Newsgroup: it.economia.banche
Titolo: Il token sta morendo?

(Come promesso, ecco copia dell'articolo che ho scritto per la newsletter 
di Anssaif. Buona lettura)
Durante il convegno ANSSAIF tenutosi a Vallombrosa lo scorso settembre 
2006 ho presentato gli attuali limiti, rischi e i metodi di attacco che 
possono minare la fiducia del consumatore nel sistema di autenticazione a 
due fattori (two-factor authentication). A luglio 2006 l'americana 
CityBank è stata vittima di un attacco di quello che definisco come il 
nuovo phishing (per maggiori informazioni potete leggere qui: 
http://blog.washingtonpost.com/securityfix/2006/07/citibank_phish_spoofs_2factor_1.html
 
.. Se quello di CityBank poteva essere una novità nel panorama delle frodi 
via Internet, con le ultime notizie provenienti dall'Olanda dobbiamo 
oramai accettare il fatto che il panorama dei metodi sta cambiando. I 
clienti della ABM-Amro hanno subito un attacco in aprile 2007 e alcuni 
conti correnti derubati dei loro soldi (la notizia è riportata qui: 
http://www.out-law.com/page-7967
 ).
Gli attacchi non hanno presentato novità di esecuzione diverse da quelle 
descritte al convegno: l'utente è attirato su un sito web che opera come 
proxy del cliente verso la banca. Un perfetto attacco Man-in-the-middle da 
manuale. Questo dimostra come è oramai poco costoso scrivere codice che 
possa fare da "corriere" per le credenziali del cliente, aprendo la strada 
a tutti gli altri gruppi criminali. Il fattore di interesse è che il 
concetto del "Man-in-the-middle" non è verticale alla tecnologia delle 
autenticazioni/autorizzazioni a 2 fattori, ma può essere applicato 
indiscriminatamente a qualunque tipo di trasmissione non istituita in 
forma esclusiva tra le parti. Prepariamoci quindi a veder sempre di più 
attacchi in "real-time".
Certamente se i Clienti non cadessero nei trabocchetti delle email 
"invitanti", evitando quindi di accedere a siti ove i criminali possono 
inviare ed attivare sul computer della vittima i trojan responsabili dei 
"dirottamenti" ai siti fasulli, non sarebbero accaduti i casi citati dalla 
stampa. Ma il Cliente è sempre "padrone", dice il noto adagio, ed allora 
le aziende di servizio devono affrontare nuovi rischi, nuovi investimenti, 
se vogliono che il Cliente sia protetto.
Queste le brutte notizie, passiamo ora alle buone.
Abbiamo un immenso vantaggio competitivo sui gruppi criminali: conosciamo 
i nostri clienti. So che molti di voi, come il sottoscritto, alla menzione 
del "Behavioral Profiling" si trovano a disagio, ma è anche una delle armi 
più interessanti contro questi attacchi.
Behavioral Profiling è oggi utilizzato negli aeroporti, soprattutto 
americani, con risultati molto alterni, così come dai grandi gruppi di 
carte di credito. Cosa potrebbe fare una banca che non ha mai applicato 
questa metodologia? Si può cominciare, ad esempio, con operazioni a basso 
costo, come il controllo della provenienza delle connessioni. Alcune ditte 
offrono database costantemente aggiornati sulla posizione geografica degli 
IP. Un investimento di pochi euro, tra database ed implementazione dei 
controlli, permette di avere il polso della situazione sulla provenienza 
dei nostri clienti. Se proprio vogliamo essere più sofisticati potremmo 
legare insieme le posizioni geografiche dei nostri clienti con le 
operazioni da loro fatte. Questi accorgimenti, con il tempo, ci danno il 
prezioso vantaggio di poter creare un cruscotto di pre-allarme. Ma i 
nostri clienti non si contano nelle unità, ma nelle decine di migliaia, a 
volte nei milioni.
Ecco come il Behavioral Profiling può diventare veramente interessante: 
osservare un numero rilevante di connessioni originanti dallo stesso IP 
sito presso uno stato estero, che guarda caso risulta in una lista nera, 
diventa un ottimo indicatore di un attacco verso i nostri clienti in atto.
Un altro uso degli indicatori geografici è quello relativo alle distanze: 
è possibile per un cliente collegarsi dall'Italia e, 2 ore dopo, 
collegarsi dalla Korea? Un certo sospetto diventa legittimo. Interessante 
l'articolo di Mr. Richard Baker, Chief Identity Architect della BT (potete 
leggerlo qui: 
http://www.out-law.com/page-7927
 ) dove ci informa come sta 
cominciando a profilare i propri clienti proprio in base alle loro 
abitudini, aggiungendo così un ulteriore tassello nella maglia della 
sicurezza contro le frodi telefoniche.
Ma cosa succederà quando tutti faranno Behavioral Profiling? Tra 2 o 3 
anni circa cominceremo a vedere collegamenti provenienti dall'interno 
della nostra nazione, magari sfruttando siti precedentemente hackerati. E 
allora a cosa sarebbe servito tutto questo sforzo? A guadagnare quei 2 
anni che ci servono per implementare una soluzione a lungo termine: 
estendere le nostre maglie di difesa alla clientela.
Come ho già avuto modo di proporre, perché non estendere il concetto del 
perimetro di sicurezza anche al cliente? E' oramai indubbio che la 
soluzione perfetta è parte di un futuro lontano, una firma digitale è ben 
poca cosa senza un adeguato sistema sicuro. Dobbiamo quindi sempre più 
investire sul fattore umano, formare i nostri clienti e lavorare insieme 
ai produttori di browsers, sistemi operativi e gli enti di certificazione 
(IETF fra tutti) per fornire un adeguato "kit del piccolo meccanico" che 
non sia invasivo ma al tempo stesso altamente efficace. Un modo per 
"abbracciare" i nostri clienti, rassicurandoli del fatto che li 
riconosciamo mantenendoli protetti.
E il "Man-in-the-middle"? Lo ritroveremo di nuovo: cercheranno di inserire 
programmi nei computer degli utenti allo scopo di manipolare gli stati di 
memoria, ma converrete anche voi che tra scrivere un programmino in PHP 
e/o ASP e scrivere un codice Assembler per la manipolazione della memoria 
esiste una differenza d'investimento elevata, oltre a dover accedere ad un 
know-how che ad oggi non è particolarmente diffuso. Ed ecco che abbiamo 
guadagnato altri 3 anni di difesa. Complessivamente questi investimenti 
porteranno l'aspettativa di vita delle protezioni a 5/6 anni. E fra 6 anni 
avremo sistemi che potranno degnamente lavorare a stati di memoria stagni 
per così implementare le vere firme digitali.
Forse.
ivan
-- 

 Forse.
Forse. Ma potremo costringere gli utenti a usarli?
Molto interessante, grazie.
W.

 Molto interessante, grazie.
Più che altro sono idee, e come tali sono sempre fonte di altre idee.
ivan
-- 

 bancarie.
In ogni pc e solo per le transazioni bancarie intendi ?
Max max 

 In ogni pc e solo per le transazioni bancarie intendi ?
Si. Se hai ambienti stagni lo puoi fare (un po' come una virtual machine). 
Ma sono cose che devono passare tra le mani degli standard bodies ed 
essere accettate a livello globale, altrimenti non funzionano.
ivan
-- 

 quello che tutti cercano di fare, però.
Sì, ho esperienza di remote banking che obbligano a determinati software 
e hardware, ma solo in ambito business.
Nel mondo retail potrebbe essere più difficile. L'home banking deve 
funzionare dal PC con o senza Windows, dal Mac, dal palmare, dal 
cellulare, dall'Internet-TV.
Altrimenti non ha senso aver abbracciato l'interfaccia web: tanto valeva 
mantenere le applicazioni client-server proprietarie, se si voleva 
costringere a una certa piattaforma.
W.

 costringere a una certa piattaforma.
Sono dell'idea che 1 elevatissima sicurezza si raggiunge
usando + piattaforme allo stesso tempo.
Esempi:
Pc x operate e cellulare x attivare o ricevere alert.
pc e Phone banking con operatore che ti avverte.
cellulare x operare e pc solo x consultare.
password su card fisica con token
Pc consulto password dispositiva tramite telefonino
O tante altre combinazioni.
Come potrebbe il phisher scavalcare contemporaneamente tutto?
Poi 1 ladro va a colpire dove è + facile, 
non perde tempo con tanti ostacoli su molte piattaforme
quando ci sono tante banche con scarsa sicurezza monopiattaforma.
-- 
Le cose non accadono finchè non 
succedono a noi stessi.
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 riconosciamo mantenendoli protetti.
Spero di aver  capito a grandi linee.
Hai ragione sul fatto che la tecnologia dev'essere efficace ma
anche poco macchinosa.
Cmq credo che x quanto ci siano sistemi protetti potremmo parlare
sempre di sicurezza RELATIVA. E' 1 discorso poi probabilistico:
+ contromisure uso e + probabile esser protetto.
Se infine affianchiamo alla tecnologia i comportamenti e le
abitudini utili x utente, potremmo star abbastanza tranquilli.
Anni fa proposi tante cose ma non le trovo.;(
Vado a memoria. Te ne scrivo 1 alla volta.
1) autenticare l'utente con Identificativo Chiamante telefonico
Esempio
se mi collego dal mio numero di casa 06-8455XXX al sito bancario è 
già + sicuro di una password digitata.
Poi metto anche le altre misure di sicurezza.
La maggior parte degli utenti si collega dalla stessa postazione
(casa). Chi ha necessità di altre postazioni non usa questa sicurezza.
O si fa mandare la password temporanea.
2) se ho SMS quotidiani che mi mandano il saldo ho sotto controllo
eventuali anomalie sul conto.
3) se posso bloccare il conto con 1 telefonata o SMS posso
fermare bonifici che ci mettono circa 3 gg.
4) se utilizzo + piattaforme allo stesso tempo (telefonino, pc, telefono,
sportello ecc.) è improbabile che 1 malintenzionato possa
conoscerne tutti gli accessi.
5) i bonifici sono il punto critico.
limitare il plafond giornaliero dei bonifici o (chi vuole) togliere
la possibilità di bonifici o usare 1 altro conto a zero spese solo x
i bonifici.
6) disattivare alla filiale i servizi critici che non si usano
bonifici
ricariche telefonini
7) conosco molti che non fanno alcuna operazione su home banking
ma magari vogliono solo consultare. Basta bloccare la password
dispositiva.
8) se si usa il Phone banking la sicurezza è + alta,
ma anche le spese.
9) altre ed eventuali integrate e/o discutiamone ;)


 ma anche le spese.
Usare più canali contemporaneamente o usare un canale diverso da quello 
preferito (es. telefono anziché internet) è "scomodo" e quindi 
"inaccettabile" per il cliente.
W.
PS: potresti gentilmente evitare di usare abbreviazioni stile SMS? Dici 
cose interessanti e non sembri avere 13 anni, ma è difficile leggerti.

 cose interessanti e non sembri avere 13 anni, ma è difficile leggerti.
Non lo faccio apposta ho problemi di dolore ai tendini.;)


 Se vogliamo la sicurezza è questa la strada."scomodo" e "inaccettabile"
C'è anche il "trapianto di testa" ... per certi utenti ;)
Quanto ai bonifici alcune banche hanno inserito limiti ridicoli che 
vanificano il servizio.
Max max 

 eventuali anomalie sul conto.
questa è veramente una misura sicura ed è incredibile che molte grandi
banche non l'abbiano ancora adottata
ciao

 più interessanti contro questi attacchi.
il behavioral profiling è già una realtà in molti contesti e le tue
considerazioni sono ovviamente vere.
quello che secondo me ti sfugge è che la sicurezza informatica non si
raggiunge con una singola metodologia/soluzione ma con un insieme di
contromisure che tutte insieme rendono sicuro un "servizio informatico".
in altre parole condivido quanto da te scritto sul profiling ma questo non
significa dire addio al token. il token one-time password è comunque un
importante fattore di sicurezza e non capisco perchè tu debba legare
l'adozione (che poi è già realtà) del profiling alla dismissione del token.
sul tuo pc tanti anni fa avevi un antivirus.
quando poi sono arrivati i firewall personali hai rimosso l'antivirus?
no ovviamente. e perchè? perchè *entrambi* sono importanti per la
sicurezza del tuo pc. perchè affrontano e risolvono problematiche diverse.
esattamente come il token ed il profiling.
ben vengano tutti e due.
saluti

 ben vengano tutti e due.
Mi chiedo dove ho mai scritto che i token devono essere smantellati. Beh 
oddio, si lo dico ma alla fine. Fra 6 anni. Quando ci saranno gli stati di 
memoria stagni e potremo efficacemente investire sui certificati digitali, 
quelli veri.
ivan
-- 

 Pc x operate e cellulare x attivare o ricevere alert
La banca di un mio parente utilizza questo sistema. Tutte le volte che
viene disposto un bonifico via web viene notificato via sms al suo
cellulare (di solito arriva in un paio di minuti) e inviata una email di
conferma (anche questa di solito arriva in due minuti). Se ben ricordo
dovrebbe essere obbligatorio lasciare un numero di cellulare per
ricevere gli sms per avere l'abilitazione al banking via internet.
Dato che un bonifico di solito non è immediato ma parte nella migliore
delle ipotesi dopo qualche ora, in caso di falso accesso ci sarebbe
comunque un margine di tempo per contattare anche per telefono la banca
e chiarire che cosa sia successo.
-- 
Luca Logi - Firenze - Italy        e-mail: 
ll...@dada.it
   Home page: 
http://www.angelfire.com/ar/archivarius
                   (musicologia pratica)

 Mi chiedo dove ho mai scritto che i token devono essere smantellati.
hai scelto come subject "il token sta morendo"
ok, era una provocazione evidentemente...

 questa č veramente una misura sicura  ...
Piů che il saldo giornaliero, direi  la segnalazione di operazioni 
dispositive con un minimo di x ore di stand by per l'esecuzione in maniera 
da permetterne l'eventuale blocco.
Max max 

 IP.
E se la catena invece di essere:
Client --- Trojan --- Proxy --- Banca
fosse invece (con piccolo sforzo)
Client --- Trojan --- Proxy --- Trojan --- Banca
nn si avrebbe forse il criminale operativo dall'IP del cliente? Altro che
di anni. Si avrebbe un vantaggio di una sola settimana! Non mi sembra
molto promettente come approccio...
-- 
Legrandin

 di Anssaif. Buona lettura)
Veramente molto, molto interessante.
Volevo dare anch'io il mio piccolo contributo in qualità di cliente
con qualche piccola esperienza poichè sono ingegnere e mi occupo tutto
il giorno di software anche se non per PC.
Mi pare che l'unico approccio attualmente possibile sia quello di
rendere la vita diffcile ai possibili hacker, al punto da rendere non
conveniente l'operazione. Ma che non sia ancora stato individuata una
soluzione intrinsecamente sicura; e credo che fintanto che si useranno
delle piattaforme su cui l'utente può installare software (più o meno
volontariamente), tale piattaforma non sarà mai sicura al 100%,
esisterà sempre la possibilità che involontariamente un utente
installi un'applicazione che alteri la sicurezza del sistema. Magari
adotteremo delle soluzioni per cui fare questo risulterà
economicamente non conveniente ma non impossibile.
E mi chiedo se non sia possibile adottare soluzioni diverse, con
software chiuso, senza arrivare a terminali proprietari, perchè
sarebbe "anacronistico" e non accettabile.
Per esempio, non si potrebbe sfruttare due tecnologie diverse ma già
ampiamente diffuse come i cellulari (come proposto da qualcuno), oltre
naturalmente al PC connesso ad internet per imporre una doppia
autenticazione ?
Per esempio, faccio il login con nome utente e password ed il codice
del token deve essere spedito via SMS. Il cliente avrebbe qualche
fastidio e qualche costo in più (l'SMS) ma non sarebbe una strada
praticamente inviolabile ?
Oppure per risolvere il problema dei bonifici in uscita (che di fatto
costituiscono l'unico vero rischio), si potrebbe usare il PC per
preparare l'ordine di bonifico, trasferirlo sul cellulare via
Bluetooth dove l'utente ha la possibilità di verificarne i dati e
spedirlo in banca via SMS a conferma di quanto spedito via PC.
Cosa ne pensi ?

 ok, era una provocazione evidentemente...
Si, questo è ovvio :)
ivan
-- 

 quando ci sono tante banche con scarsa sicurezza monopiattaforma.
Infatti di email di phishing standard (quelle classiche di username e 
password) ce ne sono ancora a iosa.
ivan
-- 

 banche non l'abbiano ancora adottata
No, spetta, gli SMS non sono una "misura sicura". Sono dei controlli, a 
posteriori, che tu ti fai. Potresti far lo stesso loggandoti tutte le sere 
sul conto e guardando i movimenti del giorno. E non devi aspettare un 
SMS che potrebbe anche non arrivare perchè l'azienda telefonica se l'è 
perso per strada.
ivan
-- 
By 1977 or so, PLATO was featuring real-time multiplayer dungeon games,
not to mention real-time spacewar, IM, chat, email, netnews, and a host of
other things we now take for granted. All this on high-resolution plasma
panel terminals connected at 1200 baud to twin Cyber 6600 supercomputer.
Now you understand why I was kicked out of Cornell for a year; PLATO was
crack for computer nerds. (Robert Woodhead, co-creator of Wizardry)

 8) se si usa il Phone banking la sicurezza è + alta, ma anche le spese.
Da noi ha lo stesso costo che dell'internet banking, ovvero nulla. Quindi 
come vedi ce ne sono di alternative :)
ivan

 Dato che un bonifico di solito non è immediato
Se andate a fare una ricerca di qualche giorno fa su questo gruppo 
scoprite come questo è un non problema: i bonifici possono sempre (o 
quasi) essere bloccati.
ivan
-- 

 Cosa ne pensi ?
Che abbiamo già perso il cliente, il quale sta parlando con la banca 
concorrente la quale offre meno macchinosità :)
ivan
-- 

 sembra molto promettente come approccio...
Ma il behevioral profiling va fatto. Più tardi cominci ad analizzare e 
prima arrivano i criminali. L'IP lo usi oggi. Domani non più. Ma è anche 
vero che ci sono altre cose che possono essere fatte. il BP è solo un 
pezzo della torta.


 Se sei felice cosě, nessun problema :)
1. Certamente. Non č detto che il sistema sia sicuro al 100% ma č
comunque meglio di un sistema dove l'SMS nemmeno parte
2. La email č molto asciutta, non indica gli estremi dei conti, non vedo
come una intercettazione possa usare il materiale. Anche le esigenze di
riservatezza possono essere diverse; capisco che per una industria possa
essere pericolosa una email del genere, per lo specifico privato non
credo.
Un altro sistema lo utilizza una banca dove sono correntista: i bonifici
possono essere disposti via web, ma solo a destinatari precedentemente
autorizzati (o in filiale, o a mezzo telefono). Questo rende molto
difficile svuotarmi il conto, in compenso rende anche piů difficile la
vita al correntista.


 più difficile la vita al correntista.
E torniamo al compromesso di cui parlavo prima :)
ivan
-- 

 continuano a dire che la colpa sia delle banche.
:-))
Max max

  i bonifici possono sempre (o quasi) essere bloccati.
Una volta arrivati a destinazione, con il modus operandi usato da questi 
truffatori, c'č ben poco da fare (vedi quegli altri "intelligenti" che si 
prestano a fare da intermediari)..
E comunque c'č sempre il discorso rischio/beneficio del sistema. Chi non sa 
usare bene un pc che non lo usi affatto, ma non si pretenda di complicare la 
vita agli altri per rischi tutto sommato accettabili.
Max max 

 No, perchè oramai i bonifici sono automatici.
Tecnicamente vero (un bonifico urgente on line è accreditato al destinatario 
addirittura nel giro di ore). Nella pratica però molte banche (in uscita o 
in entrata) ne ritardano volontariamente l'esecuzione di giorni 
(principalmente per motivi di valuta).
Se però vuoi aumentare il grado di sicurezza con un alert (su un caso di 
phising quanti saranno gli sms che non arrivano ?) non vedo perchè non 
istituzionalizzare il ritardo di inoltro di x ore o anche di un giorno.
Ma non introdurre sistemi con grosse controindicazioni per tutti (limiti 
assurdi, o il TC) per tutelare pochi che dovrebbero essere candidati 
all'interdizione (duro ed esagerato ma vero)
Max max 

 assicurati in nessuna forma)
Ciao, per quanto riguarda l'sms permettimi di dissentire... chi manda
l'SMS ha perfettamente
modo di sapere se questo e' stato consegnato oppure no (ed in questo
caso provvedere,
eventualmente al suo reinvio..). E' una opzione prevista dallo
standard GSM (e che permettono di
selezionare anche alcuni telefoni) ed e' una opzione che chi fornisce
il servizio di gateway sms
offre (ovviamente con un obolo in piu') all' "inviante"...
Per il resto pero' valgono sicuramente tutte le opinioni espresse in
precedenza (cellulare scarico, fuori
copertura o cliente che semplicemente trova complesso il meccanismo e
cambia banca...)
Una cosa invece che mi viene in mente (da profano in termini bancari
ma, spero, discretamente competente
in ambito informatico): perche' non usare i certificati? MPS lo fa e
per quanto sia d'accordo che un sistema
connesso ad internet non sara' mai completamente sicuro (qualcuno un
tempo disse che solo il computer
non connesso in rete puo' considerarsi sicuro al 100% dagli attacchi
esterni) garantisce un ottima protezione
(per la cronaca... anche se scrivessi qui il mio user e pass non
potreste farci nulla senza il corrispondente
certificato).  Tanto e' vero che pur ricevendo tonnellate di phishing
non mi e' mai capitato di vedere "colpita" mps...
My 2 cents...
Ciao!
Luca

 solo un pezzo della torta.
Come detto l'IP corretto lo puo' usare il criminale con poco sforzo.
D'altro canto, con la diffusione dei WiFi spot, e' ragionevole assumere
che un cliente abbia buone probabilita' di cambiare IP di frequente. E se
vola, anche un IP coreano dovrebbe essere valutato come legale. Inoltre
nel caso del MitM di ABN AMRO, il criminale esegue la transazione
esattamente quando il cliente la eseguirebbe, quindi anche il fattore
tempo e' gia' compromesso. L'unica area su cui le banche possono ancora
eseguire una forma di controllo e' il c/c del destinatario. La maggior
parte dei clienti nn business esegue il 90% dei c/c sempre verso gli
stessi conti, quindi mi farebbe piacere se la mia banca si dimostrasse
sospettosa solo per bonifici verso c/c "sconosciuti".
-- 
Legrandin

 perso per strada.
Giusta obiezione.;)
Ora ti dico altro:
chiamo 1 numero verde ogni giorno che mi dà
i movimenti e il saldo.
1) non ho costi
2) ho il controllo quotidiano
3) mi devo ricordare di telefonare OGNI giorno
(tranne i festivi che non si può operare).
Altro ancora meglio.
senza andare a complicarsi la vita e a perdere tempo.
Le cose + semplici sono a volte le migliori:
ho 1 card di plastica con tutte le password dispositive,
usa e annulla. In questo caso non ho bisogno di sicurezza
su internet, ma solo di custodire bene i codici.
Queste sono soluzioni semplici che non hanno bisogno
di fantatecnologie....smontami pure queste ;)))


 perso per strada.
anche il behavioral profiling è una misura a posteriori.
e potresti impedire che dalla russia ti svuotino il conto loggandoti tutte
le sere e guardando i movimenti del giorno.
ma è questa la sicurezza? no.
la sicurezza è:
token+profiling+SMS (+la lista è ancora lunga)
in ogni caso tra tutti l'sms è di gran lunga il più efficace perchè se mi
segnala un acquisto di 100 euro saprò bene io se lo sto facendo o no...
tra tutte le misure a posteriori è la più efficace perchè il beahvioral
profiling ha comunque dei margini di errore che fanno parte della natura
stessa del metodo.

 prestano a fare da intermediari)..
Ecco, questa č questione per un altro thread che ci sarebbe da aprire e 
discuterne.
ivan
-- 

 bonifico parte lo stesso :)
In teoria basterebbe far pervenire in banca la disposizione di revoca nel 
tempo contrattualmente stabilito di ritardo dell'esecuzione. Se il bonifico 
non è eseguito dalla banca non serve altro. On line sarebbe difficile farlo 
in quanto il truffatore spesso ti cambia i dati di autenticazione.
Comunque sarebbe interessante conoscere i dati quantitavi reali di queste 
truffe tempo per tempo sull'intero sistema bancario (non credo esistano dei 
dati del genere).
Max max 

 eseguire una forma di controllo e' il c/c del destinatario.
Barclays, per i bonifici a c/c nuovi, attende un giorno proprio per vedere 
se scappa fuori che il c/c di destinazione sia di un ricettatore.
ivan
-- 

 considerarsi sicuro al 100% dagli attacchi esterni
Ma manco quello. Dovrebbe essere spento, staccato dalla rete elettrica e 
in sala blindata. :)))
ivan
-- 

 su internet, ma solo di custodire bene i codici.
Si, e con il man-in-the-middle stai da capo a dodici :)))
Il problema non sono i codici. Il problema è che continui a collegarti sul 
sito del criminale, invece che con la banca :)))
ivan
-- 

 stessa del metodo.
Ma il Behavioral Profiling lo applichi a TUTTI i clienti. E se comincia a 
vedere che un bel gruppo di persone spediscono bonifici ad uno stesso 
destinatario, ed altre amenità, aiuta la banca ad essere più consapevole 
di quello che sta accadendo.
ivan
-- 

 in sala blindata. :)))
Su questo ti do ragione, ricordo ancora la faccia di un mio collega
sys-admin
quando, dopo aver passato 2 ore a limitare i diritti degli utenti di
una rete
universitaria e, tra le altre cose, fare in modo che gli utenti non
potessero spegnere
le macchine arrivo' un utente e, vedendo che il pulsante "Shutdown"
era disabilitato...
... stacco' la presa! :D
Ciao
Luca

 ha (grazie agli stati di memoria) manomessi i certificati digitali.
D'accordo, ma qual è il livello di esperienza per manometterli ? (tra 
l'altro i certificati digitali oggi hanno anche valore legale) Con il 
phishing (anche quando ti installano un trojan) siamo quasi al livello del 
"virus albanese" ;-)
Max max

 addirittura nel giro di ore).
"addirittura"?
Nei paesi che hanno creato il loro sistema dei pagamenti in tempi 
recenti, i bonifici sono di norma in tempo reale.
E noi abbiamo i bonifici urgenti "addirittura" nel giro di ore, e quelli 
normali quando va bene due giorni.
Che cosa impedisce anche da noi di avere i bonifici ordinari in tempo reale?
W.

 per prevenire una grossa mancanza di diligenza di pochi clienti.
Per i clienti inesperti conviene il phone banking.
Che è + amichevole: 
parli con l'operatore
gli comunichi la passWord dispositiva casuale su card
Fine.
Sicurezza mooooolto + alta della Rete.
Difetto costi + alti del servizio.


 ha (grazie agli stati di memoria) manomessi i certificati digitali.
giusto, non sono granchè. Sempre qualcosa in +.
Cmq metterei certificati digitali + password casuali su card plastica.
Anche se ti dirottano al sito del phisher dai 1 pw che non serve
la volta successiva. Il phisher dovrebbe avere l'intera card,


 problema dei produttori, non mio :)
Beh, è un problema tuo invece, perché i produttori non hanno niente da 
guadagnarci a fare una piattaforma fidata.
I produttori hanno interesse a produrre piattaforme DRM-enabled, per 
varie ragioni di cui non è il caso di discutere in questa sede. Per 
coincidenza la soluzione che è stata scelta per il DRM è anche in grado 
di creare qualcosa di simile ad un sistema "checked", quella cosa che è 
stata battezzata "trusted computing platform", o TC per gli amici.
Non è detto che questa cosa sia in grado di offrire quello che chiami 
"stati di memoria stagni", cioè presumo perfetto isolamento tra 
l'applicazione bancaria e il resto del sistema. Personalmente ne dubito, 
si tratta solo di trovare i necessari buchi nel software o 
nell'hardware: l'esperienza ci insegna che i buchi esistono e che 
saranno trovati e sfruttati.
Però la TC ai produttori sta bene così com'è, e se la TC non fornisce un 
sistema fidato, il problema non è dei produttori (che non ne hanno 
bisogno), ma degli utenti: cioè tuo.
W.

 concorrente la quale offre meno macchinosità :)
Già adesso i clienti sopportano di dover girare con un token in tasca
che costituisce una grossa seccatua.
Inoltre il costo dell'SMS sarebbe a carico del cliente e quindi senza
onere per la banca.
Io sarei ben contento di sapere che senza un mio SMS non possono
uscire soldi dal mio conto e sarei disposto a spendere qualche
centesimo quelle rare volte in cui devo fare un bonifico.
Magari esistono altre soluzioni più pratiche, però fare tutto su PC
non sarà mai sicuro al 100%.
Potremo rendere sconveniente questo tipo di furto con il Behavioral
Profiling o con gli stati di memoria stagni o con i certificati o le
smart card ecc. ma se tutto passa per il PC su cui un hacker può far
girare di tutto, la cosa non sarà mai sicura al 100%.

 di quello che sta accadendo.
si ma i bonifici sono già stati fatti...chiaro? quindi è a POSTERIORI
esattamente come l'SMS che ti sta tanto antipatico

 cliente non è collegato con l'ABN Amro ma con il criminale.
Intendo dire che come BP uno potrebbe monitorare gli orari di esecuzione
delle operazioni alla ricerca di ore improbabili (4 di notte per esempio).
Ma se il criminale rimpiazza le transazioni al momento stesso
dell'esecuzione, non si nota niente di strano. Quindi il controllo di
questi aspetti e' gia' in ritardo clamoroso.
-- 
Legrandin

 esattamente come l'SMS che ti sta tanto antipatico
Il Behavioral Profiling inizia dal momento in cui hai una connessione, 
ancor prima dell'autenticazione. E non è detto che il bonifico parta, ma 
potrebbe, come spesso già accade, essere preso in carico l'ordine e messo 
nel calderone delle disposizioni ad alto rischio. Tecnicamente di chiama 
"Indicatore di Rischio". Se ti leggi i documenti su Basilea 2 scoprirai 
che il monto è ben più complesso di un semplice SMS.
ivan
-- 

 onere per la banca.
Che succede il giorno in cui in SMS viene inviato ma non arriva? E magari 
č proprio una transazione truffaldina? Che facciamo? La colpa di chi č, 
del cliente che ha pagato per un servizio non assicurato oppure della 
banca che ha reassicurato, falsamente, che l'SMS avrebbe risolto i 
problemi del cliente?
Stesso discorso se usi gli SMS per autorizzare una transazione. In pratica 
č un merdaio mediatico non da poco. Poi ogni banca fa le sue valutazioni e 
le sue scelte. Ma io non andrei mai a proporre alla mia dirigenza una tale 
soluzione.
ivan
-- 

 delle operazioni alla ricerca di ore improbabili (4 di notte per esempio).
Ma infatti il Behevioral Profiling è ben più dell'orario di collegamento o 
dell'IP di provenienza. E' un set completo di regole che definiscono 
il cliente e il cliente in relazione a tutto il resto della clientela. 
Ragazzi, meno tecnicismi e più fantasia, su :)
ivan
-- 

 la volta successiva. Il phisher dovrebbe avere l'intera card,
Ma anche no. Basta che hai un bel trojan sul computer, i tuoi tasti mentre 
scrivi il PIN di accesso alla smartcard/certificato digitale, ti hanno 
comunque fregato.
ivan
-- 

 livello del "virus albanese" ;-)
Oramai... :)
ivan
-- 

 argomento che mi interessa...
E' stato provato dal prof. Daniele Bruschi a Milano. In pratica sono 
entrati negli stati di memoria del programma che si usa per le firme. 
Aperto come una cozza, come si dice in gergo.
Piů semplicemente basta un trojan che guarda la tastiera, ti frega la 
password di attivazione del certificato e rispoduce poi tutta la trafila 
senza che tu ne sappia nulla. Un keylogger un po' specialistico, insomma.
ivan
-- 

 Oramai... :)
Giusto a conferma del livello di alcuni Phishing (questo a danno di
Poste Italiane):
----------------------------------------------------------------------------------------------------------------------
 	Cliente caro di Poste Italiane,
Recentemente abbiamo notato uno o più tentativi di entrare al vostro
cliente di Poste
Italiane da un IP address straniero.
Se recentemente accedeste al vostro cliente mentre viaggiavate,
l'inizio attività insolito
i tentativi possono essere iniziati da voi. Tuttavia, se non iniziaste
l'Istituto centrale di statistica del ceppo, visiterà prego Poste
Italiane presto come
possibile verificare il vostro
identità:
https://www.blabla.it
Verificare che la vostra identità è una misura di sicurezza che si
accerterà che siate
l'unica persona con accesso al cliente.
Ringraziamenti per la vostra pazienza come lavoriamo insieme per
proteggere il vostro
cliente.
Francamente,
Poste Italiane
-------------------------
Ora mi sorge un dubbio: ma "l'Istituto centrale di statistica del
ceppo" cosa studia esattamente? :P
Ciao e chiedo scusa ai moderatori per l'OT...
Luca

 senza che tu ne sappia nulla. Un keylogger un po' specialistico, insomma.
Statistica questa sconosciuta... :)
la password del certificato la scrivo una volta all'anno, quella per
accedere
all'IB circa 300... secondo te qual'e' piu' facile che un keylogger
riesca ad intercettare?
A parte l'ironia... in informatica non ci sono certezze assolute
nemmeno su
un sistema "aggiornato e pulito" ... figuriamoci su uno compromesso da
un
trojan, e poi in questo caso viene meno anche il discorso dei
compartimenti
stagni...
Comunque, almeno per quanto riguarda la mia piccola realta'
informatica (sicuramente
custode di dati mooolto meno importanti di quelli bancari) i
certificati hanno
radicalmente eliminato il problema dell'utente-tipo che siccome ha un
sacco di cose per la testa pensa bene di usare come password
il suo nome cosi' e' facile da ricordare...
Ciao
Luca

 problemi del cliente?
Suvvia dai... le banche si potranno permettere di pagare un buon
avvocato
capace di scrivere in "legalese avanzato" qualcosa del tipo: "non ci
assumiamo
responsabilita' se l'sms non arriva..." :)
Ciao
Luca

 ben altre.
Perdonami.. ma questa mi sembra una arrampicata sugli specchi degna di
chi
vuole sostenere le proprie idee anche oltre il comune buon senso.
A tutti (ad eccezione del truffatore) penso che convenga che una frode
di questo tipo venga scoperta / segnalata il prima possibile e se un
sms
AIUTA ben venga.
Tu, banca / cliente (scegli la "soggetto" che piu' ti aggrada),
preferisci
che il bancomat venga bloccato dopo il primo prelievo truffaldino o
che il
correntista ti segnali il "problema" dopo 59 giorni dall'accaduto? in
un caso,
alla peggio, hai perso il massimale di un giorno (che so... 250 euro),
nell'altro
magari ne hai persi 2000... sai quanti sms ci mandi con i 1750 euro
che hai
risparmiato?
Ciao
Luca
PS: visto che tu dici "il tuo collega si vuole crogiolare nell'SMS che
ha avuto
fortuna di vedersi arrivare" ti rendo noto che la percentuale di
delivery degli sms
e' vicina al 99.8%... (ovviamente ti parlo di SMS inviati SENZA
notifica).

 scoprirai che il monto è ben più complesso di un semplice SMS.
infatti. è proprio per la sua complessità può, come tutte le analisi 
euristiche generare dei falsi allarmi e non rilevare delle 
intrusioni...in altre parole è FALLIBILE.
esattamente come è FALLIBILE un sms che potrebbe non arrivare a 
destinazione.
la sicurezza è fatta di tanti aspetti invece a te piacerebbe risolvere 
tutto con una sola ed unica soluzione.
perdonami ma mi sembri più un commerciale che vuole vendere un prodotto 
che non una persona interessata alla sicurezza dei propri clienti.
e ripeto: anche io sono a favore del profiling ma non è la panacea di 
tutti i mali come sembri invece presentarlo tu.

 se vuoi rispetto devi portarlo anche tu.
Bon. Discorso chiuso.
ivan
-- 

 delivery degli sms e' vicina al 99.8%...
E il problema rimane quello 0,2%. Altrimenti che facciamo? Tu spedisci un 
bonifico e io, a te cliente, ti dico che la percentiale di consegna č del 
99,8%, mentre il rimanente 0,2% va perso. Siamo seri, su.
ivan
-- 

 "non ci assumiamo responsabilita' se l'sms non arriva..." :)
Gią ci assediano perchč il cliente "potrebbe essere" pollo e fa "click" 
sull'email scritta nel peggior italiano, pensa quanto che cosa si 
scatenerebbe con una clausola del genere.
ivan
-- 

 password il suo nome cosi' e' facile da ricordare...
Quindi si becca un certificato protetto da una password che, guarda caso, 
è il suo nome. Complimenti.
ivan
-- 

 già usciti. La truffa è già avvenuta.
Domanda tecnica, ma in che maniera possono uscire i soldi da un conto corrente?
Tramite bonifico, lo puoi bloccare in giornata.
Poi? che altri metodi ci sono utilizzabili via internet?

 99,8%, mentre il rimanente 0,2% va perso. Siamo seri, su.
Tu ci scommetteresti su un cavallo che vince al 99,8%? Se vincessi
diresti che e'
stata fortuna (come hai scritto tu) o che era "molto probabile" che
avrebbe vinto
(come ho scritto io)?
Ed inoltre, e se mi telefoni e non mi trovi? E se mi mandi una
raccomandata e le poste
se la perdono? Come mai, nel caso precedente, le banche hanno
telefonato a tuo padre?
Potevano non trovarlo, poteva non sentire il telefono, poteva essere
fuori copertura... etc etc...
Ciao
Luca

 --
Scusa la vena polemica ma, da cliente, i problemi di
trasparenza delle italiche banche non sarebbero certo quelli
dovuti ad una clausola simile...
Luca

 Poi? che altri metodi ci sono utilizzabili via internet?
Si sta borbottando circa le ricariche dei telefonini, ma per ora sono 
ancora limitate agli ATM.
ivan
-- 

 fuori copertura... etc etc...
E infatti lo hanno chiamato a casa e non al cellulare :)
ivan
-- 

 abbia fatto regolare denuncia e bloccato il conto, il problema è tuo.
Spiegami.. perche' Cartasi' spinge tanto gli utenti ad attivare il
servizio
di notifica via sms delle transazioni effettuate (tra l'altro gli sms
sono a
carico di CartaSI)? Perche' CartaSI non ha paura di aver scritto che
il
servizio non garantisce la ricezione blah blah blah...? Sono tonni
loro
o forse hanno visto che "in the real world" e' un servizio che apporta
dei
benefici? Perche' gli utenti di altre carte di credito (vedi:
Citibank) stressano
da tempo la stessa per avere un servizio simile? Sono tutti tonni
anche loro?
Per la cronaca: giusto il mese scorso mi sono trovato sulla visa una
spesa
non autorizzata di 155 euro "scappata" al Behevioral Profiling - a te
tanto simpatico -
di Citibank. Me ne sono accorto perche' controllo quotidianamente
l'estratto conto via internet e l'ho subito bloccata ma se non avessi
questa abitudine?
Magari me ne sarei accorto il 10 di questo mese a 20 giorni di
distanza dall'accaduto... e
quanti altri addebiti truffaldini ci sarebbero stati?
Ciao
Luca

 è il suo nome. Complimenti.
Questo mi conferma che tu non hai idea di come funzioni un
certificato.Tra l'altro un certificato
puo' anche essere protetto da password ma (per assurdo) non e' nemmeno
obbligatorio.
Comunque, se anche usassi comunque il mio nome (luca) per proteggere
il certificato tu, per
poter entrare sul computer remoto sul quale ho l'account, dovresti,
oltre che sapere la password che
protegge il certificato, riuscire anche a copiare il certificato
stesso. Possibile? Certo. Facile come
rubare una password? Molto meno...
A questo punto mi sorge un ultima domanda... oltre che tanta teoria ti
e' mai capitato di provare
"nel mondo reale" le soluzioni che tu proponi?
Ciao
Luca

 truffa e/o appropiazione indebita e/o furto contro ignoti. 
Si ma se altrettanto regolarmente (quindi con la giusta firma, sia essa eletronica o fisica), dovesse arrivare una revoca, perche' non dovrebbe 
farla? Se non e' stata ancora uscita la somma, perche' non dovrebbe essere possibile?
Scusa la domanda, sei ingegnere?

ci poniamo per proteggere il vostro denaro.
Perdonami... non ho nessuna intenzione di scatenare un flame
ne di offenderti, ma proprio perche' si parla, anche, del mio denaro,
penso di avere tutto il diritto di preoccuparmi se vedo che una
persona che dovrebbe prendersene cura ha delle lacune dal
punto di vista tecnico-informatico... (vedi discorso sui
certificati & co)...
Ciao
Luca

Scommettere cosa? La vita? La casa? La fidanzata? Il canarino
ti volevo solo far notare che la frase che tu hai originariamente
scritto
lasciava presupporre che ricevere un sms sia quasi un caso fortuito,
cosa
che invece non e' vera... tutto qui!
Ciao
Luca

 proponi?
Negli ultimi 20 ho sempre percepito un discreto stipendio, grazie :)
ivan
-- 

 Scusa la domanda, sei ingegnere?
Dio me ne scapi e liberi :)))
ivan
-- 

 certificati & co)...
Sei pregato di correggere la tua affermazione di cui sopra.
ivan
-- 

 Scusa la domanda, sei ingegnere?
:-)))

 tecnico-informatico... (vedi discorso sui certificati & co)...
anche io non volevo scatenare un flame eppure nonostante non abbia 
scritto nulla di offensivo non ho più ricevuto risposte in merito alle 
mie considerazioni.
la mia preoccupazione è analoga alla tua: la mia banca si ostina a non 
offrire questo servizio e mi sto chiedendo se questo non sia dovuto alla 
presenza di persone con i paraocchi nell' IT aziendale (o peggio: persone 
impreparate sotto il profilo tecnico)

 Negli ultimi 20 ho sempre percepito un discreto stipendio, grazie :)
Purtroppo non sempre stipendio percepito e capacita'
sono linearmente dipendenti
Luca

Ok, provvedo:
[..]
penso di avere tutto il diritto di preoccuparmi se vedo che una
persona che dovrebbe prendersene cura non ha la minima idea
di quelle che sono le esigenze e le problematiche a cui
va incontro l'utente medio-borghese.
Cosi' ti piace di piu'?
Luca

 degli SMS.
la discussione si fa sterile.
Inutile continuare, a mio parere ti sei arroccato su una posizione indifendibile.
La probabilita' di non consegna di due sms mandati a distanza di tempo e' remota.
A questa remota possibilita' devi aggiungere l'ancora piu' remota possibilita' che ti rubino username e password.
Da notare che le due cose devvono avvenire contemporaneamente.
Capisco che tu su queste cose ci campi, ma mi pare che creare una struttura con quei paroloni ammerigani serva piu' al chi la fa che non alle 
banche o ai clienti.
Certo, presentarsi dai capoccia con un progettino sulla sicurezza tipo invio SMS fa poca scena.
Il capoccia ti guarda: "Tutto qui?"
Meglio allora il " Behavioral Profiling" e parlare del "il concetto del "Man-in-the-middle"
.
Qualcuno nel thread ha detto che la percuntuale di consegna di un SMS e' del 99,8 percento.
Il tuo "Behavioral Profiling" gli si avvicina almeno un po'?

 sia una forma di protezione dei rischi. E' un abominio!
Nel caso della carta di credito, il meccanismo ha senso.
Le transazioni c/c si fanno solo con esercenti convenzionati, cioè che 
hanno accettato una convenzione, un contratto. Il contratto prevede 
sempre la stornabilità di operazioni legittimamente contestate.
Cartasì è legalmente tenuta a farsi carico per gli usi fraudolenti della 
carta, con una franchigia di soli 150 euro a carico del titolare (ecu se 
preferisci, perché la norma risale all'epoca pre-euro).
Però se la transazione illegittima è contestata celermente (entro 
uno-due giorni), Cartasì può bloccare l'accredito all'esercente prima 
ancora che avvenga, risparmiandosi il fastidio e il costo di dover 
recuperarlo (e il rischio di non riuscirci).
Quindi Cartasì ha un effettivo vantaggio ad implementare il sistema di 
avvisi, oltre al vantaggio di immagine, perché i clienti percepiscono la 
faccenda come una grande misura di sicurezza (che sappiamo non essere 
del tutto vero). Se i vantaggi diretti e indiretti superino i costi, non 
sono in grado di dirlo.
W.

 blocca il tutto?
Ivan, a me risulta che questo succede solo sul circuito bancomat 
nazionale, mentre i prelievi illeciti avvengono molto più spesso sui 
circuiti internazionali.
E ho il vago sospetto che il bancomat non venga ritirato ma risputato, 
perché l'errore di sincronizzazione potrebbe anche essere lato rete. Ma 
quest'ultima è solo un'ipotesi.
E' che sui bancomat multifunzione c'è un errore di fondo: che lo stessa 
striscia magnetica e lo stesso PIN autorizzano transazioni a livello di 
rischio diverso: prelievo rete aziendale, prelievo bancomat, prelievo 
estero, pagamento POS.
W.

 sono in grado di dirlo.
Ora capisco perche' con CartaSI gli sms di notifica sono gratuiti (e
anzi, Cartasi
fa tanta pubblicita' per l'attivazione di questo servizio) mentre con
MPS sono
a pagamento a carico del cliente... ;)
Ciao!
Luca

 pagamento POS.
Motivo per cui è stato inventato il microcircuito, che altro non è che una 
smart card. E l'unica ragione per cui non leggi la chiavi privata è perchè 
ha stati di memoria diversi dal "lettore". Una smart card funziona che si 
prende in carico il messaggio e il PIN per autorizzare la firma del 
messaggio. Poi la carta risputa indietro il criptato e firmato. Certo se 
al display leggi E10,00 e il lettore spara alla carta per la firma 
E100,00, tu utente non lo saprai prima dell'addebito in conto corrente.
Approposito, a Cambridge, UK, hanno aperto come una cozza pure i lettori 
POS di smart card :)
ivan
-- 

 Il tuo "Behavioral Profiling" gli si avvicina almeno un po'?
il behavioral profilng non è "suo", sono tecniche euristiche già in uso in
differenti contesti di sicurezza (non solo bancari per intenderci).
il punto fondamentale è che essendo appunto tecniche euristiche hanno alte
percentuali di falsi allarmi e di mancata rilevazione dell'attacco.
sono tecniche che hanno senso quando vengono incrociate con altre
metodologie e strumenti.
ecco perchè ripeto da tempo che la sicurezza è fatta da diversi anelli.
uno di questi anelli è appunto l'SMS.
il problema di questo thread non è il behavioral profiling ma il volerlo
*vendere* come la soluzione unica a tutti i mali e la "guerra santa"
contro altri metodi che dovrebbero essere in uguale misura implementati.
evidentemente c'è un interesse specifico non legato ad aspetti di
sicurezza...

 POS di smart card :)
Questo non mi stupisce neanche un po'. Credo che mi stupirebbe 
seriamente il contrario.
W.

 sicurezza...
E sentiamo, quale sarebbe il mio interesse?
ivan
-- 

 Il microcircuito è una specifica italiana o internazionale?
Microcircuito, per se, è una specifica italiana. Però l'oggetto deve 
essere compatibile con le specifiche internazionali, quindi è abilitato 
anche sui circuiti esteri. Il problema è che ci sarà SEMPRE la banda 
magnetica di riserva.
Uno dei giochetti sugni ATM inglesi che stanno facendo ultimamente è 
quello di mettere del silicone su una carta spuria, così da rendere i 
contatti per il CHIP inservibili e poi usare la banda magnetica per 
fregare i soldi.
ivan
-- 

 clientela. Ragazzi, meno tecnicismi e più fantasia, su :)
Ma allora sono duro di comprendonio io. Mi fai qualche esempio di regole
che "definiscono il cliente" ?
-- 
Legrandin

 Mica tanto. L'SMS non impedisce l'invio del bonifico. 
Richiamerei l'attenzione su considerazioni, fatte con Ivan qui sul NG, 
alcuni mesi fa parlando sempre di token.
A mio avviso l'sms potrebbe essere utilizzato per inviare al cliente 
bancario una One Time Password per consentirgli di procedere ad esempio 
all'esecuzione di un bonifico...insomma una password di secondo (o 
terzo) livello inviata al cliente per sms, utilizzabile solo per pochi 
minuti, necessaria per poter completare le operazioni dispositive con un 
ulteriore grado di sicurezza.
Quindi l'sms è visto non solo come strumento a posteriori per notificare 
un'avvenuto bonifico, ma come strumento di ulteriore sicurezza per 
impedire a priori l'esecuzione di un bonifico.
Secondo Ivan il limite sembra essere principalmente nell'inaffidabilità 
del servizio sms.
Vero, ma a mio avviso si potrebbe anche discutere sui metodi per 
migliorare tale affidabilità magari in accordo con gli operatori 
telefonici, oppure per far decidere al cliente dal proprio home-banking 
se utilizzare o meno l'sms al posto di altri sistemi (token, pwd di 
secondo livello et similia), accettando quindi di correre qualche 
"rischio" di inaffidabilità...che tra l'altro potrebbe essere gestito 
senza troppi problemi.
Ciao

 differenti contesti di sicurezza (non solo bancari per intenderci).
be' almeno a questo c'ero arrivato :-)
"Suo" e' nel senso che lui l'ha proposto.
In se' e' un metodo interessante, soprattutto se associato all'uso delle carte di pagamento.
E' gia' in uso da un po', un mio collega e' stato contattato dall'emittente della carta di credito perche' era stata usata in due posti distanti 
svariate centinaia di km a distanza di pochi minuti.
Ma se nessun metodo da' sicurezza assoluta, questo non si avvicina neanche un po' alla perfezione.

 che "definiscono il cliente" ?
Questo cambia da banca a banca e da utente ad utente. Non c'è, e non ci 
sarà mai, una formuletta uguale per tutti, ma solo sistemi adattivi. Fra 
l'altro il behavioral profiling si sposa bene con gli altri indicatori di 
rischio richiesti dalla gestione di Basilea 2, quindi si avrebbe ad avere 
un sistema decisamente complesso, ma proprio per questo molto interessante 
da costruire.
ivan
-- 

 servizio sms.
In parte quello. In parte il fatto che il problema ce l'hai a monte, non a 
valle. L'unica sarebbe di inviare, insieme al challenge, una descrizione 
della disposizione che stai approvando. Ma qui rientriamo nelle 
problematiche relative alla disponibilitą del cellulare ecc. ecc.
ivan
-- 

 sarà mai, una formuletta uguale per tutti, ma solo sistemi adattivi.
OK, ma un esempio di un sistema gia 'adattato' si potra' pur fare no? Il
solo fatto di essere complessa e poco chiara nn rende sicura una
soluzione, anzi, la rende piu' sospettosa e pericolosa.
 
-- 
Legrandin

 soluzione, anzi, la rende piu' sospettosa e pericolosa.
Guarda che io sono pagato per proteggerli i tuoi soldi, mica per farli 
sparire :)))
ivan
-- 

 questa abitudine?
Hai colto l'essenza della sicurezza.
La sicurezza se la fa PRINMCIPALMENTE l'utente con
le sue abitudini. Se ho una megatecnologia, megatoken e cineserie
varie ma non controllo spesso il conto con i MIEI occhi e
non ho abitudini razionali,
allora č meglio che torno a far la fila allo sportello. 
-- 
Le cose non accadono finchč non 
succedono a noi stessi.
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 descrizione della disposizione che stai approvando.
E pensi non si possa fare? A causa del numero troppo ristretto di 
caratteri utilizzabili in un sms, insufficienti per descrivere in 
dettaglio gli estremi dell'operazione?
Ciao
Davide

 che innalza il livello di attenzione.
Ma aumenta il senso di sicurezza percepito dal cliente.
-- 
Legrandin

 Ma aumenta il senso di sicurezza percepito dal cliente.
Per nulla. E' la banca che fa Behavioral Profiling, non il cliente.
ivan
-- 

 rubarmi il cellulare!
Perchè non possono duplicare il contenuto della Sim e
rimetterla a posto?
Mi pare ci sono accessori che lo fanno in poco tempo.
Naturalmente è tutto improbabile. Manco 1 agente segreto
si sbatte x fare tutte queste cose. 
I ladri sono pigri nel senso che è ragionevole x loro ottenere
soldi facili con meno fatica possibile...altrimenti lavorerebbero.
Correggimi se ho scritto cose che non ho capito.
-- 
Le cose non accadono finchè non 
succedono a noi stessi.
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 Correggimi se ho scritto cose che non ho capito.
No anzi, spero ora di essermi spiegato meglio io.
Non sto asserendo che l'sms sia uno strumento in assoluto sicuro e al 
riparo da ogni tipo di problematiche.
Sto semplicemente chiedendoMI/VI perchè non lo si possa adottare in 
alternativa o in abbinamento ad altri strumenti per aumentare la 
sicurezza delle operazioni bancarie.
Non sarebbe assolutamente la panacea di tutti i mali, ma IMHO sarebbe un 
piccolo passo avanti per migliorare l'usabilità degli strumenti bancari 
e, almeno come percezione, la sicurezza degli stessi.
Ciao

 token/display che ho descritto.
Da quanto ho capito io, il sistema che hai descritto tu, presenta lo
stesso gradi di sicurezza di una OTP generata dal token ed inserita a
mano nel form della banca.
Lo scenario nuovo che Ivan Pintori ha tratteggiato all'inizio è un
altro: un ladro che si inserisce nel mezzo della connessione banca
cliente. Tu puoi creare nel modo più sicuro possibile sul tuo PC una
password spaziale ma prima o poi la devi inviare alla banca per
convalidare il bonifico che stai facendo; mentre la mandi può essere
carpita ed utilizzata per convalidare un bonifico diverso da quello
che volevi tu.
E' questo lo scenario nuovo che attualmente mi pare non sia coperto da
nessun sistema.

 della pwd di secondo livello.
Sicuramente una OTP generata da un token è più comoda di una presente
su un foglio di carta, anche se più costosa (il token ha un costo).
Inoltre una OTP spedita via SMS a richiesta è ancora più comoda del
token, perchè non devi girare con un aggeggio in più, ma anche questo
ha un costo (quello degli SMS).
Il problema è che l'uso delle OTP per convalidare un bonifico non è
più sufficiente: il ladro può essere "nel mezzo", tra il tuo PC e la
banca e carpire la password, comunque sia stata generata.
Per questo secondo me la soluzione è nell'invio di una password
(magari OT) attraverso un canale diverso dal PC.

 (magari OT) attraverso un canale diverso dal PC.
Mi riferisco all'invio della password dal cliente alla banca: questo
deve avvenire su un canale indipendente dal PC

 nessun sistema.
Il sistema esiste e si puo' essere usato da domani.
Basta un semplice sms inviato dalla banca dopo la disposizione via internet.
Inserisci user e password, disponi il bonifico, clicchi su INVIA.
La banca ti manda via sms il messaggio in cui ti informa che e' stato disposto un bonifico di x euro con beneficiario Pippo sul conto XY  .
In fondo al messaggio ti manda una password usa e getta da inserire come conferma dell'operazione.
Se il cliente riconosce il suo bonifico, inserisce via internet la password dell'sms e clicchi su INVIA.
Fatto.
Se i dati del bonifico che vengono dati nell'sms non vengono riconosciuti dal cliente, il cliente non inserira' la password e il bonifico non 
verra' eseguito.
  .

 deve avvenire su un canale indipendente dal PC
Ciň non toglie che la password OT possa essere "generata" tramite 
ricezione di un sms, perchč piů comoda di un token o di un foglio da 
doversi portare dietro.
Poi, se tale OTP il cliente la debba immettere tramite PC o altro mezzo 
piů sicuro, discutiamone liberamente: infatti condivido in pieno la tua 
osservazione e i rischi segnalati da Ivan Pintori.
Ma ribadisco: a mio avviso l'sms (sia per la generazione dell'OTP che 
per la notifica di qualche operazione dispositiva appena avvenuta) č una 
soluzione potenzialmente valida che non deve necessariamente sostituire 
gli altri sistemi di sicurezza, ma semmai affiancarli e completarli.
Ciao

 verra' eseguito.
L'idea mi pare ottima!
Risolve anche la principale obiezione di Ivan Pintori all'uso degli
SMS e cioč che non č garantito che arrivino: poco male nei rari casi
in cui l'SMS dovesse perdersi, l'operatore ha la possibilitą di
ripremere INVIO per richiedere un secondo SMS con relativa nuova
password OTP.
Complimenti.

 e, almeno come percezione, la sicurezza degli stessi.
Appunto. Token o non token la sicurezza ce la facciamo da noi
usando strumenti già disponibili oggi...no nel futuro.
Ma se lavora sulla sicurezza di 1 sola piattaforma ti proporra
le soluzioni del suo ambito di competenza. Non ha visione
d'insieme su alternative. 
Inoltre aldilà dei fattori tecnici, si dimentica che la sicurezza
è data dalle probabilità e dai fattori umani.


 utilizzata per convalidare un bonifico diverso da quello che volevi tu.
Complimenti, hai fatto una sintesi chiarissima del problema, ma nn hai
letto tutto il thread. :-)
Se a comunicare sono direttamente la banca da un lato e la
smartcard+token dall'altro, nn ci puo' essere nessun ladro nel
mezzo. Non importa se e' da qualche parte nella rete, sul sito a cui sei
collegato senza saperlo o nel tuo stesso PC tramite un trojan.
Il punto e' che tuttora nessuna banca offre token che permettano alla
smartcard la possibilita' di visualizzare testo sul token stesso,
mandato dalla banca e diretto al cliente (dico sul token perche' il PC nn
e' affidabile).
Secondo Ivan e' solo troppo costoso da realizzare. Io (e molte persone che
conosco sempre in viaggio) pagherebbero volentieri anche di tasca loro per
avere tale grado di sicurezza. :-) 
-- 
Legrandin

 volentieri anche di tasca loro per avere tale grado di sicurezza. :-)
Ma infatti per i nostri clienti corporate gli forniamo un lettore di smart 
card e la smartcard. Ma il problema del supporto praticamente uccide il 
servizio.
ivan
-- 

 Complimenti.
Gia'!
Le informazioni essenziali per la transazione passano attraverso due canali indipendenti e non comunicanti tra loro.
Gli unici punti comuni sono la banca da un lato e il cliente dall'altro.
Ma questa soluzione ha un difetto, e' troppo semplice, quindi poco vendibile.
E' come l'acqua del rubinetto, chiara e trasparente, ma tutti preferiamo bere l'acqua in bottiglia.
Perche' i guru della comunicazione ci parlano di "acqua che elimina l'acqua", di "acqua povera di sodio", "purissima freschissima Levissima".
Perche' i santoni della sicurezza informatica  ci parlano di Behavioral Profiling e definiscono se stessi Chief Identity Architect.
Il marketing ci domina.

 Il marketing ci domina.
Ovvio, ma non per le cose che pensate voi.
ivan
-- 

 sicurezza informatica?
Non pensare che tutti disprezzino il tuo lavoro o che pensino che la
sicurezza informatica sia una cosa banale, usata dalle banche per
spillare un altro po' di soldi alla clientela.
Il numero dei messaggi che ha raccolto questo thread è la migliore
dimostrazione di quanto sia sentito il problema.
A volte le opinioni sono espresse con ardore e passione al punto da
risultare vagamente offensive come sarebbero i suggerimenti ed i
consigli per il CT della nazionale di calcio.
Ma chiaramente l'intento non è quello di disprezzare il lavoro altrui
ma di suscitare idee nuove.
Sono venute fuori tantissime soluzioni da noi "normali" utilizzatori
dei servizi informatici-bancari poichè questa è una delle rare
occasioni in cui si può interloquire con chi per lavoro studia,
progetta e decide la sicurezza per le banche.
Continua a tenerci informati.

>Che succede il giorno in cui in SMS viene inviato ma non arriva?
Ma perchè tutti girate intorno all'SMS?
Il cellualare è un dispositivo intelligente e si può anche scaricare
su di esso un'applicazione java che potrebbe dialogare con il sistema
della banca per dare le autorizzazioni.
Esempio adatto a come si comporta la mia banca:
1) vado sul web e faccio logon con userid e pwd
2) eseguo operazion e dispositiva
3) oggi, per confermare l'operazione dispositiva, devo immettere un
pin.
Basterebbe che il pin fosse inviato via cellulare e non ci sarebbero
molte possibilità di itercettazione/utilizzo fraudolento. 
Il  tutto può essere fatto in modo molto semplice, per esempio,  con
un'applicazione java da installare sul cellulare:
1) L'applicazione compone il numero del centro servizi della banca 
2) il sistema chiede interattivamente all'utente (via display o via
voce) un transaction identification (transid) cioè un identificatore
unico che che è associato alla disposizione iniziata via web
3) il sistema controlla che esista un transid in sospeso e che sia
relativo ad un codice di  conto corrente che appartiene a chi ha
fornito quei/quel  numero di telefono che sta chiamando,
3) il sistema chiede il PIN all'utente  
Si tratta per altro di una chiamata dati e perciò poco costosa, quasi
sicuramente costerebbe meno di un SMS e sopratutto è interattiva.
Restano i problemi della copertura ma lo vedo come problema molto
secondario e, comunque, il sistema funziona anche via telfono normale 
Il PIN può essere variato con i consueti tempi di scadenza (ogni 30 gg
o a richiesta dell'utente) e sempre tramite il canale secondario, cioè
quello telefonico.