Newsgroup: it.economia.borsa.trading-online
Titolo: ancora su FINECO - il sito non e` sicuro

Cmq ...
A parte che i problemi di produzione e rilascio possono andare male,
(e caliamo un
velo pietoso) la cosa piu` grave e` che il sito fineco NON e` per
niente sicuro.
Non mai usato la parte trading e quindi non posso dire se fosse
sicura, ma la parte banking lo
era. ORA invece non e` piu` sicuro:
1- La home page NON e` in sessione sicura. Voi mettettete il vostro
bel codicillo e chissa a chi viene
     mandato
2- Il connessione passa e ripassa da sicura a non sicura... ora se uno
mette di ignorare tutti i messaggi
     ok,... se uno invece e` un po pignolo (giustamente)... e`
sommerso di avvertimenti.
     Alcune volte erano ingiustificati, ma non posso perdere mica 5
minuti per controllare quello che succede
3- in ogni caso il mio lucchettino sparisce e ricompare .... dobbiamo
fare a fidarsi?
Giorgio Vecchiocattivi

anche a me succede
appena inseriti i codici si entra in una pagina
non protetta
come mai?

A quanto pare e' codificata solo parte della pagina, quella a rischio, per
evitare di rallentare troppo la schermata. E la cosa mi pare ben fatta.
Il problema e' che da ieri io non riesco a vedere le quotazioni!

 ha scritto nel messaggio
news:9qhaft$f13$1...@nreada.inwind.it...

Guardate che è protetta, provate ad aprire il frame su un' altra pagina e
compare il lucchetto

Dal sito Fineco:
***
Sicurezza e protezioni
Fineco utilizza il sistema di criptazione SSL 128 bit, basato sul
protocollo Secure Sockets Layer.
Tutte le pagine applicative vengono scaricate utilizzando tale
protocollo che ne garantisce l'integrità e la provenienza.
L'inserimento di tutti i dati personali, a partire dai codici per
l'accesso (login), è perciò criptato e sicuro.
In fase di login i codici sono trasmessi in SSL anche se la pagina è in
chiaro, perché l'SSL scatta durante l'invio.
***
Saluti
Pelko Gianfranco
Il sito del NewsGroup? 
www.3ding-on-line.it

No.
Sono bufale.
La home page non e` sicura.
Ossia un giorno o l'altro potrebbe arrivarvi una pagina
in cui la mascherina invece che puntare a una pagina
"sicura" di fineco punta a un bel sito sperduto in armenia
e voi gli spedite ridenti e gaudenti la vostra userid e la vostra
password. E sorvoliamo su quanto sia tecnicamente facile da fare
questa cosa.
Seconda cosa.
E' inutile che mi dicano che il frame e` sicuro. Ci posso credere.
Ma io voglio vedere il lucchettino. Perche non mi posso mettere ogni volta
a fare 'page info'. E inoltre entrare e uscire da sessioni protette (come
attualmente
fa la nuova versione) oltre a far venire i nervi potrebbe tranne in inganno.
(ossia c'e' una sequenza di
'stai per lasciare la sessione protetta'
'stai per entrare nella sessione protetta'
ad ogni azione che uno compie)
Quindi quello che e` scritto qui sotto e` senz'altro vero.
Tuttavia questo modo di fare le cose denota una 'netta' incompetenza
da parte di fineco. Certo poi l'operatrice al telefono mi ha detto
di fidarmi, ma si sa io mi fido solo della mia mamma :-)
Pelko wrote:
 > Dal sito Fineco:
 >
 > ***
 > Sicurezza e protezioni
.....

 Sono bufale.
Propendo per la tua tesi, purtroppo.
Comincio a credere che i soldi stiano finendo... se si arriva a
risparmiare su certificati e criptazione...
--
Saluti, Fred
www.3ding-on-line.it

 La home page non e` sicura.
Stiamo indagando. ;-)
Anche noi abbiamo dei dubbi.
Comunque chiunque ci possa dare una man sul ng, si faccia avanti.


 questa cosa.
Saro' un ingenuo, ma mi rifiuto di credere che una banca con 300.000 clienti
e il 15% del trattato in borsa, passi ad una procedura insicura di accesso.
Perche' non mandi una mail al servizio tecnico?
bye

 
;-(
Mi rifiutavo di crederci anche io. ma ti assicuro che e` cosi (su
it.comp.sicurezza.varie abbiamo affrontato piu` tecnicamente
il problema!)
La mail ovviamente l'ho mandata. Ho parlato (infruttuosamente)
anche con le signorine al telefono... che mi hanno detto di mandare
una email...
Giorgio

 il problema!)
La pagina di login non e' criptata (non ha nessun certificato), ma l'invio
di codice e password avvengono tramite https all'indirizzo:
https://www.fineco.it/fineco/PortaleLogin
Basta guardare il codice html della pagina.
Il solo fatto di vedere o non vedere il lucchetto in fondo alla pagina non
serve a nulla, anche se ci fosse bisognerebbe tutte le volte che si entra
fare doppio click sul lucchetto, e controllare che appartenga realmente a
Fineco e non a qualche sito di hackers.
Quindi codice e password viaggiano CRIPTATI.
Il problema pero' e' questo:
immaginiamo un PC pubblico, ad esempio un Internet Cafe'.
Andiamo su 
www.fineco.it
, inseriamo userid e password, rispondiamo NO alla
eventuale domanda "VUOI SALVARE LA PASSWORD PER NON DOVERLA DIGITARE DI
NUOVO LA PROSSIMA VOLTA" e in teoria siamo tranquilli che nessun altro dopo
di noi potra' carpirci la password.
Per maggiore sicurezza, guardiamo il codice HTML della pagina, e vediamo che
in effetti punta a 
https://www.fineco.it/fineco/PortaleLogin
Se pero' qualche utente smaliziato fosse andato a smanettare dentro il file
HOSTS del PC, inserendo una riga dove si istruisce il PC a redirigere ogni
richiesta diretta a 
www.fineco.it
 verso una altro indirizzo IP, ad esempio
quello di un server web di hackers, dove esiste una home page IDENTICA a
quella di Fineco, allora UTENTE e PASSWORD finirebbero su quel server web,
che potrebbe poi rispondere con un generico messaggio di errore del tipo
"SIAMO SPIACENTI, IL SERVIZIO E' FERMO PER MANUTENZIONE - RIPROVA PIU'
TARDI".
Ricapitolando, la privacy del nostro conto corrente puo' essere facilmente
aggirata. L'unica cosa sicura rimane il PIN, come il Bancomat, senza il
quale non e' possibile fare nessuna operazione dispositiva.
Ciao
Antonello

 aggirata. L'unica cosa sicura rimane il PIN
Mi dici che i migliaia di miliardi spesi per la sicurezza sono inutili e
che il PIN è tutto?
ROTFL!!! :-(
Almeno da parte mia blocco ogni attività con Fineco, fino a quando non
ho rassicurazioni più garantiste per la sicurezza dei miei soldi.
Anzi attendo una comunicazione in merito da parte loro.
Saluti
Pelko Gianfranco

 quale non e' possibile fare nessuna operazione dispositiva.
Come la giri la giri e' un'altra storia di ordinaria follia.
L'identita' e la password di entrata non sono protette a dovere.
Rimane il PIN come ultimo baluardo prima della....pazzia completa in termini
di sicurezza da parte di fineco.
Una follia iniziata con l'unificazione dei codici di trading con quelli
bancari e proseguita con questa inacettabile leggerezza da parte di fineco.
--
Alberto Antonelli


Mi ricorda tanto quella bellissima e purtroppo storia vera di
truffatori napoletani che il venerdi' sera avevano messo su uno
sportello bancomat finto, e dalla domenica sera al lunedi se ne
andavano a spendere i soldini delle ignare persone.....
Mi occupo, un po' per lavoro un po' per passione di sicurezza
informatica, e come spesso affermato l'unico computer sicuro e
inattaccabile e' quello messo dentro ad una camera blindata, staccato
da qualsiasi rete e spento!
Chiaramente e' inutilizzabile e per passare a qualcosa di fruibile
bisogna giocoforza accettare dei compromessi: quelli di Fineco allo
stato attuale delle cose, non sono un granche', nel senso che si
potrebbe/dovrebbe fare qualcosa di meglio.
|----
|Stefano Orsi
|Email: 
s.orsixxxatogcs.com
*** Remove xxx from Email address and switch at with @ ***

Anzi attendo una comunicazione in merito da parte loro.
  Io ho aperto il conto a febbraio e da allora la giacenza e'
insufficiente persino ad attivare la carta di credito: non appena ho
visto che una volta entrati non esistevano ulteriori livelli di
protezione per le operazioni dispositive non sono riuscito a fidarmi
completamente.
  E dire che basterebbe, a mio avviso, cosi' poco... Innanzitutto far
fare il login non dalla pagina che serve per 'farsi belli' con
visitatori potenziali clienti ma da una pagina semplice, scarna, senza
frame, immagini, tasti etc. da prelevare da qui o da li', senza far
rimbecillire il browser, il suo 'lucchetto' e la sua barra di stato,
per verificare che si rimane dove si e' richiesta la pagina di
accesso. E dare la possibilita' di metterla nei 'bookmark', senza
sorbirsi le menate della homepage. 
  Poi, al login, un bel messaggio che ti dica: "L'ultimo accesso e'
avvenuto il tal giorno alla tal ora". Cosi' se circa in quel momento
eri con l'amante ti viene una strizza come se ti avesse beccato la
moglie. Se un malfattore ha ottenuto username e password ma non ancora
il PIN, e' probabile che voglia prima sincerarsi che funzionino e che
la gallina sia veramente 'da uova d'oro', prima di concentrarsi a
monitorare (sapra' lui come fare...) il traffico della vittima
designata. Con la notifica al login ed un po' di memoria ci si puo'
accorgere di brutte avvisaglie. Ora neppure quello...
  E soprattutto, siccome oggigiorno chiunque possiede un telefono
cellulare GSM, dare la possibilita' di fissare una cifra per i
movimenti in uscita oltre la quale si riceva sul terminale un SMS
contenete un codice per effettuare l'operazione, valido per UNA SOLA
ora (o meno...) ed utilizzabile UNA SOLA volta. Non si ha il telefono?
Allora il codice arrivi per e-mail, tanto per usare Fineco si deve
gia' essere collegati no? Gli SMS costano? Siccome bonifici
multimilionari non e' che se ne facciano 10 al giorno... voglio
dire... Che il costo me lo stornino dal conto... Non vuoi pagare 300
lire su un bonifico dai tot milioni in su? Affari tuoi...
  Tale sistema non solo protegge, ma avverte (come il mex al login) se
qualcosa di strano sta avvenendo. La soglia per comodita' deve essere
modificabile, cosi' se uno si vuol comprare il PC o l'automobile sul
Web puo' alzarla e poi riabbassarla. Il lestofante puo' alzarla lui e
poi bonificarsi tutti i soldini del conto? Benissimo... Allora,
siccome di fare bonifici 'corposi' non viene la fregola sul momento ma
e' una operazione ponderata, vorra' dire che la modifica verra'
segnalata con un SMS e, ovviamente, passeranno tot minuti prima che
sia possibile rieffettuare operazioni in uscita con la nuova soglia:
se uno riceve il mex e cade dalle nuvole ha il tempo per telefonare e
bloccare tutto.
  Prima delle vacanze estive sono stato contattato sul cellulare dal
Fineco Point a me piu' vicino, per partecipare ad un incontro con i
clienti e conoscere le loro esigenze, i loro consigli. Ci sono andato,
le cose che ho scritto sopra le ho proferite tali e quali ai
funzionari, pensando che fossero state almeno recepite. Ritorno dalle
vacanze e ricevo l'e-mail della nuova versione del sito,
dell'unificazione dei codici (miseria...) e dal 14 ottobre scopro
quanto hanno tenuto in conto le parole di un cliente (sono certo di
non essere stato l'unico a parlare di queste cose, di interfacciamento
con QT, di RealTick etc.).
  A questo punto penso che una volta uscito dalla filiale mi abbiano
considerato un paranoico. Certamente la probabilita' di intrusioni e'
bassa, ma non vorrei che si seguisse l'italica moda del "finche' non
ci scappa il morto" per utilizzare sistemi che, secondo me, darebbero
una ottima sicurezza con davvero poca spesa di implementazione e di
gestione (se non sono in grado di inviare SMS e/o e-mail a tutti quei
clienti che in uno stesso istante effettuano bonifici multimilionari
allora sono curioso di sentire i commenti di chi usa il Moving o gli
avvisi di 'stop loss').
  Grazie per l'attenzione e scusate se mi sono dilungato...
                                             Phaker©