Newsgroup: it.economia.banche
Titolo: Token, password monouso e amenità varie

Buongiorno a tutti,
mentre mi collegavo insieme a mia moglie al conto online con il meccanismo
del token di IntesaSanPaolo, riflettevo sulla sicurezza intrinseca di
questo genere di sussidi, che sembra essere molto alta, almeno a quanto
dicono.
In fin dei conti, per rimediare a coloro che purtroppo ancora cascano nel
phishing ovvero essere indotti a collegarsi a siti identici a quello della
banca originale ma che in realtà rubano i dati (user + password), la
soluzione di una password monouso o che cambia ogni 30 secondi sembra
essere la soluzione ideale e quasi a prova di bomba. Anche se ti fottono
user e password, finchè il token è in mano tua, sei in una botte di ferro.
Ma mi è venuta un'idea che purtroppo mi sembra tremendamente efficace e
pericolosa, perchè è banale e potrebbe venire in mente a chiunque.
Sono un hacker bielorusso, ucraino, ecc. e creo il solito sito fantasma
gemello di una banca, magari evitando errori di ortografia. Con il solito
sistema di milioni di mail, statisticamente ne becco uno su un milione che
si collega.
Lo induco a scrivere username, password e... password monouso o token.
Prendo questi 3 dati, e con un programmino stupidissimo in ASP o quello
che mi pare, li uso istantaneamente in tempo reale per collegarmi
all'account vero del destinatario sul sito reale. La password a scadenza o
monouso funziona, perchè non aspetto che scada o perda validità ma la uso
istantaneamente.
Manovrando il sito in remoto tramite sempre questo programmino, comincio a
lanciare una serie di bonifici da 1000 euro al mio conto alle Cayman,
finchè il meccanismo si inceppa o la disponibilità finisce. Chiudo ed
incrocio le dita.
Certo, ci sono sempre gli SMS di avviso bonifico in uscita tipo Fineco, o
la password dispositiva tipo MPS, o il fatto che l'utente visto che si
stava già collegando, riproverà e magari si accorgerà dell'azzerata
disponibilità. O magari no. Visto che l'hacker è furbo e preleva solo 500
euro ed una volta sola.
Oppure vogliamo essere più sofisticati, ma nemmeno di tanto?????
Digito user+passwd+token nel sito farlocco. Il sito farlocco si connette
al mio, e comincia a fare da proxy/gateway di tutte le informazioni che
riceve dal mio sito relative al mio account, e trasmette tutti i click ed
operazioni che io faccio sul sito farlocco, e li ritrasmette a quello vero.
Risultato: sono sul sito farlocco, ma vedo il mio account, i miei dati, il
mio conto, i miei soldi... sono tranquillo, faccio le solite operazioni,
non mi accorgo di nulla, ma PROPRIO di nulla! In fin dei conti il sito
farlocco in mezzo fa da proxy, da passacarte.
Rischio? Enorme: nel frattempo, mentre mi visualizza le informazioni a me
familiari e veritiere, mentre mi faccio un bonifico, ecc. il sito mi può
fottere anche l'eventuale password dispositiva. E sul più bello, quando
faccio Logout, convinto di uscire, può usare tutte le informazioni
raccolte finora per fare i famosi bonifici da 1000 euro (o ricaricare
carte di credito, o cellulari, ecc.), proprio quando io rassicurato
dall'ambiente familiare e dall'aver visto il mio reale account con dati
veritieri funzionare tranquillamente, magari per una settimana o due non
mi collego più.
Non è fantascienza... chiunque con un minimo di conoscenze informatiche
può realizzare una cosa del genere. Certo dovrebbe essere altrettanto
bravo a non lasciare tracce informatiche, usare conti in paradisi fiscali,
o vivere in paesi dove la polizia postale non persegue accuratamente certi
crimini.
Ma tutto questo mi fa riflettere sul vero punto debole ancora non risolto
dai siti Internet... l'affidabilità e la veridicità del sito che si sta
navigando. Nel mondo reale, nessuno entrerebbe in una banca realizzata con
un muro di cartone dipinto tipo Cinecittà con filibustieri vestiti da
banchieri (o banchieri vestiti da filibustieri ? ;-PPP)... perchè ha mille
modi per accorgersi del falso. 
In Internet non è così... il falso può essere più vero del vero, e ahimè
non basta che sia io ad identificare la mia identità in centomila modi
(user, passwd, token, certificato, bla bla bla). E' la banca, il sito, che
deve inventare la tecnologia per farsi riconoscere a prova di errore, a
prova di stupido che ancora non guarda il lucchetto dell'HTTPS, ecc...
Garantire in maniera certa ed inequivocabile l'identità del fornitore di
servizi bancari, penso sia la grossa sfida del futuro... che ne dite?
Seti
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it


impossibile.
la password come hai scritto è monouso (o per lo meno cosi sono quelle 
+ efficaci).
quindi, se anche mi fregasse una singola password generata dal token 
per accedere, avrebbe bisogno di tutti gli altri codici per effettuare 
i bonifici (i quali non portano senza una nuova password generata dal 
token).
quindi questa tua prima preoccupazione direi che è da escludere.
per quanto riguarda la seconda, non l'ho ben compresa, comunque direi 
che è di molto + difficile realizzazione.

 token).
Se non fosse, come ho appreso proprio su questo NG, che non tutti i token 
generano password a scadenza breve. Cosa che, fino ad ora, avevo ritenuto 
il più grosso vantaggio del token, proprio in ottica di protezione anti-
phishing. Sparito questo vantaggio, rimane veramente poco, giusto la 
protezione dai virus che intercettano le password.
Se riesci a convincere un utente imbranato a collegarsi al sito farlocco 
puoi fargli credere facilmente che ha sbagliato ad inserire il token e 
che quindi deve riprovare. Se è abbastanza imbranato può darsi anche che 
lo faccia pure, magari più volte, e a quel punto l'hacker ha in mano 
tutti gli strumenti necessari per svuotarti il conto.
Saluti,
P.S. Ritornando sulla vecchia discussione, proprio qualche giorno 
addietro da un cliente ho trovato un token RSA SecurID su un tavolo con 
nome utente, pin e un'altro codice (BRA?) scritti su un'etichetta 
appiccicata sul retro del token. Devo una birra ad Ivan. Finché non si 
diffonde un po' di cultura sulla sicurezza il token resta una soluzione 
parziale.
-- 
	Denis Sbragion
	InfoTecna
	Tel: 
+39 0362 805396
, Fax: 
+39 0362 805404
	URL: 
http://www.infotecna.it

 Devo una birra ad Ivan.
Ma son ben disposto io ad offrirla. Una buona birra in compagnia è sempre 
un piacere, a prescindere da chi paga!
ivan
-- 

 parziale.
Beh, se trovi il mio bancomat saresti portato a dire che c'è scritto sopra 
il codice, almeno fino a quando non provi a usarlo :-)))
Repo 

 sempre un piacere, a prescindere da chi paga!
In realtà io sarei costretto a ripiegare su qualcosa di analcolico... :-/ 
Ma la buona compagnia può ampiamente compensare. ;)
 
Saluti,


 sopra il codice, almeno fino a quando non provi a usarlo :-)))
:) Non male come idea. Quanti tentativi si possono fare con un bancomat? I 
classici 3?
Ovviamente quel token non ho provato a usarlo, non so nemmeno se fosse per 
l'accesso ad una banca, piů probabile che fosse per una rete aziendale non 
avendo alcun "marchio" specifico sopra. Mi ha fatto sorridere, ripensando 
proprio alla discussione che c'era stata nel NG e al tempismo con cui č 
capitata la cosa. Ovviamente un sorriso amaro, avrei preferito di gran 
lunga avere torto e scoprire che un minimo di buon senso si stesse 
diffondendo.
Saluti,


 Ma la buona compagnia pu? ampiamente compensare. ;)
Birra, non birra, è la stessa cosa. Ma la birra migliore per ora l'ho 
assaggiata qui a roma presso il Tom Bombadil. Anche la guiness non era 
male, ma quella va bevuta spillata in irlanda: bevuta in altri luoghi la 
trovo orribile.
ivan
-- 

 veramente collegati alla propria banca.
Se nell'email di phishing gli si dice che è necessario risincronizzare
il token, IMHO non è neanche necessario che sia tanto più imbranato
della vittima media...
-- 
<insert sign here>

 bruciato.
Basta dare un messaggio di errore alla prima battitura. Il phishato di turno 
immette un altro codice e sei a posto.
Tra parentesi con IWBANK se non uso l'account per due/tre settimane non 
riesco MAI ad entrare al primo e al secondo colpo.
Sempre e solo al terzo. Non ho ancora capito se ho un token fallato o hanno 
qualche bug loro...

 qualche bug loro...
Non conosco il sistema di IWBank, quindi dovresti chiedere a loro, ma se 
ti servono 3 tentativi "di norma" è sintomo di un orologio fuori 
sincronia. O quello del server o quello del token.
Chiama IWBank e parlane con loro.
ivan
-- 


Con IntesaSP per modificare il numero di cellulare a cui
viene mandato l'SMS basta inserire... il codice del token!
Doh!

 codice, almeno fino a quando non provi a usarlo :-)))
Orca vacca, questa è un'idea!!
-- 
Conservare ed usare *in totale sicurezza* le password su internet
comprese quelle per conti correnti, carte di credito etc?
Leggi come su 
http://marcoge.splinder.com

Orca vacca, questa č un'idea!!
Ti spinge a provare a prelevare!
E' istigazione a commettere reato.
-- 
Giovanni Cenati (Bergamo, Italy)
Write to "Reventlov" at katamail com
http://digilander.libero.it/Cenati
 (Esempi e programmi in VbScript)
-- 

 E' istigazione a commettere reato.
Io non spingo nessuno, se uno trova il mio bancomat commette già un reato se 
non lo riconsegna.
Se poi io sono distratto e per ricordarmi il mio numero di tessera 
dell'associazione per la protezione del volpino nano la scrivo sul bancomat 
saranno pure affari miei :-))))
Repo

 reato se non lo riconsegna.
Quale sarebbe il reato? 

 Quale sarebbe il reato?
Appropiazione indebita, visto che il codice civile prevede che:
Art. 927 Cose ritrovate
Chi trova una cosa mobile (812) deve restituirla al proprietario, e, se non 
lo conosce, deve consegnarla senza ritardo al sindaco del luogo in cui l'ha 
trovata, indicando le circostanze del ritrovamento.
Repo 

 wrote:

Salvo modifiche che google non mi ha evidenziato :-) il reato è
stabilito dalla legge 197 del 5 luglio 1991, art. 12:
Art. 12 - Carte di credito, di pagamento e documenti che abilitano al
prelievo di denaro contante.
1. Chiunque, al fine di trarne profitto per sé o per altri,
indebitamente utilizza, non essendone titolare, carte di credito o di
pagamento, ovvero qualsiasi altro documento analogo che abiliti al
prelievo di denaro contante o all'acquisto di beni o alla prestazione di
servizi, è punito con la reclusione da uno a cinque anni e con la multa
da lire seicentomila a lire tre milioni. Alla stessa pena soggiace chi,
al fine di trarne profitto per sé o per altri, falsifica o altera carte
di credito o di pagamento o qualsiasi altro documento analogo che
abiliti al prelievo di denaro contante o all'acquisto di beni o alla
prestazione di servizi, ovvero possiede, cede o acquisisce tali carte o
documenti di provenienza illecita o comunque falsificati o alterati,
nonché ordini di pagamento prodotti con essi.
Link:
<
http://uif.bancaditalia.it/UICFEWebroot/DocServlet?id=new/it/norm/naz/l
-1991-197.xml>
-- 
<insert sign here>

 pagamento...
Il ritrovamento non implica l'utilizzo.
Quindi non c'e' nessun *reato*, finche' non ci sia l'utilizzo per trarne 
profitto. 

repo scrisse:

Quell'articolo non si riferisce all'appropriazione indebita. E non
configura nessun *reato*, anche perche' (in quell'articolo) manca la
sanzione *penale*.
L'appropriazione indebita e' normata invece dall'art. 646 C.P.
Ma anche qui, per potersi configurare l'ipotesi criminosa, deve provarsi
l'ingiusto profitto, per se' o per gli altri.
L'unico reato configurabile nel caso in discussione e' invece quello
previsto dall'art. 647 C.P., che e' punibile a querela della persona
offesa.

 il lunedì 26/01/2009 alle 12.45.04 ha 
scritto su it.economia.banche :

ma Reventlov non scherzava?!


ma Reventlov non scherzava?!
Sì, sì, scherzavo. Vorrei tanto saperne di più di diritto, ma purtroppo ho dimenticato
anche quel poco che ho studiato. Il non riconsegnare un bancomat trovato non credo che sia
reato. Comunque la trovata della tessera del volpino nano può servire a far catturare la
carta dall'atm piuttosto che farla finire in un tombino.


 Il non riconsegnare un bancomat trovato non credo che sia reato.
E' perfino un delitto. Art. 647 C.P. 

 danni...
Su questo ti dò pienamente ragione... la scuola dovrebbe fare una buona
parte in tutto questo, comunque le nuove generazioni stanno nascendo già
molto più sveglie in questo senso...



Ho letto l'articolo. Molto interessante.
E' punito, a querela della persona offesa, chi si appropria di cose altrui smarrite. 
