Token mobile con IWBank
Scritto da Massimiliano Brasile
10 Febbraio 2012 | Conti Correnti
Probabilmente molti correntisti di IWBank utilizzano già da tempo il token mobile e non mi risulta che ci siano altri istituti in Italia che lo abbiano ancora adottato.
Personalmente ho preferito attendere il termine della fase di beta-testing e approfittando della fine naturale della batteria del mio token classico ho deciso di provarlo
Di cosa si tratta
Per chi non lo sapesse, il token mobile è una semplice applicazione rilasciata direttamente da Verisign da installare nel proprio smartphone che sostituisce in toto quell’appendice odiata-amata (tranne forse la versione carta-di-credito promossa sempre da IWBank) che ha reso per certi versi più macchinoso accedere ai conti correnti online, in cambio di una maggiore sicurezza.
Sono supportati praticamente tutti i terminali basati su Symbian, Android, iOS, Blackberry, Windows, oltre ai terminali che adottano la piattaforma BREW di Qualcomm.. quindi a meno di qualche sfortuna personale dovrebbe essere possibile usarlo per chiunque già usa uno smartphone per leggere la posta elettronica o navigare in piccolo.
Installazione
E’ consigliabile installare l’applicazione direttamente dal telefonino, trattandosi di pochi kilobyte. Con il proprio browser si deve semplicemente aprire il link m.verisign.com e attendere che il sito web identifichi la versione più corretta da farci scaricare. Una volta installata avremo come icona il noto logo di Verisign tra le applicazioni.
L’applicazione è essenziale e solo al primo lancio sarà necessario avere un collegamento a internet per permettergli di collegarsi in modo sicuro al sito di Verisign, comunicare probabilmente l’IMEI del telefonino e ricevere indietro l’identificativo del token mobile (Credential ID, che è possibile poi nascondere) generato. Al pari dell’identificativo del token fisico, esso andrà poi inserito nell’area riservata di IWBank per agganciarlo.
Sotto c’è il familiare codice a 6 cifre (Security Code) con un simpatico e utile timer circolare tarato a 30 secondi che ci indica per quanto tempo sarà valido.
Tutta la procedura è descritta in modo davvero esauriente nella guida PDF di IWBank, giunta alla secondo versione.
Problematiche da tener presenti
I nuovi correntisti possono scegliere da subito di usare il token mobile, mentre i vecchi che intendano adottarlo devono richiedere la dissociazione del vecchio token e provvedere a restituirlo alla banca nel giro di una settimana (tempo concesso per provare il nuovo token) per non dover pagare una penale di 25€; per la restituzione viene suggerita una raccomandata per escludere che il token stesso possa andare smarrito con conseguente addebito della penale.
Nel mio caso, dalla richiesta telefonica ho dovutto attendere circa un’ora e mezza per ottenere la dissociazione (confermata a mezzo e-mail) e va considerato che dal momento in cui il token fisico viene dissociato dal conto corrente, il conto stesso risulterà sospeso e l’operatività sarà possibile solo tramite call center fintanto che non si provvederà ad associare il token mobile (o altro token fisso). Con il token fisico dissociato, l’accesso all’area riservata è concesso inserendo solo user name e password (non è necessario inserire il codice del vecchio token che peraltro non verrebbe riconosciuto) e comparirà immediatamente la schermata dove inserire alla voce Token ID il Credential ID dell’applicazione Verisign. A seguire sarà proposta la consueta procedura di sincronizzazione: andrà inserito uno dei codici generati dall’applicazione (OTP1) e il successivo (OTP2). Da questo momento il token mobile è operativo e con esso il conto corrente.
Va da sé inoltre che a seguito di aggiornamento del firmware o del sistema operativo del terminale (o furto del terminale) il Credential ID potrebbe cambiare dovendo ripetere l’intera procedura di installazione dell’applicazione e si dovrà procedere a contattare IWBank per la nuova associazione. Rispetto alla perdita del token fisico, con conseguente attesa del sostitutivo con costi annessi, è sicuramente un sacrificio minore e soprattutto ha tempi decisamente più rapidi.
Considerazioni
Il vantaggio principale è che il token sparisce del tutto. Personalmente ho smesso da anni di usare orologi avendo sempre il cellulare con me e non può che rendermi felice dover perdere l’abitudine di portare anche il token. Questo implica anche che la banca stessa non dovrà preoccuparsi delle sostituzioni dei token per fine-vita ed eventuali problematiche di sicurezza potranno essere risolte lato software direttamente da Verisign.
Di contro, su eventuale furto o smarrimento del terminale, si lascia uno spiraglio aperto per eventuali attacchi. Tuttavia per accedere al conto sono sempre necessari username e password, oltre al token.
La recente sostituzione del token di PostFinance mi aveva fatto sospettare di un cambio di strategia nella stessa direzione, ma è evidente che in quel caso la sicurezza cui si fa riferimento è più sottile.
10 Febbraio 2012 | Conti Correnti
Tags: iwbank, postfinance, token, verisign
La novità del token software nello smartphone è certamente interessante.
Mi viene però un grande dubbio sulla sicurezza.
Se con lo stesso apparecchio mobile:
– mi collego alla banca e inserisco la user id;
– avvio la app Verisign per ottenere la password usa e getta;
come mi tutelo da un poteziale pirata informatico che, grazie alle eventuali falle del firmware del cellulare, attraverso la connessione internet “bucata” del mio apparecchio possa accede ad entrambi?
A questo proposito mi sembra poter dire che l’ago della bilancia possa pendere a favore di tutti i prodotti apple (iphone e ipad) che, a quanto ne so, sono ancora oggi del tutti immuni a qualsiasi virus, mentre mi pare che la piattaforma android, per la quale mi piacerebbe poter simpatizzare, è però da questo punto di vistra un drammatico colabrodo…
Insomma, utilizzare software diversi da apple per connettersi al proprio conto corrente, può essere considerato sicuro?
Il token software da questo punto di vista potrebbe amplificare i problemi della sicurezza?
interessanti i tuoi spunti.
personalmente ho raggiunto la convinzione che in informatica non esiste la sicurezza assoluta, solo comportamenti più sicuri (o se vuoi sicurezza attiva).
il token (fisico o virtuale) in sé aggiunge solo un livello ulteriore di sicurezza, ma nulla impedisce a un man-in-the-middle di intercettare i dati una volta inseriti. e questo prescinde dal firmware del telefono.. le antenne delle reti mobili possono essere eluse lanciando un segnale molto più forte a partire da un ripetitore locale magari riprogrammato… o magari usiamo un access point su FrecciaRossa o in aeroporto pensando che la transazione passi inosservata tra le mille altre.
questo solo per dire che non è che il token software abbassa le sicurezze, ne modifica solo la natura.
riguardo iOS, non è affatto così immune come scrivi purtroppo (ne è una riprova la puntuale uscita dei software jailbreak non appena vengono rilasciate nuove revisioni dell’OS).
per Android, siamo su un altro mondo: è open-source, nel bene e nel male chiunque può metterci le mani. certo, lasciare il market aperto a chiunque è forse una mossa troppo “civile” 🙂 ma permette di stabilire nel minor tempo possibile se c’è una falla e come chiuderla.
magari può interessarti un articolo su questi argomenti che ho scritto l’anno scorso per CBR http://www.cbritaly.it/articolo.php?aId=0000000152&n=Smartphone+e+tablet+leva+di+cambiamento
Spezzo una lancia a favore più del token che della stessa IWBank! 😀
Sono cliente di questa banca da 1 anno, e da almeno 6-9 mesi ho sostituito il token classico col sw per iPhone: mai un problema, devo dire. Ho anche un cell Android ma mi guardo bene per il momento di utilizzarlo per simili procedure di autenticazione. Credo sia l’approccio più prudente, poi come dice Massimo, niente è impossibile.
Non sono un esperto informatico, ma in effetti io non escludevo affatto che, anche usando iphone, i dati da me inseriti possano essere intercettati una volta spediti…. ma poiché la password inserita è usa e getta, anche intercettata non serve a nulla.
Diverso è se un malintenzionato invece si “impossessa” del tuo telefono, e magari riesce a visualizzare sul suo PC la schermata dello smartphone mentre il software Verisign ogni 30 secondi aggiorna il codice. In questo caso il rischio sarebbe maggiore. Il token fisico non può correre tale rischio.
E’ noto che esistono virus informatici evoluti che sono in grado di scattare (e spedire in tempo reale via web) foto molto frequenti delle schermate di windows (e probabilmente anche di android), che hanno reso obsoleti i sistemi di accesso bancari costituiti da tastiere virtuali a video, i cui caratteri (disposti in modo disordinato sulla tastiera virtuale) possono essere selezionati solo con il mouse (o con le dita nel caso di touchscreen), metodo originariamente creato per contrastare i virus keylogger.
Beh, a quanto ne sappia, su OSX e IOS il rischio di queste intercettazioni è da sempre pari allo 0,00%. Ed è probabilmente per questa ragione che, come mi è stato riferito, i promotori finanziari di Allianz sono autorizzati ad utilizzare per le loro connessioni mobili solo apparecchi apple (penso che se decidessero di usare altri sistemi decaderebbero tutte le coperture assicurative).
In ogni caso, per farsi un’idea del problema della sicurezza basta fare ricerche su google per capire l’abisso di sicurezza tra apple e android.
Non so quanti effettivamente usino il telefonino per le operazioni bancarie, ma nel caso di android una soluzione potrebbe essere installare il software Verisign sullo smartphone e poi operare su un più comodo tablet….
Buongiorno, alcuni problemi di sicurezza legati al contosi possono escludere totalmente semplicemente chiedendo l’inibizione dei bonifici in uscita . per fare un bonifico si deve mandare un fax con la propria firma e dichiarare in quale giorno si vuole farlo. poi volendo per le spese di ogni giorno si può aprire un conto a zero spese e depositare qualche spicciolo……. ciao a tutti
il discorso del man-in-the-middle riguarda anche la password usa e getta: se disponi un bonifico e i dati vengono intercettati, può benissimo essere alterato tutto il pacchetto quindi beneficiario del bonifico e importo, con quella password usa e getta.
mi guardo dal difendere Android, Symbian, RIM di Blackberry e gli altri minori, ma penso che al di sotto degli accordi assicurativi che menzioni su Apple ci siano meri tornaconti economici: iOS non è sicuro a priori (oltre ai menzionati Jailbreak che tutti conoscono, basta fare un giro su google per verificarlo).
Per non far torto a nessuno un mese fa HP ha dichiarato che sia iOS che Android sono troppo insicuri per le imprese ( http://www.xbitlabs.com/news/mobile/display/20120208215231_HP_Apple_iOS_and_Google_Android_Too_Insecure_for_Enterprises.html ). Stessa affermazione è stata fatta da Symantec lo scorso giugno ( http://zlstudios.net/2011/06/symantec-finds-both-android-and-ios-insecure/ ).
E’ evidente che entrambi le piattaforme sono troppo giovani.
Personalmente non uso né iOS né Android sul telefonino, ma ammetto di aver utilizzato la soluzione che hai proposto te: token su smartphone e accesso da tablet 😉
ciao mount, come ti stai trovando con IWBank?
Ciao Antonio, niente male, ma considera che io ho il conto trader e sfrutto solo quei servizi.
Spiacente, mi occupo per mestiere anche di security e ti assicuro che iOS e OSX non solo sono altamente insicuri, ma il peggio è, come si vede dai Vs commenti, che danno anche un falso senso di sicurezza all’utente. Il fatto che non siano opensource non fa che confermare quanto detto.
Sono comunque altamente insicuri anche android, windows mobile, windows vista/seven.
…. iOS e OSX altamente insicuri, addirittura.
Vorrei saperne qualcosa di più.
Qualche link?
E poi, in generale, se android, windows mobile, Vista/Seven sono anche loro altamente insicuri, quali sono le alternative sicure per mobile e PC?
concordo. tuttavia il discorso sulle polizze non è trascurabile: se c’è un’assicurazione che si accolla il rischio (elevato) di intrusione o manomissione di smartphone o tablet basati su iOS, si saranno fatti i loro conti.. magari basati sul “falso” senso di sicurezza 😉
restiamo in OT.
su iOS leggiti questo amabile articolo http://www.theverge.com/2012/2/14/2798008/ios-apps-and-the-address-book-what-you-need-to-know su come è possibile trafugare i dati della rubrica.
in generale è dimostrabile che un codice open-source è più sicuro di un codice chiuso, a questo si aggiungono poi i tempi rapidissimi di reazione della community nel momento in cui viene resa nota una falla, rispetto ai rilasci delle software house commerciali (come Microsoft e Apple).
per avere maggiore sicurezza, tanto per citare un caso noto nel campo dei PC menzionerei OpenBSD ( http://www.openbsd.com ) che vanta rare falle di sicurezza.
in campo mobile onestamente non saprei dire senza dati aggiornati se esistono smartphone sicuri.. in prospettiva forse OpenMoko ( http://www.openmoko.org ), un progetto interessante di smartphone open-source e open-hardware, ma ancora in fase embrionale e consigliato per ora solo a utenti esperti o sviluppatori.
Hmm.. attenzione perchè Apple è un mago del commerciale; hanno budget illimitati da spendere per “spingere” i loro devices (e si vede). E la sicurezza non è solo difendersi dal phishing.
Di “sicuro” purtroppo non c’e’ niente, e se qualche consulente IT ti dice il contrario, mente sapendo di mentire.
La sicurezza purtroppo non è un OS; è una combinazione di tantissime cose tra le quali certamente l’OS, e il tema non può essere affrontato in 10 righe. OS, hardware, software, browser, antivirus, proxy anonimi, tipo di connessione ad internet, ma soprattutto il comportamento dell’utente sono i fattori del prodotto “sicurezza”.
Detto questo, come OS ai miei clienti consiglio attualmente XP x64 SP2 su piattaforma PC e WM 6.5 su palmare.
come volevasi dimostrare http://www.zeusnews.it/index.php3?ar=stampa&cod=17040#axzz1ociUgOGN