Newsgroup: it.arti.musica.classica
Titolo: OT- Ma 2001.de è davvero sicuro?

Scusate la domanda, forse generata dalla mia scarsa competenza. Ho
notato collegandomi al sito 
zweitausendeins.de
 che durante la
connessione SSL per gli ordini, al contrario di quel che mi succede su
amazon ad es. o sui siti bancari protetti in cui il sistema operativo mi
avverte della connessione "protetta" e in più sul sul browser mi appare
il "lucchetto", su 2001 non succede nulla di tutto ciò: nessun avviso,
nessun simbolo, tutto continua come prima... Forse è una sciocchezza, ma
a me sono sorti dei dubbi. Sarà davvero SSL o no?
Grazie per le eventuali delucidazioni.
Ciao
    Roberto  

 ha scritto nel messaggio
news:1glsoiv.1rfzlatqrpobmN%orso...@libero.it...

Effettivamente non ci ho mai fatto caso.
Ma, fino ad adesso non mi è mai successo nulla di strano.
Di acquisti ne ho fatti parecchi.
Ciao
G.
P.S.: scusa la domanda sciocca, ma tu clicchi su SSL quando ti chiede
la connessione per l'inserimento dei dati?

 la connessione per l'inserimento dei dati?
Al terzo (mi pare) step della procedura di ordinazione: c'è la scelta
tra la connessione SSL e quella non "protetta". 
Probabilmente sono solo mie pignolerie, non vorrei però che la loro SSL
offrisse la stessa protezione di un profilattico bucato :-(
Ciao
    Roberto
 

     Roberto
A quest'ora avrei piu' figli di Bach:-)))
Ora provo a simulare un ordine  e ti so dire.
Ciao
G.

 ha scritto nel messaggio
news:1glsqhk.11b8ry61g5yn94N%orso...@libero.it...

Effettivamente è come dici tu; non compare nè il lucchetto, nè
l'avviso di connessione protetta:-))
Bho.....
G.

 Bho.....
Mah, mi sa che è a protezione zero.
chissà se qualcuno che è un po' più addentro in queste sofisticherie
informatiche ci rassicura?
Ciao
     Roberto

Roberto Mastrosimone wrote:

ehi pirloni! primo, non potevate mettere il vero nome del sito (perché 
dovrei sapere come si scrive 2001 in tedesco...?), comunque, mi spiegate 
dov'è che i dati di pagamento non vanno su https? Se avete premuto il 
bottone che usa SSL arrivate ad una pagina che è su https (cioè la 
pagina è protetta da SSL). Ma questo non è essenziale, il punto 
importante è che la FORM che invia i dati si riferisce a una ACTION che 
  è https.
Non è molto responsabile che permettano di fare ordini anche senza SSL.
g

 Non è molto responsabile che permettano di fare ordini anche senza SSL.
Tieni conto del fatto che sono possibili forme di pagamento diverse dalla
carta di credito, soprattutto per chi ordina entro i confini tedeschi. E per
ordini tipo contrassegno nemmeno io sarei tanto fiscale in tema di
riservatezza dei miei dati.
Quanto alla sicurezza della procedura SSL di 2001, io non ne capisco niente,
ma ormai da tre anni faccio circa 5-6 ordini all'anno e non ho mai
riscontrato un inconveniente. E se il metro me lo dà la loro affidabilità in
generale, credo che dovrei star tranquillo: finora sono stati sempre dei
veri signori di un'efficienza assolutamente teutonica.
Giovanni
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Non è molto responsabile che permettano di fare ordini anche senza SSL.
Lo penso anch'io. E' questo che mi mette un po' in sospetto. A chi può
convenire poi una procedura non protetta?
Ciao
    Roberto

 convenire poi una procedura non protetta?
a questo ha risposto Giovanni.
g

 Grazie per le eventuali delucidazioni.
Come ti hanno detto se prosegui l'ordine via SSL finisci dentro delle
pagine con crittazione a 128 bit (il certificato e' valido e scade nel
2006).
Semmai e' brutta (molto) la scelta di effettuare l'ordine attraverso una
pagina con i frame... e' la tipica situazione in cui si possono
sfruttare i bug dei browser per fregare informazioni (e' vero che ci
deve essere tutta una dinamica di azioni dietro ma visto che non esiste
un motivo valido al mondo per far fare ordini con pagine a frame perche'
rischiare?...).
Inoltre ti dico che e' sciocco tirare un sospiro di sollievo quando si
vede comparire il lucchetto chiuso. Vedere una grossa porta blindata ti
da la sicurezza che nessuno possa entrare? Innanzitutto _va chiusa_ e
fra i vari modi chiuderla andiamo dal fermarla alla bell'e meglio con un
po' di nastro adesivo fino al girare la chiave per tutte le mandate
disponibili.
Come fare? Uno strumento buono (se non si fottesse con i frame - altro
motivo per non usarli) sarebbe esaminare i dati sulla sicurezza della
connessione (in genere doppio-click sul lucchetto)
Questo detto giusto per avere coscienza della cosa. Per il resto mandare
il numero della carta di credito in internet anche su connessione non
sicura e' estremamente piu' sicuro dell'uso della carta di credito nei
negozi reali (se uno ci fa caso i momenti in cui si possono fregare i
dati della carta sono moltissimi).
   Jenner
-- 
** 
http://neurotix.com
** jenner(a)
neurotix.com



Il lucchetto non compare perche' la pagina principale rimane in
chiaro, quella protetta e' solo il frame in cui inserisci
effettivamente i dati. Se guardi le proprieta' del frame puoi
vederificare che e' effettivamente in SSL.
Vai pure tranquillo.

dati della carta sono moltissimi).
credevo anch'io a questo aspetto della cosa, ma pensa a quante persone possono
accedere contemporaneamente al flusso dati di internet e ammetterai che la
probabilità di un "incidente" aumenta esponenzialmente
Allegri !
-----------------------------
Claudio Chiani



ma pensa anche a quante persone accedono all'internet e mandano 
terabytes di dati che *non* sono carte di credito... Il problema è più 
reale in un network locale, se qualcuno sniffa i tuoi pacchetti (quelli 
TCP/IP, non quelli postali, a meno che tu non abbia traffici illeciti) e 
tu mandi dati riservati in chiaro.
Credo che al momento quanto detto da Jenner sia corretto, almeno sino a 
che l'uso delle carte col chip non sarà obbligatorio.
g

 ammetterai che la probabilità di un "incidente" aumenta esponenzialmente
In primo luogo i punti dove e' possibile recuperare informazioni riservate
sono i nodi di transito (router e gateway); il fatto che ci siano collegati
50, 20000 o 30 milioni di utenti non ti fa differenza, i nodi terminali (il
server o il client) non ricevono dati di altre persone perche' questi non
transitano sul loro nodo (e ci mancherebbe!).
I punti piu' a rischio (a patto di avere uno sniffer, assumo che un chi
voglia recuperare dati di carte di credito lo possieda) sono il tuo provider
e il servizio di hosting del server sul quale effettui gli acquisti. Man
mano che ti allontani, simmetricamente, il recupero di queste informazioni
e' sempre piu' complesso e oneroso.
La differenza fra la connessione crittata e non crittata sta nel contenuto
del pacchetto: di fatto io posso, in entrambi gli scenari, loggare tutti i
pacchetti diretti all'URL delle form di acquisto. Ovvio che se il contenuto
e' in chiaro posso leggere subito i dati che mi interessano, se sono
crittati posso solo tentare di aprire il pacchetto in qualche modo; il
brute-forcing con 128 bit di cifratura e' impensabile, specialmente se
finalizzato a cavar fuori un misero numero di carta di credito che - nella
maggioranza dei casi - se va bene ti permette acquisti fino a 1500 euro (la
Visa Gold non ce l'hanno tutti!).
In realta' chi e' interessato ai numeri delle carte di credito si adopera
maggiormente nel tentare una forzatura del server su cui si effettuano gli
acquisti. Come sforzo e' minore e da migliori risultati... e se proprio devi
sniffare i pacchetti e' meglio metter su un dialer e far collegare la gente
attraverso le proprie macchine. Oggi poi a questo si e' aggiunta la
possibilita' di usare Google il quale, innocentemente, talvolta indicizza
informazioni che qualche scellerato non si e' preoccupato di non rendere a
portata di mano. [per chi fosse roso dalla curiosita': NON METTETE IL VOSTRO
NUMERO DI CARTA DI CREDITO COME CHIAVE DI RICERCA SU GOOGLE se proprio
volete fare qualche verifica; Google logga le ricerche effettuate a scopi -
si dice - statistici, usatene solo un pezzo, non piu' di 6/7 cifre]
Usciti poi dalla rete il rischio aumenta notevolmente proprio a causa degli
stessi addetti dell'azienda dalla quale si e' acquistato... un dipendente
scontento o dedito a queste cose puo' abbastanza facilmente recuperare i
dati dei clienti e avere contemporaneamente l'alibi della
internet-poco-sicura regolamente sbandierata, e a torto, dai media.
Alibi che e' facilmente utilizzabile anche da chi truffa da fuori della rete
(in Italia e' meno diffuso perche' in pochi - relativamente - fanno acquisti
in internet).
Personalmente se dovessi cercare numeri di carte di credito mi metterei a
guardare gli scontrini del supermercato, delle farmacie, ricevute di pedaggi
autostradali e di transazioni bancomat... insomma tutta roba che la gente
lascia in giro e che io, semplicemente, andrei a raccogliere. Perche' andare
in internet?
   Jenner


 2006).
Ringrazio te, Giuliano e gli altri per le informazioni.
Ciao
    Roberto 

 vedere che la pagina della form è crittata.
Ah ecco; adesso mi è chiaro.
Ti ringrazio.
Ciao
    Roberto

NeuRoTiX wrote:
[...]
assolutamente d'accordo. Mi ha sempre inorridito vedere come certi 
supermercati (anche in UK) riportassero il completo numero di carta 
sullo scontrino, considerato poi quanti scontrini si possono trovare 
svolazzanti nei loro parcheggi. Tuttavia va notato che solo nelle 
transazioni internet può capitare che sia richiesto il codice di 
sicurezza (le tre cifre sul retro della carta), e il nome del titolare.
Detto questo ho anche scoperto un giorno un sito di giochi (sempre in 
UK) che accettava (e si vedeva autorizzare) pagamenti per i quali veniva 
dato un nome e un indirizzo di completa fantasia!
All'altro estremo, ieri un sito americano (software), mi ha spedito un 
email che richiedeva, per la conferma del pagamento, una fotocopia della 
carta di credito via fax (...) o via email (!!!!!!). Gli ho detto che se 
lo sognassero! Follie.
Per il questito originale va anche detto che 
zweitausendeins.de
 è stato 
proprio scritto male. Se uno accede al sito non come 
www.zweitausendeins.de
 ma come 
zweitausendeins.de
 (il che è possibile), 
il link sicuro va a 
https://zweitausendeins.de/.
.. e quindi il 
certificato non è considerato valido (perché il domain name del server 
deve coincidere con quello dichiarato nel certificato, e cioè 
www.zweitausendeins.de
). Nulla di male, funziona lo stesso, ma mi pare 
un segno di unthoroughfulness (mah, forse si dice solo unthoroughness).
Bisogna anche ricordarsi che le ultime cifre di una carta (mi pare 4) 
sono determinabili dalle precedenti, quindi attenzione...
g

 sfruttare i bug dei browser per fregare informazioni
ALT, questo mi interessa molto.......
Perche' dici che i frames sono pericolosi, almeno potenzialmente? E' solo
un discorso di complessita' (maggior complessita' strutturale = maggior
pericolo) o sei a conoscenza di qualcosa di piu' specifico??
M
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

piu' specifico??
Riguarda la complessita' ma non, per quel che capisco, nel senso in cui la
intendi tu.
In una pagina con frame offre molti piu' sistemi per accedere alle
informazioni contenute nelle pagine del frameset (se hai fatto qualche
paginetta con javascript dovresti capire cosa intendo). In pratica il DOM e'
piu' complesso e piu' e' complesso piu' i bug scappano fuori nel browser
nell'implementarlo e renderlo maneggiabile dai linguaggi di scripting... se
poi ci aggiungi i bug nelle implementazioni dei linguaggi di scripting...
Per farla breve, finora i "migliori" exploit per fragare dati da una pagina
web (anche in SSL) erano centrati sulle buggate implementazioni delle pagine
a frame unitamente ai linguaggi di scripting (client-side). Se ne sono visti
parecchi per IE e qualcuno (o forse uno solo... non ricordo) anche per
Mozilla. Se poi ci aggiungi il bug del camuffamento dell'URL capisci quanto
possono diventare rischiose certe strutture.
A fronte di cio' ci sarebbe da chiedersi perche' sviluppare procedure
d'acquisto su una struttura a frame... le migliori (e piu' sicure) procedure
d'acquisto funzionano su pagine singole (per ogni passo), senza script
client-side, immerse in un "sano" SSL a 128 bit (e anche piu'... ma con
calma che poi non voglio mica dover aggiornare il PC per ottenere la
cifratura in tempi brevi).
Dimensionando le cose: in questo NG c'era gente che acquistava su
Zweitauseneins quando il sito girava su Windows 98 e non gli e' successo
niente. :P


 niente. :P
ho visto la pernacchia, ma Jenner, non farmi il ragionamento che fece 
ieri Giuseppe! è come dire "son andato a 150Km/h sull'autostrada per 
anni, e colle gomme lisce, e non m'è mai successo niente! Quindi non è 
pericoloso...". Certo, le conseguenze sono incomparabilmente minori.
[mai come "Le conseguenze dell'amore", vedi film omonimo...]
Vabbe', vabbe', stavi solo ridimensionando... e poi mi ricordo che dieci 
anni fa non usavo nessuna precauzione colla carta sull'internet... (però 
  i siti non giravano su windows)
g

 ha scritto nel messaggio
news:cl0nq4$jmm$1...@stargate1.inet.it...

Scusa ma che ragionamento ho fatto?
Ho detto solo che ho fatto parecchi acquisti in rete ed anche in
Italia ( de visu) naturalmente  usando la carta di credito e non mi è
mai successo nulla.
Non è un ragionamento, è una affermazione di un dato di fatto!!:-)
Magari domani me la clonano, ma fino ad oggi tutto ok.
Se me la dovessero clonare, basta una denuncia e blocco il
pagamento:-)
Bisogna pur fidarsi no?
Ciao
G.

sull'internet... (però i siti non giravano su windows)
Io sono sempre stato attento ma cio' non e' stato sufficente. Avevo trovato
un megastore dai prezzi convenienti, CD Universe, piu' convenienti di Music
Boulevard e di CDNow (ho l'impressione di parlare di negozio degli inizi
'900... e invece e solo roba di 4/5 anni fa)... al tempo andavano molto i
profili utente tutto-incluso (nome, cognome, indirizzo, modalita' di
pagamento e numero di carta di credito) memorizzati sul server in quanto
permettevano di non trasferire piu' le informazioni della carta di credito
(aspetto molto positivo) e di fare acquisti molto velocemente. Gia' con
CDNow avevo preso l'abitudine, dopo ogni acquisto di modificare i dati della
carta di credito mettendone di fasulli... "non si sa mai" mi dicevo... fatto
sta che su CD Universe non lo feci e di li a poco la notizia che il sito era
stato crackato e non ricordo quante decine di migliaia di numeri di carte di
credito erano stati sottratti. Parliamo di un sito che funzionava sotto SSL
con cifratura a 128 bit (e per chi non se ne intende di archeologia
internettiana, in quegli anni l'uso di browser con 128 bit di cifratura
erano consentiti solo negli USA e in Canada... io mi procuravo Netscape a
128 bit da un sito di hacker).
Mi presi un mezzo colpo per quella notizia (intanto bellamente spostavo i
miei acquisti su CDNow e JPC) e per un bel pezzo monitorai le transazioni
sulla carta di credito.
E' andata bene... e non per questo ho perso il piacere di acquistare in
internet (ho acquistato proprio un paio di settimane fa 3 DVD per mia figlia
su Amazon e 5/6 mesi fa un po' di libri su Apogeo, tanto per dire...)... per
i CD musicali (se un giorno mi tornera' la voglia di acquistarne) mi
rivolgero' direttamente all'etichetta discografica (Naxos, Stradivarius e
Dynamic in primis).


tu mandi dati riservati in chiaro.
non mi sembra molto difficile generare un trap-pattern per catturare il
preambolo tipico del messaggio con cui si passano i dati della carta ad un sito
specifico; se potenzialmente ciò é possibile non vedo perché non potrebbe
succedere su un network gigantesco come internet, dove tra la moltitudine di
utenti c'è sicuramente qualcuno che potrebbe realizzarlo


in internet?
perché ce ne sono immensamente di più e non ti vede nessuno



( mega cut)
E allora il succo del discorso qual'č?
Ritorniamo all'etą della pietra, fin quando non si studia una sistema
per rendere sicuro il denaro elettronico?
Da parte mia accetto il rischio.
Da che mondo č mondo ci sono stati sempre i ladri...gli Arsenio Lupin
che riuscivano a penetrare nei sistemi considerati ipersicuri.
E' il gioco delle parti.
Si studiamo sistemi sicuri...e altri studiano sistemi per penetrare i
sistemi sicuri ( vedi il caso delle Poste di cui hanno parlato i TG in
questi giorni)
G.

perché ce ne sono immensamente di piů e non ti vede nessuno
Infatti, basta andare a rovistare nei cestini della spazzatura nei parcheggi
dell'Ipercoop o anche solo dare un'occhiata nei carrelli nei vari depositi
per trovare scontrini e quindi, spesso, anche numeri di carta di credito.
Forse poi - e' una mia riflessione - la cosa piu' importante non e' tanto
allarmarsi per queste leggerezze dei supermercati, di farmacie, ecc.
...certo e' importante far sentire questo problema ma ancora piu' importante
e' essere consapevoli di questo sparpagliamento di informazioni che ci
lasciamo dietro, sapere quando e come siamo tracciabili.
Con questa consapevolezza avremmo quindi modo di poter chiedere _veramente_
efficaci strumenti per la tutela della privacy.
Purtroppo viviamo in un mondo dove l'ignoranza e l'incompetenza sono
spacciati per valori di cui andare fieri ed esserne gelosi.


 per rendere sicuro il denaro elettronico?
Non ha senso.
In informatica (perlomeno in quella che ho conosciuto io) si dice: non si
fanno lucchetti senza chiavi.
E' un concetto semplice che si applica praticamente a tutto: dalle
protezioni anticopia ai sistemi di cifratura.
[chissa' se questa informatica la insegnano ancora]
Gli fa da corollario una delle prime frasi dell'HOWTO di netfilter (il
sistema di firewall implementato su Linux) dove si dice che, qualsiasi cosa
l'amministratore della rete faccia o escogiti, deve sempre sapere che "your
network is not secure" (la tua rete non e' sicura).


 miei. :P
entro tre giorni (quindici giorni) da che?
Non mi pare un gran deal. La mia carta costa nulla, tuttavia mi offre 
una garanzia sull'Internet:
(mia traduzione orribile)
Fate le compere sull'internet senza preoccupazioni con la vostra Pippo 
Credit Card. Se scoprite che è stata fatta una transazione su internet 
usando i vostri dettagli senza che voi ne foste a conoscenza o 
consentiste, garantiamo che non sarete considerati responsabili per la 
transazione fraudolenta.
In più, per, mi pare, £16, ho un'assicurazione che mi copre tutte le 
carte che su di essa ho registrato. [credo comunque che il contratto 
standard delle carte di credito preveda una franchigia di £50, quindi 
copertura c'è.]
Poi mi pare che qui la gente debba imparare a farsi sentire e a 
pretendere! Anche senza assicurazione voglio proprio vedere quale 
società di credito preferirebbe vedere una truffa denunciata sui 
giornali, con conseguente reazione giacomo-giacomo da parte del 
pubblico, piuttosto che rifondere un utente. Tanto fanno in fretta a 
prelevare la somma dal titolare del merchant account!
Certo poi se sei come quello che dopo aver usato la sua carta su 
internet per ordinare dubbi filmini, s'è visto un addebitamento per 
mille dollari ma non ha avuto il coraggio di dirlo alla società di 
credito, beh.. non so che dire! Un po' meno ipocrisia forse?
g

questi giorni)
di sicuro c'è solo il fatto che non si vedono in giro asini maschi "incinti" che
volano :-)


spacciati per valori di cui andare fieri ed esserne gelosi.
diciamo che a parte qualche sfaccettatura sono + o - d'accordo con te,
semplicemente non credo di essere cosě sicuro come sei tu che il rischio su
internet sia cosě tanto inferiore a quello delle transazioni fatte "di persona"
ma abbiamo - credo - argomenti ben piů interessanti di cui discutere
