Newsgroup: it.economia.banche
Titolo: Token: la mia banca è differente...

Noto che le discussioni sul "token" sono sempre interessanti e animate 
anche se spesso si scivola su tecnicismi non comprensibili da tutti.
Siccome in buona sostanza stiamo parlando di *sicurezza* o di 
*maggior* sicurezza per il cliente e per la banca, mi viene a questo 
punto spontaneo citare la mia esperienza personale.
Come mi � gi� capitato di scrivere, attualmente detengo due conti 
bancari, uno presso Fineco e l'altro presso una banca tradizionale, 
per la precisione una "banca popolare" di medie dimensioni. Mi 
riferisco a quest'ultima.
E' stata tra le prime banche a mettere in piedi un servizio di home 
banking per i clienti, che nel tempo � andato perfezionandosi.
In tema di *sicurezza* la banca ha da poco reso obbligatorio 
(facoltativo in precedenza) un meccanismo di questo tipo.
1) Classica digitazione di "codice utente" e "password" personale. Con 
ci� si entra nel sito e si pu� *vedere* tutta la propria situazione.
2) Nel caso si voglia dare alla banca una qualsiasi *disposizione* 
occorre utilizzare una apposita "card" in dotazione a ciascun cliente.
La card � cos� concepita:
- 4 righe (A-B-C-D)
- 8 colonne (1-2-3-4-5-6-7-8)
In ciascuna delle risultanti 32 caselle � stampato un numero a due 
cifre.
Se si vuole *disporre* del conto il sftw della banca chiede ogni volta 
di inserire i numeri corrispondenti a due incroci, tipo:
inserisci i numeri corrispondenti a B3 e A7.
Ovvio che ogni volta che si vuole fare un'operazione la richiesta � 
diversa.
Premesso che i dati del punto 1) ormai li so a memoria, la card la 
porto con me. Se la perdo o me la rubano non succede nulla di grave, 
tranne la seccatura di chiamare la banca e poi doverne chiedere 
un'altra.
A me sembra un buon sistema di "ulteriore" sicurezza, ma chiedo agli 
"esperti":
- la banca ha scoperto la "battaglia navale"?
- il meccanismo non � male?
- idea straordinaria?
- fa acqua da tutte le parti?
Tra l'altro la card ha sul retro una banda magnetica apparentemente 
senza alcuna funzione. Chiss� a cos'altro staranno pensando...
ps: per qualche "curioso" che volesse chiederlo, risparmio la sua 
fatica e preciso che trattasi della Banca Popolare di Sondrio.
Saluti. Fred� 

 - idea straordinaria?
Direi la prima. Se non perdi in contemporanea tutte le informazioni (tipo 
post-it con user id e password appiccicato dietro la card con i codici :) 
hai pi� tempo per rendertene conto e rimediare.
Saluti,
-- 
	Denis Sbragion
	InfoTecna
	Tel: 
+39 0362 805396
, Fax: 
+39 0362 805404
	URL: 
http://www.infotecna.it

 - la banca ha scoperto la "battaglia navale"?
a me non sembra niente di diverso dal token. anche banca intesa in 
passato utilizzava un meccanismo simile, sostituito ora per tutti dal 
token. basta tenere sempre separati token (o la card nel tuo caso) da 
user id e password per essere ragionevolmente certi che nessuno possa 
spostare un centesimo dal conto.

diversa.
Come con la password di dieci caratteri di cui ogni volta se ne chiedono
due, non è una "one-time password".  Ci sono cioè informazioni che
vengono riutilizzate, e consentirebbero così tramite intercettazione di
ricostruire la password necessaria.
I meccanismi con token invece, che siano a tempo o sequenziali, generano
password "usa e getta" che, anche se intercettate, non sono
riutilizzabili.  A meno che si vada su un sito fasullo, anche solo
parzialmente, che generi un errore fasullo all'immissione dalla password
per poi utilizzarla diversamente, ma si tratta di un attacco più complesso.

 approntato un gateway che lo faccia automaticamente?
Ci arriveranno, non avere fretta! :)


 Il tutto, ovviamente, sulle spalle della clientela.
Come � giusto che sia. Il bancomat e la carta di credito ti vengono 
consegnate con il principio di un uso accorto secondo le regole imposte 
dal produttore (ovvero la banca). Se tu ci attacchi il post-it, non puoi 
venire a piangere che la banca � brutta e cattiva.
ivan
-- 

 la password.
E mi sembra la migliore soluzione del classico *buon senso*, aldil� 
dei tanti tecnicismi, tutti validi ma, a quel che leggo, tutti 
potenzialmente scavalcabili.
Mentre non sono del tutto d'accordo con affermazioni di *principio* 
che prevedono che sia sempre e *solo* il cliente a doversi porre certi 
problemi.
A mio avviso dovrebbe essere primariamente la banca a preoccuparsi 
della *sicurezza* in generale, mettendo in piedi sistemi che non siano 
semplicemente delle "raccomandazioni" al cliente di fare cos� o col�.
Saluti. Fred� 

 complesso.
in ogni caso anche questo attacco fallirebbe nel caso di molte banche: 
per la banca che uso io la otp viene richiesta al login la prima volta e 
poi per ogni disposizione...tra le due operazioni il sito fasullo 
dovrebbe comunque inviare all'utente dati plausibili (nella home page 
c'e' il mio saldo...ed altre info che io riconosco al volo) e sarebbe 
decisamente troppo complesso.

 semplicemente delle "raccomandazioni" al cliente di fare cos� o col�.
se e quando si pu� fare. Ribadisco la famosa frase del famoso generale 
esperto di sicurezza del pentagono: nessun sistema � pi� sicuro delle 
persone che vi operano dentro. O se preferisci, pi� prosaicamente, possiamo 
citare Murphy: gli imbecilli sono sempre pi� intelligenti dei metodi messi 
in atto per impedirgli di nuocere. :)
Saluti,


 se e quando si pu� fare.
Certamente. Si tratta di trovare il famoso "giusto mezzo" tra cosa 
*deve* fare la banca e cosa *deve* fare il cliente.
Per� un buon sistema di sicurezza deve essere buono di per se e non 
costringere il cliente a defatiganti operazioni o alchimie mnemoniche 
per far diventare buono un sistema che nasce 'na schifezza.
Questo volevo dire.
Mi pare che Popolare Sondrio abbia concepito un "giusto mezzo".
Non capisco, ad esempio, come mai Fineco (IMO, online ottima per molti 
aspetti) ancora si limiti a cod. utente e pwd, considerato anche che � 
stata la prima banca on line ad affacciarsi sul mercato italiano.
Ora avrebbe pure tutte le possibilit� di copiare/migliorare le 
esperienze altrui sull'argomento.
ps: in ogni caso, a dimostrazione della giustezza della frase del 
generale che hai ricordato, in tanti anni di "attivit�" online 
(banche, carte di credito, acquisti su e-commerce, registrazioni 
varie, ecc.) non ho (mai) avuto problemi. E' sempre stato sufficiente 
usare la c.d. "diligenza del buon padre di famiglia" (la stessa poi 
che va utilizzata nella real life) e tutto � sempre filato liscio.
Chiaro poi che la "fregatura" � sempre dietro l'angolo e... mai 
abbassare la guardia.
;-)
Saluti. Fred� 


Vero. Però:
1) l'utilizzo è "facoltativo", come hai già detto
2) è limitato ai soli bonifici
3) presuppone il possesso di un cellulare
Comunque è già qualcosa.
Saluti. Fred® 

 3) presuppone il possesso di un cellulare
1) L'utilizzo e' facoltativo, ma gratuito: se un utente e' cosi' pigro 
da non volerlo usare...
2) E' utilizzato anche quando vengono aggiunti beneficiari per le 
ricariche telefoniche
3) Onestamente, in Italia, con il livello di penetrazione dei cellulari 
che esiste, non mi pare una limitazione. Davvero pensi che qualcuno 
abbia un conto online ma non un cellulare? E ammesso anche che ci sia un 
1% di clienti in questa condizione, c'e' sempre l'altro 99%...
Io preferisco di gran lunga questo, piuttosto che dovermi scarrozzare in 
giro la chiavetta. E sono anche contento che sia limitato ai servizi che 
possono fare "uscire" soldi dal conto: se anche qualcuno riesce ad 
entrare nel mio conto a dare un'occhiata, la cosa non mi crea soverchi 
problemi (ma ammetto di essere un'eccezione).
Ciao, Aldbert.

 Io (cleinte)
Indubbiamente. Cos� come io, impresa, posso scegliere i miei, di clienti.
ivan
-- 

 :-)
ok, ok, cod.ut., pwd e codice dispositivo (scelto dall'utente) se si 
vuole "disporre".
ps: mamma mia, qui si viene "ripresi" subito....
;-)
Saluti. Fred� 

 basta (e avanza) l'accoppiata userid&password...
Non avevo capito.
IMO una ulteriore pwd per "disporre" � cosa buona e giusta, anche dal 
punto di vista psicologico per il cliente.
Che questa pwd sia un token, una card, o "mia creazione", 
personalmente mi interessa poco anche se vedo che invece molti qui si 
accapigliano su questo argomento.
Resto dell'avviso che la "sicurezza" deve curarla la banca 
innanzitutto.
Cio� per me � veramente importante che la banca abbia le migliori 
misure atte ad impedire a chiunque di "entrare" nella banca e fregarsi 
dei quattrini (o qualsiasi altra cosa). Tutto qui.
Saluti. Fred�


Hai perfettamente ragione, non una ma mille e una volta.
Vedi, il padrone di casa, deve mettere in atto tutte quelle misure di 
sicurezza, attiva e passiva, per rendere inviolabile, il pi� umanamente 
possibile, la sua casa e salvaguardare l'integrit� sua, dei familiari e 
tutti i beni in essa contenuti. Poi da una copia delle chiavi a figlio, 
ormai ultramaggiorenne e vaccinato; in fin dei conti non gli potrai mica, 
alla sua et�, vietare di uscire o di uscire con i genitori? Il figlio, 
quando va al bar per l'aperitivo con gli amici, mentre se ne stanno seduti 
sugli sgabelloni, ama vantarsi di possedere questo e quello e ha la buona 
abitudine di appoggiare sul bancone, il cellulare, il portafoglio e le 
chiavi; in fin dei conti in tasca gli darebbero fastidio e gli 
deformerebbero le braghe super attillate. Se, mentre il nostro amico � 
intento a sbevazzare, un buontempone si fa una copia delle chiavi e guarda 
dai documenti dove egli abita, e poi va a riupulire  l'appartamento del 
pap�, cos� pieno di cianfrusaglie... di chi � la colpa del pap� o di quel 
coglione, scusa l'eufemismo, del figlio? D'acchitto sarei propenso a dire 
che la colpa � del padre che non ha educato, a suo tempo, il figlio a suon 
di sberle.
Cordialit�
Gi
-- 
Per chi avesse necessit� di contattarmi privatamente: 
gsassachiocciolatiscalipuntoit
Scusate il disturbo. 

 di dimenticarle...
S� ma una password dispositiva realizza anche una firma elettronica per le 
singole disposizioni.
Quindi si tratta anche di un modo per registrare la specifica volont� di 
disporre quell'operazione indipendentemente dall'ingresso nel sistema di 
home banking.
Il sistema dei tre codici (userid, password di accesso e password 
dispositiva) � il minimo per un sistema di home banking.
Max max 

 riutilizzabili.  
solo che sti token che tu sappia sono personali o uguali per tutti?,
mi sà che la mia banca ha un token uguale per tutti.
quindi sapendo userid e password e procurandosi il token della banca i 
soldi van via come aprire una ferrarelle...
son preoccupato...

mi sà che la mia banca ha un token uguale per tutti.
Come lo sai?

 Come lo sai?
l'omino ha fatto un'operazione a video in ufficio con me e ha detto con 
un collega hai un token?
magari speriamo ho capito male io...
ciao e grazie della risposta.