Newsgroup: it.economia.banche
Titolo: osservazione su web Fineco: le IMG non sono cifrate

cioè voglio dire che le immagini del sito di Fineco non vengono caricate con
una sessione cifrata.
Questo apparentemente non ha importanza, ma invece secndo me ne ha, perchè
se accetto di caricare sia gli elementi protetti che quelli non protetti,
NON HO PIU' L'INDICAZIONE DEL LUCCHETTO nel browser!
Non dico questo per criticare Fineco, che anzi ritengo un OTTIMA banca ed è
anche una mia candidata per una prossima apertura di c/c, ma solo per fare
una osservazione costruttiva.
Casper


Io invece trovo alquanto superficiale non aver implementato sul sito
un sistema che ad ogni login avvisi l'utente Fineco quando sia stata la sua
ultima visita
a quel suo specificato conto corrente!
Segnalai diverse volte questa grave mancanza del servizio Fineco on line,
ma a tuttoggi non ho avuto alcun riscontro.
Che ne pensate?

 Che ne pensate?
Lurkando nel ng ho visto che tempo addietro anche altri hanno segnalato
questa cosa anche tramite raccomandata ("Danielem" ad esempio)...,  poi non
ho più trovato msg al riguardo... e stavo aspettando di verificare sul sito
Fineco con mio padre che ha un c/c con Fineco.
Quindi insomma tuttora non visualizzano il last login ?
Io concordo sul fatto che sia una cosa banale MA importantissima per la
sicurezza.
Ciao

 (ho riguardato ora, non mi pare che mi sia sfuggito, cmq vabbè).
si infatti hai ragione, non si scende nei dettagli riguardo le immagini.....

Ciao, Casper!
Il giorno 29/08/2003 alle ore 12:49 hai scritto:
 C> cioč voglio dire che le immagini del sito di Fineco non vengono caricate
 C> con una sessione cifrata.
E allora ?
 C> Questo apparentemente non ha importanza, ma invece secndo me ne ha,
 C> perchč se accetto di caricare sia gli elementi protetti che quelli non
 C> protetti, NON HO PIU' L'INDICAZIONE DEL LUCCHETTO nel browser!
Chissa' che guaio.
 C> Non dico questo per criticare Fineco, che anzi ritengo un OTTIMA banca
 C> ed č anche una mia candidata per una prossima apertura di c/c, ma solo
 C> per fare una osservazione costruttiva.
Cosa ci sarebbe di costruttivo in questo ? Ok, le immagini non sono
protette, quindi ?
Bye

Ciao, MARl0!
Il giorno 29/08/2003 alle ore 13:09 hai scritto:
 M> Io invece trovo alquanto superficiale non aver implementato sul sito
 M> un sistema che ad ogni login avvisi l'utente Fineco quando sia stata la
 M> sua ultima visita
 M> a quel suo specificato conto corrente!
 M> Segnalai diverse volte questa grave mancanza del servizio Fineco on
 M> line, ma a tuttoggi non ho avuto alcun riscontro.
 M>
 M> Che ne pensate?
Io penso che se vi mettete tutti questi problemi per una banca su internet,
sarebbe meglio utilizzare una banca tradizionale, con le "cabine del
teletrasporto" che vi sondano, solido acciaio nelle casseforti, e granito
nella testa degli impiegati.
Bye

 Casper
Cio' permette di caricare le pagine piů velocemente...
Internet Explorer in una pagina criptata fa comunque le richieste la
prima volta senza password, ricevuto l'errore ripete la richiesta con
la password.
In un sito che quello di Fineco la maggior parte del tempo i server
starebbero a dare errori di accesso (non visibili all'utente)....
Non č bello ma si fa!
Alex

 Non è bello ma si fa!
non ho capito cosa vuoi dire!

 Chissa' che guaio.
non è un guaio, perchè basta aprire le proprietà della pagina per
controllare che è cifrata... però il lucchetto fornisce un'informazione
visuale più diretta e permette più facilmente (basta un doppio click)
l'accesso alle informazioni sul certificato.
Inoltre sto notando che aprendo la home page di Fineco, e poi le sue
proprietà, se cliccko sul pulsante certificati, non viene visualizzato
proprio nulla, quindi son costretto a riprendere il link e riaprirlo in
finestra separata.
Non sto dicendo che il sito non è sicuro, sto dicendo che potrebbero
migliorarne la facilità con cui sono accessibili le informazioni sulla
sicurezza.
Ah, hai provato a aprire il sito anche con Netscape/Mozilla ? Mica tutti
usano IE ;)

Ciao, Casper!
Il giorno 29/08/2003 alle ore 17:01 hai scritto:
 C> Non sto dicendo che il sito non è sicuro, sto dicendo che potrebbero
 C> migliorarne la facilità con cui sono accessibili le informazioni sulla
 C> sicurezza.
Considerato che molto probabilmente almeno i 3/4 dei clienti di banche
online non hanno la minima idea di che cosa sia la sicurezza e che
differenza ci sia tra una pagina protetta e una non protetta (e all'interno
delle protette, la differenza tra i vari bit di protezione), non mi sembra
una mancanza cosi' grave, dopotutto non starai a guardare tutte le volte se
una pagina e' protetta o no ? O forse si ?
Tanto per dire, le uniche pagine che veramente dovrebbero essere protette
sono quelle che permettono di inserire username, password e pin, proteggere
tutte le altre e' perfettamente inutile.
 C> Ah, hai provato a aprire il sito anche con Netscape/Mozilla ? Mica tutti
 C> usano IE ;)
Non sono mica matto, non voglio scontrarmi con le idiosincrasie e le
elucubrazioni mentali degli inventori di quegli aborti di browser, ho gia'
abbastanza problemi per conto mio.
Bye

 tutte le altre e' perfettamente inutile.
beh, io stavo parlando della home page di fineco, da cui per l'appunto si
inseriscono username e password

 abbastanza problemi per conto mio.
Gli 'inventori di quegli aborti di browser' come li chiami tu si fanno
un culo cosi' per sviluppare browser open-source rispettosi degli
standard e delle specifiche w3c. La Micro$oft, al contrario, fa' di
tutto per infarcire IE di estensioni proprietarie e se ne frega degli
standard, chi crea i siti web di merda, siccome non sa' scrivere una
riga di codice html, prende frontpage e in 10 minuti ti sforna il
lavoro, peccato che andra' solo per chi usa IE, e pure male visto che il
codice non e' ottimizzato.
-- 
Ciao         -- Massimo --

Ciao, Casper!
Il giorno 29/08/2003 alle ore 19:49 hai scritto:
 C> Questo non gli fa certo onore :)
Ma non gli impedisce nemmeno di essere cliente e di dormire sonni
tranquilli.
 C> - la facilità di visualizzazione delle info sulla sicurezza
Le informazioni sulla sicurezza sono facilmente visibili, bastano due click
del mouse. Certo forse non c'e' il lucchettino, ma che importa ?
 C> - la visualizzazione del last login
Forse sarebbe una cosa bella, ma perfettamente inutile, visto che se
qualcuno riesce ad entrare a tua insaputa puo' benissimo svuotarti il conto
prima che te ne accorga (e poi sai quanti si dimenticherebbero di quando si
sono collegati e ignoreranno l'informazione o telefoneranno allarmati per
bloccare il conto ?).
 C> Specialmente se mi connetto alla banca da una rete locale su cui ci sono
 C> altri utenti, ogni volta controllo che il certificato sia quello giusto.
A me pare tu sia un po' ossessionato, io quando mi collego penso a
controllare che un bonifico mi sia arrivato o un pagamento sia stato fatto,
non mi metto certo a controllare ogni singola pagina e ogni singola immagine
per vedere se sono protette oppure no. Poi evito di collegarmi usando PC di
altri, la criptazione delle pagine e' virtualmente insuperabile, ma un
keylogger installato su un PC la frega agevolmente (e non c'e' lucchettino
che tenga).
 C> beh, io stavo parlando della home page di fineco, da cui per l'appunto
 C> si inseriscono username e password
E allora che problema c'e' ? Il link del pulsante di invio del form manda ad
una pagina protetta (devi controllare l'html per saperlo) ? Se la risposta
e' si, allora non ci sono problemi, tanto poi la sessione continua con un id
univoco generato casualmente, non inviando continuamente la password.
Bye

Ciao, Massimo!
Il giorno 29/08/2003 alle ore 21:07 hai scritto:
 M> Gli 'inventori di quegli aborti di browser' come li chiami tu si fanno
 M> un culo cosi' per sviluppare browser open-source rispettosi degli
 M> standard e delle specifiche w3c.
Gli standard sono belli perche' ognuno li interpreta a modo suo, peccato che
gli sviluppatori dei browser open source si fanno un cubo cosi'
interpretando uno standard in modo completamente diverso dal resto
dell'umanita'. Lo standard e' quello che viene usato di fatto nella realta'
non quello che e' scritto su qualche pezzo di carta in un qualche polveroso
archivio di una commissione. Barricarsi dietro al w3c e' solo una scusa per
giustificare il fatto che certi siti non si vedono bene e far ricadere la
colpa, alternativamente, sul gestore del sito o sulla Microsoft (che fino a
prova contraria non ti punta la pistola alla tempia per usare i suoi
prodotti), ma lungi da loro piegare un po' lo standard per renderlo un po'
piu' aderente alla realta', giammai, lo standard e' scolpito nella pietra,
piuttosto il martirio !
 M> La Micro$oft, al contrario, fa' di tutto per infarcire IE di estensioni
 M> proprietarie e se ne frega degli standard, chi crea i siti web di merda,
 M> siccome non sa' scrivere una riga di codice html, prende frontpage e in
 M> 10 minuti ti sforna il lavoro, peccato che andra' solo per chi usa IE, e
 M> pure male visto che il codice non e' ottimizzato.
Hai mai usato frontpage ? No, altrimenti sapresti che quello che hai scritto
e' solo un enorme cumulo di sciocchezze. Tutti quei browser hanno problemi a
visualizzare qualsiasi pagina scritta in qualsiasi modo perche' hanno un
motore di rendering che interpreta le informazioni e le presenta in maniera
molto diversa rispetto ad IE (e lo fanno per scelta progettuale non certo
per "giovinezza" del codice, visto che in tutti questi anni avrebbero potuto
sistemarlo come si deve). Prova ad esempio a fare una pagina contenente
delle tabelle nidificate poi vediamo lo schifo che salta fuori con qualsiasi
browser che non sia IE (e non mi venire a dire che il w3c vieta queste
cose). Poi mi spiegherai cosa vuol dire ottimizzare il codice html.
Comunque qui siamo palesemente OT e direi di chiuderla in fretta.
Bye

 univoco generato casualmente, non inviando continuamente la password.
si, ho dovuto controllare l'html per accertarmente, cosa c'è di strano? :)
Dalla home page non si vede.
Comunque mi sembra che forse mi sono fatto un pò fraintendere.
Ripeto, non ho mai messo in dubbio la sicurezza del sito di Fineco. Quella
c'è e funziona, e di questo non ho dubbi.
Ritengo soltanto --e non credo di essere l'unico-- che un segnale più
visibile che le pagine sono protette non potrebbe che starci bene, e idem
per il last login. Riprendendo l'esempio dell'impianto di allarme, il last
login è come la spia della memoria che nella centralina rimane lampeggiante
dopo che è scattato l'allarme.
Poi vabbè, Fineco ha scelto di fare le pagine coi frame, evabbè... vorrà
dire che farò un paio di click in più col mouse :-D
Per il last login, invece, dovrebbe veramente metterlo.
Ciao

 bloccare il conto ?).
Invece per me sarebbe utilissima:
ammesso che possa esserci qualche smemorato (al quale non consiglierei una
banca on line), a molti come me risulta facile ricordare i last login
personali.
Nel mio caso poi, ho un conto corrente all'insaputa della mia compagna, e
vorrei
monitorare almeno dalla visualizzazione del last login se mai un giorno
possa
venirne a conoscenza in modo da controbattere ad un suo interrogatorio di 3°
grado.
Poi non è affatto detto che se un malintenzionato si impossessi dei miei
account
vada subito a svuotarmi il conto corrente, se è intelligente aspetterebbe
sicuramente
che ci sia almeno una somma consistente che giustifichi il suo reato.
Su una banca on line ogni dettaglio è importantissimo
in tema di sicurezza!
La sicurezza è anche quella sensazione psicologica di ogni cliente,
non lo sottovalutiamo!

> Chissa' che guaio.
tecnicamente una sessione sicura connessa ad una non sicura puo
permettere un trasferimento dei dati in modo non criptato.
Anche se cio accade solo se il sito non e' ben progettato (esempio se
memorizza i dati in cookies non ristretti o se la sessione e' visibile
anche alla connessione non protetta.
Se implementato bene questo problema non si verifica.
Anche se bisogna ricordare, che per ottenere la certificazione tutti
gli elementi devono essere protetti.
-- 
.     _  _______  ¸,ø*°`°*ø,¸_¸,ø*°` Kirys `°*ø,¸_¸,ø*°`°*ø,¸
  /| // /__  __/  My e-mail is a working antispam e-mail and 
 / |/ \   / /     changes periodically.
/__|\__\ /_/ 2000 Web site: 
http://www.kt2k.com

dell'umanita'. 
qui siamo ot, ma ti voglio ricordare comunque che IE non e' l'unico
browser, e win non e' l'unico O.S.
E' come la nokia si mettesse a fare cellulari con uno standard suo,
non vuol dire che per causa dela nokia tutti dobbiamo adattarci.
Anche perche' se i siti venissero fatti rispettando gli standard
sarebbero visibili perfettamente sia ad ie che a tutti gli altri, ed
infatti la quasi totalita dei siti stranieri sono rispettosi degli
standard (persino il sito MS e' fatto a dovere).
Solo in italia la maggior parte dei siti e' fatta a caiser...
E comunque ritengo il rispetto per il lavoro degli altri cosa dovuta,
anche se non si approva quello che fanno.


 differenza ci sia tra una pagina protetta e una non protetta
Proprio per questo leggo con interesse thread sulla "sicurezza"
in generale e su quella delle banche online in particolare.
Credo che le banche dovrebbero "pubblicizzare" al meglio i
sistemi adottati (che si possono rendere pubblici). A loro volta
i clienti dovrebbero privilegiare le banche più "sicure" anche
dal punto di vista informatico e non solo sul lato costi.
Visto che tutto questo è ancora di là da venire, mi sembra più
giusto incoraggiare quei pochi "sensibili" alla questione
piuttosto che fare spallucce e ignorare il problema.
Il fatto, ad esempio che nella HP della SIM con cui opero in
borsa compaia sempre data e ora dell'ultimo collegamento, mi dà
molta sicurezza, anche psicologica. Non vedo perchè una cosa non
complicata da realizzare non debba essere adottata da tutte le
banche con servizi online, oltre ovviamente alla sicurezza dei
certificati e criptazioni varie.
-- 
Saluti. Fred®
Le regole del Newsgroup?
www.banke.it/Regole.htm

> Se implementato bene questo problema non si verifica.
io credo che siamo tutti d'accordo sul fatto che il sito di Fineco è ben
protetto (il mio post non è nato per mettere in dubbio questa cosa !!!!).
L'unica "pecca", IMHO, sono questi dettagli:  no last login, no lucchetto
(<-- no img protette).
Dettagli che non aggiungono nulla alla sicurezza dal punto di vista
"tecnico", ma danno un qualcosa in più dal punto di vista "tranquillità" /
"visibilità info sicurezza".
Ciao ^^

"visibilità info sicurezza".
Ogni sistema per quanto protetto bene a lungo termine e' vulnerabile,
senza parlare dei problemi di sicurezza riguardanti l'os e/o il
browser che si usa, e la distrazione dell'utente.
Last login e' last operation sono sicuramente info utili,e che in
fondo costano poco dal punto di vista del software (li ha pure b121).
Da webmaster ti dico che il costo di implementazione di un log del
genere impiega al + una settimana (ma in teoria si puo fare in 4
ore... :P).
Magari se più persone lo chiedono al loro customer care, questi
potrebbero anche implementarlo.
Ciao


 Ciao
io ho intenzione di dirglielo quando ci vado a parlare di persona per aprire
il conto, e magari faccio anche come ha fatto qualcuno qui del ng, cioè
mandargli una raccomandata col consiglio :)