Newsgroup: it.comp.sicurezza.varie
Titolo: homebanking

    Girovagando sui vari siti delle banche online ho notato che alcuni siti
risultano protetti ( lucchetto giallo ) gia' nella homepage altri no eppure
nella pagina iniziale devono essere immessi  la user ID e la password per
accedere , mi chiedo ma se uno inserisce questi codici e la pagina non e'
protetta non e' che qualcuno puo' intercettare questi dati ?
     grazie
         alfredo

 wrote in
news:c0qd9o$6p1$
1...@grillo.cs.interbusiness.it
: 

Possono avvenire due cose:
- i tuoi dati in chiaro possono essere intercettati
- la pagina non protetta potrebbe avere un origine diversa dal server della 
banca (un fake) e di conseguenza inviare i dati altrove.

 accedere.....
In alcuni siti (tipo fineco)
la pagina è costruita a frames e solamente i frames con dati sensibili
passano in https
per questo non viene visualizzato il lucchetto...
Ciao

 ha scritto nel messaggio
news:Xns9491A4C3C894Avi...@195.31.190.132...

    Mille grazie per la risposta......purtroppo era quello che temevo, in
realta' avevo provato a contattare un tecnico della banca online in
questione per chiedere delucidazioni, ma il tizio sostiene che il sito e'
sicurissimo , si e' pure incavolato.........


Esatto,clicca col tasto destro dove devi inserire i dati e poi su
proprietà,vedrai che è protetto a 128 bit.
Inoltre dopo aver superato questa barriera per alcune operazioni tipo
bonifici ecc molti richiedono altri codici aggiuntivi.

 sicurissimo , si e' pure incavolato.........
Potresti anche dire quale banca?
Magari qualcuno ne ha esperienza e può tentare una risposta
più precisa alla tua domanda.
-- 
Bye by V.
http://www.virusbusters.cjb.net

 ha scritto nel messaggio
news:MPG.1a9b5264b...@news.individual.de...

bancaintesa

 quoting? 
http://www.freewebz.com/iosononiubbo/iosononiubbo.htm#quotare
    Grazie anche a te......vado bene cosi' ?
 ......riflessioni personali :
e' bello sapere che internet nata per essere libera da tutto e da tutti si
autoimponga delle regole...ma a parte imparare a quotare Lei non sa dirmi
nulla sulla mia domanda ? allora in futuro eviti di rispondermi.non e'
pertinente, grazie

 tutti si autoimponga delle regole...
Non sta scritto sul codice civile che quando vengo a casa tua non debbo
sputare per terra, pero' immagino che tu ti incazzi se qualche tuo
ospite lo fa.
E' bello sapere che nel terzo millennio esiste ancora gente che ha una
visione tanto chiusa del mondo da prendere il proprio comodo come
metro per la liberta' di tutti.
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 metro per la liberta' di tutti.
Io non lo invito piu', punto e basta; non penso di aver quotato malissimo
,certamente non perfetto ma avrei gradito un parere sul mio quesito e poi
magari commenti sul mio modo di quotare, il criticare il modo di scrivere e'
,a mio avviso puerile, se fine a se stesso.....ma la liberta' e'
questa,certo che gli insulti testimoniano con chi si parla.....ma qui stiamo
parlando di altre cose, finiamola e buona giornata a tutti.

 tutti si autoimponga delle regole...
Smettila di parlare di libertà, sono parolone troppo grosse per la tua 
tastiera. Rasserenati che quì sei libero, puoi dire quello che vuoi, come 
vuoi e quotando come cacchio ti pare. Ma se nella vita ti scaccoli mentre 
parli, è normale che qualcuno ti dica che fai schifo. E se ti vuoi 
imbarcare nella battaglia per difendere il diritto a fare schifo, non ti 
scomodare... ce l'hai già.

    Alfredo classe 1923 Vi ricorda che c'e' qualcuno che puo', a ragione,
parlare di liberta' e non solo con la tastiera.................

 parlare di liberta' e non solo con la tastiera.................
Onore al nonno di ics.varie, e non scherzo, una volta tanto.[*]
PS: e ora torniamo a discutere di sicurezza, che gia' e' un argomento
bello tosto, se ci litighiamo addosso su temi pesanti come la liberta',
non ne usciamo piu'.
[*] Prima che qualcuno ci si attacchi come una sanguisuga:
Non mi interessa, in quegli anni, che divisa portava, se portava
la divisa, non e' qui che si parla di politica.
Fosse anche all'estremo opposto delle mie convinzioni, qui dentro e'
un amico che ha i miei stessi problemi/soluzioni.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 bancaintesa
Nel momento del submit dei dati la connessione diventa https
-- 
Cristiano Deana, Biella.
Solo una volta mi ha dato uno schermo blu (meglio uno
schermo blu che uno nero come debian) [cit.]

 parlare di liberta' e non solo con la tastiera.................
Ti prego allora, non tiriamola in ballo quà per uno screzio con un'altro 
utente.

 Nel momento del submit dei dati la connessione diventa https
Altre fanno cosě, perň non č il massimo della sicurezza. Il famoso 
"trucco" della @ nell'url insegna, sarebbe auspicabile che anche la pagina 
di login avesse un origine accertata e accertabile. Il modo tecnicamente 
piů semplice per fregarti una password č quello di fartela digitare su una 
pagina-fake, un semplice trucchetto consente (con internet explorer, fino 
ad una recente patch) di ingannare oltremodo l'utente.

 Diciamo pure che e' una vera monnezza.
Ho voluto essere diplomatico :)
In ogni modo, conosco molte persone che usano home banking ma pochissimi (e 
anche quě sono diplomatico...) capaci di verificare (nell'ordine):
- proviene da una connessione sicura
- proviene veramente dal sito desiderato
meno che mai capaci di insospettirsi di qualche situazione anomala. Nessuno 
si mette a controllare il certificato della pagina ogni volta che si 
collega alla banca, ma almeno saperlo fare se c'č qualcosa di strano.

    Grazie a tutti

 collega alla banca, ma almeno saperlo fare se c'è qualcosa di strano.
Scusate se mi intrometto nel discorso, ma è alquanto interessante e di
attualità.
Io quando mi collego con la Monte Paschi Home, dapprima mi chiede
l'autenticazione del certificato che è stato installato *solo* sul mio pc e
poi a seguire la solita user a password.
Mi pare abbastanza sicura la cosa in questo modo, o sbaglio?
Grazie e saluti.
Guido

 Mi pare abbastanza sicura la cosa in questo modo, o sbaglio?
Conosco Montepaschihome. L'uso dei certificati può essere di certo un 
metodo molto sicuro per identificare il client. Il problema dei certificati 
è la praticità d'uso, vincola l'accesso da una determinata postazione 
privata oppure a trasportare il certificato con tutti i suoi problemi 
annessi e connessi (non sempre intuitivi per l'utente). Ad esempio, usare 
il certificato su una postazione condivisa può annullare totalmente la sua 
sicurezza fino all'effetto boomerang di rendere l'autenticazione meno 
sicura del solo sistema username/passwd. Banalmente, se hai un portone 
blindato e una porticina in cartongesso, è ovvio che il portone blindato è 
più sicuro: però se lasci la chiave sulla toppa diventa (come si può 
intuire) molto meno sicuro della portcina in cartongesso, la quale almeno 
ti costringe a tirare una spallata...


Beh certo,
nel mio caso mi collego esclusivamente dal pc singolo di casa.
Comunque dopo il riconoscimento del mio certificato poi mi chiede sempre
username/password.
Ciao e grazie per le delucidazioni.
Guido

     Alfredo classe 1923
Fermiamoci qui... se è vero sei ufficialmente invitato al prossimo
bofh-raduno in non meglio identificata cittadina tra Reggio Emilia
e Modena, più o meno intorno ai primi di maggio, dove magari avrai
modo di sentirti cazziare, di persona, da qualche strano individuo
che bazzica questi lidi.
-- 
Bye by V.
Se si sa si fa, se non si sa si prova, se non c'è s'inventa

 banca (un fake) e di conseguenza inviare i dati altrove.
Anche se il meccanismo delle fake-page è stato più volte citato e
trattato in altri post, ti chiedo umilmente di spiegare a chi è un po'
duro di comprendonio come me su queste cose, come avviene
operativamente e in dettaglio.
Se invece hai da darmi un link con spegazioni semplici (tipo il bi e
il ba delle fake-page, social engeneering, ecc...) va altrettanto bene
...
La cosa che non capisco è:
se vado su 
www.miabanca.it
 e inserisco usr+pwd in una zona non
protetta, ovviamente i dati viaggiano in chiaro e possono essere
intercettati e fin qui va bene, anzi va molto male ma la cosa è
evidente.
Ma come si può dire che la fonte della richiesta non è 
miabanca.it
 ma
un altro sito "maligno"? Questo problema interessa anche le pagine di
siti https, in altre parole se la richiesta arriva da un secure server
e ho IE aggiornato corro comunque dei rischi, in quanto la richiesta
potrebbe comunque essere mascherata e non arrivare da lì, fregando in
qualche modo il browser?
Come vedi ho le idee abbastanza confuse, e tieni conto che tra le
altre cose io sviluppo siti web dinamici, quindi immagina i problemi
di chi usa il PC come "utente" e l'home banking come sistema di
operare direttamente sul suo C/C.
Grazie per le risposte
Credo che serviranno anche ad altri che non stanno avendo il coraggio
di dire "Non ho capito"
Anna

 un altro sito "maligno"?
Il browser ti dice che il certificato
- non e' valido
- non e' di tizio
- e' firmato da tizio medesimo
- e' firmato da caio che pero' non e' una certification authority
In questi casi
- si ha a che fare con un server che non e' chi dice di essere
- si ha a che fare con un server che e' chi dice di essere ma non puo'
dimostrarlo
- si ha a che fare con un server gestito da un incompetente
Solitamente, nella terza ipotesi, si chiede all'amministratore il quale
minimizzera' dicendo che con un client correttamente configurato non
sussistono problemi.
