Newsgroup: it.economia.banche
Titolo: Webank e la sicurezza delle informazioni trasmesse a mezzo internet

Ciao,
    mi scuso in anticipo nel caso in cui l'argomento sia gia' stato 
menzionato o se sia OT (nel qual caso vi chiederei di indicarmi il nome 
del newsgroup piu' consono al mio messaggio).
E' da un po' che uso il conto che ho aperto con questa banca online e ho 
notato che il loro sistema informativo mi manda una email di conferma 
per ogni bonifico da me effettuato riportando i riferimenti del mio 
conto corrente, la divisa utilizzata, la valuta immessa, la causale, 
l'ammontare del bonifico ed i dati del beneficiario.
Ora, l'email non funziona come le pagine crittografate del sito web 
(protezione HTTPS e SSL) e, almeno nella forma attualmente utilizzata 
dalla banca, ogni cosa in essa contenuta e' sicuramente leggibile da 
chiunque abbia accesso alla stessa.
Questo comportamento della banca e' in contrasto con la legge sulla privacy?
Ciao
Ramius

 Ramius
Credo che il rischio di intercettazione di una email sia identico a quello
di una lettera che arriva a casa a mezzo posta e che la legeg sulla privacy,
che tutela i dati sensibili, non riguarda queste casistiche.
Ciao

 privacy?
Non sono un esperto, ma direi che la legge sulla privacy non preveda che le
comunicazioni debbano avere determinati requisiti di sicurezza. Direi. I
requisiti riguardano i server che contengono dati personali e hanno
connessioni verso l'esterno.
Facendo un commento personale: mi sembra una preoccupazione esagerata. Se il
barista ti saluta chiamandoti per nome lo denunci perché ha violato la tua
privacy? E le comunicazioni postali? Possono essere intercettate, quindi se
ti spedissero l'estratto conto violerebbero la tua privacy? E se ti
telefonano? Devono usare una linea criptata? E con che livell di sicurezza?
Non esageriamo. Avresti ragione se ti avessero mandato nome utente e
password per i servizi di banking per e-mail, ma per una ricevuta di
bonifico mi sembra eccessivo.
-- 
/* Costantino Grana                                */
main(int c,char**o){char*s=c?"+L7?+;:7?+:OKIK+9?;9=;"
":+9?;:<:;+9?;;;:;+9<:;<::;+RLJ;K9+":1[o],t,a=!c,m;do
for (m=*s-'0',t=a?m/c:m%c;m>>7?c=1<<m+8,!a&&puts(&a)*
*&a:t--;printf("  \0/*"+a));while ((a^=3)||a[++s]);;}
/* Original code due to Chris Brown... impressive! */

 Questo comportamento della banca e' in contrasto con la legge sulla
privacy?
No, assolutamente. Non esistono obblighi di legge in tal senso.
Trattasi di corrispondenza, alla quale normalmente solo tu puoi
accedere tramite il tuo account.
-- 
Saluti. Fred®
http://wiki.news.nic.it/QuotarBene
Quotare i messaggi
a cui si risponde
fa bene al newsgroup.

 casistiche.
Chiedo scusa per l'OT, ma una mail transita *in chiaro* su N punti per
passare dal mittente al destinatario.
Una comunicazione scritta normalmente e' racchiusa in una busta.
Mi pare una differenza sostanziale.
Il costo di una comunicazione mail criptata non e' diverso da quello di
una comunicazione mail in chiaro. Probabilmente il guadagno (di immagine
e sicurezza) percepito dalla banca non e' sufficiente a compensare tutti
i clienti che perderebbe (installare un programma OpenSource sulla mia
macchina? Aaaargh).
Saluti
Paolo Arosio
--
"La dimostrazione dell'esistenza di specie intelligenti nell'universo e'
che non ci vengono a trovare"

 Mi pare una differenza sostanziale.
Non ti hanno ma "perso" un plico in posta?...........................

 che tutela i dati sensibili, non riguarda queste casistiche.
Quindi, se l'invio di informazioni riguardanti i miei bonifici non 
rientra nella legge sulla privacy, chi (o che cosa) protegge la 
riservatezza della mia operativita' bancaria?
Ciao
Ramius

 
Grazie Fred, mi sembra di capire che la legge sulla privacy qui non puo' 
essere applicata.
Ma a me sembra che, nella forma descritta, vi siano delle differenze tra 
corrispondenza postale e emails.
La corrispondenza postale e' spedita in busta chiusa con mittente e 
destinatario sull'esterno della busta, almeno per le contabili che ho 
visto finora. Quindi, il gestore del servizio postale non puo' vedere 
cosa c'e' scritto dentro, pur continuando a conoscere il mittente ed il 
destinatario della busta stessa. Lo stesso si applica per la portinaia 
di casa mia e per il personale al centro di smistamento della posta di 
Peschiera Borromeo: vedono il mittente ed il destinatario, nient'altro.
Con la email che ricevo, il gestore della posta elettronica puo' leggere 
tutto. E anche farne una copia (salvataggio), se necessario. In piu' il 
trasferimento dal server di posta del mittente al server di posta del 
ricevente non e' diretto ma avviene in una rete (Internet) di computers 
che fanno da ponte. Tutti questi computers possono registrare il 
traffico dati ovvero il contenuto della email. Dato che la email e' 
senza crittografazione, tutti i computers (portinai e smistatori vari) 
coinvolti nello scambio di dati hanno accesso all'email.
Ovvero, la mia contabile spedita per email e' diventata l'equivalente di 
una cartolina postale con i dati salienti sul retro della foto.
Ora, girando la domanda, se fosse lecito mandare la contabile via email 
senza protezione/crittografazione, la banca potrebbe mandare la 
contabile cartacea di un bonifico senza protezione ovvero in una busta 
aperta, tale per cui anche la mia portinaia potrebbe leggerne il contenuto?
Ti assicuro che mi sono preoccupato perche' questa e' l'unica banca con 
cui ho avuto a che fare finora che usa l'email in questi termini. 
Comunicazioni di servizio, si' un po' tutti, chi piu' chi meno. Ma dati 
sulla mia operativita' no, mai.
Ed e' ancora piu' strano se consideri il fatto che per mandare una email 
a loro devi usare una pagina web sul loro sito che usa protezione 
HTTPS/SSL. Ma se loro mandano un'email a te, no, questo non si puo' fare.
Ciao
Ramius

 Non ti hanno ma "perso" un plico in posta?...........................
Non mi risulta si parlasse di quello. 
Vedi risposta di Ramius94 a Fred(r).


 HTTPS/SSL. Ma se loro mandano un'email a te, no, questo non si puo'
fare.
Di recente ho partecipato ad un Convegno "Internet e le banche" di cui
quando ho tempo riferirò per alcune interessanti questioni emerse.
Tra l'altro si è discusso molto di "sicurezza" ma sempre e soltanto
dal "lato banca". Discorsi sul valore aggiunto che potrebbe portare
alla banca un investimento sulla sicurezza "lato cliente" non ne ho
sentiti proprio.
ps: prova ad esempio a dire alla banca che tu hai una tua PGP del GARR
(sistema di crittografia/autenticazione documenti) e che potresti
metterti d'accordo con loro per utilizzare questo sistema quando ti
scrivono. Senti che ti rispondono e poi... raccontaci ;-)


 accesso all'email.
C'è da sottolineare che i gestori dei server commettono un reato penale se
accedono alle e-mail di chi utilizza i loro server.


 
Grazie, li' l'ostacolo piu' grosso potrebbe diventare la dimostrazione 
dell'effrazione stessa: ovvero, dimostrare che qualcuno e' "penetrato" 
nella tua email (o la mia).
Ma, comunque, sono il primo a pensare che i gestori agiscano in buona 
fede. Speriamo bene.
Ciao
Ramius

 
E' un'idea. Magari, se offrissero contratti di consulenza in 
quell'area...... :-))
Ciao
Ramius

 penale se accedono alle e-mail di chi utilizza i loro server.
decisamente, cmq credo si possa fare a meno di preoccuparsi per questa cosa.
ad esempio:
gli avvisi da banca121 transitano su 
smtp.copergmps.it
 (rete del gruppo
monte paschi di siena) e mi arrivano su 
libero.it
, mentre quelli da IWBank
vanno da 
qrelay.iwbank.it
 sempre a libero.
due soli nodi (mittente e destinatario), una via abbastanza diretta che per
un cliente italiano su banca italiana è normale... quindi per un italiano su
webank credo sia lo stesso ma su una off-shore ai caraibi probabilmente no.
insomma, queste comunicazioni possono essere loggate dalla banca o gruppo
mittente [1] e da infostrada [2] come aziende, oppure da singoli tecnici
delle banche o di infostrada [3].
ora:
[1] la banca dove hai il conto non fa testo (sono loro che ti mandano quelle
info), mentre se le altre banche del gruppo possano essere interessate alle
informazioni sul tuo conto e se questo possa essere il modo migliore per
ottenerle potrebbe dirlo solo un bancario... vinicio?
[2] infostrada non credo sia interessata a fare una stronzata del genere:
sui suoi server transitano milioni di msg di posta al giorno, archiviarli ed
esaminarli (anche con sistemi automatici) costerebbe molto e, soprattutto, è
un'azienda di dimensioni tali che la cosa verrebbe "scoperta" e pubblicata
sui giornali in pochi giorni.
[3] un tecnico di un server della banca o di infostrada non lo farebbe mai,
a meno di essere l'unico amministratore dei sistemi (impossibile in entrambi
i casi) o di essere d'accordo con tutti gli amministratori dei sistemi che
potrebbero controllarlo (anche questo abbastanza impossibile), altrimenti
verrebbe scoperto, licenziato ecc. in diciamo mezz'ora (sistemi di audit e
alert su chi-fa-cosa sono capace di metterli anch'io, figuriamoci loro).
in ogni caso il tipo di comunicazioni indicate da ramius solitamente sono
opzionali, io sia su IWBank che su Banca121 posso scegliere se farmele
mandare e quali farmi mandare, e immagino che anche lui possa controllare le
impostazioni del suo profilo su webank e decidere di non ricevere email di
conferma delle sue operazioni.
-- 
the watcher

 webank credo sia lo stesso ma su una off-shore ai caraibi probabilmente no.
Ok, dopo quello che hai detto sui Caraibi, qualcuno avra' preso tutta la
discussione MOLTO sul serio. :-)
[cut, tutto]
In breve, penso che la questione sia il trovare un giusto equilibrio tra
sicurezza ed utilizzo dell'email come mezzo di comunicazione.
Ma ritengo che scegliere il gestore di posta in base al numero dei nodi
(servers) tra il gestore stesso e la banca non sia la soluzione ideale.
Poi, ognuno e' libero di continuare come prima.
ciao
Ramius

 ideale.
scegliere cosa? io volevo far notare che l'allarme era ingiustificato,
considerando la situazione reale e _anche_ il fatto che se non vuoi
comunicazioni di quel tipo via email, dalla tua banca, basta dirglielo.
-- 
the watcher