Newsgroup: it.economia.banche
Titolo: Direttiva PSD2 e app su internet via wifi


 
che per 3 euro al mese offre 1 GB al mese, che dovrebbero
essere sufficienti alla bisogna; minuti parlati ed SMS non
mi interessano.
 
L'anno scorso Fastweb aveva una offerta Mobile Base da 1 Gb
a solo 2 euro al mese, ma oggi non vedo piu' come entrarci.
E leggendo il forum si legge: "... la Mobile Base sparirà e
verrà offerto il passaggio all'offerta da 5.95€ ..."
 
Non avendo mai usato internet su mobile, qualcuno ha qualche
dritta da dare ?

 dritta da dare ?
 
Per l'Italia direi che Iliad (Free) sia il meno caro posto che tu
non abbia problemi di ricezione con Wind/Tre. Ma puoi comunque
usare la connessione WiFi se ti vuoi limitare alla crapp della
banca.
 
-- 
usenet�‡'nntp per trovarmi

 l'accesso via rete mobile (il 3G o il 4G, etc.).
 
Sì...và bene con solo wifi
 
 
 
 

 Psss... usa nox e vivi tranquillo senza smart con un un client andoid (su pc)
 
Interessante, un emulatore android.
 
Pero', trattandosi dell'accesso alla banca,
temo di non potermi fidare, ovvero e' la mia banca
che non si fiderebbe se subissi una "efrazione" elettronica.


Confermo, ho provato e funziona.
 
Pero' adesso arriva il prossimo scoglio:
 
Seguendo la procedura del sito della banca mi dice che
devo scaricare l'app "gratuita" dallo store ufficiale
Google Play. Solo che non ho alcuna registrazione con
Google Play e non mi interessa. Ovviamente Google non
mi fa entrare e quindi ? Che faccio ?

 ha scritto:

Ti registri con dati farlocchi e la scarichi. 
-- 
SiMcarDroid

 dritta da dare ?
 
Wind smart home (25 euro/anno), ma non serve, le soluzioni di emulazione su pc o il wifi sono sufficienti.
 
Giulia

Non sono sue paranoie, è *pura follia* la recente mossa di quasi ogni
banca. Non si limitano all'OTP mobile (via SMS) che già ha una
superficie d'attacco molto maggiore di quello fisico, ma peggio,
la crapp di turno permette generalmente di operare come fosse un
internet banking classico.
 
Quindi da UN SOLO dispositivo in cui metti user, password e hai pure
l'OT, un dispositivo che per di più è una groviera sin dalla sua
fabbricazione, che spesso non è aggiornato ne aggiornabile essendo
puro e semplice abandonware, ove tutto il mondo ha accessi remoti
maggiori di quelli dell'utente finale puoi fare ogni cosa.
 
Si è, giustamente, arrivati all'OTP poiché chiunque con un keylogger
poteva una volta prese le tue credenziali operare in tuo nome come
se fosse te e quindi s'è aggiunto "qualcosa in mezzo" per rendere
inefficace la compromissione di un solo sistema. Oggi? Oggi si vuol
dimenticare tutto questo e tornare a far far tutto tramite un solo
sistema.
 
Se tu le chiami paranoie io le chiamo follie, ma da parte di chi le
ha concepite.


 Google non mi fa entrare e quindi ? Che faccio ?
 
scarica da f-droid  aurora.
Installa, ti permette accesso a  play google.
 
https://f-droid.org/en/packages/com.aurora.store/
 
 
 
 
 
 
 

 Ma se la banca non va da' scelta, vi tocca l'app su smartphone.
 
Opure cambiare banca, non tutte lo fanno.
CheBanca! non obbliga l'uso dell'app, puoi ancora usare sms e tesserina
con i codici stampati sopra.
https://www.chebanca.it/wps/wcm/connect/istituzionale/footer/psd2/strong+customer+authentication
 
-- 
Tilt

 io.
 
Ma anche no, e lo dico da informatico, tu puoi benissimo fare anche il
pensionato, ma sei comunque un'istanza della classe "Cittadino" e come
tale si suppone tu abbia un conto in banca e non per mera libera scelta
ma per necessità imposta dalla società in cui vivi e da cui dipendi.
 
Qualche caso c'è già stato, un paio son pure arrivati sino a Radio24,
a DueDiDenari, ma son stati prontamente "ristorati" e quindi non han
ancora fatto notizia, quando il sistema si diffonderà sarà arduo non
aver notizie a tema e allora comincerai a capire che la paranoia non
era proprio tale...



Dopo aver provato le chiedo: ci ha mai provato ?
Per esempio, senza fornire un numero telefonico non si va avanti.
 

 dritta da dare ?
 
Aggiornamento: a parte il battagliare con il diverso funzionamento
su uno smartphone (mi sono ridotto a spegnerlo e riaccenderlo per
chiudere le pagine che mi si aprivano da parte di google e la banca),
dopo avere faticosamente completato la lunga registrazione google
usando un tastierino virtuale con ditoni da "meccanico" (quindi
con parecchi "falsi") e bestemmiato per un interagente della banca
che ad ogni numero introdotto mi si spostava in alto, costringendomi
a scorrere in giu' per vedere la maschera di inserimento,
insomma, alla fine di tutto, e nel contempo avere scaricato pagine
a pagine di contratti e informative (direi che se non siamo al
centinaio, poco ci manca), che gia' questo e' da considerare
vessatorio perche' giuridicamente uno, prima di accettare dovrebbe
leggere.
Insomma, dopo tutto questo, pensando di avercela ormai fatta,
alla operazione di abbinamento "token virtuale", la banca mi da
errore invitandomi ad attendere piu' tardi.
E questo anche "piu' tardi".
Sono passate 4 ore.
La mia fortuna e' che non ho dovuto usare i miei dati, ma ho fatto
il lavoro per un conoscente che mi ha chiesto di aiutarlo,
anche lui non avendo un abbonamento web e prospettandoli che si
poteva fare altrimenti.
Cosa che mi sono offerto di fare volentieri, perche' ero curioso
di vedere come funzionava per chi si voleva conformare.
E quindi, dal punto di vista Google sono ancora "intonso".
Mi sono pure beccato la figuraccia di sembrare un incapace
della informatica (gli ho suggerito di farsi l'abbonamento dati).
Cioe' preciso che ho utilizzato il collegamento wi-fi e non l'SMS.
 
La prima considerazione che mi viene in mente e' che a 30 euro per
un tastierino numerico a questo punto diventano un affare.
 
La seconda e' che sospetto che o tra Google e l'app (che insisteva
a volere un dispositivo collegato) o la banca e l'app, si vuole
un collegamento con lo smartphone via mobile (forse appunto per una
identificazione certa dell'utilizzatore).
 
La terza e' che chi si registra a Google e' un folle (dal punto
di vista giuridico).
 
Qui, ci vuole uno veramente esperto con la faccenda, che abbia
provato per la specifica banca e che abbia voglia di dared
dettagliate istruzioni. Io ho troppi impegni in questo periodo
per solo pensare di approfondire come funziona su Android.

Se non hai troppi impegni e vuoi posso pubblicare copia quasi completa
della GDPR nightmare letter che ho mandato alle mie ex bache italiche
non troppo tempo fa. Ti bastano pochi ritocchi "specifici" per farla
tua. In genere nel circolo di conoscenti chi non ha voluto cambiar
banca ha ottenuto l'OTP SMS gratuito.
 
Però ciò sospetto possa avvenire solo se PRIMA ti sei almeno letto la
norma e il decreto delegato, ovvero sai bene cosa impone e cosa no
per discuterne poi al telefono o in banca, e se sei opportunamente
deciso a NON accettare una simile pratica.
 
Quanto ai contratti 
https://tosdr.org
 potrebbe piacerti...
 
Le norme in oggetto sono
 
Direttiva (UE) 2015/2366 del 25 novembre 2015
https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32015L2366
 
 
Regolamento delegato (UE) 2018/389 del 27 novembre 2017
https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32018R0389
 
 
In genere alcune banche il cui imbonitore dipendente che probabilmente
ti contatterà sostengono che "l'obbligo" dell'app viva nell'art. 5 del
regolamento delegato ovvero il fumoso concetto di "collegamento
dinamico" tra una *transazione* (non accesso) finanziaria e l'importo
della stessa. Questa affermazione si può facilmente smontare osservando
come ad es. una banchetta periferica della taglia di Unicredit lo ha
rispettato fornendo un chaptca all'utente da accoppiare all'OTP e che
analogamente e molto più logicamente si può fare chiedendo di
riscrivere l'importo totale in oggetto di una transazione. Peraltro
vi sono anche token che usano un seme "dinamico" acquisito offline via
QrCode es [1].
 
Da rilevare altresì che pur molto vaga la norma fa capire come non si
possa ritenere sicuro un singolo dipositivo e per questo si debba usare
più cose (che si conoscono, come user e password, che si posseggono come
l'OTP) ovviamente, anche se purtroppo NON specificato, da tenere
separate per non vanificarne l'effetto. Ovvero il permettere operazioni
bancarie da mobile, non il mero token costituisce una violazione della
norma, almeno dello spirito della stessa, visto che rende possibile fare
ogni operazione da un singolo dispositivo che se compromesso permette di
impersonarti al 100% senza bisogno d'altro per operare a tua insaputa.
 
Aggiungendo come TUTTI i terminali mobili nascano pieni di vulnerabilità
generalmente non patchate né patchabili dall'utente, che può solo
affidarsi al vendor essendo scatole chiuse.
 
[1]
https://www.vasco.com/products/two-factor-authenticators/hardware/transaction-data-signing/
 


Il giorno Tue, 11 Feb 2020 23:22:42 +0000 (UTC), Tilt from Arch
<charp...@inwind.it.invalid> ha scritto:

Delle possibilità per evitare l'uso dello smartphone ci sono.
 
Unicredit mi fa entrare con user+password+token da pc, e mi fa fare le
operazioni con password+ token+ codice convalida.
 
Widiba mi manda ancora SMS gratuiti per confermare ogni operazione, pur
solecitando ogni tanto l'installazione dell'app su smartphone .
 
 
 
-- 
ciao
  Stefano

 internet banking classico.
 
Infatti. Dovrebbe fungere solo da otp software