Diego, eravamo partiti da un articolo che decantava le lodi delle vecchie chiavette rsa, come se fossero più sicure.
Infatti ho fatto notare che le otp sono vietate dai nuovi regolamenti sia che sia un token fisico che su app.
Quanto tempo ci mette una persona media nel 2025 ad accorgersi che non è in possesso del cellulare ?
Non ci si può basare sul utente medio, altrimenti avresti comunque una percentuale significatica di utenti in pericolo. Non siamo tutti utenti medi.
Un normalissimo sistema a più fattori (password+ codice generato da un seed)
è più pratico e non presenta criticità aggiuntive.
Il codice generato da un seed non è sufficiente, deve essere generato da un codice segreto associato al tuo account, più i dati dell’operazione, altrimenti è vulnerabile come i vecchi token. E come dicevo, normalmente la banca associa il codice generato anche al cellulare stesso.
a recuperano dallo schermo e fanno un dito di lattice prima che fai in tempo a fare la denuncia ?
Se il ladro è organizzato, senza problemi. Non serve mica tutto un dito, basta anche una pellicola di 1cm x 1cm.
Oltretutto parliamo del fatto che non puoi cambiare le tue impronte a piacimento, giusto per capire il grado di sicurezza :)
Inoltre fare la denuncia di furto non serve a molto. Se ti rubano il cellulare e vuoi essere sicuro che non ti entrino sul conto, devi chiamare subito il numero verde per bloccare l’accesso. Non è che lo fa la polizia o i carabinieri al posto tuo. E devi accorgetene subito…
@macfranc @luca I token fisici normali sono stati eliminati a causa delle nuove norme.
Contrariamente a quello che dice l’articolo la maggior parte dei token fisici non era affatto sicuro. Il problema è che il token generato era basato su due informazioni un codice che identifica il cliente e l’ora in cui veniva generato approssimato a qualche minuto. Questo per far si che scadesse naturalmente dopo un tempo “ragionevole” per utilizzarlo.
Ma se qualcuno ti spiava il codice, se era veloce, poteva usarlo per fare qualsiasi operazione sul tuo conto.
Le nuove regole prevedevano che il codice invece fosse sempre legato ai dati dell’operazione. Quindi ad esempio alla cifra e al beneficiario. E quindi lo spione di cui sopra non può usare quel codice per fare un bonifico sul suo di conto.
Nota anche che tutte le banche che conosco quando usano l’app, richiedono che l’app sia installata su un SOLO dispositivo. Perchè il dispositivo stesso è il secondo fattore di autenticazione, se si potesse installare l’app su qualsiasi dispositivo e usarle contemporaneamente, e come avere in giro n chiavi di casa, dicendo massì se la perdo uso un altra, e intanto la chiave rubata viene usata per entrare a casa tua.
Si significa che se perdi il cellulare devi andare sul sito, se non addirittura in filiale, per farti associare il cellulare nuovo al tuo conto.
Poi pensare che “hai tutto il tempo per fare la denuncia”, non tiene conto che può passare parecchio tempo prima di accorgersi di non avere più il cellulare (parlo di me e non solo). Secondo me sei troppo ottimista, e l’ufficio sicurezza della banca ti cazzierebbe :).
Ora ci sono anche altri modi che non richiedono l’uso dell’app. Ad esempio su banca etica, in alternativa all’app puoi associare il tuo numero di telefono (anche fisso) al tuo conto, e quando entri o fai un operazione sul sito, ti viene indicato un codice associato univocamente a quella specifica operazione. A quel punto chiami un numero verde e digiti il codice, e viene controllato codice e numero di telefono. Rispetta le regole di sicurezza e non serve un APP.
@macfranc @FediTips Noto che l’ultima ondata arrivava da “utenze” di mastodon.cloud. Che sembra un istanza abbandonata a se stessa. Valuterei un eventuale blocco.