Newsgroup: it.economia.banche
Titolo: Servizio TOKEN IWbank

In pratica cos'è ?? Un apparecchio da collegare al PC, un software  ???
Rende sicuro l'accesso a una data banca online o anche ad altre connessioni
??
Grazie anticipate a chi risponderà .

 connessioni
Pare sia il massimo ;-)

 connessioni
Solo per l'accesso alla banca che te l'ha concessa. 

 Pare sia il massimo ;-)
Il massimo sono i "blocchi monouso" (è l' unico metodo non attaccabile)
cosa diversa dalle password monouso che son comunque generate dal
medesimo algoritmo
Ciao :)

 Pare sia il massimo ;-)
Dal punto di vista crittografico, il "massimo" è la password monouso.
Dal punto di vista pratico, però, la password monouso è scomoda: prima 
di tutto c'è il problema dello scambio password, che deve essere attuato 
con un sistema compleamente sicuro, e deve essere attuato "spesso" 
perché essendo la password monouso, ogni volta ne serve una nuova :-)
Poi c'è il problema della conservazione delle password una volta 
ricevute, che non sempre è fattibile in modo sicuro dal lato utente.
Per capirci, il sistema delle password monouso è praticato ad esempio 
inviando all'utente una serie di codici stampati su un foglio, e 
l'utente conserva il foglio finché non ha finito i codici.
Sia il metodo per lo scambio sia il metodo di conservazione sono a 
rischio intercettazione. Per il resto il sistema è a prova di bomba.
Il "token" è un aggeggio che risolve i problemi pratici facendo qualche 
compromesso dal punto di vista crittografico.
Lo "scambio password" consiste nella consegna del dispositivo 
opportunamente inizializzato, una volta per sempre (o finché non si 
esaurisce la batteria o finché non termina la vita utile crittografica 
del dispositivo, ma finisce prima la batteria).
La conservazione non è più a rischio "intercettazione", perché non è 
possibile conoscere le password in anticipo se non di poche decine di 
secondi.
Rimane naturalmente il rischio in caso di sottrazione del dispositivo, 
che pertanto non deve in nessun caso costituire l'unico strumento di 
autenticazione.
Dal punto di vista crittografico, come detto, si fa un passo indietro, 
passando dalla "perfezione" dell'OTP al compromesso del generatore 
pseudocasuale plesiosincrono basato su una chiave di lunghezza finita.
In linea di principio, puramente teorica, è crackabile.
Per dare anche una valutazione pratica, bisognerebbe sapere di che 
produttore saranno i token di IW Bank e, se pubblicato, quale algoritmo 
adottano.
Se l'algoritmo non è pubblico, in genrale è buona norma stare alla larga.
Se l'algoritmo è noto, bisogna vedere cosa dice la letteratura.
Scusate la lunga digressione, tutto questo per dire che nel campo della 
sicurezza informatica la perfezione non esiste, e un gadget non è la 
soluzione di tutti i mali.
W.

 GPS - o perdere 30 secondi come 1 minuto è presto fatto
L'aggeggo non è in rete e non ha antenne, quindi nessuna fonte esterna 
di ora.
Semplicemente si applica una tolleranza, la password non è valida solo i 
30 secondi in cui è visualizzata ma anche per un minuto di lì a seguire: 
si risolve così la sincronia imperfetta e il tempo di digitazione 
dell'utente medio :-)
W.

 soluzione di tutti i mali.
Si fa quel che si puote :-) ed il "gadget" mi sembra un buon compromesso. 

GPS - o perdere 30 secondi come 1 minuto č presto fatto
Non credo ci sia "sincronizzazione". 
Se e' come quello che avevo io (altra banca) l'aggeggio non e'
collegato a nulla, ne' PC ne' internet ne' usa altro tipo di ricezione
segnale orario.
Ricordo anche che c'era un minimo di tolleranza, cioe' la password
generata era valida anche nei 30 secondi successivi, in modo che se
spingevo il bottone al ventinovesimo secondo avevo anche i 30 secondi
successivi.
Ciao
  Freccia

 passando dalla "perfezione" dell'OTP...
Quindi la perfezione, a quanto ho capito, potrebbe essere raggiunta se 
ad esempio la nostra banca ci inviasse una OTP quale pwd di secondo livello.
Mi chiedo: quale potrebbe essere un sistema affidabile per l'invio della 
OTP ai clienti? In una azienda di tlc presso cui lavoravo si era 
sperimentato l'invio di OTP tramite sms, ma questo presuppone che tutti 
i clienti abbiano un telefono cellulare personale.
ciao
Davide

 esterna di ora.
Probabile sia certificato con una tolleranza (sfasamento) di + o -
TOT_1 secondi per TOT_2 tempo dalla taratura, sicchè basta impostare
lato banca un intervallo di validità della password (OTP) generata > (o
al più =) di TOT_1 e ritarare l' apparecchio dopo TOT_2 tempo
In effetti il tutto stà il quel discostamento (TOT_1)...se è di 10
secondi dopo 1 anno (TOT_2), con un intervallo di validità della
passoword di 30 secodi stan bene per 3 anni nel caso peggiore!
*Zi può fare*

 i clienti abbiano un telefono cellulare personale.
Metodo accettabile se ti fidi degli operatori cellulari: l'SMS gira in 
chiaro sulla rete telefonica.
D'altronde la password sarebbe valida per una sola volta e per poco 
tempo, quindi il rischio mi sembra accettabile.
W.

 tempo, quindi il rischio mi sembra accettabile.
Beh, sempre se ti arriva ;)
ivan
alias colui che ha colonizzato l'Italia delle banche con i Token ;)

 possibile riprodurle? Si, appunto, basta conosce l'algoritmo.
Se sono generate da un algoritmo puramente deterministico, basta 
conoscere l'algoritmo e il valore delle variabili di stato.
Come viene generato un code-sheet al giorno d'oggi puoi saperlo tu 
meglio di me, io mi limito a rilevare che i generatori di numeri casuali 
(non pseudocasuali) sono in uso in ambiente domestico da alcuni anni e a 
immaginare che i computer in uso nelle banche non siano meno avanzati di 
quelli usati nelle case.
In questo caso conoscere algoritmo e variabili di stato non è 
sufficiente per calcolare i valori successivi, bisogna anche conoscere 
stato ed evoluzione delle sorgenti non deterministiche: atomi, 
elettroni, eccetera.
Se puoi fare questo non hai bisogno di rubarmi i soldi :-)
W.

 E comunque l'SMS non ha alcuna garanzia di invio.
Verissimo, diciamo che non ha garanzia di invio, ma che in termini 
probabilistici arriva nel 90% dei casi (mi sono tenuto molto stretto, 
confido che la percentuale sia ben più vicina al 99%).
Questo mi porta però a fare una considerazione/provocazione.
Io, utente di una banca on-line, effettuo un primo log-in all'area 
privata del sito tramite uno dei metodi classici, ad esempio log-in + pwd.
Poi per poter accedere ad un determinato servizio (ad esempio quello 
dispositivo) la banca mi invia tramite sms una OTP che nel giro di un 
minuto devo digitare nel sito.
Nel 90% dei casi la procedura funziona senza intoppi.
Se disgraziatamente ricado in quel 10%...poco male, dopo 1 minuto di 
attesa ritento fiducioso sperando di essere più fortunato! ;P Non 
possiamo essere sempre sfortunati! Qual è il "danno" maggiore per questo 
inconveniente? ho semplicemente perso un minuto.
Ovviamente capisco che l'SMS non dia garanzie di invio, ma la 
percentuale di insuccesso mi sembra ragionevolmente bassa se ci 
affidiamo all'esperienza comune.
È anche vero che l'sms viaggia in chiaro, ma un malintenzionato avrebbe 
un solo minuto utile per utilizzare la pwd di secondo livello. E per 
farlo dovrebbe prima venire in possesso anche di log-in e pwd necessarie 
per accedere in prima istanza all'area privata del sito della banca.
Non sono un esperto di security e quindi è probabile che il mio 
ragionamento tralasci una miriade di complicanze, ma il sistema dell'sms 
in effetti mi sembrava interessante...anche in ragione della diffusione 
capillare dei telefoni cellulari, e quindi senza che si debba 
necessariamente portarsi dietro un altro "gingillo" per essere operativi 
con il proprio conto corrente.
E comunque mi sembrerebbe un grosso passo avanti rispetto a quello che 
ad oggi accade in molte banche, dove la password "dispositiva" ci viene 
data su un supporto cartaceo.
Saluti,
Davide

 Se puoi fare questo non hai bisogno di rubarmi i soldi :-)
Si, concordo ;)
ivan

 la password "dispositiva" ci viene data su un supporto cartaceo.
Mah, essenzialmente non è proprio il peggio del peggio. Il problema è
che ci sono così tante occasioni per far casino che oramai una cosa
così è abbastanza inutile.
Fra l'altro, lo sai cosa sta facendo la Barclays in Inghilterra? Ai
suoi utenti del servizio on-line banking (che usa username e password)
un antivirus e anti-spyware di marca gratuito per 2 anni. E si parla di
un valore di mercato di 100 euro per cliente!
ivan

 inviato al cliente.
Male, molto male.
Allora meglio il token.
W.

 Allora meglio il token.
Guarda che il grado di rischio è esattamente lo stesso. Solo che il
token è piccolo, in caso di manomissione smette di funzionare e se te
lo rubano lo sai subito. Le cartine si fotocopiano e addio segretezza
delle password.
ivan

 Ma la listarella ce l'hai comunque appresso.
Giusto, il fattore umano.
La lista si può fotocopiare e il token no.
Quindi è più facile appropriarsi della lista che del token.
Considerando il "fattore umano" possiamo supporre che dato un cliente 
medio non sufficientemente paranoico il token è più sicuro della lista.
W.

 un valore di mercato di 100 euro per cliente!
E' molto interessante questa discussione sui sistemi di sicurezza, come
lo è stata quella su Mr. Pin di qualche tempo fa.
Una domanda: all'estero qual è "l'ultimo grido" in termini di
sicurezza ? Per esempio cosa usano le banche in America, dove l'home
banking è diffuso da diversi anni ?

 banking è diffuso da diversi anni ?
Username e password.
No, non sto scherzando. Sono serissimo.
ivan