Newsgroup: it.economia.borsa.trading-online
Titolo: TOL, software e sicurezza (hop-hop ding-ding)

La frenesia della corsa al TOL ha prodotto l'inevitabile: SIM e banche
hanno adottato software fatto in fretta, fragile e poco performante.
Sono in corsa le new entry, che cercano di portar via clienti a banche e
SIM che operano da tempo. Sono in corsa le banche, che per anni hanno
fatto cartello, ed ora sembrano dover affrontare (una qualche)
competizione.
Dover uscire con applicazioni e servizi al piu' presto a tutti i costi
ha pero' un costo elevato: il software e' di bassa qualita' sotto
numerosi aspetti; ovvero ergonomia, affidabilita', disponibilita',
prestazioni, funzionalita'. E non si tratta di applicazioni con cui le
farmacie e le palestre fanno tabelle dietetiche. E non si tratta neanche
di Netscape Navigator o di Microsoft Office. Si tratta di applicazioni
che trattano soldi e strumenti finanziari, hop-hop ding-ding!
Precisamente, soldi e strumenti dei clienti. I nostri soldi.
Dovrebbe essere chiaro, anche a chi non fa software, che certo genere di
applicazioni quando malfunziona puo' avere conseguenze disastrose.
Qualcuno di noi si farebbe operare alla cornea da un laser guidato da
software fatto in fretta e furia? Prendono ragazzini dall'universita',
tre settimane di corso Java, e gli fanno sviluppare parte dell'avionica
di un aereo... ci salireste su quell'aereo? Mentre siete sul Pacifico,
salta fuori un 
   "comp.java.lang.Exception, array index out of bound"
... bello? A me, la stessa cosa e' saltata fuori mentre cercavo di
vendere titoli con un TOL.
In tanti tolleriamo "sporadiche" malfunzioni nel software che usiamo, a
casa o al lavoro, perche' hanno conseguenze limitate, e perche' software
piu' affidabile costerebbe di piu' (e avrebbe tempi di sviluppo piu'
lunghi). Evidentemente, troppo pochi sono disposti a pagare di piu'
per avere applicazioni di office automation piu' stabili e sicure, per
cui i prodotti piu' costosi avrebbero poco mercato, e nessuno li
sviluppa.
Spero' pero' che l'abitudine alle malfunzioni di certo software non
ci porti ad accettare l'inaffidabilita' di qualunque software, per
esempio quello dei TOL.
Mi sembra che numerosi fornitori di TOL continuino a concentrare i loro
sforzi su attivita' commerciali, promozionali e pubblicitarie. Gli
helpdesk ed i promotori promettono la disponibilita' di quel servizio o
di quell'altro miglioramento, mentre neanche si intravede il momento in
cui saranno realmente disponibili. L'importante e' tranquillizzare il
cliente, affinche' non sia tentato di aprire un contratto con qualcun
altro.
Credo che il tempo e la competizione lavorino a favore dei clienti.
Diversi provider di TOL contano sul fatto di essere in pochi ad offire
certi servizi, l'accesso a certi mecati, etc.. Mano a mano che altri
"competitor" entrano, e che sempre piu' offrono accesso a servizi e
mercati, sempre piu' il cliente potra' scegliere chi gli offre le
condizioni migliori. Anche in termini di affidabilita' del software, ed
efficacia dello helpdesk. A meno che, naturalmente, anche chi fornisce
TOL finisca col fare cartello.
Mentre sui newsgroup leggo spesso lamentele relative alla qualita' del
software ed alla efficacia degli helpdesk, praticamente mai leggo di
preoccupazioni relative alla sicurezza. Questa apparente poca attenzione
dell'utenza verso aspetti di sicurezza mi spaventa.
Man mano che sempre piu' persone ed aziende gestiranno le loro finanze
via Internet (o via telefono), sara' sempre piu' conveniente, per un
malintenzionato, aggirare i (deboli) meccanismi di sicurezza e mettersi
dei soldi in tasca. E saranno sempre piu' soldi, il che rendera' il
rischio di un'azione criminale sempre piu' appetibile.
Ad esempio, e' chiaro che una coppia login-password che cambia raramente
e' una protezione debole. Una password che e' sempre la stessa, e che
devo recitare per telefono all'addetto quando chiamo lo helpdesk, e' una
protezione debolissima. Le tecniche per garantire l'identita', la non
repudiabilita', la sicurezza e l'integrita' sono gia' note, e
implementate nella tecnologia corrente. Una one-time-password, magari
calcolata da una smart-card in mano al cliente, puo' renderne
l'identificazione molto piu' sicura. Soprattutto, chi ascolta o riceve
la telefonata non potra' usarla per fini illeciti. La firma elettronica
permette di redarre documenti elettronici che possono essere piu'
difficili da falsificare, repudiare o intercettare della controparte
cartacea. Credo che in Italia gia' esista la legislazione per dare
valore legale a documenti firmati elettronicamente. Perche' i TOL non
permettono di scaricare eseguito, ricevute, estratti conto ed affini
firmati elettronicamente? Sarebbero documenti sicuri ed inoppugnabili,
con valore lagale, senza neanche il costo delle spese postali
(magari, qualche bollo allo stato da pagare, come per certi documenti
cartacei). Perche' i TOL non mettono in piedi nodi di posta elettronica
certificata, che potrebbe avere il valore legale di una raccomandata?
Data la inaffidabilita' del software di tanti TOL, ricevere
immediatamente documentazione inoppugnabile delle operazioni effettuate
e' particolarmente desiderabile.
Vedo due sole possibilita', perche' i fornitori di TOL adottino misure
di sicurezza stringenti: glielo chiedono i clienti (che altrimento
cambiano fornitore), o vengono costretti da norme e leggi. Dato che la
clientela mi sembra, pultroppo, insensibile all'argomento,  c'e' da
sperare che si muova la CONSOB. Oppure, sara' il primo Grande Furto
Informatico a danno dei provider e dei loro clienti a sensibilizzare
tutti quanti.
Nel frattempo, farei una raccomandazione all'utenza del TOL. Quando
mandate una lamentela relativa a qualcosa di veramente grave, fatelo per
lettera raccomandata, non per e-mail. La e-mail non ha valore legale.
Inoltre, secondo quanto stabilisce la CONSOB, la SIM o la banca che
riceve la vostra lamentela scritta ha l'obbligo di rispondervi (per
lettera scritta). Se la risposta non vi soddisfa, o non arriva proprio,
potete mandare la cosa in escalation presso la CONSOB. A questo
riguardo, consiglio un esercizio che puo' darvi qualche soddisfazione:
chiamate il customer service del vostro provider, e chiedete l'indirizzo
cui scrivere per mandargli un esposto. Quando cercano di condirvi via
("ci mandi una mail"), annunciate che non solo inoltrerete
direttamente alla CONSOB l'esposto che avreste voluto mandare a loro,
ma inoltrerete alla CONSOB un secondo esposto, perche' loro non vi
hanno fornito l'indirizzo cui scrivere. 
Niente di personale, eh! I soldi sono soldi... hop-hop ding-ding!
Saluti,
   Francesco G. Fantauzzi

Complimenti per il tuo contributo.
La sicurezza delle transazioni e la certezza della documentazione sono degli
aspetti trascurati dalle sim online.....ed e' vero cio' che tu dici che
anche i clienti non sembrano dare molta importanza a questi aspetti.
Ogni volta che opero telefonicamente ,ad esempio, con fineco mi preoccupa
non poco il fatto che devo enunciare sia codice utente che trade code
 peraltro di SOLE tre cifre) PER INTERO.
Cosa dire poi della "documentazione" su pagine web dell'estratto conto e del
dossier titoli che hanno in calce la sospetta dicitura : " il presente
documento ha valore legale...........in caso di manipolazione FA FEDE il
database di fineco sim SPA" . Non so quanto valore legale possa avere ,allo
stato attuale della legislazione, un documento "stampabile" a casa propria
se poi puo' essere contestato tranquillamente in quanto " manipolato" se
l'unico fatto certo e' quello che sta scritto sul database di una sim.
Cosa dire poi dei bonifici effettuati in un "unico calderone" del "conto
terzi" senza uno straccio di ricevuta dell'avvenuta ricezione.
Cosa dire poi del calcolo sul capital gain .....cifra che viene
"improvvisamente calcolata" ma MAI documentata.
In quasi un anno di uso del servizio fineco non ho MAI ricevuto UN SOLO
"pezzo di carta" di attestazione di operazioni svolte o di contabilita'
varia......hai perfettamente ragione c'e' da rabbrividere   pensando ad una
certa superficialita' nella sicurezza delle operazioni svolte ed alla
mancata documentazione legalmente CERTIFICATA che abbiamo a disposizione per
eventuali contestazioni.

 firmati elettronicamente?
Nel caso del paschihome il sito è certificato da Verisign, che è un'autorità
di certificazione riconosciuta. La connessione è https con autenticazione
forte (128bit).
Saluti sicuri

 forte (128bit).
Il problema in discussione e' la certezza della documentazione ....credo.
Quello che noi possiamo "stamparci a casa nostra ha un valore legale ,credo,
relativo e dubbio.......altra cosa e' la firma elettronica sulla
documentazione che sarebbe un atto CERTO e di indubbio valore legale.

 valore legale a documenti firmati elettronicamente.
** Purtroppo ancora no! :-(
** E non ascoltare le frottole dei fornitori di TOL, quando dicono che la
videata che stampi ha valore legale.
** Tutto *@@*.
** Fa fede quello che hanno nel loro database (sperando che sia giusto).
Saluti
Pelko Gianfranco

 forte (128bit).
Fai un po' di confusione.
Il Verisign serve solo per la tua sicurezza.
Non per una certificazione legale.
E ormai lo usano tutti, è uno standard.
Seguono specifiche tecniche.
Saluti
Pelko Gianfranco
***
SSL sono le iniziali di Secure Socket Layer. E' uno standard emergente
sviluppato da Netscape Communications per trasferire informazioni in maniera
sicura in Internet. SSL consentira' al browser dell'utente di connettersi al
vostro sito web e negoziare in modo trasparente un canale di comunicazione
sicuro. Una volta stabilita la connessione, le informazioni, come numeri di
carta di credito, possono venire scambiate senza possibilita' da parte di
terzi di decodificarle.
Vi sono questioni importanti riguardanti l'uso delle comunicazioni sicure di
cui si deve essere a conoscenza. Ogni sito web (per esempio
www.VOSTRODOMINIO.com
) che voglia utilizzare SSL dovra' ottenere un
certificato di autenticazione "firmato" da Verisign. Potete trovare
ulteriori informazioni sul processo di registrazione certificata a:
http://www.verisign.com/apachessl-us/index.html

 documentazione che sarebbe un atto CERTO e di indubbio valore legale.
E' vero, e sai bene che in Italia tutto c'è (ma proprio tutto) fuorchè
certezza del diritto rispetto a questo problema. :-)
Però, avere un certificato server a 1024 bit e un certificato client a 128,
stimolerebbe un giudice a propendere, in assenza di più forti ragioni, per
una qual certa "ufficialità" della cosa.
In presenza di leggi (com'è auspicabile), tutti dovranno adeguarsi allo
standard https, consentendo ai traders la garanzia dell'informativa e delle
operazioni.
Saluti crittografati

 una qual certa "ufficialità" della cosa.
I certificati di cui parli, servono soltanto a dare sicurezza, alle due
parti, nel momento del collegamento.
Poi tutto si dissolve. ;-)
E che se ne fà un giudice, di un documento informatico (o cartaceo) *non
riconosciuto* dalla legge, e falsificabile da chiunque se ne intenda un po'
di informatica?
Gli utenti da questo lato sono completamente sprotetti, almeno fino a quando
andrà in vigore la *firma eletttronica*.
Devono fidarsi del fornitore di TOL.
Saluti
Pelko Gianfranco

Spostando lo sguardo a fra qualche mese, temo la proliferazione di utenti di
TOL collegati al web tramite ADSL (quindi utenti a indirizzo IP fisso) e
quindi appetibili come basi di partenza per portare attacchi hacker ai
server dei TOL .
Cosa accadrebbe all'utente ADSL che inconsapevolmente ha partecipato al
blocco del server del proprio TOL?
Siamo sicuri che potra' sbandierare la propria "buonafede" e non essere
accusato del danno economico provocato ad altri traders (magari piu'
previdenti) ed alla TOL?
chimoffafa'

 eventuali contestazioni.
Sono abbastanza in accordo pero' ci sono alcune osservazioni da fare:
1) Se cominciassero ad esserci diverse operazioni "losche" da parte di
Fineco, si verrebbe a sapere molto in fretta e perderebbero molti
clienti: perche' perdere un sicuro guadagno onesto per uno incerto
disonesto? L'esistenza di questo e altri newsgroup e' una buona
garanzia.
2) Esistono altri TOL (credo Directa, ad esempio) che inviano la
documentazione via posta tradizionale, dietro pagamento. La concorrenza
che esiste permette di fare queste scelte. D'altra parte chi ti offre la
possibilita' di partecipare a qualche IPO del Nasdaq a parte Fineco (e
permetterti un +205% il primo giorno come con Radvision)? (la domanda
non e' retorica, io ho esperienza solo con Fineco, quindi possono
esserci altri TOL che lo permettono). Occorre fare un bilancio globale
di pro e contro e decidere con quale TOL stare.
La scelta di Fineco di offrire il trading senza dazi in ingresso e in
uscita mi sembrano un aiuto nel senso di potersene andare in qualunque
momento.
Riassumendo: Fineco ha molti difetti, ma anche molti pregi. Ultimamente
la situazione e' migliorata moltissimo, per cui magari in futuro
arriveranno anche dei miglioramenti dal punto di vista della
documentazione e della sicurezza. Potresti comunque considerare Directa
come alternativa: leggendo le informazioni che danno sul sito riguardo
la sicurezza, mi fa pensare che siano un po' piu' attenti.
PS Comunque era "hop-hop-hop din-din-din" :)
MayI
-----
"Stupido e' chi lo stupido fa" - Forrest Gump

 blocco del server del proprio TOL?
Presumo niente, perchè, in caso di indagine troverebbero a bordo qualche
*back door*, installato furtivamente da qualche hacker.
Saluti
Pelko Gianfranco

 Perciň c'č lo stesso rischio di chi ha il flat, fenomeno piů di massa. ;-)
Scusa Pelko ma tu pensi che sia cosi' difficile per un hacker ottenere il
tuo ip , anche assegnato dal server, durante il tuo collegamento?......in
fondo sono da "ricercare" solo le ultime tre cifre

cifre)
Anche il mio e' di cinque ma ........vabbe' proprio per sicurezza evitiamo
altri particolari ;-)

 pronunciare in toto al telefono.
Solo per precisare che:
-- per accedere al Tol Fineco (HTML) occorre inserire il cod. utente,
la pwd e, poi, un ulteriore codice.
Il primo ed il terzo dato possono venire richiesti dagli operatori in
alcuni casi, ma la *pwd* non mi e' stata mai chiesta ne' va mai detta.
-- se si attiva il BankUp vengono rilasciati un'altro codice ed
un'altra pwd.
Saluti, Fred

 fondo sono da "ricercare" solo le ultime tre cifre
Non ho detto che non può farlo.
Ma ha la *stessa* difficoltà (o se vuoi facilità) di chi è in flat o sta
un'ora attaccato in rete.
Comunque non è facile.
E un'hacker, se fatica deve fare, sceglie obbiettivi più consistenti. ;-)
Il discorso cambia, se uno ha lo stesso IP fisso, ed è tanto stupido di non
prendere sicurezze come server administrator, magari installando un
firewall.
Saluti
Pelko Gianfranco

 un'altra pwd.
Nulla da obbiettare per quanto riguarda la sicurezza della operativita' on
line; il problema vero e' la "superficialita'" con la quale si accede al
servizio telefonico.
Nessuna banca telefonica ti fa pronunciare a voce e per INTERO il tuo trade
code .......normalmente si chiedono due numeri del trade code ( di almeno
cinque cifre) .....in pratica via telefono si ENUNCIANO DIRETTAMENTE  il
nome e cognome, il tuo codice utente e il tuo trade code....TUTTO IN CHIARO.
Non mi pare molto "sicuro " come metodo.....l'operatore ( o l'eventuale
malintenzionato che intercetta la telefonata) NON DEVE sapere per intero il
tuo profilo per poter operare.
--
Alberto Antonelli

 servizio telefonico.
Su questo ''non ci piove''. Era solo per 'addolcire' le tante pillole
amare che Fineco continua a far trangugiare ai propri utenti.
L'ultima in ordine di tempo, amarissima, quella del ''Fineco Moving'',
la compravendita su cellulare GSM passato -- inopinatamente e con
*due* giorni di preavviso -- da totalmente gratuito a totalmente
oneroso. :-((
Ciao, Fred