Newsgroup: it.comp.sicurezza.varie
Titolo: XP ed online banking...

 
Una cosetta che credo sia interessante; al momento il "fenomeno" sembra
essere limitato agli USA, ma credo che non ci vorrà molto prima che la
stessa cosa accada in Italia, in breve, accedendo a siti di "banking" o
anche a siti che comportino "transazioni finanziarie" utilizzando XP,
ci si trova davanti a messaggi del tipo "This version of the windows
operating system isn't supported anymore" o, nel migliore dei casi a
messaggi del tipo
 
========================================================================
ATTENTION WINDOWS XP USERS:
If you are currently using the Windows XP operating system, we urge you
to upgrade to a new operating system on your PC now. Microsoft ended
support for Windows XP on April 8, 2014 and no longer produces security
patches for critical vulnerabilities in Windows XP. As of September 23,
2015, customers using Windows XP SP2 and older operating systems will
not be able to connect with Personal Online Banking.
========================================================================
 
la cosa è abbastanza logica visto il numero di bugs MAI corretti in XP,
il fatto che le patches non verranno più rilasciate e tutto il resto;
per cui credo che l'idea di passare ad altro OS (non necessariamente un
OS fatto a Redmond, non mi fraintendete) sia da valutare *seriamente*
 
 

 OS fatto a Redmond, non mi fraintendete) sia da valutare *seriamente*
 
Più che altro chi continuasse ad usare un colabrodo come quello per
operazioni critiche come l'homebanking, oggi come oggi, è folle nella
migliore delle ipotesi.
 
O estremamente confidente nelle proprie capacità di hardening...



c'è da dire che ho visto con i miei occhi (e DI RECENTE) degli
sportelli bancomat "in manutenzione" che si riavviavano e che al boot
mostravano chiaramente che l'OS è... XP :P
 

 mostravano chiaramente che l'OS è... XP :P
 
Non è che mi stupisca, eh :-(
 

 ha scritto nel messaggio 
news:mpt34e$cf2$1...@half.spin.it...

IMHO se le operazioni di home banking si eseguono con XP da un PC 
dedicato solo a quello ed in ambiente sandboxie rigenerato ad ogni 
sessione, i rischi non sono superiori alle stesse operazioni eseguite 
con SO windows ultima versione aggiornato ogni giorno.
 
+1
 
 

 con SO windows ultima versione aggiornato ogni giorno.
 
Sì e no.
 
E' pur vero che i rischi maggiori sono di gran lunga quelli legati alla
intrinseca insicurezza dell'OS con decine di falle non patchate, con
conseguente alta probabilità di essere compromessi dal primo drive-by di
passaggio.
 
Per questo aspetto è indubbio che, se si usa una sandbox che ripristina
ad ogni esecuzione ad uno stato verificato sicuro *e* si ha l'accortezza
di andare solo, esclusivamente e direttamente presso il sito della
banca, si è anche ragionevolmente certi di non avere schifezze in
esecuzione sul sistema.
 
 
Però la sicurezza è data dalle accortezze all'intorno, mica dall'OS.
 
Per tornare al paragone con trincee e profilattici, stai dicendo "però
se vado con solo il profilattico in una trincea sul Carso, dove han
smesso di sparare un secolo fa, son sicuro comunque".
 
I francesi direbbero "grazie al c...."
 
 
 
Rimane poi il problema della sicurezza delle transazioni, che a fronte
di librerie SSL patchate oramai una dozzina di volte da quando XP è
ufficialmente nel limbo (metà circa per bug di una certa serietà) non è
una bega completamente irrilevante. Ma siam d'accordo che, per la
tipologia della tematica, è poca cosa...
 
 
 

 mostravano chiaramente che l'OS č... XP :P
 
Redmond pare abbia esteso il supporto oltre la data di EoS, in alcuni
casi particolari, tipo sistemi automatizzati e simili (supporto che
credo sia pagato profumatamente da chi ne fa uso).
 
E suppongo proprio che le banche (per gli ATM) siano tra questi (spero
almeno quella che ha i miei soldi  ^_^ )
 
http://www.theinquirer.net/inquirer/news/2334577/banks-negotiate-extended-windows-xp-support-for-atm-systems
 
http://www.digitaltrends.com/computing/uk-banks-buying-extended-windows-xp-support-microsoft-atms/
 
 
Ma, tanto, prima o poi saranno costretti ad aggiornare.
 
 
Ciao,
un TJL73 che, perň, nulla č per sempre... nemmeno un diamante...
 
-- 
"Se il denaro crescesse sugli alberi, a me capiterebbe un bonsai."
                                                      -- Boris Makaresko

 Ma, tanto, prima o poi saranno costretti ad aggiornare.
 
magari passando ad un sistema basato su un'altra piattaforma <g>
 
 

It was Wed, 5 Aug 2015 18:37:24 +0200 when

non l'ho pensato neanche per un secondo, del resto neanche io sono
rimasto stupito, quel che comunque continua a farmi girare le balle
resta l'approccio delle banche ossia il fatto che adottino il MINIMO
di sicurezza necessario per non essere ritenute responsabili nel caso
di perdite da parte dei clienti ... ma se ne freghino altamente se il
sistema adottato ha dei "buchi" che potrebbero/possono causare perdite
 
Lo so che alla fine della fiera a loro basta "pararsi il cuBo", ma la
cosa fa *comunque* abbastanza schifo :P
 
 


... ed ovviamente tutte le protezioni di sto' mondo a poco servono se 
ciò che si pone fra lo schienale della sedia ed monitor " non collabora 
" ...
 
+1
 

 esecuzione sul sistema.
 
E far partire un cd live linux (cioè non da un supporto riscrivibile o 
usb) e agire da lì? potrebbe essere una soluzione accettabile?
 
 

>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>>
Senza offesa per nessuno io sento un certo odore di fanatismo. Conosco 
alcune persone che fanno trading on line su più conti  con XP, qualcuno 
senza antivirus (perchè tanto i virus entrano lo stesso) e qualcuno senza 
averlo neppure aggiornato XP (cioè mettono XP SP3 e si fermano lì). + 
all'occorrenza i relativi bonifici.
Mai successo niente.
Con il token (+altre cautele che le banche  prendono e che non sto a dire 
per brevità) cosa può succedere? Nel peggiore dei casi entrerà uno spyware 
che scoprirà quanti soldi ho e in che banca (e poi dovreste spiegarmi perchè 
su W 7-8-10 non succederebbe ugualmente). Auguri.
Ma da lì non li possono togliere, che poi è l'unica cosa che conta.
 

 usb) e agire da lì? potrebbe essere una soluzione accettabile?
 
 
Se usi una live, però, è probabile che non la terrai aggiornatissima.

 Ma da lì non li possono togliere, che poi è l'unica cosa che conta.
 
 
Informati su cosa siano e come funzionino zeus e varianti.
 
E in bocca al lupo.
 

 Se usi una live, però, è probabile che non la terrai aggiornatissima.
 
Hai ragione, e infatti stavo pensando ai problemi di SSL e alle pesanti 
vulnerabilità trovate ultimamente.
Allora forse è meglio una sandbox...
 
 


Vero, ma se la fai partire per andare direttamente sul sito della banca
senza fermarti prima sul fornitore di porno di fiducia, è tutto sommato
poco probabile venire compromessi.
 
Alla fine, è l'esposizione tra il boot da situazione sicura e l'uso
dell'home-banking (o qualunque altro genere di operazione critica da
eseguire) ad essere rilevante.
 
Sia in durata (live bootata per lo scopo) che in magnitudo (nessun sito
potenzialmente pericoloso, etc).
 

 (+altre cautele che le banche  prendono e che non sto a dire per brevità)
 
Puoi invece aggiungere qualcosa?
 
 

 potenzialmente pericoloso, etc).
 
Purtroppo le live non hanno protezioni attive fin dall'origine.
 
Non conosco linux in modo adeguato, benchè l'abbia frequentato da 
15anni, ma...se volessi controllare i dns attivi che comando dovrei 
dare e dove li potrei cambiare (nell'ipotesi di non poterli cambiare 
sul router)?
 
 

>>>>>>>>>>>>>>>>>>>>
Invio sms con codice per la singola operazione dispositiva (sempre dopo 
token), limiti di importo di bonifico, bonifici solo verso conti 
predeterminati, mail ed sms subito dopo effettuazione di bonifico per 
allertare il titolare del conto. Banca sistema prevede che devi chiamare tu 
e digitare il codice che ti hanno mandato loro.  Tieni presente che hai 
credo 6 ore per annullare il bonifico già disposto, se ad esempio ti viene 
notificato un bonifico strano.
Il sistema è inespugnabile, (i nostri amici ansiosi possono clamarsi) ci 
sono solo 2 possibilità di fregarti.
 
1. il codice del token cambia ogni 30 secondi. Devono carpire il codice con 
cui sei entrato ed entrare anche loro prima che scadano i 30 secondi. Ma le 
banche lo sanno e non consentono la connessione contemporanea di 2 utenti 
sullo stesso conto.
 
2. l'hacker è quell'unica persona che sa come cambia il codice generato dal 
token (ammesso poi che il meccanismo di cambio del codice sia semplice e 
possa seguire il suo inventore, che tu abbia prorpio il conto in quella 
banca,  non dipenda da altri pc della banca, da ditte esterne, non venga 
cambiato etc.). Es. sa che se alle 10,00 il token ha generato 123, alle 
10,30 sarà 456. Quindi io mi collego alle 10,00 lui carpisce il codice 
aspetta che io mi sconnetto e si connette lui. E poi rimangono sempre i 
controlli con gli sms.
Praticamente le stesse probabilità che sbarchino i marziani. Se uno ha paura 
di questo tanto vale che non esce neppure di casa la mattina.
 
Poi rimane sempre il problema del perchè con i S.O. successivi il rischio 
diminuisce. A me sembra identico. 
 

 potenzialmente pericoloso, etc).
 
Giustissimo!
Ma volevo solo evidenziare che una live, in sé, non è automaticamente 
blindata, anzi ha alcuni limiti rispetto a un sistema ben aggiornato e 
configurato.
 

>>>>>>>>>>>>>>>>>>>>>>
 
Il vero problema invece sta nelle carte di credito. Lì sì, se hai un 
keylogger/spyware sul pc e digiti tutti i dati (che non cambiano nel tempo) 
il malintenzionato ci fa quello che vuole magari un mese dopo.
Ho sollevato il problema in passato credo qui e mi pare che il rischio c'è.
Però il rischio sta nel keylogger. Non credo (ma qui potrei sbagliare) che 
si possano scaricare keylogger semplicemente connettendosi ad un sito. 
 

 Ho sollevato il problema in passato credo qui e mi pare che il rischio c'è.
 
Per le carte di credito, l'unica è non averla, o almeno usarne una con 
limiti molto bassi o una ricaricabile sempre mediamente quasi vuota.
 
 

 rischio diminuisce. A me sembra identico.
 
Il problema non è il rischio nel corso della singola operazione: se il
client è stato compromesso rischi, se non lo è non rischi (circa) nulla.
 
Il problema è la probabilità di venire compromessi: un OS non aggiornato
ha probabilità molto più alte di essere attaccabile, dato che i difetti
che lo rendono tale non sono stati corretti.
 
Nulla più, nulla meno.
 
 
 
Poi una considerazione di massima: a sentire come la metti, si direbbe
che tutta l'IT security e in particolare quella legata ad analisi e
contrasto botnet sia fatta di opinioni su scenari del tutto teorici.
 
Ma farei presente che è un settore in cui sono impiegate migliaia di
professionisti piuttosto competenti (che, tendenzialmente, sanno
piuttosto bene di cosa parlano) e su cui vengono prodotte in
continuazione analisi e statistiche basate su casi reali.
 
Basta leggersi quelle, per farsi una idea di quali siano i vettori a
rischio e la loro incidenza, anche senza far parte delle migliaia di
professionisti di cui sopra...

 limiti molto bassi o una ricaricabile sempre mediamente quasi vuota.
 
In realtà molti circuiti (sempre troppo pochi) prevedono una
autenticazione interstiziale attraverso OTP.
 
Ovviamente, nulla vieta all'attaccante di appropriarsi del numero di
carta ed utilizzarlo su canali che non prevedano quanto sopra, il che ne
limita l'utilità.
 
 
Una alternativa al "non averla" o averla ricaricabile è non utilizzarla
direttamente ma agganciarla a intermediari di pagamento che forniscano
2-factor authentication.
 
Ovviamente, a quel punto effettui i pagamenti attraverso l'intermediario
in questione anziché direttamente attraverso CC, il che può essere
limitativo nella possibilità di scelta su dove effettuare gli acquisti
(ma, dato l'intermediario giusto, neanche molto)...
 

 2-factor authentication.
 
PayPal fa questo?
 
Grazie, le tue osservazioni sono molto giuste e molto vere.
 
 


 
Se vuoi sì:
https://www.paypal.com/us/webapps/mpp/security/security-protections
 
 
Gabriele
 

 limiti molto bassi o una ricaricabile sempre mediamente quasi vuota.
 
Per le carte di credito, l'unica è fidarsi dell'onestà dell'istituto
emittente, che a sua volta deve fidarsi del cliente, il quale segnalerà
solo gli addebiti sospetti o fraudolenti.
 
Il limite cosa significa? Quando esegui un'operazione con la carta di
credito mica paghi tu, tu paghi solo quando ti arriva l'addebito in
conto a fine mese, mentre con una carta ricaricabile in genere il
gestore non risponde di nulla.
 

usb) e agire da lě? potrebbe essere una soluzione accettabile?
 
 
Io utilizzo da windows, anche da Xp, una VM con Lubuntu o Mint, salvata con
Firefox aperto.
 
In genere la uso per ragioni inverse, cioč se devo fare ricerce che mi possono
portare su siti potenzialmente inaffidabili, ma potrebbe essere usata anche per
fare accessi sicuri bank.
 
Questa VM, ogni volta che la attivo si aggiorna regolarmente, e firefox ha gli
stessi plugin che uso su Win, come Noscript e adblock
 
Quindi considerando che con un SSD una VM Lubuntu da VIrtualbox si attiva nel
tempo che ci mette firefox a partire, o anche meno, anche questa puň essere una
soluzione.
 
 
-- 
ciao
  Stefano

 
Bancopopolare ad esempio. Aggiungi che in genere ri-chiedono il token al momento del bonifico. Webank non usa il token ma 32 codici di 4 numeri e ogni volta che entri ti chiede 2 numeri di 1 codice a caso (dei 32). Anche se lo spyware carpisce i 2 numeri con cui sono entrato oggi, domani la banca ne chiederà altri 2. Poi al momento del bonifco ti chiede di nuovo 2 codici a caso poi manda l'sms col codice da inserire e poi ti manda l'SMS di conferma.  2 palle.....

 professionisti piuttosto competenti ......
 
No certo, il malware esiste. Ma qui si parla di un fatto specifico, portare via i soldi dal conto. E qui le garanzie mi sembrano molto più che sufficienti appunto perchè la banca si affida a professionisti e anche lei ha interesse a farti stare tranquillo anche se di pc non capisci niente, altrimenti chiudi il conto ed è peggio pure per loro. Poi in astratto tutto è possibile, ma io non mi posso preoccupare dello sbarco dei marziani, perchè in questo momneto è inverosimile.

 E che malware prenderei? 
 
Dipende dal sito, c'è l'imbarazzo della scelta.
 
 
-- 
ciao
  Stefano

 è inverosimile.
 
Diciamo che, a parte bance estremamente incompetenti o loophole nelle
procedure, oggi come oggi è difficile vedersi svuotato il conto se si è
clienti "home", dato che le contromisure adottate sono piuttosto collaudate:
 
- OTP
- verifica programmatica da parte di operatori umani di operazioni sospette
- identificazione automatica di operazioni "anomale" (es: un bonifico
verso l'Ucraina viene considerato sospetto, se non lo fai abitualmente)
- notifica via SMS delle operazioni disposte (così puoi bloccare
qualcosa che non ti torna)
- etc.
 
 
Il problema principale è (come già accennato) con l'homebanking per
utenze aziendali: OTP sta bene, ma Zeus e derivati lo scavalcano
facilmente, come detto. Le altre contromisure sono estremamente inadatte
ed inefficaci quando le operazioni eseguite sul conto sono dell'ordine
delle diverse decine al giorno con una notevole varianza dei
beneficiari, nonché spesso operate da diverse persone (chi valida le
operazioni di chi?!?).
In sostanza, troppo rumore per riuscire ad estrarre del segnale in
maniera affidabile, e non è pensabile chiamare il cliente 10-20 volte al
giorno per avere conferma delle singole operazioni...
 
 
Cioè, si può, ma il cliente poi si inalbera. Ovviamente, si inalbera
decisamente di più quando una singola transazione che avrebbe potuto
essere fermata in tal modo gli fa sparire 100K€ dal conto...
 
Il risultato, tuttavia, è che se la banca inizia ad essere troppo cauta
in relazioni alle operazioni dei propri clienti, i clienti se ne vanno
altrove, anche se le cautele sono estremamente giustificate.
 
Purtroppo, anche qui, come in gran parte dell'IT, la (relativa) garanzia
di sicurezza non è vista come un vantaggio competitivo dagli utenti.
 
 
In questi casi, quindi, le banche hanno comunque sistemi che cercano di
identificare le operazioni sospette sulla base di altri criteri, ma per
via delle considerazioni di sopra sono costrette ad operare con soglie
molto meno stringenti, ergo la probabilità che l'operazione malevola
riesca a passare sono tutt'altro che nulle...
 
 

 Comunque prima di dare l'ok è saggio controllare sempre l'IBAN e la cifra.
 
Purtroppo, invece, è esattamente quello che fanno Zeus e varianti.
 
Cerca "webinject" con riferimento a Zeus e/o Citadel, troverai
abbondante letteratura.
 
 

 Il sistema è inespugnabile, (i nostri amici ansiosi possono clamarsi)
 
Mi sa che utilizziamo la stessa bnca. :-)
    ..._skipped!_
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-do ut des-
#v-
 
 
 

ed installare dell'altro software (ovvero il "vero malware").
 
Per fare un'esempio, un virus della famiglia "Polizia Postale / GDF /
SarcazzoEntePubblico / etc" per un giorno o due è passato tramite la
pagina 
www.libero.it
. A dire il vero era nel circuito di banner, ma di
fatto bastava visitare la pagina.
 
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

fatto bastava visitare la pagina.
 
Aggiungerei visitarla con i JS abilitati, se era nel banner, con NoScript (e
AdBlock) i banner non partono.
 
 
-- 
ciao
  Stefano

abbondante letteratura.
 
Ho trovato questo:
 
https://www.virusbtn.com/pdf/conference/vb2014/VB2014-Boutin.pdf
 
 
lo leggo con calma, ZeuS sembra tosto.
 
-- 
ciao
  Stefano

>>>>>>>>>>>>>>>>>>>>>>>>
 
Ma cosa cambia? E' vero io faccio 12 bonifici all'anno, una azienda ne fa 
100 al giorno. Ma che io sappia li fa del personale umano che cercherà di 
meccanizzare un po' le procedure ma deve comunque impostare le operazioni a 
mano e quindi può benissimo fare attenzione, magari perdendoci un po' di 
tempo in più. Oppure adesso infili la fattura in pdf in apposita cartella 
della banca e poi provvede lei al pagamento meccanizzato? Dico sul serio 
magari la meccanizzazione è andata oltre quello che immagino.
 
 

Grazie a tutti!
 
 

 quello che immagino.
 
Non è quello il punto (cioè, anche, ma non tanto, almeno).
 
 
Se tu, cliente privato, richiedi un bonifico verso Vietnam o Ucraina,
quello è un comportamento che non ricade nel tuo pattern usuale.
 
Quel che accade lato banca è che il bonifico viene sospeso e
l'operazione è segnalata ad un operatore che ne prende visione
manualmente e, nel caso, ti chiama e chiede conferma.
 
Idem per altre tipologie di operazioni potenzialmente sospette (tipo
bonifici per importi eccessivamente alti, ecc).
 
Questo è poco fattibile nel caso di account aziendali che mantengano
pesanti relazioni commerciali con l'estero (cosa che oramai è la norma).
 
Anche perchè, per determinate aziende, wire transfer da 300K€ sono la
norma, ergo la soglia di allarme è sproporzionatamente alta se
confrontata all'utenza domstica.
 
 
Inoltre, il fatto di avere un "referente cui domandare conferma" è
spesso poco applicabile, dato che se le operazioni sono segmentate tra
diversi addetti non tutti possono essere informati di ogni singola
operazione.
 
 
Questo impatta doppiamente se si considera che esistono diverse realtà
aziendali in cui la sospenzione temporanea nell'esecuzione di un
wire-transfer non è sostenibile, in quanto ne dipende il buon esito
della transazione commerciale in cui esso rientra; questo limita la
possibilità d'intervento della banca per quanto concerne la salvaguardia
delle transazioni del cliente, sicché sono isure che vengono applicate
solamente ad operazioni particolarmente sospette.
 
 
Ci sono poi altre ragioni, ma non credo siamo in topic.
 
 
La sostanza, comunque, è che le cose lì sono più complicate, e che le
conseguenze (in termini di mero impatto monetario!) della singola
transazione malevola che dovesse passare tra le crepe del sistema sono
estremamente più onerose.

 
 
Mhhh.... ma non può esserti completamente trasparente. Almeno andando in
"processi in corso" dovresti vedere cosa sta succedendo. Oppure si dovrebbe
poter dire alla macchina: "da questo momneto non attivare altri processi oltre
quelli attualmente in corso". Ma esiste un comando del genere?  
 
Ora che ci penso dovrebbe però esserci un controllo che risolve davvero tutto
anche senza SMS. Dopo aver disposto il bonifico la banca lo mette "in sospeso"
per alcune ore durante le quali puoi vederlo e annullarlo. Tu lo apri, controlli
i dati, se scopri che è andato  a Panama lo annulli. Non credo che il malware
trucca pure quello che la banca ti fa vedere..... 
 


Trucca quello che vedi attraverso il browser della macchina infetta.
 
Ovviamente, qualsiasi altro canale rimane del tutto inalterato.

 abbondante letteratura.
 
<SIGH> e dire che Zeus e compagnia "cantante" (si fa per dire) sono
oramai in circolazione da anni; come scrivevo altrove, tutto quello che
fanno le banche è pararsi il "coso" <g> in modo da non poter essere
ritenute responsabili nel caso di perdite; ma se la cosa è legalmente
valida, dal punto di vista delle utenze, non è assolutamente
sufficiente, specie considerando l'evoluzione del malware e delle
tecniche di "phishing" e lo scarso (se non nullo) livello di update da
parte di istituzioni che, in un modo o nell'altro, maneggiano denaro
(degli *ALTRI*); come scrivevo, la cosa non mi stupisce, dopotutto, dal
punto di vista legale quelle istituzioni sono a posto e quand'anche non
lo fossero, nei confronti di un "fantozzi" qualsiasi potrebbero
avvalersi di schiere di avvocati, quindi, alla fine della fiera, se ne
fregano se la nonnina pensionata si trova con il conto azzerato ... a
meno che la nonnina in questione non sia parente di qualcuno che inizia
a sollevare "polverone" rendendo visibile il problema :P