Newsgroup: it.comp.sicurezza.varie
Titolo: Sicurezza bancaria

Qualche giorno fa, per ragioni di sicurezza,  ho chiesto alla mia banca on
line (Imiweb), di vincolare i bonifici in uscita dal mio conto unicamente
verso un altro mio conto destinatario dei bonifici.
Le domande sono queste:
1.A me questa sembra una misura di sicurezza molto efficace. Se anche
qualcuno scoprisse le mie password potrebbe dirottare il mio denaro solo
verso un altro mio conto. Ma c’è la possibilità che qualcuno entri nel
sistema informatico della banca e cambi le coordinate del conto destinatario
dei bonifici?
2. C’è un’altra cosa che mi preoccupa e che dimostrerebbe un ignoranza
colossale da parte dei bancari. Io  ho dato la disposizione di vincolare i
bonifici mediante una banale e-mail. Come facevano in banca a sapere che era
proprio il correntista  a scrivere quella e-mail? Se mio cugino conosceva il
numero del mio conto on line da cui partono i bonifici, (numero che spesso
viene comunicato ad altra gente per tanti motivi), poteva scrivere lui la
e-mail con cui indicava di mandare i bonifici verso il SUO conto.  Forse in
banca hanno riconosciuto la casella postale da cui partiva la mia e-mail?

 mia e-mail?
no, hanno chiamato mago otelma per la verifica perche' *sicuramente*
sanno che l'indirizzo mail puo' essere falsificato
magari vincola la validita' di comunicazioni via mail ad una firma
digitale di qualche tipo (gpg, pgp e simili) ;)
-- 
 se un bambino rompe le scatole spazzolagli la testa e se continua a
 rompere usa l'altro lato della spazzola sull'altro lato del bambino


Sei sicuro? Non riesco a credere che in banca siano cosě coglioni. Forse
avevano qualche altro mezzo per capire che la mail proveniva da me?

 Sei sicuro?
di cosa?
del fatto che e' possibile falsificare il mittente sono sicurissimo e
probabilmente puoi verificare da te la cosa controllando la posta
ricevuta: molti spammer e alcuni virus falsificano il mittente e non di
rado usano l'indirizzo di destinazione come mittente (e sembra che ci si
sia autospediti lo spam)
del fatto che non avessero altre verifiche sono sicuro perche' hai detto
di aver spedito una comune mail che immagino non contenesse firme digitali
o altri sistemi di autentificazione. l'unico elemento che potrebbe
dimostrare l'autenticita' con ragionevole sicurezza e' l'ip negli header
ma la tua banca di certo non ha l'autorita' di effettuare un controllo di
questo tipo e quel dato e' del tutto inutile
se ci pensi anche una vecchia e "affidabile" lettera in busta chiusa non
garantisce l'identita' del mittente e la mail non ha differenze in questo


 riconosciuto la casella postale da cui partiva la mia e-mail? 
Guarda; la prassi alternativa è la disposizione via fax e ti posso 
garantire che il 90% dei casi che io vedo a giro per le aziende queste 
autorizzazioni sono *false*. False intendo quelle disposizioni che 
vengono sbrigate dalla segretaria e inviate in banca mentre magari il 
titolare della firma è in cina. D'altra parte ci vuole il compromesso, 
perchè gli stipendi vanno pagati... 
Ora, effettivamente l'email nuda e cruda mi sembra un po' pochino e in 
tutta franchezza non l'autorizzerei. Però devo anche dire che farsi 
abusivamente un bonifico sul proprio conto è un modo di rubare 
abbastanza bizzarro, diciamo che la ricchezza di tuo cugino durerebbe si 
e no tre cacate. 

 ha scritto nel messaggio
news:b3llrd$efb$1...@nntp.weblinea.it...

Credici tranquillamente.
Non avevano nessun mezzo per essere sicuri che la mail fosse tua.
Mi auguro che ti abbiano inviato conferma scritta di ricevimento e
accettazione delle disposizioni da te impartite.
Se no, fattela mandare.
Mac

 Non avevano nessun mezzo per essere sicuri che la mail fosse tua.
Forse occorre chiedere chiarimenti alla banca, che ne dite?
HappyCactus molto interessato.
-- 
HappyCactus - Linux User #209744 - 
http://pngstego.sourceforge.net
 
              pngstego 0.3.2 has been released! 
/* Ci sono 10 categorie di persone al mondo: quelle che capiscono */
/* il sistema binario e quelle che non lo capiscono.              */

 Forse occorre chiedere chiarimenti alla banca, che ne dite?
Beh, io penso che *sicuramente* una chiacchierata con il direttore 
dell'agenzia è già stata fatta dal signor Giacomo, perchè io personalmente 
posso mandare tutte disposizioni x email che voglio alla banca ma non 
verranno proprio cagate (salvo telefonarmi per chiedermi se mi sono fumato 
il cervello). 
Se avviene, *sicuramente* gli è stato chiesto. Evidentemente il direttore 
dell'agenzia avrà calcolato il rischio, visto che è suo. Va beh, i soldi 
sono tuoi, ma al primo mistake dovrà rispondere di aver autorizzato una 
disposizione di fatto non autorizzata dal committente, è più o meno come 
avviene per i fax (almeno un po' di tempo fa potevi *anticipare* le 
disposizioni via fax le quali dovevano essere confermate con mezzi 
"convenzionali", magari per un buon cliente e per questioni di concorrenza 
fra le banche siano diventati più elastici).

 garantisce l'identita' del mittente e la mail non ha differenze in questo
Una piccola differenza c'e'. All'apertura del conto corrente viene fatta
depositare la firma, almeno un controllo che le due firme siano similari
puo' essere fatto: sulle disposizioni date deve sempre esserci la firma.
Verificare l'autenticita' dei byte e' un tantino piu' problematico.
C:\>iao Angelo
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 digitale di qualche tipo (gpg, pgp e simili) ;)
Email immaginaria della banca:
"...
La preghiamo infine di controllare il Suo programma di posta e il Suo 
computer per la presenza di eventuali virus, in quanto tutte le ultime 
email provenienti dal Suo indirizzo, a partire dal 25 u.s., risultano 
contenere in calce al messaggio delle righe formate da caratteri 
incomprensibili, che il ns. CED ritiene potersi trattare del codice di 
replicazione virale. Ringraziando per la Sua cortese collaborazione, 
distintamente salutiamo".
Max in cazzeggio pre-pausa-pranzo.
-- 
"Te c'hanno mai mannato a quer paese
sapessi quanta gente che cce sta
Er primo cittadino e' amico mio
te dije che te c'ho mannato io"

 banca hanno riconosciuto la casella postale da cui partiva la mia e-mail?
No, e non ne vedo particolare esigenza. Dare una disposizione del genere 
non altera la sicurezza del servizio a te offerto: se anche tuo cuggino 
avesse voluto farti questo scherzo, di soldi non te ne poteva fregare 
manco uno perchè poi per fare effettivamente il bonifico aveva bisogno 
dell'accesso all'account, non solo del numero di conto.
Se invece quella banca avesse consentito tramite una semplice mail cose 
come un cambio di password allora mi sarei incazzato parecchio :-)
bye!
-- 
Fabrizio "Hermooz" Ermini

 Firma digitale.
Non farmi cosi' ignorante :-)
Di solito le lettere sono firmate, di solito le mail non lo sono. E OP,
sembra, che abbia spedito un mail non firmata e la banca l'abbia presa
per buona.


 per buona.
Come ho già detto, è *altamente* probabile che lui si sia accordato così 
con il direttore dell'agenzia, cioè abbia semplicemente chiesto di disporre 
i bonifici via email e il direttore glie li autorizzi sotto la sua 
responsabilità, perchè è un buon cliente, perchè vogliono fargli un favore 
o per chissà per quale altra ragione. Per prassi normale credo che gli 
ordini di bonifico non possono essere accettati nemmeno per fax, ma è 
altrettanto normale che per i clienti conosciuti la banca faccia il 
consueto "strappo alla regola". E comunque, nota bene che nel messaggio 
originale si parla di bonifici fatti solo verso un conto conosciuto, è 
ovvio che con questi vincoli lo strappo alla regola non è che sia poi così 
trascendentale...
L'importante è che la banca *non* faccia questo tipo di operazioni senza 
che io l'abbia (formalmente o informalmente) autorizzate. Sinceramente non 
credo proprio che se io spedisco una mail alla mia banca (peraltro senza 
sportelli) con disposto un bonifico, questo venga effettuato, nella 
migliore delle ipotesi mi chiamano per chiedere "ma che è sta roba?".
Poi si può anche discutere sulla inattendibilità delle email senza firma 
digitale, è ovvio che non lo sono nella maniera più assoluta... ma nel 
mondo reale oltre che i firewall, la crittografia, le firme digitali, i 
certificati, esistono anche le buone vecchie strette di mano...
 

 Max in cazzeggio pre-pausa-pranzo.
Ma che conosce il livello medio di preparazione informatica del personale di
sportello delle banche :-)
Mac


Questo è vero. Evidentemente in banca sono sicuri che nessuno possa
intercettare la mia password. Oppure hanno telefonato alla banca
beneficiaria chiedendo se io ho un conto presso di loro. Ma c'è anche un
fatto puramente bancario. Se io mi chiamo giacomo e mio cugino Antonio alla
sua banca non accetteranno bonifici in arrivo per Giacomo.
A proposito, questo protocollo https che usano le banche cosa ha di
particolare?


Si, se il bonifico è di 100 Euro. Ma se è di 1000000 di Euro quello se li
prelva e se ne scappa.

 li prelva e se ne scappa.
Ascolta... cerchiamo di discutere su problematiche almeno verosimili. Ti 
hanno trasferito un milione di euro sulla parola?

 particolare?
La connessione è cifrata (i dati che tu immetti nonchè le pagine che 
ritornano transitano in rete criptate), inoltre il server di provenienza è 
certificato. Una connessione sicura (https) è condizione minima per un sito 
del genere. 
Alcune banche aggiungono anche il certificato del client, rendendo sicura 
(*) anche l'identificazione del cliente.
(*) "sicuro" è molto relativo. Siccome l'anello debole della catena alla 
fine è l'utente, dare in mano all'utente uno "strumento" così importante 
come appunto il certificato digitale può rendere anche tutto il sistema 
molto insicuro. 
 


Cosa è il certificato del client?  E il protocollo https esclude la
possibilità dell'intervento di un keylogger?

 possibilità dell'intervento di un keylogger?
No, non lo esclude assolutamente.

particolare?
Si tratta di una variante del normale http che prevede una
crittografia del canale di comunicazione con una chiave stabilita in
maniera pseudocasuale. In altre parole, è altamente improbabile che
qualcuno riesca a intercettare le comunicazioni tra te e la banca,
finchè comunichi con quel protocollo. Nel senso che se anche le
intercettasse non se farebbe nulla, non essendo a conoscenza della
chiave.
Tutto questo sempre che il tuo browser non sia stato opportunamente
modificato da qualche simpaticone... ma è tutta un'altra storia. ;-)
\
-= Per rispondere in e-mail, togliere 'abc' dall'indirizzo.
-= ICQ: 55874121

 No, non lo esclude assolutamente.
Cazzo. Quindi, se capisco bene, quando io digito la password un keylogger,
prima che venga crittografata, può scopriere quale è. Ci sono rimedi?

 sono rimedi?
No (*).
Nessun OS e' immune ad un keylogger fatto ad arte - ad esempio preparato
dall'NSA - anche se un keylogger diffuso probabilmente potrebbe essere
tracciato da un antivirus.
Ciaotutti,
*
(*) L'unico computer sicuro e' quello spento *e* inglobato in un blocco di
cemento.

 Ci sono rimedi? 
dipende. Sei religioso?
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.0. C, C++ and ASM developers
                               and beta testers are welcome!