Newsgroup: it.comp.sicurezza.varie
Titolo: Internet Bankink Firefox e addon

Secondo voi sarebbe utile usare un profilo pulito con FF per accedere 
all'internet banking, avendo molti addon installati che potrebbero creare 
problemi, specialmente quelli tipo Ghostery e Adblock plus?
 

problemi, specialmente quelli tipo Ghostery e Adblock plus?
 
Io uso FF con Ablock e Noscript, nessun problema con il banking.
 
-- 
 
Byebye from Verona, Italy
 
Bernardo Rossi

 Io uso FF con Ablock e Noscript, nessun problema con il banking.
 
neppure io non  ho problemi però io mi riferivo se a livello di sicurezza 
fosse meglio non avere addon installati

 fosse meglio non avere addon installati
 
Secondo me non cambia nulla, perché adesso con la PSD2 è obbligatoria 
l'autenticazione con almeno due fattori indipendenti tra di loro e 
associabili a una determinata persona.
Nel caso specifico di accesso da PC, oltre a nome utente e password è 
richiesta un'altra operazione indipendente dal PC, come autenticazione 
in-app o via SMS o scansione di codice QR da un cellulare verificato.
 
-- 
Saluti
VITRIOL

 ha scritto:

Per fortuna con Unicredit posso ancora usare il token.
 
-- 
ciao
  Stefano

 Per fortuna con Unicredit posso ancora usare il token.
 
In teoria non rispetta la PSD2, perché il token hardware non può essere 
inequivocabile associato a una persona.
 
-- 
Saluti
VITRIOL


per sentito dire i token saranno eliminati...

 per sentito dire i token saranno eliminati...
 
Veramente dovrebbero essere già stati eliminati dal 14 settembre.
 
-- 
Saluti
VITRIOL

 Veramente dovrebbero essere già stati eliminati dal 14 settembre.
 
eppure in ditta  ce ne sono ancora in uso

 messo in uso un token con impronta digitale.
 
questa mi giunge nuova ma potrebbe essere

 questa mi giunge nuova ma potrebbe essere
 
Sarebbe anche compatibile con la PSD2, perché a questo punto 
diventerebbe un dispositivo direttamente associabile all'azione del 
titolare del conto.
 
-- 
Saluti
VITRIOL

inequivocabile associato a una persona.
 
Be', anche il cellulare, a dire la verità, tanto univoco non è.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

 Be', anche il cellulare, a dire la verità, tanto univoco non è.
 
Dovrebbe esserlo, e la banca ha verificato che quel numero (spesso anche 
il dispositivo) è associato al correntista che dichiara di esserne in 
possesso.
Se poi lui il telefono sul quale riceve gli SMS OTP della banca lo 
lascia in mano a cani e porci senza alcun riguardo, la banca gli 
contesterà la cattiva custodia delle credenziali di accesso e che per 
loro le eventuali transazioni sono state fatte correntemente. E' come 
consegnare a una terza persona la carta con un post-it con scritto il 
PIN appiccicato sopra.
Comunque, rigorosamente IMHO, a livello di sicurezza considerando 
solamente la possibilità di uso improprio da parte di soggetto non 
autorizzato: Autenticazione in-app > SMS OTP > Token fisico.
 
-- 
Saluti
VITRIOL

 Dovrebbe esserlo, e la banca ha verificato che quel numero (spesso
 
Numero ? Se parliamo di internet banking... a che numero ti stai
riferendo; all'indirizzo IP :D ?
 

Il 22/10/19 13:49, Mimmo ha scritto:

Chi lo sa... solo che i vecchietti come faranno ad accedere online se 
sono stati abituati al token e l'sms te lo fanno pagare "lacrime e sangue"?
Vedremo, anch'io ho sentito questa voce. Intanto finché dura...

 
 
E dal punto di vista della sicurezza, a parte riconoscere l'utente, cosa 
cambia visto che il token è stato eliminato per altri motivi?!

 cambia visto che il token è stato eliminato per altri motivi?!
 
Quali altri motivi? Ufficialmente è stato eliminato perché non rispetta 
la direttiva PSD2, che, tra le altre cose, impone di usare due metodi di 
autenticazione indipendenti tra di loro e associabili a un determinato 
utente.
Il token fisico non poteva essere associato a un determinato utente, 
chiunque ne veniva in possesso poteva generare un codice valido 
semplicemente premendo il pulsante.
Però sono curioso di conoscere gli altri motivi :-)
 
-- 
Saluti
VITRIOL

 eppure in ditta  ce ne sono ancora in uso
 
AFAIK, i token fisici sono stati eliminati per i privati, ma non per le
aziende, dove restano in uso, anche se cambia la tipologia: non è più un
semplice generatore di codici in base al time-stamp, ma richiede anche
un PIN per poter generare (la utilizzerà come "salatura" nel keygen).
 
Documentazione di alcune banche:
https://www.bancadelpiemonte.it/i-cambiamenti-introdotti-dalla-psd2/
 
https://www.popolarebari.it/content/dam/bpb/Agenzi@bpb%20Aziende_Guida%20per%20Token%20Fisico.pdf
 
 
 
Ciao,
un TJL73 ed è equivalente al keygen su smartphone...
 
-- 
"Il numero più completo è il 73. Il 73 è il 21° dei numeri primi.
 Il suo speculare (37) è il 12° e il suo speculare, il 21, è il
 prodotto di 7 per 3. Inoltre, convertito in binario, è un
 palindromo, in quanto diventa 1001001".               -- Sheldon Cooper