Moderatore: Staff
Il pin di 5 cifre chi lo da a loro?d4z_c0nf ha scritto: Nino, ma il codice restituito dal lettore è ricavato dal codice operazione e dal pin, immagino, con qualche algoritmo. Poi però questo codice viene validato dal sito stesso, quindi la sicurezza si sposta sull'accessibilità all'algoritmo, il giro è più lungo ma il "problema" è sempre quello..
rock
Il pin chi lo da a chi? Se il risultato si basa sia sul pin che sul codice di operazione, è ovvio che le poste abbiano il tuo pin, altrimenti come potrebbero validare il codice restituito dal lettore?Trotto@81 ha scritto: Il pin di 5 cifre chi lo da a loro?
E il codice operazione che è diverso di volta in volta?
Il malintenzionato, per riuscire a effetture traferimenti di fondi, avrebbe bisogno, innanzitutto di user e pass del sito, poi della carta bancoposta del cliente e relativo pin, più il generatore del codice di verifica.d4z_c0nf ha scritto:Il pin chi lo da a chi? Se il risultato si basa sia sul pin che sul codice di operazione, è ovvio che le poste abbiano il tuo pin, altrimenti come potrebbero validare il codice restituito dal lettore?Trotto@81 ha scritto: Il pin di 5 cifre chi lo da a loro?
E il codice operazione che è diverso di volta in volta?
rock
Ma non dicevo che era un giochetto da ragazzi, forse mi sono espresso male, dicevo che non è inattaccabile, che era solo complesso. Mi spiego, se tu accedi al conto del cliente, e sai reperire dal db il pin (perchè le poste devono avere il pin del cliente necessariamente affinchè possano eseguire l'algoritmo), e puoi accedere all'algoritmo stesso hai fatto. Questo non significa che sia facile, infatti dicevo che la sicurezza si spostava sulla reperibilità dell'algoritmo, e aggiungo ora, del pin.Trotto@81 ha scritto:Il malintenzionato, per riuscire a effetture traferimenti di fondi, avrebbe bisogno, innanzitutto di user e pass del sito, poi della carta bancoposta del cliente e relativo pin, più il generatore del codice di verifica.d4z_c0nf ha scritto:Il pin chi lo da a chi? Se il risultato si basa sia sul pin che sul codice di operazione, è ovvio che le poste abbiano il tuo pin, altrimenti come potrebbero validare il codice restituito dal lettore?Trotto@81 ha scritto: Il pin di 5 cifre chi lo da a loro?
E il codice operazione che è diverso di volta in volta?
rock
Un giochetto da ragazzi?
Adesso ne hanno parlato al TG3 ed è stato letto un comunicato delle Poste da cui risulta che gli hackers hanno modificato solo la home page proprio per l'impossibilità di andare oltre; in sostanza, si afferma che i dati riservati degli utenti non hanno corso alcun pericolo.Vic Steele ha scritto:Mi riservo di mettere in dubbio quello che è stato scritto, penso che siano riusciti soltanto a modificare una home page (che non significa nulla in confronto a quanto vogliono far significare) e per questo se la sono tirata un po'...
Per esempio, gli stessi indirizzi corrispondenti ad altri server erano tranquillamente accessibili al momento in cui la home page è stata crackata, e il login ai servizi era ancora accessibile. Perché quel pop-up non lo hanno messo alla pagina di login? Sarebbe stata una più seria dimostrazione, ed avrebbe avuto maggior impatto perché a quel punto la cosa sarebbe stata meno scontata.
Infatti!phobos3576 ha scritto:Adesso ne hanno parlato al TG3 ed è stato letto un comunicato delle Poste da cui risulta che gli hackers hanno modificato solo la home page proprio per l'impossibilità di andare oltre; in sostanza, si afferma che i dati riservati degli utenti non hanno corso alcun pericolo.Vic Steele ha scritto:Mi riservo di mettere in dubbio quello che è stato scritto, penso che siano riusciti soltanto a modificare una home page (che non significa nulla in confronto a quanto vogliono far significare) e per questo se la sono tirata un po'...
Per esempio, gli stessi indirizzi corrispondenti ad altri server erano tranquillamente accessibili al momento in cui la home page è stata crackata, e il login ai servizi era ancora accessibile. Perché quel pop-up non lo hanno messo alla pagina di login? Sarebbe stata una più seria dimostrazione, ed avrebbe avuto maggior impatto perché a quel punto la cosa sarebbe stata meno scontata.
.Purtroppo è da quotare anche questo. Per quanto i lamer abbiano fatto la loro sparata, sarebbero da curare anche questi aspetti per cercare di evitare in principio storie come questa.phobos3576 ha scritto:Resta il fatto che anche il defeacing della home page di un sito così importante è una cosa abbastanza imbarazzante.
Esattamente quello che ho pensato io!!Vic Steele ha scritto:Mi riservo di mettere in dubbio quello che è stato scritto, penso che siano riusciti soltanto a modificare una home page (che non significa nulla in confronto a quanto vogliono far significare) e per questo se la sono tirata un po'...
La data è antecedente al fatto.paZ_ ha scritto:ragazzi la situazione e' molto piu' grave.
http://unu1234567.baywords.com/2009/09/ ... injection/
non so' a sto punto mi uso la paypal e ciccia
