Newsgroup: it.comp.sicurezza.varie
Titolo: Home Banking col cellulare.

In seguito alle nuove disposizioni[1] sulla sicurezza nell'uso dell'home

banking, alcune banche dal 4 maggio non permettono più la chiavetta che

genera l'OTP per accedere ed operare in banca, ma chiedono di installare

un'APP sul cellulare per fare tutto da lì, salvo optare per gli SMS a

pagamento. :-/



A me pareva più sicuro il metodo che utilizzava due sistemi separati

(chiavetta e PC - adesso SMS e PC) che usare solo il cellulare.



Non è stato considerato che, indipententemente dalla sicurezza intrinseca

delle connessioni criptate, se il cellulare venisse violato la sicurezza

non ci sarebbe più?



Certo, anche il PC può essere violato, ma devono intercettare gli SMS, e

questo dovrebbe garantire una sicurezza in più rispetto al cellulare,

salvo ipotizzare il pieno possesso del PC da parte dell'aggressore, ed

il/i modo/i per realizzarlo.



Oservazioni, opinioni e consigli possono interessare tutti. :-)



X/post & F/up su it.comp.sicurezza.varie



[1] -  A causa della Direttiva Europea PSD2 non sarà più possibile

       utilizzare la chiavetta fisica.



       Dopo il 4 maggio 2019, potrai utilizzarla solo per accedere un'

       ultima volta alla banca online, dal giorno successivo a questo

       accesso dovrai comunque scegliere tra O-Key Smart (gratuita) e

       O-Key SMS (a pagamento).



       Qualsiasi soluzione deciderai di attivare, ti servirà per fare

       tutto come sempre.



       Non aspettare l'ultimo momento, attiva subito O-Key Smart, è più

       sicura della chiavetta fisica e ti basta lo smartphone.



-- 

    * b *

  *   y   *

*   Piero   *

#v+

Ho nascosto qualche grammo di cervello per uso personale.

#v-




 tutti. :-)



Tutti tranne chi produce queste norme assurde. Android e

gli altri SO mobili sono colabrodi quindi se pure posso

essere più che sicuro che MS con windows sa che pagamenti

faccio, di Android non ne parliamo, è il principio che 

conterebbe: un servizio fondamentale, delicato e 

complicato ancora una volta affidato a una ditta USA 

privata (che poi google sia a braccetto con la NSA e soci 

non importa in questo caso dato che dei codici di verifica 

per l'operazione bancaria non se ne fanno niente). Solita 

imbecillità di molte euronorme.





-- 

"La teoria è sapere come funzionano le cose e

non sapere come farle funzionare; la pratica è

sapere come far funzionare la cose senza sapere come

funzionano; il nostro scopo è unire la pratica

alla teoria per riuscire a non far funzionare

le cose senza capire come abbiamo fatto"




 non ci sarebbe più?



Anche la mia banca mi ha comunicato questa cosa, e ho pensato 

esattamente quello che hai pensato tu. A me la chiavetta fisica non 

connessa a nulla mi faceva stare più tranquillo.

A questo punto bisogna davvero impegnarsi nel garantire la sicurezza del 

proprio dispositivo mobile.

Usare sempre un metodo di sblocco davvero sicuro (es. password che non 

sia 12345 e/o impronta). Non istallare nulla fuori dal Play Store, e 

meno che mai app piratate. Non fare il root.



-- 

Saluti

VITRIOL


         tutto come sempre.



Io capisco invece che l'app ti serve solo per generare una chiave di 

volta in volta, come faceva l'apparecchietto prima; poi ti colleghi col 

pc come prima.




         tutto come sempre.



Io invece capisco che l'app ti servirà solo per generare una chiave di 

volta in volta, come l'apparecchio che usavi prima; poi ti colleghi col 

pc, come prima.

IMHO

(potrebbe esserci un doppio messaggio, il primo pareva non partito).




 il primo pareva non partito).



Sì, è così, sul fronte della sicurezza non cambia niente

per la singola operazione. Cambia molto perché le

transazioni bancarie vengono legate a un sistema operativo

di una ditta privata che non si sa cosa ci metta dentro.

Non si può emanare una normativa con il tacito assunto che

"tanto sanno tutto", ed è questo che trovo intollerabile

considerando che gli europarlamentari vengono pagati molto

profumatamente (non credo che l'area tecnica delle

euronorme possa imporre la propria volontà, l'ultima

parola sulle norme dovrebbe essere politica).



 Oservazioni, opinioni e consigli possono interessare tutti. :-)



E chi, come me, non ha nessuna voglia di cominciare ad usare smartphone?

Dovrei passare dal comodissimo minitelefono a conchiglia ad un padellone 

di ultima generazione solo per questa faccenda?



carletto


 In seguito alle nuove disposizioni[1] sulla sicurezza nell'uso dell'homebanking, alcune banche dal 4 maggio non permettono più la chiavetta chegenera l'OTP per accedere ed operare in banca, ma chiedono di installareun'APP sul cellulare per fare tutto da lì, salvo optare per gli SMS apagamento. 

-- 

Cut

-----



Ero scettico ma ora, dopo più di sei mesi, trovo comodo poter fare

 tutto da App.

La sicurezza è compito  delle banche garantirla.

Considerando che l'attivazione la si può fare solo su uno

 smartphone con codice utente e pin oltre che con codice inviato

 tramite sms è forse più sicuro che con l'OK dispositivo

 hardware.

Poi ci sono operazioni facilitate rispetto a prima come la

 ricarica immediata di una carta ricaricabile.

Devi comperare qualcosa online?

Ti colleghi con la App, carichi la cifra sulla carta e paghi con

 PayPal.





----Android NewsGroup Reader----

http://usenet.sinaapp.com/



 (chiavetta e PC - adesso SMS e PC) che usare solo il cellulare.



In realtà hanno solo virtualizzato il token che è più sicuro in quanto 

l'opt si genera solo con pin o impronta digitale mentre prima il token 

non aveva protezione.

Poi se si integra l'app token con quella che permette di effettuare le 

operazioni bancarie è un altro discorso. Personalmente la seconda non la 

uso.


 per la singola operazione. Cambia molto perché le



Tu dici? :-)




 E chi, come me, non ha nessuna voglia di cominciare ad usare smartphone?



Userai gli SMS che qualunque telefono puo' ricevere... tutto in chiaro, 

si capisce. Perche' gli SMS viaggiano in chiaro sulla rete telefonica, 

si capisce :-)




 Non fare il root.



SBRUOTFL



-- 

Lex Tutor

L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto

di un libro di prossima pubblicazione, quindi sto discutendo

di una questione che mi interessa per finalità di ricerca


 la uso.



Beh, io uso proprio la seconda, e preferisco ricevere gli SMS su un cell

di vecchia generazione. :-)



-- 

    * b *

  *   y   *

*   Piero   *

#v+

-ad audiendum verbum-

#v-






 Tu dici? :-)



Dico ma non affermo perentoriamente :) Se ho capito bene

viene inviato un codice casuale valido per la singola

operazione. Ammesso che venga intercettato, cosa potrebbe

accadere? Probabilmente tu stai pensando a scenari che non

mi vengono in mente e che mi piacerebbe sapere.



 di una ditta privata che non si sa cosa ci metta dentro.



Idem le chiavette per generare i numeri, tutte fatte in Cina. Mi sono chiesto se 

le banche le verifichino per bene prima di darle ai clienti.

Io le ho sempre trovate scomode, per fortuna non ho mai dovuto usarle, ho sempre 

operato con le credenziali di accesso + codice di autorizzazione + SMS (gratis).


 tutto in chiaro, si capisce. Perche' gli SMS viaggiano in chiaro sulla rete telefonica, 



E qual e' il problema? L'importante e' che li riceva io, con *certezza*, 

senza avere bisogno di un padellone energivoro, ingombrante, che 

utilizzerei comunque solo per telefonare...

La cosa che scoccia e' che gli sms sarebbero a pagamento, mentre le 

APP-frocerie aggratis. Un po' come se si volesse dirottare tutti sulle App.



carletto


 



[cut]



La tua banca ti fa pagare gli SMS, ma altre no.




 



Gli SMS sono a pagamento *se* la banca se li fa rimborsare dal cliente, mica 

tutte le banche lo fanno!

Inoltre è più semplice per la banca dover gestire un solo metodo di verifica.




 



Alla prima installazione, quando ho visto i permessi richiesti dalla 

app, ho bloccato il tutto

Per principio tutto quello che non serve resta a casa in zona sicura 

(compreso il token OTP)



Per risolvere il problema ho rispolverato il mio vecchio cellulare, 

resettato a fabbrica, creato account farlocco su google, scaricata app e 

installata.

La rubrica è vuota, i contatti pure.

Il calendario è vuoto come il mio conto in banca, la geolocalizzazione è 

quella dell'abitazione.

Lo accendo, lo sblocco, faccio l'accesso al remote banking (tutte le 

operazioni le faccio esclusivamente sul pc di casa, anche per poter 

salvare le varie comunicazioni), chiudo la connessione e spengo il 

cellulare che a questo punto finisce al posto dell'OTP



Problema risolto





-- 

Saluti

Bruno


 (chiavetta e PC - adesso SMS e PC) che usare solo il cellulare.



la chiavetta otp non garantisce uno standard di sicurezza adeguato. non è 

garantito by design che la sequenza di token generati sia confidenziale. 

per questo tendono ad abolirle.




"P/ero" <ppi...@woow.it.INVALID> ha scritto nel messaggio 

news:ORI-430876-29.04.19$29199199b...@yahoo.it...


Visto che citi O-Key Smart e O-Key SMS, anche se non hai indicato il

nome della banca, mi sembra evidente che stai parlando di Intesa

SanPaolo.

Al di la delle considerazioni relative alla sicurezza, per cui

sostanzialmente nutro le stesse tue perplessità, penso che Intesa abbia

voluto sfruttare pretestuosamente la PSD2 per liberarsi dall'incombenza

della chiavetta da gestire, inventandosi nel contempo un nuovo modo per

cercare, tramite O-Key SMS, di scucire altri soldi ai clienti che non

hanno o non hanno intenzione di dotarsi di uno smartphone.

In altre parole l'ennesima manifastazione, se ancora ve ne fosse 

bisogno,

della bassa considerazione che ISP dimostra verso i propri clienti.



Miro





non è un rilevante per due motivi: 1) senza le credenziali non serve a 

nulla 2) dopo che è stato consumato serve ad ancora meno.




E' esattamente ciò che faccio anche io, e probabilmente anche molti 

altri che si ritrovano uno smartphone o un tablet "superato".

Però converrai che non tutti dispongono di uno smartphone/tablet da 

poter dedicare unicamente a tale scopo :-)



Miro




 pc come prima.



è così, ovviamente.




 pagamento. :-/



Buh, la mia banca non mi ha detto nulla: io continuo ad usare sms (che

funziona anche su dumbphone) e tesserina fisica con una matrice di

codici.

Non ho mai attivato il codice numerico tramite app perché l'app

serve solo per tracciare i tuoi comportamenti.



Alcuni conoscenti invece hanno dovuto comprare lo smartphone

appositamente, perché la loro banca ha imposto l'app: bah, io piuttosto

avrei cambiato banca...



-- 

Tilt






Anche questo è vero.

Avevo letto qualche cosa in un forum, mi sembra di FinanzaOnline, ma 

quanto riportato non mi aveva molto convinto e non mi ci sono mai 

cimentato.

Tu hai esperienza diretta in merito e sei magari in grado di suggerire 

qualcosa di verificato e funzionante per ISP ?



Miro






 volta, come faceva l'apparecchietto prima; poi ti colleghi col pc come prima.



Anche.

Ma le banche spingono per l'uso in mobilità, quindi ragionevolmente 

saranno app complete di saldo e movimenti e operazioni dispositive.


 Cut

Devi comperare qualcosa online?Ti colleghi con la App, carichi la

 cifra sulla carta e paghi con PayPal.



-- 

Troppo bello!

Banca Intesa in un documento scaricato dal mio profilo home

 banking mi comunica stamattina che la mia Superflash non è più

 una Mastercard dal 15 luglio e che viene sostituita, mantenendo

 la stessa carta, con un Bancomat gestito da Bancomat

 SPA.

Mi scrivono che sarà possibile pagare in Italia ed all'estero con

 chi di sarà attivato con Bancomat SPA.

Questo quanto ho capito da un documento interminabile.

Leggendo fra le righe hanno sciolto il legame con Mastercard.

Inoltre c'è un ritorno economico per la banca in quanto ora, per

 esempio, potevo caricare mille euro sulla Superflash pagando

 1euro e poi li spendevo senza limitazioni di cifra senza pagare

 nulla.

Ora fino a 50 euro non si paga ma superando i 50 euro si paga 1 euro!!

Bye, Guido



 (chiavetta e PC - adesso SMS e PC) che usare solo il cellulare.



molto più comodo utilizzare solo l'app



Cmq non lavorano tutte allo stesso modo per quanto riguarda la sicurezza.



Io ho Unicredit e Intesa e oprano in modo diverso



-- 

"sarà un anno bellissimo" (cit. Conte alias primo ministro)


"Gabriele - onenet" [by Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:60.0)


No, la TIM addebita 0.16 euro per ogni SMS ricevuto, niente alla banca:



Particolarità:

Devi verificare se il tuo operatore telefonico permette la ricezione di

SMS a carico del destinatario, in caso contrario, non potendo ricevere

gli SMS, non potrai più accedere ai canali e dovrai recarti in filiale

per abilitare l’O-Key SMART.

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-ad maiora-

#v-




 Problema risolto



Anche il mio. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-deus ex machina-

#v-






 Miro

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-errare humanum est-

#v-






 piuttosto avrei cambiato banca...



Userò gli SMS



-- 

    * b *

  *   y   *

*   Piero   *

#v+

Da noi le perle del pensiero sono prodotte dalle cozze.

#v-












-- 

    * b *

  *   y   *

*   Piero   *

#v+

Ho nascosto qualche grammo di cervello per uso personale.

#v-





Sono due cose diverse di cui si sta parlando, una cosa è l'app della banca che è 

a tutti gli effetti un duplicato del sito (se fatta bene, ad es. Fineco) e puoi 

fare tuttte le operazioni e gestire il conto; un'altra cosa è una app di tipo 

OTP che genera codici.

Può esserci perfino un'integrazione nel browser (funziona anche con gli SMS), 

tipo con iOS/macOS se ti arriva un codice sul'iPhone e stai usando Safari su Mac 

il browser del computer sa che c'è un codice da inserire nel sito ed è molto comodo!


 



Oppure cambi banca.


 una app di tipo OTP che genera codici.



Già, ma da quanto ho visto, e benchè ci sperassi molto, la mia banca 

non fornisce una app solo per il token.

In effetti se l'app della banca ti fornisce il token e sei in mobilità, 

come fai a procedere se non con una app dispositiva? A quel punto una 

unica app è più efficiente.

Questo intendevo nel mio post precedente.



Opterò per l'sms a pago, penso, di app così potenti (cioè dispositive) 

sul telefonino non mi fido molto perchè è il telefonino a non essere in 

sè sicuro.


     
https://it.wikipedia.org/wiki/One-time_password




ripeto, la chiavetta non garantisce by design uno standard adeguato. 

essendo dispositivi isolati e disconnessi va da se che il metodo di 

generazione deve essere riproducibile e "predictable", qualunque esso 

sia, in quanto i token generati devono essere verificati da un server 

senza alcuna comunicazione con il dispositivo. quindi la sicurezza si 

basa tutta sulla fiducia che non ci siano cloni, tecnicamente possibili, 

che genererebbero token altrettanto validi. 




 No, la TIM addebita 0.16 euro per ogni SMS ricevuto, niente alla banca:



 come no. sono servizi a valore aggiunto, tim fa da esattore ma incassa 

la banca.


 la banca.



Per me fanno a metà...



sicuramente il gestore applica dei costi. ma è fuori discussione che gli 

sms a pagamento sceglie di applicarli la banca e lo fa per guadagnare sul 

servizio. 


 mi vengono in mente e che mi piacerebbe sapere.



Ammesso cosa? Se il codice vale per una singola operazione, il server 

della banca deve essere interrogato dall'utente via SMS con una parola 

chiave diversa per ogni operazione richiesta.



Il passo successivo mi pare logico. O sono io che penso male?




 nulla 2) dopo che è stato consumato serve ad ancora meno.



1) nel caso dell'SMS, quali credenziali? Il famoso libro dei codici di 

tre lettere posto dentro la cassaforte del comandante dei sottomarini 

nucleari americani? Allora si ricomincia da capo...




 1) nel caso dell'SMS, quali credenziali?



E' una autenticazione a due fattori, quindi richiede sempre in primis le 

credenziali dell'account, quindi nome utente e password.

Ti posso dire il mio caso con BNL, poi può variare da banca a banca. Io 

ho un account, costituito da un numero cliente e da un PIN personale, 

sono entrambi numerici e sempre uguali.

Se mi collego con queste credenziali posso solo vedere e non toccare, 

cioè posso consultare saldo, movimenti, documenti e simili.

Per effettuare una operazione dispositiva (in pratica qualunque 

pagamento) devo generare un token OTP e inserire anche quello. Il token 

vale per una sola operazione e per un tempo limitato (mi pare 30 

secondi, ma non sono sicuro).

Io non ho mai usato l'SMS, ma penso che sia uguale. Prima ti colleghi 

con le tue credenziali, e poi per completare le operazioni ti mandano un 

SMS con un codice usa e getta sul numero che è stato registrato alla 

banca come fidato.



-- 

Saluti

VITRIOL



come "quali credenziali"? lo username e password in possesso dell'utente, 

ovviamente.

il token sms, la chiavetta otp, la app generatrice di codici, sono 

strumenti per l'autenticazione a due fattori.


 dalla banca a sotto il materasso.



Dormiremo tutti male, sai com'è, le mazzette di banconote non sono 

molto flessibili...


 banconote non sono molto flessibili...





Temo che dormirò benissimo :/





-- 

- Ciao, ho visto le tue foto su Facebook

   chiamami al 347******9

- Non ti sembra esagerato darmi subito il

   tuo numero?

- Sono un chirurgo plastico, posso aiutarti.




 



È molto più facile infettare un PC e sotttrarre le credenziali da lì rispetto 

allo smartphone.

A parte questo, hai giustamente scritto "remote banking" ma la maggior parte 

delle persone invece prende troppo alla lettera la dicitura "home banking" non 

pensando che la comodità è proprio poter operare ovunque ci si trovi.


 Temo che dormirò benissimo :/



oh, mi dispiace! :')


 possibili, che genererebbero token altrettanto validi.



Mi pare che anche l'APP utilizzi gli SMS non sicuri, leggendo qui:

https://www.pagamentidigitali.it/payment-innovation/psd2-cosa-ne-sara-dellautenticazione-basata-su-sms/


-- 

    * b *

  *   y   *

*   Piero   *

#v+

-ad maiora-

#v-






 Oppure cambi banca.



Oppure cambio operatore telefonico. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-do ut des-

#v-






 Problema risolto



Si, probabilmente avrai maggior sicurezza, ma leggi se questo ti renderai

conto che con l'APP si *vende l'anima alla banca*, insieme a tutta la

nostra privacy:

https://www.creditvillage.news/2018/01/03/direttiva-ue-psd2-in-vigore-dal-13-gennaio-cosa-cambia-e-quale-rischio-per-le-banche/




-- 

    * b *

  *   y   *

*   Piero   *

#v+

-carpe diem-

#v-






 alla banca come fidato.



Dovrebbe essere uguale, ma forse ti stupirai leggendo questo:

https://www.pagamentidigitali.it/payment-innovation/psd2-cosa-ne-sara-dellautenticazione-basata-su-sms/


dove esaminando i diversi modi di utilizzo concludono che nessuno di

questi soddisfa la direttiva UE PSD2 (Payment Services Directive 2)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-in medio stat virtus-

#v-






 dalla banca a sotto il materasso.



+1 :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-beati monocoli in terra caecorum-

#v-






 questi soddisfa la direttiva UE PSD2 (Payment Services Directive 2)



Ho letto anche io e la cosa corrisponde a quello che pensavo§: meglio 

il token fisico che non si porta mai addosso e tenuto in posto sicuro.



Oppure, viva l'autenticazione a 3 dispositivi: pc, sms su telefono1, 

sms su telefono2.



Io ho 2 telefoni oltre al pc, potrebbe funzionarmi...


 che genererebbero token altrettanto validi.



ecco, ai cloni dei token fisici non avevo pensato...



In CheBanca!, oltre al codice via sms, c'è anche da inserire due codici

da una matrice di codici fissa (è una tesserina che ti consegnano

quando apri il conto, nel caso in cui tu non scelga l'app).



-- 

Tilt




 essendo dispositivi isolati e disconnessi va da se che il metodo di



Essendo dispositivi isolati ed interconnessi o non ti fidi del 

fabbricante o non ti fidi dei tuoi stessi impiegati che devono gestire 

il seed a partire dai *tuoi* *stessi* *server.*



All'introduzione delle chiavette si era detto che erano state introdotte 

proprio perche' inattaccabili.



A questo punto avrei capito il sostituire le chiavette ogni anno oppure 

ogni sei mesi, oppure come qualche utente di Usenet ha, distribuire 

delle chiavi usa e getta in formato cartaceo.




 Oppure cambio operatore telefonico. :-)



No, gli SMS in entrata provenienti dalla banca vengono addebitati con 

una tariffa speciale, quindi "dipende dalla banca" e non dal tuo 

operatore telefonico.





Alla faccia della comodità e del poter operare da remoto :-D


 il seed a partire dai *tuoi* *stessi* *server.*



è l'utente che usa la chiavetta, quindi è lui che al limite si dovrebbe 

fidare.



Mah, non ho capito, io tutta questa esigenza di operare da remoto non ce

l'ho: quando devo fare un bonifico, mi va benissimo essere a casa mia,

e non da altre parti.

-- 

Tilt




"ilchierico" [by Mozilla/5.0 (Windows NT 6.3; Win64; x64; rv:3.4) Gecko/20100101


Ma dove l'hai letto? :-)

Fino a prova contraria è il mio operatore telefonico che li addebita, la

banca non fa pagare l'invio, questo l'ho appurato.

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-ad audiendum verbum-

#v-






 operato con le credenziali di accesso + codice di autorizzazione + SMS (gratis).



Quale banca?




 di ultima generazione solo per questa faccenda?



Il problema è che disencentivare gli sms li faranno pagare.

Tra l'altro SPID non è la stessa cosa?




 si capisce :-)



E chi li legge sulla rete telefonica se non il gestore e i suoi dipendenti?

Non mi dire che anche queste reti sono particolarmente "aperte", non

dovrebbero avere sicurezza pari a quelle delle banche o molto vicine?






 questi soddisfa la direttiva UE PSD2 (Payment Services Directive 2)



Temo che la direttiva cerchi una soluzione assoluta che non esisterà mai.




ArchiPit <Bruram48C...@LeTreDiNotteVirgilio.it> ha scritto:


Io aggiungerei un OTP consegnato a parte in busta sigillata da un portavalori

che per caso si trovi nella tua zona al momento di operare. Ovviamente il

personale dovrà essere eliminato effettuata la consegna! :) LOL




 Poi ci sono operazioni facilitate rispetto a prima come la

 ricarica immediata di una carta ricaricabile.Devi comperare qualcosa

online? Ti colleghi con la App, carichi la cifra sulla carta e paghi con

 PayPal.



Tutte cose che si facevano tranquillamente anche prima.




 

Lo potevi fare anche prima.




 uso.



Se saranno integrate sarà facile che per comodità lasciare le credenziali

memorizzate e la generazione del OTP sarà fatto sempre sullo stesso

dispositivo. Scenario decisamente poco piacevole in caso di furto o

smarrimento o uso non autorizzato.




 

lo compri, anche di fascia bassa. E' il sistema che non mi convince affatto.




 

Maggiore controllo dell'utente.




 che genererebbero token altrettanto validi. 



mentre mettere un programma su un sistema operativo "altamente" sicuro come

android invece è un sistema che innalza la sicurezza complessiva del sistema.

Contenti loro. Piuttosto a me sembra una mossa per scaricare responsabilità

sull'utente finale.




 ha scritto:


E' la banca che te l'ha fornita: in caso di problemi sul token è lei la

responsabile. Stai tranquillo che l'hanno verificata. Sul tuo cellulare se ti

becchi il malware di turno "sono per te uccelli per diabetici".




 pensando che la comodità è proprio poter operare ovunque ci si trovi.



Se ti infettano il device è colpa tua, se ti dimentichi il cell e qualcuno

lo usa al posto tuo è colpa tua, se te lo rubano e lo usano al posto tuo è

colpa tua etc per la banca è un grosso vantaggio in termini di

responsabilità ergo la banca se ne fotterà allegramente se ti prosciugano il

conto.




 o smarrimento o uso non autorizzato.



di app di banche ne ho viste diverse e nessuna permette (ovviamente) di 

rimanere loggati dopo il blocco/sblocco del dispositivo.

detto questo: entrambi i dispositivi possono essere smarriti o rubati, e 

entrambi possono (e devono) essere prontamente bloccati. direi che 

nessuno è più vulnerabile dell'altro da questo punto di vista.





È quello che penso anch'io. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Ho nascosto qualche grammo di cervello per uso personale.

#v-






 nessuno è più vulnerabile dell'altro da questo punto di vista.



Se perdi o ti rubano il token (che se ne fanno salvo un'azione mirata ma in

quel caso veramente hai poche probabilità di salvarti in qualunque dei casi)

dovrebbero conoscere utente e password (anche la banca di riferimento) direi

che lo scenario diventa estremamente complicato. Questo logicamente dipende

sempre con chi hai a che fare ed il suo scopo certamente il cettola qualunque

di turno resterebbe senza grandi prospettive immediate, nel frattempo hai

bloccato tutto.




Rispondo qui sotto a Onnaguqet


Più le soluzioni sono complicate, più sono semplici le contromisure da 

adottare...temo.


 SPID



Lo spid tra un anno (non ricordo la data precisa) sarà gestito da 

aziende private e a pagamento molte delle quali non le ho mai sentite o 

sono nate apposta


 riferimento) direi che lo scenario diventa estremamente complicato.



anche se perdi lo smartphone dovrebbero conoscere utente e password. di 

che stiamo parlando?










 responsabile. Stai tranquillo che l'hanno verificata. 



quindi ho detto bene, l'utente deve fidarsi. 


 quindi ho detto bene, l'utente deve fidarsi. 



Certo, ma è la banca che glela fornisce e ne è responsabile, di cui prima.



-- 

Questo messaggio e' frutto di fantasia e non deve essere

collegato a persone o a fatti reali. Serve solo come spunto 

di riflessione.




 

+1




 ha scritto:> CutDevi comperare qualcosa online?Ti colleghi con la App, carichi la cifra sulla carta e paghi con PayPal.-- Troppo bello!Banca Intesa in un documento scaricato dal mio profilo home banking mi comunica stamattina che la mia Superflash non è più una Mastercard dal 15 luglio e ....



Cut

-- 



Mi correggo.

Dopo essere andato in filiale la seconda volta, la prima non

 sapevano nulla, mi hanno detto che la modifica riguarda  solo i

 pagamenti effettuati con Jiffy abbinato a Superflash e che la

 modifica unilaterale l'hanno inviata a tutti i possessori di

 Superflash perché potrebbero attuvare Jiffy prima del 15

 luglio.

L'abbinamento Superflash-MasterCard non subisce modifiche.

Bye, Guido





----Android NewsGroup Reader----

http://usenet.sinaapp.com/



 prima.



io leggerei meglio cosa si firma prima di dire chi è responsabile di cosa.


 che stiamo parlando?



Del fatto che non affido ad un "accrocco" di sistema operativo i miei dati

bancari. Ognuno è libero di fare come crede. ;)




ArchiPit <Bruram48C...@LeTreDiNotteVirgilio.it> ha scritto:


Qualcuno esiste già. Spero siano adeguatamente certificate e controllate.

Comunque almeno ci si può rivolgere a quelle tradizionali. ;)




 servizio. 



Soprattutto per disincentivarlo, pensa che libero, facebook etc. li mandano

gratis. ;)






 io leggerei meglio cosa si firma prima di dire chi è responsabile di cosa.



Se la chiavetta la perdi o non l'hai custodita adeguatamente è colpa tua, se

crakkano l'algoritmo non può essere colpa tua ma di certo della banca.

Il primo caso con un cellulare le probabilità aumentano di molto aggiungendoci

il fatto che se ti infettano o non aggiorni il telefono ricade sotto la tua

responsabilità. La banca, in questo caso, sarà ben felice di dirti che sono

fatti tuoi. Di una chiavetta infettata non ne ho mai sentito parlare, se c'è

stato un aggiornamento tecnologico me l'hanno sostituita, gratis.

Sbaglio?



 ricade sotto la tua responsabilità. 



certo è sotto la mia responsabilità ed è giusto perché ne ho anche il 

controllo. cioè con le opportune misure posso evitare che accada. 

e comunque se si parla di maleware e virus il problema c'è ed è più 

marcato anche sui pc: quindi niente home banking at all? 


 marcato anche sui pc: quindi niente home banking at all? 



E torniamo al punto di prima. Già l'utente medio non mette attenzione al

computer, si e no se ha l'antivirus, figurarsi sul cell se mette qualcosa o

pensa ad aggiornarlo. I cell che ho visto erano talmente pieni di qualunque cosa

da non consentire nemmeno gli aggiornamenti di S.O. Figurati se montano, nel

95%, un antivirus che gli rallenta FB, WA, TWi, Inst etc etc.

Tanto alla banca, ribadisco, alla fine della fiera gli conviene.



 o da Sogei o da chi per essa che avrebbe prodotto le chiavette a regola d'arte. 



Per la plastica dell'involucro, forse. Che nessuna di loro produce chip in 

proprio, quindi li avrebbero dovuti comprare... dai cinesi (come fanno tutti, 

americani compresi, per i chip a basso costo).

Purtroppo il vero problema è appunto la prassi di cercare comunque il costo 

minore anche quando si tratta di sicurezza.



-- 

Sans


 ha scritto:


Sarebbe stata la volta buona per avviare una produzione dedicata, certamente non

a bassissimo costo, per chip da utilizzare per applicazioni strategiche.

Secondo me aziende di questo genere ce ne sono già in EU, mi sembra strano il

contrario. Scusa ma alla fine i chip e i s.o. che girano sugli smartphone sono

di produzione EU? Temo non ce ne sia uno... :(




 Tanto alla banca, ribadisco, alla fine della fiera gli conviene.



abbiamo perso il focus. stavamo parlando del ruolo dello smarphone 

nell'autenticazione a due fattori, perché di questo si tratta. 

a parte le banche sempre più servizi offrono (giustamente) una 

autenticazione a due fattori usando il cellulare. allora io mi chiedo: 

questa "diffidenza" dovrebbe indurre l'utente medio a non attivarla?



forse visto il gruppo in cui siamo andrebbe fatto chiarezza e dire che 

con l'autenticazione a due fattori via cellulare *non* si danno le chiavi 

d'accesso a chicchessia. andrebbe detto con chiarezza, perché non avere 

una autenticazione a due fattori per i suoi servizi principali è il vero 

problema che mette a rischio la sicurezza dell'utente medio.



darei un'occhiata qua:



https://haveibeenpwned.com/





 la banca non fa pagare l'invio, questo l'ho appurato.



Se fosse così, il gestore farebbe pagare gli SMS bancari tutti lo stesso

prezzo (conoscendo Iliad, verosimilmente "zero"), invece ogni banca

applica le proprie tariffe (tra i 16 e 26 €¢) e il gestore ribalta il

costo sul cliente finale (magari anche con un suo ricarico).



Infatti, non esiste nessuna tariffa di nessun gestore che permetta di

ricevere quel tipo di SMS gratuitamente.

Attenzione, poiché, per lo stesso conto, della stessa banca, ci sono SMS

bancari gratuiti e altri a pagamento; dipende dal tipo di operazione,

dal valore dell'operazione, ecc.; se fosse il gestore a farli pagare,

non farebbe distinzione, ma sarebbero tutti a pagamento o tutti

gratuiti, invece, essendo distinti per tipologia, è la banca che sceglie

quali far pagare e quali no.





Ciao,

un TJL73 che ha attivi solo quelli gratuiti, sia lato banca che Iliad...



-- 

"Se il denaro crescesse sugli alberi, a me capiterebbe un bonsai."

                                                      -- Boris Makaresko


 
https://haveibeenpwned.com/




Ok. 



 
https://haveibeenpwned.com/




-- 

    * b *

  *   y   *

*   Piero   *

#v+

Tutto il futuro è racchiuso nella sacra sillaba "bo!".

#v-






 Iliad...



Non è così.

La banca me l'invia senza alcun addebito, lo dimostra il fatto che ho lo

stesso costo (0,16 €) per ogni sms ricevuto, da chi *chiunque* l'invii.

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-do ut des-

#v-






 stesso costo (0,16 €) per ogni sms ricevuto, da chi *chiunque* l'invii.



niente vero. gli sms di conferma quando giochi alla settimana enigmistica 

costano 1,02€ per tutti i gestori, con lo stesso metodo ci pago il 

parcheggio 1,50€, l'autobus 1,50€.


 cellulare, direi che lo conosco solo per quel minimo che mi serve. :-)



è una percezione di sicurezza sbagliata, perché il rischio non è mitigato 

dalla confidenza che si ha con lo strumento. anzi. per ridurre il rischio 

occorre conoscere una serie di best practice, alcune banalmente di buon 

senso, altre meno intuitive, una di queste è attivare l'autenticazione a 

due fattori laddove possibile. 


 parcheggio 1,50€, l'autobus 1,50€.



Secondo me le banche su questo punto ci "marciano" e parecchio.




 ha scritto:


La sicurezza a due fattori è notevolmente aumentata o diminuita dal tipo di

strumento e mezzo di trasmissione che viene utilizzato.

Sulle best-pratice è assolutamente vero: ci sono ancora computer di aziende

privi di anti-virus ed aggiornamente (anche se w10 tende a risolvere almeno

quest'ultimi) immaginati quelli casalinghi...

A mio parere via app smartphone ne diminuisce l'efficacia. Con sms su un

telefono non connesso ad internet è un ottimo compromesso, fatte salve tutte le

limitazioni del caso.





dipende che banca.


 dipende che banca.



Tutte quelle che metteranno gli sms a pagamento. Secondo me lasciando gli sms

liberi il 90% degli utenti utilizzerà comunque l'app, ormai c'è la passione per

le app.




 Secondo me le banche su questo punto ci "marciano" e parecchio.



Le banche pagano pacchetti di decinaia e decinaia di SMS, ad un 

costo quasi irrisorio; quelli più "importanti" te li recapitano 

/gratuitamente/, mentre quelli "superflui", se proprio li vuoi, 

te li fanno pagare (e non al prezzo cui li pagano loro).



Le compagnie, ci guadagnano vendendo il mega-pacchetto di SMS 

alle banche (e non è detto che non ci facciano una nuova cresta 

su ogni SMS "a valore aggiunto", anzi).





Ciao,

un TJL73 e, altrimenti, non farebbero differenza...



-- 

"Non andate in cerca di errori,

 ma di un rimedio."

                                                           -- Henry Ford


 Non č cosě.



Non insisto.





Ciao,

un TJL73 che lascia cadere SpongeBob...



-- 

"Ci sedemmo dalla parte del torto

 visto che tutti gli altri posti erano occupati."

                                                       -- Bertold Brecht


 su ogni SMS "a valore aggiunto", anzi).



Scusa ma la password di secondo livello non mi sembra superfluo...




"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a


Cazzate, l'esperienza nel mezzo usato, significa anche uso più accorto e

responsabile, checché tu ne pensi, ma lo so, con te è fiato sprecato, la

tua è una convinzione precostituita e non si può farci niente.



In quanto all'autenticazione a due fattori, è una cosa scontata usando

il pc.



-- 

    * b *

  *   y   *

*   Piero   *

#v+

-audaces fortuna iuvat-

#v-






"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a


Addirittura :-D sei tutto da ridere, che vuoi che ti dica, lo spirito di

contraddizione non ti manca, affermi cose come se tu avessi letto il

dettaglio del mio traffico dati, non solo, ma conoscessi anche il mio

contratto. Bah!

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Ho nascosto qualche grammo di cervello per uso personale.

#v-






 il pc.



guarda, nemmeno a lavoro dove sono pagato anche per queste cose perdo 

tempo dietro alla saccenza; se pensi che il tuo prezioso fiato sia 

sprecato per me lo puoi mettere anche sotto sale, io del tuo parere non 

me ne faccio proprio di niente. 


 Addirittura :-D sei tutto da ridere, 



bravo ridi, il riso fa buon sangue.


"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a


Piuttosto acido anzichè no. :-D

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-carpe diem-

#v-






 bravo ridi, il riso fa buon sangue.



Ovviamente. :-D

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-errare humanum est-

#v-




 tutte le limitazioni del caso.



vedi, le app che generano le otp (come google authenticator, ad esempio, 

ma ce ne sono altre: è uno standard open) *non* accedono alla rete per 

farlo. semplicemente quando registri un sito nell'app immetti un secret 

(tipicamente leggendo un qrcode) e sulla base di questo conosciuto sia 

dalla app che dal server vengono generate le otp. 

paradossalmente il rischio più grosso in questi casi è non riuscire più 

ad accedere: infatti, a dimostrazione del fatto che è tutto locale alla 

app, se per una qualsiasi ragione il telefono si resetta e tu non hai 

salvato i codici di recupero, cascasse il mondo in quell'account non 

entri più, ne te ne nessun altro.














 entri più, ne te ne nessun altro.



Questa app e modalità non le conosco ma se il virus inviato prevede di copiare

esattamente quello che l'utente digita o visualizza c'è poca differenza,

ovviamente questo vale anche per il computer, che, ritengo, abbia maggiori

margini di protezione, utilizzando un S.O. open magari.




 ma ce ne sono altre: è ---- altro.



Facendo una breve ricerca su internet ho trovato il report 2018 della vodafone

che segnala, proprio per l'home banking, un trojan studiato apposititamente.

Lo scenario è molto attinente alla discussione.

Link:

https://v1.vodafone.it/portal/resources/media/Documents/VF_Italy_ReteSicura.pdf


punto 9




 telefono non connesso, per lo scenario precedentemente illustrato.





le preferenze personali non le discuto, anzi, ci sono più che validi 

argomenti per preferire gli sms, primo fra tutti il fatto che, se cambi 

telefono, non devi fare nulla. ma se ci si addentra in valutazioni di 

sicurezza/efficacia bisogna attenersi a fatti oggettivi. 


 sicurezza/efficacia bisogna attenersi a fatti oggettivi. 



Se per te quanto riportato non è oggettivo non so cosa aggiungere.




 Scusa ma la password di secondo livello non mi sembra superfluo...



Se è per questo, non lo è nemmeno quella di primo pelo.





Ciao,

un TJL73 e una risposta al limite dell'assurdo...



-- 

"Quando ti morde un lupo, pazienza.

 Quel che ti secca è quando ti morde una pecora."

                                                         -- Arthur Bloch


 

Ovvio una non esclude l'altra rendendo il sistema, secondo me, molto piu'

sicuro. Spero non sia solo una sensazione ma un dato concreto. ;)




 sicurezza/efficacia bisogna attenersi a fatti oggettivi. 



Questo come lo commenti:

http://www.televideo.rai.it/televideo/pub/notiziasolotesto.jsp?id=1242815&pagina=100&sottopagina=1





 



Dovrebbero, invece no.

https://arstechnica.com/information-technology/2018/05/nefarious-actors-may-have-abused-routing-protocol-to-spy-on-us-phone-users/




https://www.ilsoftware.it/articoli.asp?tag=Intercettare-telefonate-con-SS7-ecco-come-funziona_13753






Come internet si basa sul concetto di fiducia (trust), ancora di più il sistema 

telefonico.


 



Esiste anche iOS :-)

problema risolto.


 



Uso solo iPhone e Mac, caso chiuso.


 ha scritto:




Direi che il quadro che si viene a delineare è piuttosto sconfortante.

Resta dunque soltanto il server della banca che deve autenticarti in modo

univoco fatto salvo che l'attaccante, in man in the middle, non acquisisca la

tua connessione con la banca prima di te... Azz siamo messi male.

In questi casi la banca si assume l'eventuale danno o ti lascia "in mezzo al mare"?




 mare"?



Credo che la banca si senta autorizzata a dire "Cazzi tuoi!"


ArchiPit <Bruram48C...@LeTreDiNotteVirgilio.it> ha scritto:


Speriamo di non trovarci mai nel caso di specie...




 lascia "in mezzo al mare"?



Ipotesi remota che utilizzino tal sistema con un privato, lo ritengo più

probabile usarlo con soggetti da cui possano ricavare maggiori utili.



Detto questo, la domanda è: quando hanno intercettato l'sms che attendo,

con i numeri da inserire nell'H.Banking in cui sono in quel momento, che

se ne fanno?

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Se perdi la calma, non la ritrovi fra gli "Oggetti smarriti".

#v-






 se ne fanno?



un punto fondamentale di queste procedure di autenticazione è il 

disaccoppiamento, cioè la seconda delle credenziali va su un dispositivo 

diverso da quello dove ci si sta autenticando.

quindi sì, ciò rende sostanzialmente inutile intercettarla.



Ni, perché questo tipo di attacco mirato prevede di infettare anche il PC della 

vittima e di agire quindi in contemporanea.

Oppure di infettare il PC in modo silente, attendere che l'utente colleghi lo 

smartphone (non iOS) e infettarlo.

A questo punto ti controllano da remoto.


 A questo punto ti controllano da remoto.



intanto l'utente deve avere entrambi i dispositivi infettati. il che può 

essere per carità, però ragionare di sicurezza in autenticazione 

ipotizzando scenari totalmente compromessi mi pare un esercizio 

abbastanza sciocco: si arriverebbe al paradosso che anche https, password 

policy, crittografia, etc... è tutta roba inutile.




"Gabriele - onenet" [by Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:60.0)


Premesso che il rischio zero non esiste, che il cellulare in questione è

un vecchio telefonino che non può collegarsi ad internet, ma può comunque

ricevere correttamente sms, ed ammesso e non concesso che qualcuno

organizzi e metta in opera un attacco così complesso; domanda:



ti pare credibile che tutto questo venga fatto per hackerare un privato

cittadino che sta usando l'H.banking?



Secondo me no, al limite potrebbe ipotizzarsi solo quando sia possibile

ricavare ingenti somme di denaro, quindi attacchi indirizzati dove ci

sono grosse disponibilità di capitali, oppure per altri importanti scopi.



Ah, sempre ché riescano ad infettare il PC ed intercettare l'sms restando

in perenne attesa. :-D

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-do ut des-

#v-






 quindi sì, ciò rende sostanzialmente inutile intercettarla.



Perché sarà impedito di utilizzare il tablet o lo smartphone per collegarsi al

sito della banca nonostante la presenza dell'APP che genera il codice?




 A questo punto ti controllano da remoto.



Basta che il cliente, e sono tanti, utilizzi lo stesso device, facciamo il

tablet, sul quale naviga e riceve il codice. Le probabilità che questo accada

per l'utente medio è decisamente alta.




 in perenne attesa. :-D



In che senso, attesa di cosa?




 problema risolto.



Noto che sei innamorato di iOS, è un sistema che non conosco, puoi spiegarmi i

punti di forza e di debolezza? Grazie.





https://www.apple.com/it/ios/ios-12/features/


Riguardo questo thread, salta pure alla sezione Privacy.



In generale:

https://www.apple.com/it/privacy/






ciao

Gabriele


 .



     <---------------------------------------------------->

With best regards, P/ero.  E-mail: ppi...@woow.it.INVALID 




 che scrivi e vedi sul dispositivo la situazione cambia?



-- 

    * b *

  *   y   *

*   Piero   *

#v+

Ho nascosto qualche grammo di cervello per uso personale.

#v-






 In che senso, attesa di cosa?



Dell'sms, non si capiva? :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-beati monocoli in terra caecorum-

#v-






 .



-- 

    * b *

  *   y   *

*   Piero   *

#v+

-panem et circenses-

#v-






 Dell'sms, non si capiva? :-)



Non mi riferivo ad un caso specifico ma in generale sarà difficile che l'utente

medio userà due apparati distinti. E' chiaro che altamente consigliato fare come

anche tu fai. Le banche non mi pare si muoveranno in tal senso, salvo esserne

obbligate, perché dare "complicazioni" ai clienti è dal punto di vista del

marketing altamente sconsigliato. ;)