Newsgroup: it.comp.macintosh
Titolo: Problema di sicurezza iCloud

Ciao,
come da oggetto, penso possa interessarvi (in inglese):
 
http://www.wired.com/gadgetlab/2012/08/apple-amazon-mat-honan-hacking/
 
 
Ciao Jack
 
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?


 
 
Sinceramente, il problema non direi sia iCloud, ma AMAZON !
Sono loro a mostrare in chiaro gli ultimi numeri della tua carta di
credito, quindi qualsiasi altro servizio che usa quel dato per
autenticarti può essere compromesso. Apple NON mostra i 4 numeri
finali e così fanno che io sappia anche tanti altri.
Inoltre, lo sbaglio lato Apple non è di procedura errata, ma di un
"tecnico" caxxone che non le ha seguite, vedasi:
"We talked to Apple directly about its security policy, and company
spokesperson Natalie Kerris told Wired, “Apple takes customer privacy
seriously and requires multiple forms of verification before resetting
an Apple ID password. In this particular case, the customer’s data was
compromised by a person who had acquired personal information about
the customer. In addition, we found that our own internal policies
were not followed completely. We are reviewing all of our processes
for resetting account passwords to ensure our customers’ data is
protected.”"
 
Ma poi, sempre Amazon permette una cosa assurda: aggiungere via
telefono carte di credito senza verificare davvero a chi appartengano
e successivamente puoi cambiare email di riferimento ed entrare
nell'account, sempre via telefono!
 
Detto ciò, è ovvio e succede da quando esiste internet, che se ti
craccano la pw di posta con cui ti sei registrato a N servizi diversi,
poi ti aggirano anche gli altri.
Per questo alcuni usano ora anche la verifica tramite numero di
cellulare.
Inoltre il tizio *non aveva un backup fisico* !!!
 
 
Infine, mi permetto di dire che bisogna essere proprio tonti per dare
via telefono a chicchessia il proprio numero di carta di credito e
l'articolo cita come esempio una catena di pizzerie; si vede che gli
ammeregani usano così, salvo poi lamentarsi...
 
ciao
Gabriele

 wrote:
 
CUT
 
Riporto (rissumendo) alcone considerazioni generali che ho letto nei
commenti all'articolo
 
- carta di credito: le ultime 4 cifre non sono considerate "sensibili"
dalle banche, e quindi si possono mostrare senza problemi. Tra l'altro
in piu' o meno tutti gli scontrini di cc vengono visualizzate.
Apple sbaglia nell'usarle come identificativo. Inoltre se non sbaglio
nelle info dell'AppleID sono visualizzate.
 
- Amazon dal canto suo usa solo l'indirizzo di fatturazione e l'email
per poter aggiungere (telefonicamente) una nuova carta di credito.
Poi permette di resettare la password dell'account usando le 4 cifre
della cc...
Una volta dentro sono visibili gli ultimi 4 numeri delle cc, che Amazon
fa vedere perche' dato non sensibile.
 
- facendo 2+2 e col fatto che il tipo ha la stessa email per tutto
l'hacker e' riuscito a farsi passare per lui col supporto Apple e farsi
resettare la password dell'email.
 
Sia Amazon che Apple usano gli ultimi 4 numeri della cc come dato di
sicurezza per riconoscere il padrone dell'account. Il problema e' che
queste cifre sono facilmente rintracciabili come ha fatto l'hacker,
oppure basta cercare nella spazzatura un qualche scontrino o mollare 50
euro al tizio della pizzeria...
 
Il tizio non aveva backup: cazzi suoi, coglione lui, avrebbe potuto
perdere i dati in altro modo (incendio, macbook caduto per terra,...).
Infatti sembrava quasi piu' incazzato di non avere un backup che col
tipo che glieli aveva cancellati.



Mi pare infatti che le ultime 4 cifre appaiano in parecchi posti. Perché
non chiederne 4 a caso allora per l'identificazione, così come fanno certi
call center delle carte stesse? Già così, senza stravolgere le procedure la
cosa sarebbe più sicura. Poi se lavorano a qualcosa di più evoluto tanto
meglio!
 
-- 
P@olo

 meglio!
 
Io non mi fiderei troppo a lasciare visibile il mio numero della cc ai
tizi dei callcenter...


 Ciao Jack
 
Pure questo è vero. Allora ci vorrebbe una specie di num. cliente. O
comunque una informazione che normalmente non viene diffusa. 
 
A parte che anche il gestionale del call center potrebbe mostrare all'opera
torr le sole cifre da farsi confermare dal cliente e non tutto il seriale
della carta. 
 
-- 
P@olo


Scusate ma secondo me la cosa grave è che l'hacker sia riuscito a 
spacciarsi per il tizio, con il call center di Apple, anche a causa del 
fatto che al posto delle domande di sicurezza gli hanno chiesto solo gli 
ultimi numeri della carta di credito.
A me sembra una leggerezza non da poco.
 
-- 
Per rispondere togliere Alfa e Beta

 A me sembra una leggerezza non da poco.
 
La cosa grave e':
- il tizio (che e' un giornalista di tecnologia) non aveva backup e
usava piu' o meno la stessa email per tutto.
- Apple usa dei metodi non troppo sicuri per autenticare gli utenti via
telefono
- Amazon usa dei metodi non troppo sicuri per autenticare gli utenti via
telefono.
- quando ci si "dimentica" le password, i metodi per recuperarla non
sono poi cosi sicuri (in genere basta cliccare su "password forgotten" e
viene mandata un email col link per il reset).
- le parole/frasi segrete in genere sono tutto tranne che segrete
("qual'e' il nome del tuo cane" o "Il cognome da nubile di tua moglie"
si trovano facilmente in internet)
 
Ma il problema principale e' che si continua ad usare un metodo di
pagamento che crea molti piu' problemi di quelli che risolve.


 pagamento che crea molti piu' problemi di quelli che risolve.
 
Il vero problema � che ci si basa sul quel metodo di pagamento, come 
metodo di autenticazione principale.


 sono riusciti a farsi dare una nuova password da quelli di Amazon ?
 
dovrei rileggere l'articolo per essere sicuro, ma da quello che ho
capito via telefono chiedono anche loro le ultime cifre della cc (o
tutte non sono sicuro) per resettare la password dell'account...
solo che usi i numero della carta che ti sei fatto aggiungere la
telefonata prima dandogli solo billing address e email...


 sono riusciti a farsi dare una nuova password da quelli di Amazon ?
 
[cut]
 
Perché quei genialoidi di Amazon accettano di farti aggiungere una
carta di credito ad un account, senza verificare la corrispondenza!
Cioè basta sapere l'indirizzo email + casa e aggiungi una carta (anche
fasulla, ma coi numeri "veritieri"); poi ritelefoni e dici che non hai
più l'accesso, loro ti chiedono il numero di carta (quello che hai
appena fatto aggiungere eh) e tu fai mettera una nuova email. A sto
punto è fatta!
Invece altri la carta la aggiungono solo dopo verifica (es. PayPal) di
addebito.
 
ciao
Gabriele

 telefonata prima dandogli solo billing address e email...
 
In pratica dei geni del male. :)
Incredibile.
