Newsgroup: it.economia.banche
Titolo: Token o password monouso?

Perchè il token sarebbe più sicuro delle password monouso?
Il token cambia password ogni 60 secondi in accordo col sistema di
riconoscimento della banca, mentre la password monouso, come dice la
parola, una volta usata non è più buona, e per la prossima operazione
ne occorrerà una nuova, richiesta dal sistema di riconoscimento della
banca.
--------------------------
The next - 
an...@libero.it
--------------------------

 parola, una volta usata non è più buona
Ma la collezine di password sta bello lì: una fotocopia e via. Oppure ci 
sono i "gratta e vinci".
Quale è meglio? dipende da te. Io sono dell'idea che i token siano la 
soluzione migliore: non scadono se non a lungo termine, sono ben 
conosciuti in ambiente di sicurezza (sono quasi 30 anni che vengono 
usati) e poi con piccoli e te li metti nel portachiave.
Poi ognuno ha i suoi gusti.
ivan
-- 

 riconoscimento della banca, 
sbagliato. non tutti i token sono legati al tempo (time-based se non 
sbaglio in gergo tecnico), alcuni (come quello di iwbank), generano una 
OTP (one time password), valida senza limiti di tempo ma una sola 
volta.

sono i "gratta e vinci".
Le password sono in chiaro su una tesserina formato carta di credito.
Quindi in caso di furto fisico il token č piů sicuro perchč ti accorgi
che non c'č piů.
Comunque io pensavo in particolare alla sicurezza riguardo le frodi
telematiche, per queste ultime non vedo differenze di sicurezza tra le
due soluzioni.
Sbaglio?


 --------------------------
[ADMIN]
Attenzione: non =E8 mai corretto
riportare integralmente il messaggio
al quale si sta rispondendo.
[ADMIN]
ma non si tratta della stessa cosa ovvero il token fornisce la pwd
monouso?
Forse c'=E8 qualche caratteristica del token che mi sfugge..

 Sbaglio?
Non sbagli. Considera che però le password posso sempre essere copiate 
ed utilizzate senza che tu te ne accorga. Se ti fregano il token, te ne 
accorgi, non è duplicabile, per le tesserine basta una foto fatta con 
il cellulare...

OTP (one time password), valida senza limiti di tempo ma una sola volta.
Mi pare strano, sei sicuro?  Non è come se ti mandassero un codice
generato automaticamente in busta sigillata?  A che serve il token?

 generato automaticamente in busta sigillata?  A che serve il token?
A rompere i coglioni! E probabilmente a parargli il culo in caso di frode.
ciaoo 

 E probabilmente a parargli il culo in caso di frode.
Se un utente non è in grado di gestire le proprie credenziali in maniera 
adeguata, perchè dovrebbe rimetterci la banca?
ivan
-- 

 maniera adeguata, perchè dovrebbe rimetterci la banca?
...
d'accordo sul principio, il token è più che altro una protezione contro 
"l'allegra gestione" di certi utenti non troppo scafati. Protezione per la 
banca ma anche per gli utenti stessi ovviamente.
Dovrebbe però essere sempre una scelta opzionale. Io per esempio resto 
convinto che la soluzione più sicura sia una password criptica scritta nei 
miei... neuroni. :) Dove nessuno la può copiare e dove non posso perderla. 
Alcune banche invece impongono il token, non danno possibilità di scelta. 
Per il mio tipo di approccio è solo un aggeggio (e un costo) in più in 
mezzo ai piedi.
Saluti,
-- 
	Denis Sbragion
	InfoTecna
	Tel: 
+39 0362 805396
, Fax: 
+39 0362 805404
	URL: 
http://www.infotecna.it

 mezzo ai piedi.
Beh, che dire, ad ognuno il suo. Quando nel 2000 ho portato i token in 
Italia e poi nel 2003 ho avviato il cambio dai certificati digitali ai 
token, ho puntato molto sull'usabilità e l'aumento dei livelli di 
sicurezza della gestione delle password. Se tante banche hanno poi copiato 
il mio lavoro, significa che qualcuno ha comunque apprezzato il mezzo.
Poi ovviamente non è finita qui: in futuro vedrete ulteriori cambiamenti 
sul fronte delle password.
ivan
-- 

 cambiamenti sul fronte delle password.
A quando una smartcard in uso all'utente come password 
personalizzabile, combinata ad un token RSA per le password 
dispositive??

le scatole, sono io l'uomo a cui devi le tue imprecazioni.
Fammi capire.  A quanto è stato detto qui, il token di Iwbank genera
un'unica password, sempre la stessa.  Nessuno ha smentito, o ho capito
male io?
Se è veramente così, perché Iwbank non manda una semplice busta oscurata
con una password stampata dentro?  Se hai già dato la risposta, l'ho
letta ma no l'ho capita.

 un'unica password, sempre la stessa.
Non conosco l'oggetto di Iwbank, quindi non posso commentare.
ivan
-- 

 dispositive??
Molto difficile. E questo per le seguenti ragioni:
1) una smart card non è compatibile con tutti i sistemi operativi
2) devi dotare tutti i tuoi utenti di lettore
3) devi supportare tutti i sistemi operativi degli utenti
4) se si rompe il lettore, devi sbatterti a gestire il lettore rott
5) se si rompe il PC dell'utente, ti devi sbattere a riparargli il PC
6) già hai la rogna della smartcard, ci vuoi aggiungere anche quella del 
token? ;)
A dire il vero però c'è chi fa una cosa similare: la barclays ha un 
sistema similare: un lettore di smart card che legge il bancomat e con il 
tuo PIN fa approvare le operazioni.
ivan
-- 
By 1977 or so, PLATO was featuring real-time multiplayer dungeon games,
not to mention real-time spacewar, IM, chat, email, netnews, and a host of
other things we now take for granted. All this on high-resolution plasma
panel terminals connected at 1200 baud to twin Cyber 6600 supercomputer.
Now you understand why I was kicked out of Cornell for a year; PLATO was
crack for computer nerds. (Robert Woodhead, co-creator of Wizardry)


dov'è che ho scritto sempre la stessa? :D
ho scritto "genera password valide una sola volta, senza limiti 
temporali". la puoi generare oggi, e usarla tra un mese: sarà ancora 
valida. ma appena la usi, si invalida automaticamente.
altri tipi di token, tipicamente time-based, generano invece password 
valide solo per N tempo (tipicamente 60 secondi) dalla generazione da 
parte del token, ma riutilizzabili (nell N tempo) teoricamente più 
volte.

 Beh, che dire, ad ognuno il suo.
E' proprio questo che mi piacerebbe vedere. Pensa a chi magari per motivi 
di lavoro ha diversi conti correnti ed ha bisogno di operare su tutti 
anche mentre è in giro. Si porta in giro "un mazzo di token"? Gli auguro 
di non perderlo mai! :)
Saluti,
P.S. Se il problema fosse davvero la sicurezza "tecnica" *nessuna* banca 
oserebbe usare qualcosa di diverso dall'autenticazione HTTP basic, invece 
che le mille fantasiose maschere di autenticazione che vedo in ogni dove 
e che mi fanno correre un brivido lungo la schiena ogni volta che immetto 
la password... brrrrrr...


 la password... brrrrrr...
Oh per favore! Cosa renderebbe l'HTTP Basic migliore di altri metodi? Solo 
perchè deleghi il compito di autenticare e autorizzare una sessione ad 
Apache/IIS/Zeus/ecc. invece che all'applicativo soprastante non è che 
rende il servizio erogato più sicuro.
ivan
-- 

Francesco Potortì ha scritto:

No non è così
E' stato detto, se ho capito bene, e così mi pare visto che l'ho anc'io 
che la pw non è legata al time che tradotto vuol dire che se io mi segno 
un paio di pw, per es., su telefonino le posso poi usare senza avere il 
token dietro
Mi pare che abbiano seguano solo un ordine cronologico
Se mi sbaglio correggetemi

 male io?
ovviamente la password è *sempre diversa*
-- 
Conservare ed usare *in totale sicurezza* le password su internet
comprese quelle per conti correnti, carte di credito etc?
Leggi come su 
http://marcoge.splinder.com

 A rompere i coglioni!
Eppure è stato il token a farmi passare definitivamente a IWBank... 
Finchè non esisteva non mi sentivo sicuro: non è poi così impossibile 
fregare delle password "statiche"


 bancomat e con il tuo PIN fa approvare le operazioni.
Uh?
spiega!


 password "statiche"
basta cambiarle periodicamente :)
come sai sono contro alle imposizioni, avrei preferito libertà di 
scelta da parte dell'utente se usarlo o meno, e quando.
un utente smaliziato, con una attenta gestione delle proprie password 
(di accesso e dispositiva) a mio avviso avrebbe ottenuto lo stesso 
effetto del token, senza il fastidio di portarsi appresso il token 
stesso.
però vedo che oramai questa è la moda di tutte le banche, quindi...

valida. ma appena la usi, si invalida automaticamente.
Ah, ecco.  Ora ha senso :)
Le devi usare nell'ordine o funzionano anche in disordine?

 ogni volta che immetto la password... brrrrrr...
HTTP basic è sniffabile in real time. Https è un'altra cosa, sebbene 
aggirabile con un attacco man in the middle.

 sistema similare: un lettore di smart card che legge il bancomat e 
con il tuo PIN fa approvare le operazioni.
Ottimo punto di partenza, dato che si stanno diffondendo bancomat e 
carte con microchip...

 fregare delle password "statiche"
Esattamente. Se ti sottraggono il Token te ne accorgi, se ti 
fotografano la carta con i pin... chissà...

 Le devi usare nell'ordine o funzionano anche in disordine?
onestamente questo non lo so.
so per certo che puoi saltarne una, ma penso che dopo un tot di errori 
sia necessaria una ri sincronizzazione con i server della banca.

 però vedo che oramai questa è la moda di tutte le banche, quindi...
guarda che è un  tesserino di plastica molto + fine del bancomat
che nel portafoglio si nasconde quasi

 un utente smaliziato, con una attenta gestione delle proprie password
Ecco, hai sbagliato target. Il cliente bancario medio è quello che si 
tiene il pin del bancomat scritto nel portafoglio.
Per favore, cerchiamo di capire che le banche non sono un branco di 
organizzazioni idiote. Ci saranno pure le mele marcie e faranno anche i 
casini di cui ben sappiamo, ma quando ci si siede a tavolino la prima 
domanda che ci si pone è "Come possiamo rendere il sistema sicuro e 
facilmente fruibile?" La risposta, ad oggi, è in buona parte l'uso del 
token.
ivan
-- 

 spiega!
Barclays inghilterra (non so in Italia) us Pinsentry: 
http://www.barclays.co.uk/pinsentry/index.html
In pratica tu metti il tuo bancomat con chip dentro una spece di 
calcolatrice. Inserisci il tuo PIN del bancomat, inserisce il numero di 
contocorrente del beneficiario, i soldi che gli vuoi mandare, e lui ti 
tira fuori un codice, che valida l'operazione come legata al bancomat 
usato (il quale è a sua volta legato al tuo contocorrente).
Questo significa che ogni operazione deve essere fatta tramite questa 
calcolatrice, e che se non l'hai appresso non puoi fare nulla.


 che nel portafoglio si nasconde quasi
parlavo del token, mi sembrava piuttosto chiaro...
e il token non è un tesserino di plastica che si porta facilmente in 
giro...
inoltre tieni presente che iwbank, rispetto ad altre banche (unicredit 
e intesa) costringe all'utilizzo del token anche per il solo accesso in 
consultazione. quindi, senza token, non puoi fare nulla di nulla, 
nemmeno vedere il saldo.
per me, è una scelta parecchio sbagliata.

giro...
E invece da un un po' di tempo è proprio così.
-- 
Superciuk

 tiene il pin del bancomat scritto nel portafoglio.
Vero.
Quelli più smaliziati scrivono il PIN nel cellulare, come se fosse un numero 
di telefono.
Ho scritto diverse volte che i frequentatori di IEBa sono la crème de la 
crème de la crème della clientela bancaria.
Ciao ciao
Vinicio Loncagni
-- 
Vinicius_LoncanisAThotmailPUNTOcom
Gringotts Bank LTD, Diagon Alley.
http://tinyurl.com/cwf4r


Identificandolo "PINo" per non sbagliare. Visto io.
Auguri di Buon Natale
Gi
-- 
Per chi avesse necessità di contattarmi privatamente: 
gsassachiocciolatiscalipuntoit
Scusate il disturbo. 

 e il token non è un tesserino di plastica che si porta facilmente in giro...
NT
hanno introdotto quello a tesserino!


 calcolatrice, e che se non l'hai appresso non puoi fare nulla.
Io che accedo al homebanking da casa ne sarei entusiasta, moltissimi se 
ne stralamenterebbero; guarda le lamentele per il token


 token, senza il fastidio di portarsi appresso il token stesso.
Non è che pesi molto, eh!


 Perchè il token sarebbe più sicuro delle password monouso?
Il token è superato, già cracckato in più di un'occasione. Password
monouso su carta sono abbastanza scomode sia  per la banca che per
l'utente.
La cosa più sicura, secondo me, è una password monouso che ti arriva
via sms sul cellulare. Ormai il cellulare ce l'hanno anche i neonati.
ciao,
Alberto

 il pin del bancomat scritto nel portafoglio.
sono assolutamente d'accordo. volevo solo sottolineare che, per quanto 
riguarda la mia banca in particolare (Iwbank), avrei ampiamente 
preferito (e non ho mancato di sottolinearglielo per iscritto) che 
lasciassero a me la scelta se attivarlo o meno. e se questo non era 
possibile, che almeno (come unicredit ad esempio) mi dessero la 
possibilità di accedere al conto "in sola lettura" (ovvero senza poter 
fare operazioni dispositive) solo con la combinazione userid+pwd.

 soprastante non è che rende il servizio erogato più sicuro.
Ossia ad una serie di suite software ampiamente collaudate e verificate, 
proprio perché sempre le stesse, usate in una marea di contesti, oltre 
che ormai da decenni. Ben difficile che ci sia un baco nel codice 
dedicato alla buona vecchia HHTP Basic di tali suite software. Questo 
quando si parla di sicurezza è un vantaggio tutt'altro che trascurabile.
Non è la stessa cosa invece affidare la propria password ad una pletora 
di maschere che non si sa mai bene come siano realizzate e che cosa 
abbiano dietro, per cui il bug infingardo risulta sempre dietro l'angolo.
Saluti,
P.S. Per rispondere anche ad ayrtonoc: ovviamente HTTP Basic su HTTPS, 
non certo in chiaro. Rimane il problema del MITM su HTTPS, che richiede 
però, di fatto, una talpa nel sistema, o quantomeno qualche sistema molto 
malamente configurato. Nessun sistema è più sicuro delle persone che ci 
operano dentro...
P.P.S. Per un sito realmente sicuro eviterei come la peste l'uso del 
concetto di sessione. Il protocollo HTTP non contempla il concetto di 
sessione e ogni tentativo di simularle con i mille e uno barbatrucchi 
attualmente in uso comporta inevitabilmente problemi di sicurezza.


 Il token è superato, già cracckato in più di un'occasione.
Questo è palesemente falso. Per il momento, a parte alcuni "theoretical 
attacks" su alcuni device non ci sono prove di attacchi riusciti. Questo 
non significa che è i token siano assolutamente sicuri, ma certamente non 
ci sono notizie di prodotti che sono stati aperti.
Se hai informazioni differenti ti pregherei di farmi avere i relativi URL. 
Grazie.
ivan
-- 

 tiene il pin del bancomat scritto nel portafoglio.
oppure scrive il PIN del token sul dorso del token... Ivan, non ti 
scaldare, li conosciamo benissimo i motivi dell'introduzione del token. 
Sembra una chiave (fisica), "l'utonto" di turno la sente come tale e 
finalmente si decide a custodirla come si deve. Le banche fanno benissimo 
ad introdurlo ma alcune, non tutte, sbagliano secondo me in due punti:
1) Non lasciano liberta di scelta a chi ne vuole fare a meno.
2) Lasciano passare l'idea che avendo il token automaticamente tutto è 
sicuro, con tanto di pubblicità trionfalistiche.
La prima è una scocciatura per me e per quei pochi come me. La seconda in 
particolare è *estremamente* pericolosa. Già me l'immagino:
Utonto: ma come, avevo il token e sono riusciti a entrare lo stesso? 
Banca: ma cosa è successo?
Utonto: ho perso il portafoglio con dentro il token.
Banca: beh, ma c'è anche il PIN, bastava bloccare il token per tempo.
Utonto: si ma anche il PIN era nel portafoglio, insieme al codice utente; 
voi mi avevate detto che il token era sicuro e io non mi sono 
preoccupato.
La prima volta che succede, fammi un fischio che ti offro una birra, 
sinceramente. ;)
Saluti,


 URL. Grazie.
Sarei interessato anch'io, in quanto sarebbe alquanto grossa...


 hanno introdotto quello a tesserino!
ma davvero? caspita, non si può chiedere la sostituzione? devo andare a 
prendere il martello? :D

il 19/12/2008, The next ha scritto in it.economia.banche, "Token o 
password monouso?".
se ho ben capito, bancoposta online usa un codice dispositivo.
Cioè, viene inviato un codice di una decina di caratteri.
Quando si fa un vaglia o simili, compare scritto "digita il x carattere 
del codice".

 Sarei interessato anch'io, in quanto sarebbe alquanto grossa...
Si confonde, e so anche con che cosa.
A riguardo il tuo intervento precedente sto cercando di decidere come 
impostare una adeguata risposta. Prima di tutto questo è il NG sbagliato 
per fare "guerre di religione" su argomenti non inerenti al banking. E' 
altresì vero che le tue affermazioni peccano di una certa imprecisione che 
potrebbero dare adito a ingiustificati allarmismi.
Insomma, ci dormo sopra e poi decido.
ivan
-- 

 Insomma, ci dormo sopra e poi decido.
anche in privato se vuoi. In ogni caso non mi sembra che questo NG sia 
inadeguato. Il Token č usatissimo per il banking on-line. Piů adeguato di 
cosě... :)
Saluti,


Francesco Potortě ha usato la sua tastiera per scrivere :

Se le puoi usare in disordine č comodo, altrimenti non tanto.  In
disordine te ne puoi creare tre o quattro da portarti in viaggio su un
computer portatile o una memoria, cifrate, e usarle quando ti pare senza
preoccuparti di quanto siano vecchie.

 preoccuparti di quanto siano vecchie.
beh, questo lo puoi fare anche se le devi usare in ordine, anzi sono 
certo di aver letto che molti correntisti iwbank gia lo fanno. generano 
una decina di codici, li memorizzano (nell'ordine in cui li hanno 
generati) sul palmare e li cifrano, e poi li vanno ad utilizzare in 
mobilita (portatile, ufficio, ecc).

mobilita (portatile, ufficio, ecc).
Io pensavo ad un uso del token normale (da casa, ad esempio), e un uso
occasionale in cui sei in viaggio e non ti vuoi portare dietro il token.
A meno di non programmare ogni viaggio accuratamente, e generare due o
tre codici prima di partire, uno potrebbe generarne una decina e
lasciarli sul portatile, per usarli quando capita, se capita, senza
doverci pensare prima.

 prendere il martello? :D
martello no, bacinella d'acqua (magari con un po' d'amuchina)....


 1) Non lasciano liberta di scelta a chi ne vuole fare a meno.
"Io, Mario Rossi, il token non lo voglio. Sono nato a febbraio del 
1960, mica ieri."
username : mario.rossi
password : 01021960
naturalmente in un foglietto nel portafogli
"Iwbank non è sicura: mi han ciulato tutto. Eppure io sono attento, non 
sono mica nato ieri. Ci faccio causa e vado a Strisia la Notissia"


 Se le puoi usare in disordine è comodo, altrimenti non tanto.
In ordine. Altrimenti la IV invalida -ad esempio- la III, la II e la I


 banca.
La mia banca invece quando voglio fare qualche operazione mi manda un 
sms con la password (ovviamente ogni volta diversa)
Se qualcuno tenta di entrare nel mio conto mi arriva l'sms con la 
password,io mi accorgo e posso far bloccare tutto.

 password,io mi accorgo e posso far bloccare tutto.
E il giorno in cui l'SMS non ti arriva, o hai il cellulare scarico?
ivan
-- 

 E il giorno in cui l'SMS non ti arriva, o hai il cellulare scarico?
E' come affermare che l'antifurto di casa non serva, se manchi l'energia 
elettrica di rete e la batteria in tampone sia scarica. 


wrote:

Effettivamente in quella situazione l'antifurto non serve a niente, ma
il vero problema si manifesta solo se arriva un ladro, e se arriva
casualmente un ladro proprio quando l'antifurto č fermo vuol dire che
uno č cosě sfortunato che vedendolo i gatti neri si toccano le parti
basse.
La password, invece la richiedi nel momento che ti occorre, e se non
arriva sicuramente non potrai eseguire l'operazione che volevi fare.
La differenza č tra problema potenziale e problema in corso.
--------------------------
The next - 
an...@libero.it
--------------------------