Newsgroup: it.comp.sicurezza.windows
Titolo: Banche online tradite dai browser insicuri

Banche online tradite dai browser insicuri
Secunia.com pubblica una dimostrazione inquietante di come sia facile
far comparire una pagina di un sito ostile all'interno di un sito
fidato. Rischio phishing per quasi tutti i browser.
[ZEUS News - 
www.zeusnews.it
 - Security Update, 08-12-2004]
Cliccando su un link del sito della vostra banca, compare una pagina che
vi chiede nome utente e password. Le digitate, convinti di essere
sicuri. Ma in realtà quella pagina non appartiene al sito della banca: è
di un altro sito gestito da un criminale, al quale avete appena regalato
la password che protegge i vostri conti correnti. Eppure il sito della
banca non è stato violato.
Inorridite pure: è un problema che tocca praticamente tutti i browser in
circolazione. Il sito Secunia.com ha pubblicato una pagina dimostrativa
in cui mostra chiaramente gli effetti che ho descritto sopra, usando
come bersaglio la Citibank (sostituibile con qualsiasi altra banca o
altro sito di commercio elettronico).
Eseguire la dimostrazione è molto semplice.
Andate alla pagina dimostrativa di Secunia.com.
Se avete un browser che blocca i pop-up, cliccate sul primo link della
pagina di Secunia.com, quello etichettato "Test Now - With Pop-up
Blocker - Left Click On This Link"; se il vostro browser non blocca i
pop-up, cliccate sul secondo link, etichettato "Test Now - Without
Pop-up Blocker - Left Click On This Link". Entrambi portano davvero al
sito di Citibank.
Cliccate sul logo "Consumer Alert" nella finestra del sito Citibank.
Se la dimostrazione ha successo, invece di far comparire il contenuto
del sito Citibank, la cliccata fa comparire una finestra (innocua, in
questo caso) del sito Secunia, al posto del quale poteva benissimo
esserci una richiesta ostile di password da parte di un sito gestito da
un criminale informatico.
Se volete ripetere la dimostrazione, ricaricate la pagina dimostrativa
di Secunia.com.
Questo effetto estremamente pericoloso riguarda, a detta di Secunia,
Internet Explorer, Mozilla, Firefox, Opera, Konqueror, Safari e
Netscape, a prescindere dal sistema operativo sul quale girano.
In attesa che i produttori dei vari browser risolvano la falla, potreste
disabilitare Javascript, ma questo renderebbe impossibile navigare in
molti siti, oppure abituarvi a non visitare contemporaneamente siti
fidati e siti non fidati e a non cliccare su link a siti fidati trovati
in siti non fidati.
Sarebbe anche opportuno che i siti smettessero di usare Javascript per
far comparire finestre pop-up e per molte altre funzioni che si possono
benissimo implementare in modo molto meno insicuro in semplice HTML, ma
i realizzatori di siti sono notoriamente più interessati all'estetica
che alla sicurezza. E noi paghiamo.
___
Correzione: La versione originale di questo articolo indicava che era a
rischio uno scenario (l'accesso al sito della banca digitandone
l'indirizzo a mano o scegliendolo dai Preferiti) che invece non è
colpito da questa falla. Diversamente da quanto sembra indicare la
pagina dimostrativa di Secunia.com, la falla esiste se si raggiunge il
sito fidato cliccando in un link presente in un sito ostile.
A prima vista questo può sembrare uno scenario improbabile, ma è facile
immaginare situazioni in cui l'utente viene ingannato, per esempio se il
sito ostile si presenta come un innocuo sito di commercio elettronico e
contiene un link del tipo "acquista il nostro prodotto tramite Ebay!".
Cliccando sul link, si rivelerebbe la propria password di Ebay al
malfattore.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

Ho provato a testare opera firefox e IE sul sito di Secunia.
Risultato compare un popup della citybank e basta.