E la banca bussò alle porte di AES...
Vi ricordate il mio post sulle banche e RC4?
Quello che non vi ho detto è che, subito dopo aver scritto il post, ho "selezionato" due banche on-line di mio interesse, una italiana e una straniera, e ho mandato loro due mail.
Nelle mail non solo esponevo il problema dell'RC4 a 128 bit, ma in un caso mi permettevo anche di suggerire che meccanismi di autenticazione a 2 fattori bizantini ormai sono preda di Trojan e Keylogger. Suggerendo quindi un 3 fattori magari con un token OTP (One Time Password).
E quali sono state le loro rispettive risposte?
Ma se gestiscono in questo modo un aspetto di sicurezza ormai definito e noto, come gestiscono gli altri aspetti ben più complessi?
mumble mumble...
Quello che non vi ho detto è che, subito dopo aver scritto il post, ho "selezionato" due banche on-line di mio interesse, una italiana e una straniera, e ho mandato loro due mail.
Nelle mail non solo esponevo il problema dell'RC4 a 128 bit, ma in un caso mi permettevo anche di suggerire che meccanismi di autenticazione a 2 fattori bizantini ormai sono preda di Trojan e Keylogger. Suggerendo quindi un 3 fattori magari con un token OTP (One Time Password).
E quali sono state le loro rispettive risposte?
- Nel caso della banca italiana: mi è arrivata una mail "asettica" (da info@xxxx) in cui mi si ringraziava e mi si diceva che avrebbero girato la cosa agli uffici tecnici di competenza. ==> 5 ore dopo la banca in questione aveva l'AES-256!
- Nel caso della banca straniera: dopo una settimana mi hanno contattato telefonicamente, "sbrodolandosi" in ringraziamenti del tipo "è stata molto preziosa la sua mail"..."le assicuriamo che stiamo attivando l'autenticazione a 3 fattori" e bla bla bla ==> Sono rimasti con RC4 a 128 bit e l'autenticazione è sempre la stessa!
Ma se gestiscono in questo modo un aspetto di sicurezza ormai definito e noto, come gestiscono gli altri aspetti ben più complessi?
mumble mumble...
Commenti
Posta un commento