrrrr che brividi!
4) La versione inglese poi è quasi totalmente illegibile (scusa, *non* sono
un avvocato come detto, ma il caso vuole che i soli tre corsi di diritto
che ho frequentato li abbia frequentati in una Università USA e ti assicuro
che quando si tenta di dare informative di tipo legale in Inglese si debba
usare il loro "legalese" -- come noi usiamo il nostro).
-- 
AB

 e lascia l'installazione di default di una redhat ..
Riprova: usa una debian sid.

 neppure di news, oltre che di smtp.
oh oh, da questa frase posso anche capire chi sei o almeno immaginarlo ..


 immaginarlo ..
Tu c'hai grossa crisi.
-- 
Windows mi da' quella sensazione di Indiana Jones che Linux non penso 
mi dara' mai, l'oscura impressione di avere una legione di thugs alle 
calcagna e di non sapere se riusciro' a portare a casa la pelle.
                                                            Leonardo 
Serni

 Inglese si debba usare il loro "legalese" -- come noi usiamo il nostro).
è sicuramente un mio limite non conoscere il legalese americano. Cmq se un 
utente ha dubbi scrive e si cerca di rispondergli.



se il mestiere di questo Cat è configurare macchine linux con 
localhost.localdomain siam messi male eh


 neppure di news, oltre che di smtp.
ROTFL.
-- 
REALITY.SYS corrupted- reboot Universe (Y/N)?
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 localhost.localdomain siam messi male eh
Accendi il cervello e riprova.
-- 
Mi arrivano giornalmente almeno 20 messaggi
che tentano di vendermi prodotti per ingrossare il pene.
Come referenze sono ottime: mi hanno gia' fatto 2 palle cosi'!
http://www.neodigital2k.com

 essere una passeggiata.
D'altrocanto uno che esce localhost.localdomain sarà sicuramente 
bucabile no?
:P
-- 
*** Hi! I'm a .signature Virus ! Copy me
    to your signature to help me spreading! ***
http://www.neodigital2k.com

 
Ancora una volta, attenzione: se il legalese anglosassone (perchè poi quello
americano?) non è il tuo pane non fare proprio nulla (non è dovuto) o fallo
fare a qualcuno che lo fa di mestiere e che ti costa tre zeri in meno di un
eventuale problema (anche uno solo) che ti dovesse capitare in giudizio in
sede internazionale.
Questo perchè non ti devi preoccupare di quello che ti chiede spiegazioni,
ma di quello che *NON* ti chiede spiegazioni e che fra X anni ti fa
recapitare un mandato di comparizione, una citadizione in giudizio, una
denuncia per raccomandata dal suo avvocato basandosi su quella marmellata
di disclaimer (o presunto tale) che ti ritrovi sul sito e che sarà l'unica
base di discussione in tribunale perchè costituisce la base contrattuale
del rapporto fra te ed il tuo "cliente" / "utente". Quello ti fa a fettine
solo sulla grammatica e la sintassi della versione inglese del disclaimer
(presunto tale).
-- 
AB

 non hai ancora spiegato perché mai dovrei cambiarlo.
perchč un root come fessachiotto.nuovolamer non ti farebbe male francamente. 
E' un valido motivo.


 (presunto tale).
ok d'accordo. Ma perchè questi scenari ipotetici catastrifici le fate solo 
con me? così, per curiosità. In tanti anni mai avuto un problema. Mah ..


 
No, non preoccuparti. La mia è una deviazione professionale, lo faccio con
tutti i miei clienti. Sono un minimalista convinto. Dire il minimo
indispendabile, controllare anche le virgole di quello che si dice e fare
ciò che si dice. 
Hai chiesto un parere e te l'ho dato. Per di più gratis. Non c'è l'ho con
te. Non ti conosco neanche...
-- 
AB

 te. Non ti conosco neanche...
:) no scusa, è che ultimamente soffro di manie di persecuzione :)) grazie dei 
consigli


 E' un valido motivo.
Eh?
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 altra parte. Di qualcuno ci si deve cmq fidare.
Esatto.
Infatti, io non sono tuo utente, perche' quella forma non mi piace.
A te interessera' ben poco, credo, ma il perche' te lo spiego lo
stesso.
Se x-privat fosse (o diventasse) controllata da buongiorno, nafura,
dietaround, etc. io non potrei mai piu' oppormi alle loro liste.
E la pur lontana possibilita', mi terrorizza. :-)
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 E la pur lontana possibilita', mi terrorizza. :-)
Perchè mai quei portali che poi mi stanno davvero antipatici ;( Se vuoi 
saperlo, il pericolo che x-privat vada in mano a società di consumi non 
c'è, ti spiego il perchè: un anno e mezzo fa ho ricevuto una gran gran 
bella proposta economica (avevo solo 10000 utenti news e 1100 mail a quel 
tempo) da un grossissimo ISP. Mi saperi pagato il mutuo della casa ma ho 
rifiutato (mi facevano comodo quei soldi, son sincero). Se sono arrivati 
a tanto, significa che probabilmente può valere molto di più, e 
commercialmente parlando non credo di essere un fesso. Questo per dirti 
che x-privat al massimo può essere ceduto dalla mia società attuale ad 
una altra mia società, ma rimane cmq in 'casa'.
Sul discutere una forma più piacevole dell'informativa e migliorarla, 
sono sempre disponibile, come in generale lo sono sempre verso le 
richieste degli utenti,consolidati e possibili futuri.

 richieste degli utenti,consolidati e possibili futuri.
Ne prendiamo atto, ma fino a che da contratto tu e i tuoi controllori e
controllati (che non sappiamo se sono uno, nessuno, centomila) potete a
vostro piacimento decidere quale e quanto marketing fare sulla casella,
restero' estraneo al dortato mondo di x-privat. :-)


 prezzo. 
mi sembra una visione un po' tanto estrema! ;)
Tra lui e me sarebbe come sconfessare tutto quello che abbiamo fatto 
in questi anni vs lo spam ;)
Vabbè che non bisogna porre limiti alla Provvidenza, però :)
p.s. ho comunque capito il senso del tuo discorso 
-- 
PELLICCE: 
http://www.strasbourgcurieux.com/fourrure/spanish.php
DOG CONNECTION: 
http://www.randagismo.info/traffici/
Contro i TRAFFICI di animali: 
http://www.bairo.info/traffici.html
LABORATORI CRIMINALI: 
http://www.laboratoricriminali.cjb.net/
------------------------------------------------------------------
* X-Privat NNTP and MAIL services: 
http://www.x-privat.org
 *

 p.s. ho comunque capito il senso del tuo discorso 
Sono contento.


 restero' estraneo al dortato mondo di x-privat. :-)
in tutta sincerità il 90 % delle mail che mando (1 o due al massimo al mese) 
sono di avvisi 'tecnici', al massimo pubblicizzo un pò NewsGate che cmq è 
sempre cosa mia :)
 
-- 
Ciao, Dmitry
X-Privat News to Mail : 
http://www.x-privat.org/freenews2mail.php

> prezzo. 
PS: secondo te, con una moglie animalista, una sorella di estremissima 
sinistra, ed io anarchico individualista convinto pensi che corri questo 
pericolo? :) Ma dai ..


 
Da uno che risponde alla moglie credendo di rispondere a me, mi aspetto
questo ed altro. :-P
Seriamente, io ti auguro tutta la salute e prosperita', ma in caso
di contratti stipulati con un'entita' giuridica, tendo a pensare che
cio' che conta e' lo scritto, e non la fiducia in quello che oggi e'
il rappresentante di una delle parti in causa, ma domani?


 sempre cosa mia :)
Bene, allora non avrai nessun problema a cambiare la clausolina
dicendo che ti imponi un limite di x mail settimanali inerenti
l'attivita' propria di x-privat nella sua forma attuale.
Se domani ti metti a vendere herbalife, non credere di passare sotto
silenzio eventuali mail pubblicitarie. ;-P


 silenzio eventuali mail pubblicitarie. ;-P
:)


 questo ed altro. :-P
lolz


 
Pensa alla capriola di bondi e guzzanti vedrai che tutto *è* possibile
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
- Lei scopa?
- Ci ho provato, come tutti, nel '68.  Ma poi ne sono uscito.
		-- Altan

 lavoro)
Delegare al pagamento una banca.

 Pensa alla capriola di bondi e guzzanti vedrai che tutto *è* possibile
eh beh


Carissimo Dmitry
A volte quando invio i miei post non arrivano neanche dopo diversi
giorni
non li vedo neanche su google groups mentre altre volte mando un post
e appare dopo pochi secondi o minuti sul newsgroup.
Me lo spieghi tecnicamente perchè ciò accade?
Esiste un triangolo delle bermude informatico dove spariscono i post
misteriosamente :-)))))))

 post e appare dopo pochi secondi o minuti sul newsgroup.
intanto ti rispondo io, poi vedremo che ne dice Carlo.
Non č che quelli che non vedi li mandi su gruppi moderati da un 
indirizzo mail non valido?
Sposto la discussione su x-privat.support, seguici lě. Grazie. ciao
X-Post e F/UP : x-privat.support
-- 
- VIVISEZIONE: 
http://www.novivisezione.org/
- LABORATORI CRIMINALI: 
http://www.laboratoricriminali.cjb.net/
- TRAFFICI di animali: 
http://www.bairo.info/traffici.html
- DOG CONNECTION: 
http://www.randagismo.info/traffici/


 misteriosamente :-)))))))
questa trollata potevi risparmiarla eh .. :)
-- 
Ciao, Dmitry
X-Privat F.A.Q. : 
http://www.x-privat.org/faq.php

 indirizzo mail non valido?
Paola ...


 letti separati ?
ma va! :)
btw non ho capito che sta succedendo


 ma ROTFL!!
a dire il vero raramente dormo nel mio angolino, quanto piuttosto 
appiccicata a lui come una cozza, minando al suo prezioso spazio 
vitale! :-D
/me coccolona ^__^


 vitale! :-D
[...]
ROTFL
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer/OE 2003/2004/2005
http://mvp.support.microsoft.com/

 inventato io all'uopo)
Ogni algoritmo crittografico chiuso, cioè proprietario è ""Insicuro""
per definizione.
Black.1nk

 per definizione.
Fesseria.
Piuttosto, la sicurezza di un algoritmo non deve essere legata alla
segretezza dell'algoritmo stesso.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 segretezza dell'algoritmo stesso.
La sicurezza degli algoritmi può essere provata solo con la loro
resistenza agli attacchi.Più l'algoritmo è disponibile per il
pubblico, più numerosi sono i tentativi di aggirarlo o violarlo.
Gli algoritmi deboli vengono violati piuttosto velocemente (giorni o
mesi)
mentre quelli forti possono durare decenni.
La disponibilità dell'algoritmo è pero un fattore importante: è
molto più
difficile violare un algoritmo, forte o debole che sia, quando le sue
complessità sono sconosciute. In ogni modo, quando si utilizza un
algoritmo aperto si può conoscere la sua forza, mentre, un algoritmo
proprietario, se è debole può alla
fine essere violato anche se non è stato capito del tutto dal
crittografo.
Ovviamente è opportuno limitare la fiducia riposta negli algoritmi
proprietari per limitare la responsabilità a lungo termine; questo
esame accurato è la ragione per cui i dettagli interni degli algoritmi
brevettati (come RC6 di RSA Labs) sono disponibili gratuitamente.
Black.1nk

 resistenza agli attacchi.
E se la complessità di un algoritmo crittografico fosse dimostrata
matematicamente?


diffuso ed a conoscenza di molti (come accade con l'open source)
Sono due ragionamenti diversi. L'algoritmo "nasce" con lo stesso numero di
bug, che sia closed od open source. L'open source gli fa raggiungere molto
piu' in fretta la maturita'.
La conclusione e' la medesima: un algoritmo open source, che arrivi ad uno
stadio di maturita' (l'uno per mille dei candidati :-) ) e' piu' sicuro di
un algoritmo closed source (il 99 per cento, e sono ottimista!, di tutti i
candidati).
Un algoritmo closed puo' essere buggato ma e' possibile che nessuno ne sia
venuto a conoscenza.
E qui ci sono tre scenari: il bug non viene mai scoperto; il bug lo scopre
qualcuno nella ditta; il bug lo scopre qualcuno fuori della ditta.
Nel primo caso non c'e' differenza se l'algoritmo e' closed o no, se tanto
il bug non viene fuori :-).
Nel secondo caso c'e' il rischio (assai concreto) che qualcuno conosca sia
il bug sia il modo di approfittarne, ma il bug rimanga al proprio posto. A
questo proposito cito il caso di Interbase, che quando divenne open source
fece scoprire l'account LOCKSMITH presente nel database, che aveva diritti
anche su root :-) ed era accessibile dall'esterno. Il programmatore quella
backdoor la conosceva. Chissa' quanti altri la conoscevano. Ora immaginati
il programmatore che cambia ditta, cambia vita, ecc., e magari un due anni
dopo si sorprende a pensare che la sua banca usa proprio quel database...
Considera poi il programmatore della ditta che scopre il bug. Ci sara' una
forte pressione di marketing per non dire niente, per auto-convincersi che
il bug ha un "negligible impact", e/o per tentare una "silent fix" insieme
ad un service pack che, non sapendo quanto sia importante, magari qualcuno
non installera' nemmeno (non puoi mica dire "Service Pack 12, minor fixes,
no major bug, PLEASE INSTALL IT OH PLEASE PLEASE!!!" o "se non lo fate noi
non garantiamo niente"!).
Nel terzo caso, gli "hacker" anti-closedsource sono molto meno, hanno meno
mezzi rispetto alle controparti anti-OS. Quindi, se io, hacker anti-CS, ho
trovato la chiave dorata di Kadath, e' molto probabile che rimanga il solo
a conoscerla per un bel po'. Nel mondo OS la possibilita' di exploit "very
secret" e' bassa e quella di farmi intrappolare elevata; mi merita rendere
noto il mio lavoro e almeno acquisire fama & gloria :-)
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.