ING Direct: ancora con il PAD numerico rotante!

Quanti anni saranno che ING Direct ci propina il suo sistema di autenticazione? Avete presente il PAD numerico in cui ogni volta che si accede vengono cambiate le posizioni dei numeri sul tastierino?

Negli anni avranno sicuramente cambiato la tecnologia sottostante e le tecniche di sicurezza, tanto è vero che alcuni script client-side inclusi nella pagina, con un breve giro con Firebug, sono generati server-side con URL randomiche (solo nell'ultima parte) e Firebug non riesce a mostrarli.

Ma a parte la loro bravura nell'offuscare il codice, perché di offuscamento si tratta, quando si decideranno ad utilizzare un meccanismo di autenticazione a 2 fattori?

Una cosa che tu sai + Una cosa che tu hai

Potrei suggerire uno degli innumerevoli Token OTP che ormai molte banche danno ai loro correntisti e che li tranquillizzano non poco nell'accesso ai propri conti on-line. Provate a chiedere ad un utente se è più o meno tranquillo con un Token fisico che solo lui detiene e che ogni 30 secondi cambia PIN, oppure con un PIN "segretissimo" numerico di 6 cifre che non cambia mai?

No!

Continuano a propinare il "loro" sistema di autenticazione rigorosamente ad 1 fattore che, come tutti questi meccanismi di autenticazione, è vulnerabile, o lo sarà prima o poi, a qualche troiano-worm che riuscirà a loggare il PIN di accesso e le altre credenziali (di cui una è la data di nascita!)

Qualche obiezione?

D: "Sì ma la connessione è in HTTPS"
R: "Il troiano può fare da proxy per le connessioni HTTPS del browser"

D: "Sì ma anche se conoscono il PIN, devono accreditare prima un c/c bancario verso cui muovere i soldi"
R: "Sai che sforzo: ti frego il PIN, faccio un bonifico da un conto di appoggio ed eseguo un trasferimento da ING Direct al mio conto, se sono fortunato l'ignaro detentore del conto non se ne accorgerà e poiché sono conti di deposito non è che stiano a controllare ogni giorno."

D: "Ma il conto che apri deve essere un vero conto corrente bancario e le banche fanno dei controlli..."
R: "Con un documento falso ed un'identità nuova affidabile, non credo sia così difficile aprire un c/c bancario"

Ma quanto gli costa cambiare questo benedetto meccanismo?

E ancora continuano a cifrare la connessione con RC4....ma a 128 bit....perché è più sicuro!!!!

Mah...