Newsgroup: it.comp.giochi.simulatori.volo
Titolo: Bancarella Aeronautica

Salve gente...ho appena visitato il sito della Bancarella Aeronautica...
però ho notato una cosa che a qualcuno potrebbe far rizzare i capelli  :-)
Se andate nella pagina "Come Ordinare" alla fine del modulo c'è la
possibilità di scegliere la tipologia di pagamento. Volendo si può pagare
tramite carta di credito. L'utente inserisce il numero e tutto il resto e
poi spedisce il form. Peccato una piccola insignificante mancanza (da
considerare grave) : la pagina in questione non è protetta! Se ci fate caso
non appare il famoso lucchetto (che indica l'attivazione del SSL) che indica
che siamo in una pagina protetta con codice a 40bit se non ricordo male
quindi più complicato per eventuali tentativi di intercettazione dei dati...
Ritengo la cosa sengo di grande superficialità !
Soprattutto al giorno d'oggi che si cerca di far capire agli utenti che
l'uso della carta di credito (se fatto su siti protetti) non deve
preoccupare... Ma qua non siamo su un sito protetto! ARGH!!!
Insomma...sicuramente è improbabile che ci sia qualcuno che sta monitorando
il sito della Bancarella Aeronautica per fregarvi il numero della carta di
credito eh,eh,eh...però mi sembra doveroso avvisarvi.... :-)
Saluti dal polemico.

 credito eh,eh,eh...però mi sembra doveroso avvisarvi.... :-)
Beh, può darsi che adesso che lo hai detto, qualcuno ci stia facendo un
pensierino :-pp

 ha scritto nel messaggio
news:96iph7$k2j$1...@fe2.cs.interbusiness.it...


 che siamo in una pagina protetta con codice a 40bit se non ricordo male
ti ringrazio infinitamente di questo messaggio, cosi' mi dai una
possibilita' di chiarire alcune cose sulle connessioni sicure ( che
sono spiegate anche sul mio sito, ma che nessuno legge normalmente )
Cominciamo...
Fin da piccoli, assieme agli avvertimenti di non accettare caramelle
dagli sconosciuti, ci hanno sempre insegnato di cercare la chiavetta
sui siti per capire se la connessione e' sicura. E cosi', se c'e'
la chiavetta ci sentiamo tranquilli, se non c'e' ci preoccupiamo e
scartiamo il sito come poco affidabile.
Il fatto e' che la chiavetta NON indica che la connessione e'
genericamente "sicura", ma solo che quel sito ha scelto di usare, tra
i tanti sistemi di connessione sicura esistenti, quella chiamata SSL.
Che e' UNA di quelle possibili, ma non l'unica.
L'SSL funziona cosi': i dati inseriti nel proprio browser vengono
criptati dal browser stesso mentre li digiti, e vengono trasmessi 
criptati usando il protocollo https, invece dell'http. Quando 
arrivano a destinazione, il server http del sito da cui avete 
acquistato, li decripta e rimangono *IN CHIARO*  sull'hard disk 
del provider di quel sito.
Ecco la grave falla del sistema SSL, ad un hacker non verra' mai
in mente di attaccare i dati mentre sono trasmessi, gli basta attaccare
il sito del provider, e se riesce ad entrare, trovera' tutto in chiaro.
Durante la trasmissione il livello di sicurezza poi varia. Se la
connessione non usa SSL, i dati viaggiano in chiaro. Se usa SSL, ma
la versione del browser che VOI state usando non e' quella con
sicurezza a 128 bit ( fino a poco tempo fa non si poteva neanche usare
in Europa un browser a 128 bit ), allora viaggiano criptati a 40 bit
Se volete che viaggiano criptati a 128 bit, dovete usare un browser
a 128 bit.
Ma comunque, indipendentemente da come viaggiano criptati, quando
"atterrano" sul sito del provider, sono sempre in chiaro. A meno
che il sito di e-commerce da cui state acquistando non abbia LUI
installato del software aggiuntivo che, non appena arrivano i
dati e vengono decriptati, li ri-cripta un'altra volta. Ma questa
e' un iniziativa lasciata in mano al negozio online, non e' molto
probabile che lo facciano, soprattutto i piu' piccoli.
Per poter poi avere il certificato valido nel proprio sito, e'
necessario pagare una somma annuale ad un ente ( Verisign ) che
dice che il sito 
www.pincopallino.com
 abbia una sua chiave SSL valida.
Se tutte queste condizioni si verificano, allora compare la fatidica
chiavetta ( o lucchetto in Netscape )
Ci sono pero' altri sistemi di assicurare il passaggio sicuro dei dati
della Carta di Credito.
Diversi software di e-commerce hanno una sicurezza integrata, che puo'
benissimo essere piu' potente di quella dell'SSL.
Ad esempio ( non vogliatene, ma *DEVO* farmi pubblicita', per amor
di spiegazione ) sul mio sito c'e' un sistema di criptaggio dei dati
che e' molto piu' sicuro di SSL, solo che, non essendo SSL, non compare
nessuna chiavetta che indica, ripeto, non una "generica" connessione
sicura, ma solo le connessioni sicure che usano SSL. Non compare se si
usano altri metodi.
Il sistema usato sul mio sito e' piu' sicuro di SSL per questo motivo:
quando state inserendo i dati, li state inserendo dentro un programma 
in Java che e' stato caricato temporaneamente sul *vostro* PC e 
sta accettando tutti i dati. Quando la pagina e' completa, questo
programma Java cripta i dati SEMPRE a 128 bit ( qualsiasi sia la 
versione del browser usata e qualsiasi sia la versione del sistema 
operativo usata ).
I dati, una volta criptati a 128 bit, intraprendono il loro viaggio
in forma criptata e atterrano sull'hard disk del mio provider.
E li' rimangono SEMPRE criptati a 128 bit. Quando devo controllare
un ordine, i dati, sempre criptati, arrivano nel mio computer e
solo in quel momento vengono rimessi in chiaro, DOPO aver attraversato 
Internet. Finche' sono su Internet, sono sempre criptati.
Questa connessione e' molto piu' sicura di SSL, ma purtoppo e'
"psicologicamente" insicura, dato che non c'e' la chiavetta. E'
difficile spiegarlo, e raramente la gente si prende la briga di leggere
sul sito la spiegazione lunga. Solo che preferisco usare una 
connessione che e' *realmente* piu' sicura, piuttosto di una che lo
e' di meno ma che mostra l'agognata chiavetta.
Ora, venendo al problema in questione: il sito della Bancarella
usa un normale form di inserimento HTML, quindi la connessione
sembrerebbe completamente in chiaro. Anche se dubito fortemente che 
gli hacker vadano su un sito singolo cosi' piccolo.
Non sono questi i siti di cui bisogna preoccuparsi, un hacker va
dove spera di trovare *migliaia* di numeri di carta di credito,
quindi sui siti piu' grossi. Che pero' usano chiaramente maggiori
precauzioni e controlli. Io ho acquistato tantissime cose online, ma
non ho mai avuto problemi. Anche perche' ( e questo lo posso garantire,
visto che conosco i contratti delle carte di credito dal punto di
vista di chi vende ), c'e' sempre la possibilita' di contestare un
addebito. E in caso di contestazione, la Carta S.I. si riprende
l'accredito dal negoziante, fa le sue verifiche e se avete ragione,
restituisce i soldi. Quello che ci perde in questo caso e' solo il
negozio, che rischia di spedire la merce e non gli arrivano i soldi.
I siti davvero pericolosi non sono questi, sono quelli piu'
"equivoci" ( gioco d'azzardo, porno, siti pirata ). Mettere LI'
il proprio numero di Carta di Credito equivale davvero a voler vivere
amando il pericolo...
Umberto Colapicchioni
http://www.virtualisoftware.com

 > considerare grave) : la pagina in questione non č protetta! Se ci fate


 ha scritto nel messaggio
news:96gfe0$rv9$1...@news.IT.net...


Cosè la bancarella Areonautica????
Il nome dice tutto
20146 MILANO
Via Anguissola, 54
Tel. 02/404.12.48
Fax 02/404.11.16
10128 TORINO
Corso Duca degli Abruzzi, 12
Tel. 011/53.13.41
Fax 011/562.93.59
www.bancaero.it
iauz
Invernomuto (
inver...@italymail.com
)
---------------------------------------
Il liquore attenua il dolore
Troy McClure
---------------------------------------
ICQ UIN 3126729
http://digilander.iol.it/invernomuto1/index.html
Dieci giorni in Irlanda (in costruzione)

 ha scritto nel messaggio
news:E6fj6.44551$gb1.1...@news4.aus1.giganews.com...
