Newsgroup: it.comp.sicurezza.varie
Titolo: carta di credito

e' sicuro fare acquisti con carta di credito sulla rete?
per esempio vorrei acquistare un SW..ma non mi fido  a inviare i dati della
mia carta.
Grazie 

 wrote:

Figurati... la sicurezza nell'uso della carta di credito non dipende da
Internet.
C'e' un gran daffare sui siti web commerciali per mettere a disposizione una
connessione SSL allo scopo di rendere sicura la trasmissione dei dati delle
carte via browser, ma sinceramente questo e' tra tutti il pericolo minore corso
dai dati della carta.
Nessuno ti garantisce che chi riceve i dati ne faccia un uso onesto.
Questo vale sia per Internet, che per il ristorante sotto casa.
Non so come funzioni esattamente un acquisto mediante CC, ma credo che il
cliente venga avvisato dalla concessionaria della carta prima di effettuare
l'erogazione del denaro.  Non e' cosi'?
In tal caso, oltre a poter controllare l'importo richiesto, si puo'
eventualmente esercitare una sorta di diritto di veto.
---------------------------------------------------------- -= MarCo =-
PGP public key:
finger 
marco....@mail.bearnet.it
http://www.pgp.net/cgi-bin/pks-extract-key.pl?op=get&search=0x96A79061
Fingerprint: 9F E5 80 61 F6 9F 05 2D  EA 53 6F 2D 82 8B C7 C2
----------------------------------------------------------------------

 nessun tipo di problema.
La  tattica di rimanere  'bassi' funziona a  quanto  pare. Il problema
grosso sorgera'  quando si pagera'  per servizi via  rete, per i quali
non c'e' un destinatario fisico a ricevere la merce.
o   oooooo	Gian Uberto Lauri        "So, are you working on finding
      o    o	
sa...@maya.dei.unipd.it
   that bug *now* or leaving it until
     o o				  later?" - "Yes!" 
========================================================
WARNING: Payment is required for use of the above Email
address for unsolicited commercial Email or as part of a
mailing list for any purpose. 
As for US Federal and/or Italian Laws, by sending commercial
E-mail you agree to pay US$500.00 for storage fees.
========================================================
"By US Code Title 47, Sec.227(a)(2)(B), a computer/modem/printer meets
the definition of a telephone fax machine.  By Sec.227(b)(1)(C), it is
unlawful to send any unsolicited advertisement to such equipment.  By
Sec.227(b)(3)(C), a violation of the aforementioned Section is
punishable by action to recover actual monetary loss, or $500, whichever
is greater, for each violation."

 l'erogazione del denaro.  Non e' cosi'?
Magari lo fanno per spese grosse. Ma sai che overhead a fare un
controllo per ogni acquisto ?


 A me, ripeto, non e' mai successo niente. Pero' il rischio esiste.
Sicurezza del branco di pesciolini. Su migliaia di pesciolini e'
improbabile che il predatore ne colpisca uno in particolare.


nessun tipo di problema.
Anch'io ho fatto e faccio tutt'ora moltissimi acquisti di ogni tipo su Internet
pagando con carta di credito (anche in molti server "non SSL"), e non ho mai
avuto problemi.
Credo che i rischi siano gli stessi che valgono per il "ristorante sotto
casa".
	Mic.
-- 
Michele Beltrame
Italpro - Power Web Services
m...@italpro.com
http://www.italpro.com/italpro

Errore. Puo' darsi che terzi riescano ad accedere al numero.
Nah...
Ci sono tanti metodi piu' praticabili dell'intercettazione su Internet per
ottenere numeri di carte di credito.
Anche quando usi la CC "de visu" c'e' una forma di trasmissione dati che e'
intercettabile: che so, per esempio si puo' mettere una microcamera sopra la
cassa di un esercizio commerciale, fare trashing, social engineering, o altre
cose del genere.


Statim Uniti permettendo.
Non penso che in effetti questo sia un gran problema.
Ad esempio, nonostante la legislazione ITAR che vieta l'esportazione di
algoritmi crittografici, il PGP si e' diffuso tranquillamente fuori dagli USA;
il gov USA ha messo sotto indagine l'autore Phil Zimmerman (come se lui potesse
avere il controllo di tutte le copie che giravano negli states), ma
recentemente il procedimento e' stato archiviato e si e' quindi rivelato quello
che era: un tentativo di intimidazione verso una figura che e' ormai un simbolo
del diritto alla privacy della comunicazioni.


Errore. Puo' darsi che terzi riescano ad accedere al numero.
D'accordo. Io mi riferivo appunto alla possibile frode da parte
del venditore.
In Internet, dati trasmessi per email o mediante form su web
possono essere intercettati.
Esistono anche dei programmi "sniffers" che scandiscono le
email alla ricerca appunto di numeri di carte di credito e simili.
Questo e' uno dei motivi, oltre a quello generale della
inviolabilita' della privacy nella corrispondenza personale,
per cui si dovrebbe diffondere sempre piu' l'uso della crittografia.
A me, ripeto, non e' mai successo niente. Pero' il rischio esiste.
Per essere piu' sicuri, molti venditori su Internet ti aprono
un account, cui poi si accede con password per fare gli acquisti,
inviando i dati personali e il numero della carta per fax.
Ciao.
Giorgio Chinnici <> Milano-Italy <> PGP Key available
E-mail 
nim...@mail.serve.com
 <> WWW 
http://www.serve.com/nimrod
   Mere words! Was there anything so real as words?
   (Oscar Wilde - The Picture of Dorian Gray)

pagando con carta di credito (anche in molti server "non SSL"), e non ho mai
Scusate la domanda che puo' parere idiota... "Ma chi non ha la carta
di credito? se la puo' cavare in qualche modo?"

controllo per ogni acquisto ?
In effetti credo che vada diversamente.
Prima la concessionaria eroga il denaro e poi eventualmente si puo' contestare
il resoconto che arriva a casa...


improbabile che il predatore ne colpisca uno in particolare.
Appunto, quindi non credo sia il caso di farsi problemi piu` di tanto. 
Anche se esco di casa col temporale potrei essere colpito da un fulmine; 
d'altronde se vado a sciare potrei essere sepolto da una valanga; se viaggio
in aereo potrei precipitare e morire e... se uso la carta di credito in
Internet potrebbero fregarmene il numero. Tuttavia tutte queste sono
eventualita` rare.


 eventualita` rare.
C'e' una piccola  differenza,  fulmine  e valanga non  possono   avere
desiderio di cilpire te. I piratazzi si.   La sicurezza del pesciolino
rimane valida finche' sei un pesciolino qualsiasi.
La sicurezza dell'aureo dipende dalla compagnia che puoi scegliere. In
rete non scegli il routing.


 ottenere numeri di carte di credito.
 
Io dico che mettere la microcamera in un negozio altrui e' + difficile
e - redditizio :)... Sopratutto se riesci a sniffare il traffico verso
un grosso sito.


la legislazione ITAR. Che probabilmente mutera nel prossimo futuro.
Guarda che pure il PGP che uso io la rispetta.
ITAR non mi vieta di usare il PGP (e come potrebbe? E' una legge USA mica
italiana), ma vietava a chi lo ha fatto di esportarne l'algoritmo.
Una volta che l'alogritmo e' fuori, puoi farne quello che vuoi.  
Tra l'altro nemmeno il brevetto dell'algoritmo RSA ha valore fuori dagli USA.
Viceversa PGP usa anche l'algoritmo IDEA, che e' brevettato da una ditta (o
ente?) svizzera, per cui per usare commercialmente PGP in Europa bisognerebbe
comprare la licenza d'uso di IDEA da quella ditta.
Comunque pare che Netscape & C. abbiano intenzione di rispettare ITAR, anche se
la situazione e' un po' ridicola: vietare l'esportazione anche di una singola
copia del Navigator USA perche' contiene l'algoritmo RC4 a 128 bit.
Come se i "nemici della sicurezza nazionale USA" fossero cosi' fessi da non
essere capaci di procurarsela lo stesso (ammesso che questo possa servire a
qualcosa, dato che anche il piu' scassato esercito del mondo ha gia' a
disposizione la crittografia forte... che poi non sia addestrato a usarla e'
un'altro paio di maniche).
mah...


 Grazie 
Ciao
Ogni informazione che viene inviata dal tuo computer attraverso internet
può essere letta o "presa".
Personalmente non mi fido di lasciare il mio numero di carta di credito
vagante su qualche computer collegato alla rete.
Spero di esserti stato utile.

contatti.
Questa non l'ho capita.
Vuoi dire che qualcuno potrebbe "mettersi in mezzo" e simulare di essere il
sito che tu vuoi contattare?
SSL serve anche ad evitare questo, oltre che a crittare; se il malintenzionato
non possiede la chiave privata e il certificato (firma crittografica della
chiave privata ad opera di Verisign o di altre Certification Authorities
riconosciute dal browser NN o IE) del sito che sta cercando di emulare, non
puo' fare molto, a meno che l'utente che naviga non sia un po' tonto.


rete non scegli il routing.
Un "valido" terrorista puo` far precipitare aerei di qualsiasi compagnia...


 
Peccato, noi  non  americani abbiamo  chiavi molto piu'  corte. Poi ci
sono dei trucchi possibili via Internet che mandano in vacca anche gli
algoritmi  piu'  robusti... Non hai  un  link  diretto con  l'host che
contatti.
o   oooooo	Gian Uberto Lauri        "So, are you working on finding


 Una volta che l'alogritmo e' fuori, puoi farne quello che vuoi.  
ITAR vieta  ai produttori di browser  di esportare  codice con incluso
materiale non esportabile (come poi dici tu). Chissa` perche` Netscape
per noi e' quello export.  E Netscape e'  quello che la gente usa  per
netshopping.


 SSL serve anche ad evitare questo, oltre che a crittare; 
Sicuro ? Puo' falsificare l'uno e l'altro. Se i certificati li prelevi
via rete...


via rete...
Cosa vuol dire "se i certificati li prelevi via rete..." ?!!
a) il falsificatore intercetta le comunicazioni con il sito ufficiale e sniffa
i dati che gli servono per ricostruirsi la chiave privata e il certificato.
Impossibile, la chiave privata non viene mai trasmessa e rimane sul server del
sito ufficiale.  Viene trasmesso il certificato (1) (ovviamente, per consentire
al browser di verificare l'autenticita' del sito).
Col solo certificato, il falsificatore puo' al massimo sperare di farsi passare
per il sito ufficiale, catturando i dati destinati a lui; ma gli rimane il
problema di decrittarli... e senza la chiave privata avra' il suo bel da fare
anche con SSL-export.
In ogni modo, in una connessione <protocollo> over SSL, c'e' un meccanismo di
"challenge", per cui un sito deve possedere la chiave privata giusta per
"rispondere a tono" alla richiesta del browser: il browser, durante
l'inizializzazione della connessione SSL, chiede al remoto "vediamo un po' se
sei capace di firmare questa stringa pseudo-random che ti mando, in modo che io
possa verificare, mediante la chiave pubblica firmata-Verisign (ovvero il
certificato) che mi hai mandato, che tu possieda la chiave privata giusta".
Non importa che la stringa proposta dal browser sia piu' o meno prevedibile in
anticipo da parte del falsificatore, perche' in ogni caso essa e' diversa ogni
volta e il falsificatore non ha i mezzi per rispondere a tono (nemmeno se
registra qualche milione di transazioni precedenti).
A cosa serve tutta 'sta menata della challenge dato che, in fondo, per
catturare i dati il falsificatore non ha bisogno di farsi passare per il sito
ufficiale, ma gli basta sniffare le comunicazioni?
Suppongo che il motivo sia dato dal fatto che e' piu' facile alterare il
sistema DNS e starsene in qualche nicchia di Internet facendosi passare per il
sito ufficiale (se questo fosse possibile) che non avere accesso permanente
(senza esporsi) ad un punto dove passa il traffico giusto.
b) il falsificatore hacka il sito e si prende la chiave privata
Beh, allora non esistono metodi sicuri.
Se ti fai fregare la carta d'identita' o le chiavi di casa, non ti puoi
lamentare delle conseguenze...
Ti faccio notare che io ho attivato SSL-export sul sito che amministro e la
prima cosa che ho dovuto fare in assoluto e' stata generare una coppia di
chiavi privata-pubblica e in seguito la chiave privata non si e' mai mossa dal
disco del server.
(1) Il certificato, se non ho capito male, e' la chiave pubblica del sito
firmata con la chiave privata di Verisign; il browser incorpora la chiave
pubblica di Verisign e quindi puo' verificare la certificazione.


 Suppongo che il motivo sia dato dal fatto che e' piu' facile alterare il
Il motivo e' proprio quello li', e non sono i DNS che alteri. Ma il
routing.
Con che chiave si  criptano i dati  ? Con quella  del client che hanno
tutti ? Bon,  allora dovrebbe servire  solo quella privata del server,
che pero' e'  ricustruibile con un  sforzo ragionevole.  Viene inviata
dal  server  ?  Benissimo, bingo!  Mi  metto  in   mezzo, intercetto e
trattengo la chiave inviata dal server, ne genero una io per il client
e faccio da relay.  Ciao ciao.
La debolezza  dello SSL (che e' gia'  stato rotto)  e' nella dimesione
delle chiavi,  corta per reggere  nella  versione export.  Finche' non
l'allungano...


marco....@eurofin.it
 wrote:
 >>in barcode sulla maglietta :). I browser che usa la gente rispettano
 >>la legislazione ITAR.
Vero.
 >>Che probabilmente mutera nel prossimo futuro.
Non e` poi cosi` sicuro.
 >ITAR non mi vieta di usare il PGP (e come potrebbe? E' una legge USA mica
 >italiana), ma vietava a chi lo ha fatto di esportarne l'algoritmo.
Esatto.
 >Tra l'altro nemmeno il brevetto dell'algoritmo RSA ha valore fuori dagli USA.
Siamo precisi: non e` stato brevettato l'algoritmo RSA, ma una sua
implementazione. L'implementazione originale di RSA di Philip Zimmerman
(MPILIB) viola il brevetto di RSA Data Security Inc perche` e` troppo simile
all'originale, e quindi non si puo` usare negli usa. Al suo posto e` stata
scritta da PRZ e dal MIT una nuova implementazione (RSAREF) che e` legale
da usare.
 >Viceversa PGP usa anche l'algoritmo IDEA, che e' brevettato da una ditta (o
 >ente?) svizzera, per cui per usare commercialmente PGP in Europa bisognerebbe
 >comprare la licenza d'uso di IDEA da quella ditta.
Si, Ascom Tech detiene il brevetto di IDEA (presumo per conto degli autori).
 >Comunque pare che Netscape & C. abbiano intenzione di rispettare ITAR, anche se
*Devono* farlo, altrimenti li mandano in galera.
 >la situazione e' un po' ridicola: vietare l'esportazione anche di una singola
 >copia del Navigator USA perche' contiene l'algoritmo RC4 a 128 bit.
Esattamente, quindi fuori dagli usa bisogna usare la versione a 40 bit,
la cui sicurezza e` molto bassa.
-- 
ciao,
Marco