Sistemi di autenticazione e mobile banking, i veri rischi che le banche nascondono

Ma basterebbe che le banche facessero così (mia opinione):

- Libertà di scelta all'utente del limite massimo del bonifico istantaneo
- Se hai bisogno di un cambiamento di soglia lo puoi effettuare e si rende attivo dopo 24h dalla modifica (nel frattempo vieni avvisato tramite mail, sms, piccione viaggiatore...)

Così se disconosci l'operazione blocchi tutto, non ci vuole un genio.
 
la probabilità di contrarre un'app (o un link)malevola su un cell resettato e ben configurato(sì , anche gli smartphone si possono configurare avendo in mente la sicurezza), con app bancarie scaricate da play store, una tantum e collegato per sincronizzazione uina volta ogni morte di vescovo è obiettivamente ridottissima (se non zero)

diventa de facto un token fisico disconnesso......certo qualcuno potrebbe entrarti in casa...

la superficie d'attacco e vulnerabilità è ordini di grandezza inferiore ad un cell usato per tutto quotidianamente e permanentemente connesso e portato con se :yes:

Quello che dici non si può fare senza numero di cellulare certificato che la tua banca possiede è su cui ti invia gli otp…nn vedo nulla di gratis, purtroppo 😣 nel senso che comunque, almeno nel mio caso, tutte le banche hanno il mio numero e la sim costa.
 
oppure su un telefono con Sim con numero diverso da quello registrato dalla banca.
 
la cosa più difficele che devono fare le banche è appunto questa :

bilanciare la sicurezza con la usabilità


più è sicuro il sistema meno sarà semplice da usare
e se non lo usi gli utenti vanno da altre parti ....


destreggiarsi non è facile



cmq da quando le compagnie telefoniche chiedono copia di denuncia di smarrimento
per emettere il duplicato della sim le cose vanno già un po meglio, credo ...
 
Discussione pertinente, dal thread Banca Sistema

Riporto la sintesi di una discussione dal thread su Banca Sistema, che riguarda alche l'argomento di questo thread e potrebbe interessare altri.
Saluti

=== FOL /1924601-si-conto-corrente-di-banca-sistema-cap-iv-181.html
SilvioVernillo 11-12-21, 11:52 #1801
Usi delle app Banca Sistema
Tre domande collegate, chiedo risposte a prova di **********.
1. Se si usa Secure Call per l'autenticazione, è possibile usare normalmente l'app BS Mobile per operazioni consultive o dispositive? Particolarità nelle modalità d'uso?
BS Mobile - Apps on Google Play
2. Su Google Play è ancora disponibile l'app soft-token BS Secure Code:
BS Secure Code - Apps on Google Play
Se si usa questa app per autenticazione, è possibile usare normalmente l'altra app BS Mobile di cui al punto 1 per operazioni consultive o dispositive?
3. Quali vincoli tecnologici pone l'uso delle app Banca Sistema? In particolare possono essere usate su dispositivi Android personalizzati o routed?
Ho notato che basta Android 4.4, il che è un punto di merito.

Parnas 11-12-21, 12:05 #1802
3. Zero personalizzazione; è sufficiente anche solo che tu abbia cambiato la keyboard di sistema con una di terze parti presa sullo store, e l'app non funziona più.
Deve essere un device stock, senza modifiche di alcun tipo:
Factoring e Servizi Bancari per Imprese e Privati | Banca Sistema

SilvioVernillo 12-12-21, 15:15 #1805
Usare un device stock Android significa affidarsi al buon cuore del produttore, di Google, dei creatori delle infinite app "social" preinstallate per default e non disinstallabili, etc.
Va bene solo finché viene usato per cazzeggiare sui social network.
Nei miei dispositivi Android primari sono memorizzate informazioni sensibili di tipo sanitario, finanziario, legale; l'ho fatto solo perché vi è installata una ROM custom testata da un'ampia community di utenti, con varie app untracollaudate da me: firewall, filtro DNS, task manager, file manager, backup rigorosamente locale, etc.
Un'app che pretende un device custom può essere usata solo su dispositivi secondari ad-hoc, connessi ad internet il meno possibile; al limite in una macchina virtuale Android su PC.
Ovviamente questo è solo il mio punto di vista.
Per le altre domande hai informazioni? L'app BS Mobile può essere usata per operazioni dispositive anche se l'autenticazione avviene tramite telefono (Secure Call) o con app BS Secure Code?

Parnas 12-12-21, 15:24 #1806
Io uso normalmente l'app su iPad bonificando tramite secure call, non ho mai provato ad usarla sullo stesso telefono da cui faccio la call (i miei telefoni sono tutti rootati, quindi comunque non funzionerebbe).
L'unico possibile problema che vedo è che, magari, quando apri la call al numero verde l'app perda la connessione dati... però per quello bisogna provare.

SilvioVernillo 15-12-21, 16:49 #1809
Riporto alcuni test fatti, magari a qualcuno possono servire
201005 Dual SIM in dispositivo di tipo "Dual SIM standby" (quelli più comuni):
- SIM1 usata per connessione dati in tethering
- SIM2 abilitata a SecureCall per Banca Sistema.
La modalità "Dual SIM standby" implica che se è attiva ad Internet attiva su una SIM e si telefona sull'altra SIM, la connessione viene congelata (standby) per tutta la durata della telefonata, e poi ripresa appena la telefonata termina.
In relazione a SecureCall, funzionano le telefonate di riconoscimento per il login in cui occorre solo digitare il codice a video: far comparire a video il codice e poi avviare la telefonata, al termine di questa la connessione viene ripresa e tutto procede regolarmente.
Invece non funzionano le telefonate di conferma operazioni dispositive, in cui normalmente dopo aver digitato il primo codice per ricoscimento compare a video un secondo codice, una voce descrive l'IBAN e l'importo dell'operazione, e occorre digitare il secondo codice seguito dal tasto cancelletto; in modalità "Dual SIM standby" mentre è attiva la chiamata a SecureCall la trasmissione dati è in standby, quindi non viene mostrata a video la schermata con il secondo codice di conferma; d'altra parte mentre è attiva la chiamata SecureCall non è possibile sospendere o disattivare la relativa SIM.
Meno chiaro è invece perché non funziona la procedura "Chiamata dall'estero", in cui occorre rispondere ad una chiamata fatta da SecureCall (06 9162 6020), e digitare solo il secondo codice seguito dal tasto cancelletto; la procedura "Chiamata dall'estero" funziona regolarmente se ad esempio pongo la SIM per SecureCall in una chiavetta gestita tramite Huawei Mobile Partner (vedi appresso).
Per far funzionare telefonate di conferma per operazioni dispositive, alcune procedure testate sono:
- estrarre la SIM SecureCall dal telefono e porla momentaneamente in una chiavetta USB gestita tramite Huawei Mobile Partner, o in un altro telefono.
- per la connessione dati usare un dispositivo diverso da quello usato per SecureCall.
 
la cosa più difficele che devono fare le banche è appunto questa :

bilanciare la sicurezza con la usabilità


più è sicuro il sistema meno sarà semplice da usare
e se non lo usi gli utenti vanno da altre parti ....


destreggiarsi non è facile



cmq da quando le compagnie telefoniche chiedono copia di denuncia di smarrimento
per emettere il duplicato della sim le cose vanno già un po meglio, credo ...

Bastava semplicemente mettere obbligatoria la richiesta di una piccola passw , quella già presente sulla SIM card .
Cosa più semplice e sempre sicura .
La possibilità di attivare questa opzione veniva chiesta alle compagnie telefoniche da qualche anno , senza avere risposte .
Visto che all'estero già era possibile farlo proprio per arginare il problema .
 
Ultima modifica:
Bastava semplicemente mettere obbligatoria la richiesta di una piccola passw , quella già presente sulla SIM card .
Cosa più semplice e sempre sicura .
E la possibilità di attivare questa opzione veniva chiesta di essere attivato alle compagnie telefoniche da qualche anno , senza avere risposte .
Visto che all'estero già era possibile farlo proprio per arginare il problema .

Il codice ICCID della SIM non è comunque una sicurezza come ha mostrato un recente data-breach ai danni di un gestore mobile italiano che li conservava "in chiaro" sui server insieme a nome, cognome, numero di telefono e altri dettagli del cliente.

Diciamo che gli SMS OTP sono ormai considerati poco sicuri e, anche negli USA, non se la passano tanto bene viste le ultime vicende di T-Mobile.

Latest SIM Swap news
 
Il codice ICCID della SIM non è comunque una sicurezza come ha mostrato un recente data-breach ai danni di un gestore mobile italiano che li conservava "in chiaro" sui server insieme a nome, cognome, numero di telefono e altri dettagli del cliente.

Diciamo che gli SMS OTP sono ormai considerati poco sicuri e, anche negli USA, non se la passano tanto bene viste le ultime vicende di T-Mobile.

Latest SIM Swap news

Questa mi mancava ...
Certo che questi gestori sarebbero da mazziare a prescindere .
Ma come si fa' a trattare dei dati così sensibili in questa maniera ...
Tu dici che una passw random impostata dall'utente servirebbe a qualcosa ?
Parlo sempre di passw come filtro di sicurezza vs richiesta di nuova SIM card .
 
Ultima modifica:
Scusate se sono parzialmente OT, ma usare un pc desktop con antivirus per l'home banking con un collegamento internet con ID variabile è più sicuro che lo smartphone? Intendo in generale senza entrare troppo nei dettagli, impostazioni ecc.
Allo smartphone non riesco proprio ad abituarmi, per i timori sulla sicurezza, mi pare più difendibile il desktop.
 
Scusate se sono parzialmente OT, ma usare un pc desktop con antivirus per l'home banking con un collegamento internet con ID variabile è più sicuro che lo smartphone? Intendo in generale senza entrare troppo nei dettagli, impostazioni ecc.
Allo smartphone non riesco proprio ad abituarmi, per i timori sulla sicurezza, mi pare più difendibile il desktop.

L'"ID variabile" che sarebbe? L'IP dinamico? Stai tranquillo che la quasi totalità delle truffe bancarie sono frutto di phishing. Nessun hacker sano di mente andrà mai a mirare a conti di cittadini comuni visto che la spesa non vale la resa, è molto più remunerativo mandare duemila mail di phishing visto che uno che gli manda i dati di accesso lo trovano sicuro, il tutto con una spesa che rasenta lo zero.
 
L'"ID variabile" che sarebbe? L'IP dinamico? Stai tranquillo che la quasi totalità delle truffe bancarie sono frutto di phishing. Nessun hacker sano di mente andrà mai a mirare a conti di cittadini comuni visto che la spesa non vale la resa, è molto più remunerativo mandare duemila mail di phishing visto che uno che gli manda i dati di accesso lo trovano sicuro, il tutto con una spesa che rasenta lo zero.

Esatto , la maggior parte delle truffe seguono quella linea .
Figurati se stanno lì a sprecare tempo ed energie puntando e hakerando gente normale ..
Sui Cell il pericolo maggiore e la clonazione delle SIM card .
 
Esatto , la maggior parte delle truffe seguono quella linea .
Figurati se stanno lì a sprecare tempo ed energie puntando e hakerando gente normale ..
Sui Cell il pericolo maggiore e la clonazione delle SIM card .

Sim swap. Pare che agcom stia intervenendo a riguardo
 
Questa mi mancava ...
Certo che questi gestori sarebbero da mazziare a prescindere .
Ma come si fa' a trattare dei dati così sensibili in questa maniera ...
Tu dici che una passw random impostata dall'utente servirebbe a qualcosa ?
Parlo sempre di passw come filtro di sicurezza vs richiesta di nuova SIM card .

Qualche anno fa, dopo lo swap SIM subìto da Jack Dorsey che fece molto scalpore, sia T-Mobile che AT&T resero disponibile al cliente la selezione di una password specifica per operare on-line e nei negozi (in US non si usa la carta di identità e la questione di identificare, anche in negozio, chi richiede cosa non è banale).

A giudicare dai risultati e dall'allarme che gli swapSIM hanno suscitano anche nel Congresso con svariate interrogazioni direi che il sistema ha risolto molto parzialmente.
 
Qualche anno fa, dopo lo swap SIM subìto da Jack Dorsey che fece molto scalpore, sia T-Mobile che AT&T resero disponibile al cliente la selezione di una password specifica per operare on-line e nei negozi (in US non si usa la carta di identità e la questione di identificare, anche in negozio, chi richiede cosa non è banale).

A giudicare dai risultati e dall'allarme che gli swapSIM hanno suscitano anche nel Congresso con svariate interrogazioni direi che il sistema ha risolto molto parzialmente.

E se son messi male loro nonostante gli interpelli del Congresso figurati come stiam messi noi ..
Secondo te' Fog la soluzione quale potrebbe essere ?
Una SIM ad hoc più blindata per i servizi home banking ecc ecc ?
Intendo più blindata vs i dati sensibili , io sarei pure disponibile ad un costo aggiuntivo pur di avere una blindatura maggiore .
 
Ultima modifica:
E se son messi male loro nonostante gli interpelli del Congresso figurati come stiam messi noi ..
Secondo te' Fog la soluzione quale potrebbe essere ?
Una SIM ad hoc più blindata per i servizi home banking ecc ecc ?
Intendo più blindata vs i dati sensibili , io sarei pure disponibile ad un costo aggiuntivo pur di avere una blindatura maggiore .

Sarò sintetica. :D
Sostituzione della 2FA via SMS OTP con altri metodi (in US molti servizi già lo hanno fatto, da noi temo ci vorrà tempo).

Personalmente mi piacerebbe una soluzione FIDO U2F (che già uso per qualche servizio internazionale avendo una Yubikey).
 
Sarò sintetica. :D
Sostituzione della 2FA via SMS OTP con altri metodi (in US molti servizi già lo hanno fatto, da noi temo ci vorrà tempo).

Personalmente mi piacerebbe una soluzione FIDO U2F (che già uso per qualche servizio internazionale avendo una Yubikey).

Caspiterina , ne inventata una tutti i giorni .
Non ci si può distrarre un attimo ... :D
Pure questa mi mancava .
Molto interessante e nemmeno costosa .
Ma dimmi , la si può applicare anche ad un cellulare ?
In pratica funzionerebbe come ulteriore fattore di sicurezza , ma quello che mi chiedo quindi lo puoi attivare come pre - filtro all'uso della SIM card ?
Nel senso , in caso di duplicazione fraudolenta della nostra SIM card questa non funzionerebbe senza il codice di conferma FIDO2 , giusto ?
Ho visto un video su you tube , in pratica sembrerebbe una chiavetta USB , giusto ?
Grazie della pazienza Fog .
 
Ultima modifica:
Caspiterina , ne inventata una tutti i giorni .
Non ci si può distrarre un attimo ... :D
Pure questa mi mancava .
Molto interessante e nemmeno costosa .
Ma dimmi , la si può applicare anche ad un cellulare ?
In pratica funzionerebbe come ulteriore fattore di sicurezza , ma quello che mi chiedo quindi lo puoi attivare come pre - filtro all'uso della SIM card ?
Nel senso , in caso di duplicazione fraudolenta della nostra SIM card questa non funzionerebbe senza il codice di conferma FIDO2 , giusto ?
Ho visto un video su you tube , in pratica sembrerebbe una chiavetta USB , giusto ?
Grazie della pazienza Fog .

Queste chiavette USB (alcune con NFC per poter essere usate con lo smartphone) sono multifunzione. Possono essere usate direttamente per autenticarsi ad un servizio e/o sostituire il secondo fattore di autenticazione (by-passando del tutto gli SMS OTP).

Il vantaggio è che adottano protocolli di scambio e autenticazione "open" che qualsiasi azienda può implementare per rendersi compatibile con un utente che possegga una chiavetta che li supporta. I siti del governo inglese e di quello americano, per esempio, sono abilitati e l'autenticazione avviene direttamente tramite chiavetta (niente SMS OTP).

Molte aziende da quando è iniziata la pandemia hanno fornito ai propri dipendenti in smartworking una chiavetta di questo tipo per collegarsi ai server aziendali (per es. tramite Citrix) per ragioni di sicurezza e, anche, per facilitare l'accesso ai molti servizi diversi (Google, Microsoft, AWS, RedHat, Oracle, GitHub, 1Password, Keepass, Bitwarden, ProtonMail, etc.) che capita di usare per lavoro senza dover passare per una SIM (magari quella personale) per la 2FA.

Economiche relativamente. Alcune sì, ma la yubikey che supporta molti protocolli di autenticazione diversi ed è certamente la più completa, anche come soluzioni e supporto, non è che proprio te la regalino. :o :D

Se ti interessa approfondire ti consiglio il sito yubico che descrive tutti i protocolli di scambio e autenticazione usati e i servizi supportati. Lo segnalo perchè è, indubbiamente, quello che illustra meglio la correlazione protocollo/servizio, però ricordo che i protocolli sono "open" e chiavette che adottano gli stessi protocolli sono altrettanto valide.

Meet the YubiKey - Strong Two-Factor Authentication Solution


La nota dolente :wall:. Se vai a vedere nell'infografica quanti tra i servizi che supportano questi protocolli sono italiani capisci perchè siamo molto indietro sull'adozione di questi strumenti. :'(
 
Indietro