Newsgroup: it.comp.sicurezza.varie
Titolo: Possibile DOS contro Webank

DOS in gergo tecnico significa Denial Of Service, cioè 
una azione volta ad interrompere la fornitura di un 
servizio online.
Stavo cercando di entrare nel mio internet banking di 
Webank ma ho sbagliato la password. 3 volte. L'accesso è 
stato bloccato per mezz'ora.
Giorni dopo ho sbagliato ancora una volta e ho dovuto 
aspettare altri 30 minuti. Il call center mi ha detto 
che al quinto tentativo la password sarà definitivamente 
bloccata e si dovrà chiamare il call center per chiedere 
lo sblocco con riporto della password all'originale 
fornita al momento dell'apertura del conto corrente.
Questi blocchi sono una emerita CAZZATA, non solo perché 
oltremodo scomodi (mi sta benissimo la pausa di 30 
minuti ma il blocco definitivo è PERICOLOSO!). Ma anche 
perché espongono gli utenti a DOS, cioè esiste il 
rischio che un malintenzionato faccia bloccare di 
proposito un internet banking sbagliando di proposito 5 
volte la password. Potrebbe addirittura usare un sistema 
che in automatico lancia tentativi di login sbagliati, 
facendo bloccare nel giro di un'ora e mezza (30 minuti 
primo blocco + 30 secondo blocco + 30 terzo ed ultimo 
con blocco definitivo della password) centinaia, 
migliaia di internet banking di ignari ed incolpevoli 
correntisti.
Per curiosità ho tentato di capire quanto fosse 
difficile indovinare uno user id valido. Preso il mio ho 
cambiato qualche cifra. Dopo soli 3 tentativi ho 
indovinato lo user id di un altro correntista a cui ho 
sbagliato la password e a cui avrei potuto bloccare 
l'accesso all'internet banking se avessi continuato.
Assurdo e vergognoso che Webank non abbia pensato a 
questa eventualità.
E se pensate che sia una possibilità remota vi 
sbagliate. Ci sono molti motivi per cui qualcuno 
potrebbe mettere in atto una cosa simile.
Vendetta ad esempio, per dissapori verso il servizio, 
presunti abusi subiti o per un licenziamento considerato 
ingiusto.
Oppure per soldi, ricattando Webank proponendogli un 
accordo economico per evitare di bloccargli migliaia o 
decine di migliaia di internet banking con un danno di 
immagine notevole per Webank.

 immagine notevole per Webank.
 
ma pensi che sia cosi' semplice fare una cosa del genere?
Non credo proprio.
-- 
Una donna si veste bene per fare shopping, dare acqua alle piante, 
buttare la spazzatura, rispondere al telefono e prendere la posta.
Un uomo si veste bene per i matrimoni e per i funerali.

 questa eventualità.
voglio sperare che ci abbia pensato
una possibile soluzione per mitigare questo rischio: dopo un certo
numero di tentativi di autenticazione fallita per userid diversi da uno
stesso IP, bannare quell'IP per ~1giorno
più raffinato, redirigerlo su una versione della pagina di
autenticazione che non permette a nessuno di autenticarsi per continuare
a raccogliere evidenze, e/o fingere che abbia avuto successo e
redirigerlo su un finto conto online, per capire dove vorrebbe mandare i
tuoi soldi, e/o starvarlo con labrea, e/o denunciarlo (a con n userid
diversi è abbastanza probabile che si abbia a che fare con un cattivo,
non con un utonto smemorato).
o, se proprio sei cattivo, rispondere con un troiano.
H