Newsgroup: it.comp.sicurezza.crittografia
Titolo: E-Family BNL

Salve a tutti,
non so quanti di voi abbiano un conto corrente con BNL ma da qualche
giorno hanno cambiato il loro sistema di e-commerce andando ad utilizzare
il metodo descritto su questa pagina:
http://www.e-familybnl.it/efamilymain/index.jhtml?primaVolta=2&archivio=editoriale&articoloEsteso=1&articoloInVisualizzazione=521
In pratica danno un affarino che produce una nuova password ogni mezz'ora
che deve venire usata per entrare nel portale e-commerce.
Volevo sapere cosa ne pensate riguardo alla sua sicurezza. Vedete qualche
falla nel sistema? O magari qualcuno conosce il tipo di cifratura usata
(chiavi pubbliche/private o quant'altro).
Grazie mille,
Chris.

  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (GNU/Linux)
iD8DBQFB+p0cZXjZQFU52OQRAhfuAKDRhckk5LzJ8LjFf0Tf2qZzLiDmUQCcDZvC
GhPiiizpjtTwgAvpzPwYLO0=
=6hTe
-----END PGP SIGNATURE-----

  [X.509 available]
Linux Reg. User: #263663 / Machine: #216144 (Arch Linux/Wombat)
On the Web: 
http://www.quagliata.eu.org
 - My GPG Key:0x5539D8E4
On ICQ: 48618109 - On Jabber: 
qu...@jabber.org/@jabber.linux.it
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (GNU/Linux)
iD8DBQFB+34tZXjZQFU52OQRAtGpAKDco1oGB6YV+A3V7qGtJK8k5I2GPACg1+zf
gMJgSzflqRYLyri0gPkAUxM=
=cvSe
-----END PGP SIGNATURE-----


Secondo te è più efficace del vecchio sistema che utilizzava un
certificato digitale associato ad un proxy? (solo le tue impressioni,
niente di più).
Grazie.

 
Si hai ragione, scusa, il fatto è che nemmeno io so esattamente come
funzionasse. In pratica si aveva un certificato digitale (un file)
rilasciato dalla banca e un programma (MultiCertify) che fungeva da proxy
per le connessioni https. I funzionamenti "sotto il cofano" non li so.
Avevo aperto la discussione anche su i.c.s.varie e Skull descriveva la
faccenda così:
"Il loro problema fondamentale era l'identificazione dell'utente, in 
funzione di qualcosa che l'utente *ha*. Prima veniva fatto tramite 
certificato, ma guidare un utente "normale" al suo utilizzo è da incubo, 
quindi si son rivolti a quella tavanata di proxy per snellire la cosa, 
perdendo la stragrande maggioranza delle utenze non windows"
Quello che mi preoccupa del nuovo sistema è la possibilità di risalire
all'algoritmo usato dagli aggeggini per generare la password di modo che
sapendo l'Id di uno di questi fosse possibile riprodurlo in tutto e per
tutto. Pensi sia possibile?
Grazie, ciao!

 tutto. Pensi sia possibile?
Questi "aggeggini" in genere utilizzato crittografia al loro interno,
quindi SE SONO FATTI BENE, possono essere decisamente sicuri.
Se sono fatti male possono anche non esserlo, ma questo è scontato ^_^
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkH+LtMACgkQaJiCLMjyUvtaJgCfUsEdm3rrEhMaenUNdFDpvQCF
dZwAoJ2G1SOa/wTZruBzR4AE6355tTfW
=/KDg
-----END PGP SIGNATURE-----

 Se sono fatti male possono anche non esserlo, ma questo è scontato ^_^
Ciao, mi attacco al thread, visto che son stato io a ridirigere l'op qui 
e che comunque la cosa mi interessa.
Posto che sono tuttaltro che esperto di crittografia, ho sempre 
immaginato che 'sti aggeggi siano realizzati facendo uso di un 
generatore di numeri non ciclico, allineato tra il server e l'aggeggino 
dell'utente, e una coppia di chiavi (asimmetriche?) che viene utilizzata 
per codificare e validare tale valore dal lato del server (se 
crittografia asimmetrica il server capisce quale chiave usare sulla base 
del pin fornito dall'utente, che lo correla univocamente alla chiave).
La sicurezza del "coso" sta pertanto nel fatto che più che replicare il 
funzionamento dell'oggetto bisogna:
- replicare il generatore non ciclico
- allinearlo piuttosto precisamente con l'originale
- appropriarsi della chiave presente sul "coso" dell'utente che si vuole 
impersonare
- essere a conoscenza del pin dell'utente stesso
Ci sono andato vicino?
-- 
cat: .signature: No such file or directory

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Skull wrote:
| La sicurezza del "coso" sta pertanto nel fatto che più che replicare il
| funzionamento dell'oggetto bisogna:
| - replicare il generatore non ciclico
| - allinearlo piuttosto precisamente con l'originale
| - appropriarsi della chiave presente sul "coso" dell'utente che si vuole
| impersonare
| - essere a conoscenza del pin dell'utente stesso
In genere il dato che viene crittato un semplice contatore che si
incrementa ogni tot secondi o l'orario stesso, tanto ci pensa il
successivo passaggio attraverso il cifrario a togliere ogni correlaizone
dell'input.
In questo modo il server, che conosce la chiave giusta per decrtitare,
può direttamente verificare a che ora è stato generato il timestamp e
dare il modo di configurare le "finestre" di accettazione dei valori
(una qualche finestratrua è necessaria: il clock interno dell'aggeggino
nno ha certo precisione infinita e l'utente ci mette un tempo non nullo
a digitare tutto il codice).
| Ci sono andato vicino?
Sì, il concetto è quello.
~  Lapo
- --
L a p o   L u c h i n i
l a p o @ l a p o . i t
w w w . l a p o . i t /
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.0 (Cygwin)
Comment: Using GnuPG with Thunderbird - 
http://enigmail.mozdev.org
iEYEARECAAYFAkH+QZYACgkQaJiCLMjyUvtJjgCePoLarnI1by3saHXOii6A6ueG
qicAoNizWsjd6tJ36RvyTkUYZeX9DH6k
=Rib5
-----END PGP SIGNATURE-----

 o=editoriale&articoloEsteso=1&articoloInVisualizzazione=521
Scusa, tu per caso usi ancora i loro multicertify?
Se si hai un firewall software? Perchč io non riesco ad aprire le porte
giuste sul firewall!
Garazie
f

 giuste sul firewall!
Si, lo uso ancora e no, non ho un firewall software. Da firewall mi fa il
router wireless della Apple (Airport) e non mi ha mai dato problemi nel
senso che proprio non l'ho toccato, ho lasciato le impostazioni di default
e tutto funziona.
Ciao!