Newsgroup: it.comp.macintosh
Titolo: Siti pubblici: una domanda OT

Il sito INPS costringe periodicamente a cambiare il pin. Non capisco 
bene perche' la mia banca non lo fa, mentre l'INPS, come altri siti 
dell'amministrazione pubblica, abbia questa fissazione (dubito che siano 
dati meglio protetti o meritevoli di maggior protezione di quelli del 
conto corrente), ma a sorprendermi maggiormente e' qualcosa di diverso.
 
Una volta fatto il login mi chiede il codice fiscale e genera da se', 
automaticamente, il nuovo pin. Poi mi chiede di digitare il vecchio pin 
e di dostituirlo con il nuovo che mi hanno fornito.
 
Ora, il codice fiscale di chiunque e' facilmente ricavabile e se sono 
entrato dentro per forza di cose devo anche conoscere il vecchio pin. 
Qual e' dunque l'utilita' di questa procedura? Che tipo di garanzia o di 
vantaggio dovrebbe avere in termini di sicurezza? C'e' qualcosa che mi 
sfugge o e' solo uno stupido modo di complicare la vita?

 sfugge o e' solo uno stupido modo di complicare la vita?
 
E non sei ancora arrivato alla fase "converti il tuo PIN in PIN
esecutivo"....
 
-- 
YP

 sfugge o e' solo uno stupido modo di complicare la vita?
 
Solo uno stupido modo per giustificarsi uno stipendio sovradimensionato
e un posto di lavoro immeritato.
 
Più il sistema è raffazzonato più stupidi sono quelli che lo gestiscono,
più luoghi comuni usano per lavorare.
La sicurezza è un tema così complesso che molti "esperti" conoscono solo
i luoghi comuni.
 
-- 
Pio Alt

La password inizialmente dovrebbe arrivarti per metà a casa via posta, dove
hai la residenza.
 
Non so l'utilità, ma sto codice che arriva per metà sul cellulare, per metà
via email va scritto da qualche parte, diventa quindi meno sicuro di una
password che posso tenermi in testa e che so solo io.
Anche l'app dell'Inps non è che abbia tutta questa semplicità!
 
-- 
You cannot connect the dots looking forward, you can only connect them
looking bakward (cit. S. Jobs)

 password che posso tenermi in testa e che so solo io.
 
Questi sono affari tuoi: loro hanno preso le contromisure necessarie per
farti avere la pwd in sicurezza. Come la conservi è solo un problema tuo. 
(per inciso posso essere d'accordo con te, ma immagino che il ragionamento
di chi ha partorito la procedura sia stato più o meno questo). 
 
Ciao. 
 
-- 
P@olo

 Anche l'app dell'Inps non è che abbia tutta questa semplicità!
 
la cosa più ridicola è che questo codice vale solo per il primo
collegamento: ti mandano un tesserino prestampato con mezza psw, da
abbinare con l'altra mezza che ti arriva via SMS, e poi dopo il primo
collegamento butti tutto... e l'account non è comunque dispositivo finchè
non fai un'altra procedura che gira e rigira, prevede la consegna di carta
all'inps... e se tutto questo non bastasse, anche alcune documentazioni che
fai online, ti dicono che meglio se consegni pure una copia cartacea...
Doppio lavoro per nulla
 
-- 
Domenico
http://puce72.blogspot.com
 


Anche se in teoria è corretto, in pratica chi stabilisce la sicurezza di
un sistema deve considerare anche il fattore umano dei suoi utenti e
soprattutto l'insieme dinamico delle azioni.
 
La sicurezza poi dipende dall'ultima "azione di sicurezza", se la prima
volta prendono cautele degne di un servizio segreto ma poi per cambiar
password c'è una procedura semplificata che va ripetuta continuamente
aumentando il rischio... quelle cautele iniziali sono spreco di denaro
pubblico...
 
-- 
Pio Alt


ovviamente. 
 
-- 
P@olo

Guarda, col sito INPS mi ci sono scornato fortemente per via di queste
idiozie (e i malfunzionamenti).
La realtà è che hanno complicato a dismisura tutto (pensa ad un anziano
che deve smazzarsi un pin lungo come la fame) come se fosse un sistema
strasicuro e poi qualsiasi persona col tuo codice fiscale (il CF non è
un segreto di stato) potrebbe comunque accedere alla tua scheda e fare
tutto quello che vuole.
 
Io non riuscivo ad accedere, le ho provate di tutte, poi ho visto della
boiata dei 3 mesi e ho provato allora a rifare il pin: per rifarlo ho
dovuto mettere il vecchio e il codice fiscale (cioè il login che tentavo
di fare). E allora che me lo fa cambiare a fare se per riconoscermi gli
è andato bene?
 
Chapeau a cotanta idiozia...
 

 è andato bene?
 
Infatti. Per far cambiare il PIN non vedo altra ragione che quella di 
presumere che gli utenti siano soliti tatuarselo sulla fronte (e che 
orde di malfattori desiderino andare a scrutare furtivamente tra i miei 
dati previdenziali). Puo' darsi che queste presunzioni siano fondate, 
anche se a me sembrano preoccupazioni eccessive, ma non stiamo a 
discutere di questo.
 
Partiamo dal presupposto che sia saggio e giusto procedere in tal modo. 
Pero', una volta che accedo col vecchio pin, quello che mi si forza a 
cambiare perche' insicuro, tutto quel che mi serve per ottenere la 
nuova password e' il vecchio PIN e il codice fiscale (che non e' 
segreto per nessuno).
 
Ora, se davvero il mio PIN viene usato fraudolentemente, chi l'ha 
rubato puo' tranquillamente farsi dare una nuova password ed escludere 
proprio l'utente legittimo. Se invece cio' non accade non vi e' alcuna 
ragione di forzare il cambiamento del PIN.
 
A meno che non vi sia un motivo tecnico a me ignoto e inconcepibile, 
veramente all'INPS regna l'imbecillita' piu' totale.

 spreco di denaro pubblico...
 
Parole sante!

 veramente all'INPS regna l'imbecillita' piu' totale.
 
Non volevo dirlo ma c'č di peggio, che il PIN te puoi far ridare per
telefono, e lě basta il codice fiscale, non so se mi spiego...

 telefono, e lì basta il codice fiscale, non so se mi spiego...
 
a me lo mandano per metà sul telefono e per metà sulla posta certificata:
un malintenzionato dovrebbe avere accesso ad entrambi per bypassare questa
sicurezza.
